SQS 发送消息时 Lambda 超时

Question

我设置了一个非常简单的 Lambda 来向 SQS 发送消息。 Lambda位于VPC中，有两个公共子网（我不完全了解aws网络，我刚刚看到连接到子网的路由表有0.0.0.0/0作为路由之一，连接到Internet网关）和一个安全团体。我已经仔细检查了权限，它们工作正常，因为如果我删除 Lambda 上的 VPC 设置，它就会工作。

我尝试按照文章中的建议创建端点： SQS 从 VPC 发送，但 Lambda 超时。

正如SO解决方案链接中所建议的，我尝试在客户端中添加endpoint_url，这也不起作用。

Lambda 代码如下：

#Testing SQS push message.
import botocore
import boto3

def main(event, context):
    session = boto3.Session()

    sqs_client = session.client(
        service_name='sqs',
        endpoint_url='https://sqs.eu-west-1.amazonaws.com',
    )

    sqs_client.send_message(
        QueueUrl='https://sqs.eu-west-1.amazonaws.com/***********/tutorial-queue-test',
        MessageBody='msg sent from '
    )

    return {}

恢复我的设置我有：

• VPC 内的 Lambda、2 个子网（公共）、1 个安全组。
• SQS
• VPC 内部的

SQS 端点我无法将 Lambda 保留在 VPC 外部，因为我需要使用 EFS，我将其集成到 Lambda 中。

解决方案： 毕竟我成功正确启动了 Lambda，我猜想这是 Lambda 和 Endpoint 的错误安全组规则的混合，并且 VPC 私有 DNS 名称被禁用。感谢大家的支持。

为了便于阅读，我总结了成功启动 Lambda 的主要解决方案：

• 为 Lambda 添加安全组，该安全组具有 INBOUND RULE（协议：所有 TCP，端口：0 - 65535，源：0.0.0.0/0）和 OUTBOUND RULE(Protocol:All, Ports:All, Destination:0.0.0.0/0)
• 为 Endpoint 添加安全组，该安全组具有 INBOUND规则（IP 版本：–、类型：所有 TCP、协议：TCP、端口：0 - 65535、源：）和出站规则（IP 版本：IPv4、类型：所有流量、协议：全部、端口：全部，目的地：0.0.0.0/0)。
• 从端点中，选择当前端点->操作->修改私有 DNS 名称->修改私有 DNS 名称。启用私有 DNS 名称。

Answer 1

放置在公共子网中的 Lambda 没有 Internet 连接，因为它们无法使用 Internet 网关。

因此，第一步是根据最佳实践将 lambda 放置在私有或隔离子网中。

然后，有两个选项：

1. 如果您的 Lambda 需要互联网连接，请添加 NAT 网关并添加从私有子网到该网关的路由。如果您选择此路线，则无需使用 VPC 端点。

2. 如果您想避免使用 NAT 网关，只需将 lambda 放置在隔离子网中，它将使用您创建的 VPC 终端节点。

如果端点启用了私有 DNS，则无需提供自定义 endpoint_url，boto3 将按原样工作。

如果这不起作用，请验证该终端节点是否是在您的 Lambda 正在使用的子网中创建的。另请验证您是否已为端点打开私有 DNS。

另请参阅：为什么 VPC 中公有子网内的 AWS lambda 函数无法连接到互联网？