Die vorliegende Übersetzung wurde maschinell erstellt. Im Falle eines Konflikts oder eines Widerspruchs zwischen dieser übersetzten Fassung und der englischen Fassung (einschließlich infolge von Verzögerungen bei der Übersetzung) ist die englische Fassung maßgeblich.

Erstellen einer Lambda-Funktion mit einem Container-Image

Der Code Ihrer AWS Lambda Funktion besteht aus Skripten oder kompilierten Programmen und ihren Abhängigkeiten. Sie verwenden ein Bereitstellungspaket, um Ihren Funktionscode in Lambda bereitzustellen. Lambda unterstützt zwei Arten von Bereitstellungspaketen: Container-Images und ZIP-Dateiarchiven.

Es gibt drei Möglichkeiten, ein Container-Image für eine Lambda-Funktion zu erstellen:

Um eine Lambda-Funktion aus einem Container-Image zu erstellen, erstellen Sie Ihr Image lokal und laden es in ein Amazon Elastic Container Registry (Amazon ECR)-Repository hoch. Wenn Sie ein von einem AWS Marketplace-Verkäufer bereitgestelltes Container-Image verwenden, müssen Sie das Image zuerst in Ihr privates Amazon-ECR-Repository klonen. Geben Sie dann den Repository-URI an, wenn Sie die Funktion erstellen. Das Amazon ECR-Repository muss mit der AWS-Region Lambda-Funktion identisch sein. Sie können eine Funktion mithilfe eines Images in einem anderen AWS Konto erstellen, sofern sich das Bild in derselben Region wie die Lambda-Funktion befindet. Weitere Informationen finden Sie unter Kontoübergreifende Berechtigungen von Amazon ECR.

Auf dieser Seite werden die grundlegenden Imagetypen und Anforderungen für die Erstellung von Lambda-compatible Container-Images erläutert.

Voraussetzungen

Installieren Sie die AWS CLI -Version 2 und die Docker-CLI. Beachten Sie außerdem die folgenden Anforderungen:

Mit einem AWS Basisimage für Lambda

Sie können eines der AWS -Basis-Images für Lambda verwenden, um das Container-Image für Ihren Funktionscode zu erstellen. Die Basis-Images sind mit einer Sprachlaufzeit und anderen Komponenten vorgeladen, die zum Ausführen eines Container-Images in Lambda erforderlich sind. Sie fügen Ihren Funktionscode und Ihre Abhängigkeiten dem Basis-Image hinzu und verpacken es dann als Container-Image.

AWS stellt regelmäßig Aktualisierungen der AWS Basis-Images für Lambda bereit. Wenn Ihr Dockerfile den Image-Namen in der FROM-Eigenschaft enthält, ruft Ihr Docker-Client die aktuelle Version des Images aus dem Amazon-ECR-Repository ab.. Um das aktualisierte Basis-Image verwenden zu können, müssen Sie Ihr Container-Image neu erstellen und den Funktionscode aktualisieren.

Die Basis-Images Node.js 20, Python 3.12, Java 21, .NET 8, Ruby 3.3 und höher basieren auf dem minimalen Container-Image von Amazon Linux 2023. Frühere Basis-Images verwenden Amazon Linux 2. AL2023 bietet mehrere Vorteile gegenüber Amazon Linux 2, darunter einen geringeren Bereitstellungsaufwand und aktualisierte Versionen von Bibliotheken wie glibc.

AL2023-based Images verwenden microdnf (symbolisch verlinkt alsdnf) als Paketmanager und nichtyum, was in Amazon Linux 2 der Standard-Paketmanager ist. microdnfist eine eigenständige Implementierung von. dnf Eine Liste der Pakete, die in AL2023-based Images enthalten sind, finden Sie in den Spalten Minimaler Container unter Vergleichen von Paketen, die auf Amazon Linux 2023 Container Images installiert sind. Weitere Informationen zu den Unterschieden zwischen AL2023 und Amazon Linux 2 finden Sie unter Introducing the Amazon Linux 2023 runtime for AWS Lambda im AWS -Compute-Blog.

Um ein Container-Image mithilfe eines AWS Basis-Images zu erstellen, wählen Sie die Anweisungen für Ihre bevorzugte Sprache aus:

Mit einem AWS OS-only Basisbild

AWS OS-only Basisimages enthalten eine Amazon Linux-Distribution und den Runtime-Schnittstellen-Emulator. Diese Images werden häufig verwendet, um Container-Images für kompilierte Sprachen wie Go und Rust sowie für eine Sprache oder Sprachversion zu erstellen, für die Lambda kein Basis-Image bereitstellt, wie z. B. 19. Node.js Sie können auch OS-only Basis-Images verwenden, um eine benutzerdefinierte Laufzeit zu implementieren. Um das Image mit Lambda kompatibel zu machen, müssen Sie den Laufzeitschnittstellen-Client für Ihre Sprache in das Image aufnehmen.

Öffentliche Galerie von Amazon Elastic Container Registry: gallery.ecr. aws/lambda/bereitgestellt

Mit einem nicht-AWS Basisbild

Lambda unterstützt jedes Image, das einem der folgenden Image-Manifestformate entspricht:

Lambda unterstützt eine maximale unkomprimierte Image-Größe von 10 GB, einschließlich aller Ebenen.

Laufzeitschnittstellen-Clients

Wenn Sie ein OS-only Basis-Image oder ein alternatives Basis-Image verwenden, müssen Sie einen Runtime-Interface-Client in Ihr Image aufnehmen. Der Runtime Interface Client muss den erweiternVerwenden der Lambda-Laufzeit-API für benutzerdefinierte Laufzeiten, der die Interaktion zwischen Lambda und Ihrem Funktionscode verwaltet. AWS bietet Open-Source-Runtime-Interface-Clients für die folgenden Sprachen:

Wenn Sie eine Sprache verwenden, für die es keinen Runtime-Interface-Client gibt, müssen Sie Ihren eigenen erstellen. AWS

Amazon-ECR-Berechtigungen

Bevor Sie eine Lambda-Funktion aus einem Container-Image erstellen, müssen Sie das Image lokal erstellen und es in ein Amazon-ECR-Repository hochladen. Geben Sie beim Erstellen der Funktion den URI des Amazon-ECR-Repositorys an.

Stellen Sie sicher, dass die Berechtigungen für den Benutzer oder die Rolle, die die Funktion erstelltGetRepositoryPolicy, SetRepositoryPolicyBatchGetImage, und GetDownloadUrlForLayer enthalten.

Verwenden Sie beispielsweise die IAM-Konsole, um eine Rolle mit der folgenden Richtlinie zu erstellen:

JSON

{
  "Version":"2012-10-17",
  "Statement": [
    {
      "Sid": "VisualEditor0",
      "Effect": "Allow",
      "Action": [
        "ecr:SetRepositoryPolicy",
        "ecr:GetRepositoryPolicy",
        "ecr:BatchGetImage",
        "ecr:GetDownloadUrlForLayer"
      ],
      "Resource": "arn:aws:ecr:us-east-1:111122223333:repository/hello-world"
    }
  ]
}

Die Berechtigungen, die Lambda benötigt, um Ihr Container-Image abzurufen, hängen davon ab, ob sich das Amazon ECR-Repository im selben AWS Konto wie die Funktion oder in einem anderen Konto befindet. In den folgenden Abschnitten werden die Anforderungen für jedes Szenario erläutert.

Same-account Amazon ECR-Repository-Richtlinien

Für eine Funktion in demselben Konto wie das Container-Image in Amazon ECR können Sie Lambda entweder über die identitätsbasierte Richtlinie für die Ausführungsrolle oder die ressourcenbasierte Richtlinie für das Amazon ECR-Repository Zugriff gewähren. Nur eine Seite muss den Zugriff zulassen.

Wenn Sie sich für die Verwendung einer Amazon ECR-Repository-Richtlinie entscheiden, fügen Sie ecr:GetDownloadUrlForLayer Berechtigungen ecr:BatchGetImage hinzu. Das folgende Beispiel zeigt die Mindestrichtlinie:

{
        "Sid": "LambdaECRImageRetrievalPolicy",
        "Effect": "Allow",
        "Principal": {
          "Service": "lambda.amazonaws.com"
        },
        "Action": [
          "ecr:BatchGetImage",
          "ecr:GetDownloadUrlForLayer"
        ]
    }   

Weitere Informationen zu Amazon-ECR-Repository-Berechtigungen finden Sie unter Private Repository-Richtlinien im Benutzerhandbuch zu Amazon Elastic Container Registry.

Wenn das Amazon-ECR-Repository diese Berechtigungen nicht enthält, versucht Lambda, sie automatisch hinzuzufügen. Lambda kann Berechtigungen nur hinzufügen, wenn der Lambda aufrufende Prinzipal über ecr:getRepositoryPolicy- und ecr:setRepositoryPolicy-Berechtigungen verfügt.

Um Ihre Repository-Berechtigungen für Amazon ECR anzuzeigen oder zu bearbeiten, befolgen Sie die Anweisungen unter Festlegung einer privaten Repository-Richtlinienanweisung im Benutzerhandbuch zu Amazon Elastic Container Registry.

Kontoübergreifende Berechtigungen von Amazon ECR

Wenn eine Funktion in einem Konto ein Container-Image aus einem Amazon ECR-Repository in einem anderen Konto verwendet, müssen beide Seiten Zugriff gewähren. Die identitätsbasierte Richtlinie für die Rolle im nutzenden Konto muss ecr:BatchGetImage und zulassenecr:GetDownloadUrlForLayer, und die ressourcenbasierte Richtlinie für das Amazon ECR-Repository im Eigentümerkonto muss diese Aktionen ebenfalls zulassen.

Im folgenden Beispiel benötigt die Berechtigungsrichtlinie Ihres Amazon-ECR-Repository die folgenden Anweisungen, um den Zugriff auf Kontonummer 123456789012 zu gewähren.

Um den Zugriff auf mehrere Konten zu gewähren, fügen Sie die Konto-IDs der Liste der Prinzipalen in der CrossAccountPermission-Richtlinie hinzu sowie zur Bedingungs-Auswertungsliste der Bedingung in LambdaECRImageCrossAccountRetrievalPolicy.

Wenn Sie mit mehreren Konten in einer AWS Organisation arbeiten, empfehlen wir, dass Sie jede Konto-ID in der ECR-Berechtigungsrichtlinie auflisten. Dieser Ansatz entspricht der bewährten AWS Sicherheitsmethode, in IAM-Richtlinien enge Berechtigungen festzulegen.

Zusätzlich zur Amazon ECR-Repository-Richtlinie muss der Benutzer oder die Rolle, die die Funktion erstellt, auch über GetDownloadUrlForLayer Berechtigungen in seiner BatchGetImage identitätsbasierten Richtlinie verfügen.

Lebenszyklus der Funktion

Nachdem Sie ein neues oder aktualisiertes Container-Image hochgeladen haben, optimiert Lambda das Image, bevor die Funktion Aufrufe verarbeiten kann. Der Optimierungsprozess kann einige Sekunden dauern. Die Funktion verbleibt im Zustand Pending, bis der Prozess abgeschlossen ist, dann geht der Zustand in Active über. Sie können die Funktion erst dann aufrufen, wenn sie den Active-Zustand erreicht hat.

Wenn eine Funktion mehrere Wochen lang nicht aufgerufen wird, gewinnt Lambda seine optimierte Version zurück und die Funktion wechselt in den Inactive-Zustand. Um die Funktion wieder zu aktivieren, müssen Sie sie aufrufen. Lambda lehnt den ersten Aufruf ab und die Funktion tritt in den Pending-Zustand, bis Lambda das Image neu optimiert. Die Funktion kehrt dann zum Active-Zustand zurück.

Lambda ruft regelmäßig das zugehörige Container-Image aus dem Amazon ECR Repository ab. Wenn das entsprechende Container-Image in Amazon ECR nicht mehr vorhanden ist oder Berechtigungen widerrufen werden, wechselt die Funktion in den Failed-Zustand und Lambda gibt einen Fehler für alle Funktionsaufrufe zurück.

Sie können die Lambda-API verwenden, um Informationen über den Zustand einer Funktion abzurufen. Weitere Informationen finden Sie unter Lambda-Funktionszustände.