Les traductions sont fournies par des outils de traduction automatique. En cas de conflit entre le contenu d'une traduction et celui de la version originale en anglais, la version anglaise prévaudra.
# Octroi aux fonctions Lambda d’un accès à une ressource dans un Amazon VPC d’un autre compte
Vous pouvez donner à votre AWS Lambda fonction l'accès à une ressource d'un Amazon VPC dans Amazon Virtual Private Cloud géré par un autre compte, sans exposer l'un ou l'autre VPC à Internet. Ce modèle d'accès vous permet de partager des données avec d'autres organisations utilisant AWS. Grâce à ce modèle d’accès, vous pouvez partager des données entre VPC avec un niveau de sécurité et de performance supérieur à celui d’Internet. Configurez votre fonction Lambda pour utiliser une connexion d’appairage d’Amazon VPC pour accéder à ces ressources.
**Avertissement**
Lorsque vous autorisez l’accès entre des comptes ou des VPC, vérifiez que votre plan répond aux exigences de sécurité des organisations qui gèrent ces comptes. Le respect des instructions de ce document aura une incidence sur le niveau de sécurité de vos ressources.
Dans ce tutoriel, vous connectez deux comptes ensemble à l’aide d’une connexion d’appairage via IPv4. Vous configurez une fonction Lambda qui n’est pas déjà connectée à un Amazon VPC. Vous configurez la résolution DNS pour connecter votre fonction à des ressources qui ne fournissent pas d’adresses IP statiques. Pour adapter ces instructions à d’autres scénarios d’appairage, consultez le [Guide d’appairage de VPC](https://docs.aws.amazon.com//vpc/latest/peering/what-is-vpc-peering.html).
## Conditions préalables
Pour permettre à une fonction Lambda d’accéder à une ressource d’un autre compte, vous devez avoir :
+ une fonction Lambda, configurée pour s’authentifier auprès de votre ressource puis lire à partir de celle-ci ;
+ une ressource d’un autre compte, tel qu’un cluster Amazon RDS, disponible via Amazon VPC ;
+ les informations d’identification du compte de votre fonction Lambda et du compte de votre ressource. Si vous n’êtes pas autorisé à utiliser le compte de votre ressource, contactez un utilisateur autorisé pour préparer ce compte ;
+ l’autorisation de créer et de mettre à jour un VPC (et de prendre en charge les ressources Amazon VPC) à associer à votre fonction Lambda ;
+ l’autorisation de mettre à jour le rôle d’exécution et la configuration VPC de votre fonction Lambda ;
+ l’autorisation de créer une connexion d’appairage de VPC dans le compte de votre fonction Lambda ;
+ l’autorisation d’accepter une connexion d’appairage de VPC dans le compte de votre ressource ;
+ l’autorisation de mettre à jour la configuration du VPC de votre ressource (et de prendre en charge les ressources Amazon VPC) ;
+ l’autorisation d’invoquer votre fonction Lambda.
## Création d’un Amazon VPC dans le compte de votre fonction
Créez un Amazon VPC, des sous-réseaux, des tables de routage et un groupe de sécurité dans le compte de votre fonction Lambda.
**Pour créer un VPC, des sous-réseaux et d'autres ressources VPC à l'aide de la console**
1. Ouvrez la console Amazon VPC à l’adresse [https://console.aws.amazon.com/vpc/](https://console.aws.amazon.com/vpc/).
1. Sur le tableau de bord, choisissez **Créer un VPC**.
1. Pour le **bloc d’adresse CIDR IPv4**, fournissez un bloc d’adresse CIDR privé. Votre bloc d’adresse CIDR ne doit chevaucher aucun bloc utilisé dans le VPC de votre ressource. Ne choisissez ni un bloc que le VPC de vos ressources utilise pour attribuer des adresses IP aux ressources, ni un bloc déjà défini dans les tables de routage de votre VPC de ressources. Pour plus d’informations sur la définition des blocs d’adresse CIDR appropriés, consultez [VPC CIDR blocks](https://docs.aws.amazon.com/vpc/latest/userguide/vpc-cidr-blocks.html).
1. Choisissez **Personnaliser les zones de disponibilité**.
1. Sélectionnez les mêmes zones de disponibilité que votre ressource.
1. Pour **Nombre de sous-réseaux publics**, choisissez **0**.
1. Pour **VPC endpoints** (Points de terminaison d'un VPC), choisissez **None** (Aucun).
1. Sélectionnez **Create VPC** (Créer un VPC).
## Octroi d’autorisations VPC au rôle d’exécution de votre fonction
[AWSLambdaVPCAccessExecutionRole](https://docs.aws.amazon.com/aws-managed-policy/latest/reference/AWSLambdaVPCAccessExecutionRole.html)Attachez-vous au rôle d'exécution de votre fonction pour lui permettre de se connecter aux VPC.
**Pour octroyer des autorisations VPC au rôle d’exécution de votre fonction**
1. Ouvrez la [page Functions](https://console.aws.amazon.com/lambda/home#/functions) (Fonctions) de la console Lambda.
1. Choisissez le nom de votre fonction .
1. Choisissez **Configuration**.
1. Choisissez **Autorisations**.
1. Sous **Nom du rôle**, choisissez le rôle d’exécution.
1. Dans la section **Politiques d’autorisations**, choisissez **Ajouter des autorisations**.
1. Dans la liste déroulante, choisissez **Attacher des politiques**.
1. Dans la zone de recherche, saisissez `AWSLambdaVPCAccessExecutionRole`.
1. À gauche du nom de politique, cochez la case.
1. Choisissez **Ajouter des autorisations**.
**Pour attacher votre fonction à votre Amazon VPC**
1. Ouvrez la [page Functions](https://console.aws.amazon.com/lambda/home#/functions) (Fonctions) de la console Lambda.
1. Choisissez le nom de votre fonction .
1. Choisissez l’onglet **Configuration**, puis **VPC**.
1. Choisissez **Modifier**.
1. Sous **VPC**, sélectionnez votre VPC.
1. Sous **Sous-réseaux**, choisissez vos sous-réseaux.
1. Sous **Groupe de sécurité**, sélectionnez le groupe de sécurité par défaut de votre VPC.
1. Choisissez **Enregistrer**.
## Création d’une requête de connexion d’appairage de VPC
Créez une requête de connexion d’appairage de VPC entre le VPC de votre fonction (le VPC demandeur) et le VPC de votre ressource (le VPC accepteur).
**Pour demander une connexion d’appairage de VPC depuis le VPC de votre fonction**
1. Ouvrez la [https://console.aws.amazon.com/vpc/](https://console.aws.amazon.com/vpc/).
1. Dans le volet de navigation, choisissez **Peering connections** (Connexions d'appairage).
1. Choisissez **Create peering connection** (Créer une connexion d'appairage).
1. Pour **ID VPC (demandeur)**, sélectionnez le VPC de votre fonction.
1. Pour **ID de compte**, saisissez l’ID du compte de votre ressource.
1. Pour **VPC ID (Accepter)**, saisissez le VPC de votre ressource.
## Préparation du compte de votre ressource
Pour créer votre connexion d’appairage et préparer le VPC de votre ressource à utiliser la connexion, connectez-vous au compte de votre ressource avec un rôle doté des autorisations répertoriées dans les conditions requises. Les étapes de connexion peuvent être différentes en fonction de la manière dont le compte est sécurisé. Pour plus d'informations sur la procédure de connexion à un AWS compte, consultez le [guide de AWS Sign-in l'utilisateur](https://docs.aws.amazon.com//signin/latest/userguide/what-is-sign-in.html). Au sein du compte de votre ressource, effectuez les procédures suivantes.
**Pour accepter une requête de connexion d’appairage de VPC**
1. Ouvrez la [https://console.aws.amazon.com/vpc/](https://console.aws.amazon.com/vpc/).
1. Dans le volet de navigation, choisissez **Peering connections** (Connexions d'appairage).
1. Sélectionnez la connexion d’appairage de VPC en attente (statut pending-acceptance).
1. Choisissez **Actions**.
1. Dans la liste déroulante Actions, choisissez **Accepter la demande**.
1. Lorsque vous êtes invité à confirmer l'opération, choisissez **Accepter la demande**.
1. Choisissez **Modifier mes tables de routage maintenant** pour ajouter une route à la table de routage principale de votre VPC afin de pouvoir envoyer et recevoir du trafic via la connexion d’appairage.
Inspectez les tables de routage du VPC de la ressource. La route générée par Amazon VPC peut ne pas établir de connectivité, en fonction de la configuration du VPC de votre ressource. Vérifiez les conflits entre la nouvelle route et la configuration existante du VPC. Pour plus d’informations sur le dépannage, consultez [Troubleshoot a VPC peering connection](https://docs.aws.amazon.com/vpc/latest/peering/troubleshoot-vpc-peering-connections.html) dans le *Guide d’appairage de VPC Amazon Virtual Private Cloud*.
**Pour mettre à jour le groupe de sécurité de votre ressource**
1. Ouvrez la [https://console.aws.amazon.com/vpc/](https://console.aws.amazon.com/vpc/).
1. Dans le panneau de navigation, choisissez **Groupes de sécurité**.
1. Sélectionnez le groupe de sécurité pour votre ressource.
1. Choisissez **Actions**.
1. Dans la liste déroulante, choisissez **Modifier les règles entrantes**.
1. Choisissez **Ajouter une règle**.
1. Pour **Source**, entrez l'ID de compte et l'ID de groupe de sécurité de votre fonction, séparés par une barre oblique (par exemple, 111122223333/sg -1a2b3c4d).
1. Choisissez **Edit outbound rules** (Modifier les règles sortantes).
1. Vérifiez si le trafic sortant est restreint. Les paramètres de VPC par défaut autorisent tout le trafic sortant. Si le trafic sortant est restreint, passez à l’étape suivante.
1. Choisissez **Ajouter une règle**.
1. Pour **Destination**, entrez l'ID de compte et l'ID de groupe de sécurité de votre fonction, séparés par une barre oblique (par exemple, 111122223333/sg -1a2b3c4d).
1. Sélectionnez **Enregistrer les règles**.
**Pour activer la résolution DNS pour votre connexion d’appairage**
1. Ouvrez la [https://console.aws.amazon.com/vpc/](https://console.aws.amazon.com/vpc/).
1. Dans le volet de navigation, choisissez **Peering connections** (Connexions d'appairage).
1. Sélectionnez votre connexion d’appairage.
1. Choisissez **Actions**.
1. Choisissez **Modifier les paramètres DNS**.
1. En-dessous de **Résolution DNS acceptée**, sélectionnez **Autoriser le VPC demandeur à convertir le DNS des hôtes VPC accepteurs** en IP privée.
1. Sélectionnez **Enregistrer les modifications**.
## Mise à jour de la configuration VPC dans le compte de votre fonction
Connectez-vous au compte de votre fonction, puis mettez à jour la configuration du VPC.
**Pour ajouter une route pour une connexion d’appairage de VPC**
1. Ouvrez la [https://console.aws.amazon.com/vpc/](https://console.aws.amazon.com/vpc/).
1. Dans le volet de navigation, choisissez **Route tables** (Tables de routage).
1. Cochez la case en regard du nom de la table de routage pour le sous-réseau que vous avez associé à votre fonction.
1. Choisissez **Actions**.
1. Choisissez **Edit routes (Modifier des routes)**.
1. Choisissez **Ajouter une route**.
1. Pour **Destination**, saisissez le bloc CIDR du VPC de votre ressource.
1. Pour **Cible**, sélectionnez la connexion d’appairage de VPC.
1. Sélectionnez **Enregistrer les modifications**.
Pour de plus amples informations relatives aux éléments que vous pouvez rencontrer lors de la mise à jour de vos tables de routage, consultez [Update your route tables for a VPC peering connection](https://docs.aws.amazon.com//vpc/latest/peering/vpc-peering-routing.html).
**Pour mettre à jour le groupe de sécurité de votre fonction Lambda**
1. Ouvrez la [https://console.aws.amazon.com/vpc/](https://console.aws.amazon.com/vpc/).
1. Dans le panneau de navigation, choisissez **Groupes de sécurité**.
1. Choisissez **Actions**.
1. Choisissez **Modifier les règles entrantes**.
1. Choisissez **Ajouter une règle**.
1. Pour **Source**, entrez l'ID de compte et l'ID de groupe de sécurité de votre ressource, séparés par une barre oblique (par exemple, 111122223333/sg -1a2b3c4d).
1. Sélectionnez **Enregistrer les règles**.
**Pour activer la résolution DNS pour votre connexion d’appairage**
1. Ouvrez la [https://console.aws.amazon.com/vpc/](https://console.aws.amazon.com/vpc/).
1. Dans le volet de navigation, choisissez **Peering connections** (Connexions d'appairage).
1. Sélectionnez votre connexion d’appairage.
1. Choisissez **Actions**.
1. Choisissez **Modifier les paramètres DNS**.
1. Sous **Résolution DNS du demandeur**, sélectionnez **Autoriser le VPC accepteur à convertir le DNS des hôtes VPC demandeur** en IP privée.
1. Sélectionnez **Enregistrer les modifications**.
## Test de votre fonction
**Pour créer un événement de test et inspecter la sortie de votre fonction**
1. Dans le volet **Source du code**, choisissez **Test**.
1. Sélectionnez **Créer un événement**.
1. Dans le panneau **JSON d’événement**, remplacez les valeurs par défaut par une entrée adaptée à votre fonction Lambda.
1. Sélectionnez **Invoquer **.
1. Dans l’onglet **Résultats de l’exécution**, vérifiez que **Response** contient le résultat attendu.
En outre, vous pouvez consulter les journaux de votre fonction pour vérifier qu’ils correspondent à vos attentes.
**Pour consulter les enregistrements d'invocation de votre fonction dans Logs CloudWatch**
1. Choisissez l’onglet **Surveiller**.
1. Choisissez **Afficher CloudWatch les journaux**.
1. Dans l'onglet **Flux de journaux**, choisissez le flux de journaux pour l'invocation de votre fonction.
1. Vérifiez que vos journaux sont conformes à vos attentes.