Les traductions sont fournies par des outils de traduction automatique. En cas de conflit entre le contenu d'une traduction et celui de la version originale en anglais, la version anglaise prévaudra.

Mise en réseau

Vous configurez l'accès réseau pour vos AWS Lambda microVM en associant les ressources du connecteur réseau à votre microVM au moment de l'exécution. Les connecteurs réseau sont spécifiés lorsque vous appelez run-microvm et ne peuvent pas être modifiés lorsqu'une microVM est en cours d'exécution.

Vue d’ensemble

Chaque microVM peut avoir des configurations réseau d'entrée (entrante) et de sortie (sortante) indépendantes :

Un seul connecteur peut être réutilisé sur de nombreuses microVM. C'est le modèle d'utilisation prévu.

Connectivité entrante

Chaque microVM Lambda est accessible via une URL de point de terminaison HTTPS unique, attribuée lorsque vous appelez. run-microvm Les clients envoient des demandes à ce point de terminaison via HTTPS. Lambda achemine chaque demande vers un port de votre microVM, où votre application la reçoit.

Par défaut, les demandes reçues sur le point de terminaison sont acheminées vers le port 8080 à l'intérieur de la microVM. Pour effectuer un routage vers un autre port, voirRoutage des ports.

Les protocoles suivants sont pris en charge sur le point de terminaison entrant :

Routage des ports

Lambda sélectionne le port cible dans votre microVM selon l'ordre de priorité suivant :

Authentification

Toutes les demandes adressées à un point de terminaison microVM nécessitent un jeton d'authentification valide dans l'X-aws-proxy-authen-tête. Vous générez des jetons en utilisantcreate-microvm-auth-token. Chaque jeton est une chaîne JWE (JSON Web Encryption) cryptée dont la portée est la suivante :

L'exemple suivant crée un jeton et l'utilise pour envoyer une demande authentifiée :

aws lambda-microvms create-microvm-auth-token \
  --microvm-identifier microvm-id \
  --expiration-in-minutes 30 \
  --allowed-ports '[{"port":8080}]'

curl 'https://microvm-endpoint' \
  -H 'X-aws-proxy-auth: TOKEN' \
  -H 'X-aws-proxy-port: 8080'

Pour une présentation complète de la création de jetons et de la connexion à une microVM, y compris WebSocket les connexions, voir. Connexion à une microVM

Réponses d’erreur

Les codes d'état HTTP suivants sont renvoyés par le point de terminaison microVM lorsqu'il ne peut pas traiter ou envoyer une demande à votre application. Ces réponses proviennent du point de terminaison, et non de votre application.

En-têtes de demandes

L'espace de noms X-aws-proxy-* d'en-tête est réservé par Lambda aux métadonnées de demande, telles que le jeton d'authentification X-aws-proxy-auth () et le port X-aws-proxy-port cible (). Lambda supprime les X-aws-proxy-* en-têtes avant de transmettre la demande à votre application.

Request/response bande passante

Chaque microVM Lambda dispose d'une request/response bande passante qui s'adapte linéairement à sa taille. Cette bande passante s'applique à tout le trafic passant par le point de terminaison MicroVM, à la fois aux demandes entrantes et aux réponses sortantes.

Si la latence des demandes augmente en raison de la saturation du réseau, réduisez la simultanéité de vos demandes ou la taille de la charge utile, ou sélectionnez une taille de microVM plus grande pour augmenter la bande passante disponible.

HTTP/2 soutien

Lambda MicroVMS prend en charge HTTP/2 le point de terminaison entrant. Lambda négocie le protocole via ALPN (Application-Layer Protocol Negotiation) lors de la poignée de main TLS, en privilégiant et en revenant à. HTTP/2 HTTP/1.1 Un HTTP/2-capable client l'utilise automatiquement.

À utiliser HTTP/2 entre le point de terminaison et votre application dans le microVM :

Connectivité sortante

Par défaut, les microVM Lambda disposent d'un accès Internet public sur le chemin de sortie. Pour connecter des microVM aux ressources de vos VPC privés, telles que le RDS ElastiCache, les API internes et les systèmes sur site via Direct Connect ou VPN, créez un connecteur réseau Lambda avec votre configuration VPC.

Lorsque vous utilisez la sortie VPC, le trafic sortant est soumis aux règles des groupes de sécurité et aux ACL du réseau qui régissent le trafic dans votre VPC.

Utilisation de connecteurs réseau de sortie

Les connecteurs réseau de sortie acheminent le trafic sortant de votre microVM via votre VPC. Vous créez un connecteur une fois, puis vous le référencez par ARN lors du démarrage de MicroVMS via la run-microvm commande.

Conditions préalables

Avant de créer un connecteur réseau, vous avez besoin d'un rôle IAM qui permet à Lambda de créer des interfaces réseau élastiques (ENI) dans votre VPC. Ce rôle requiert les autorisations suivantes :

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "CreateENI",
      "Effect": "Allow",
      "Action": "ec2:CreateNetworkInterface",
      "Resource": [
        "arn:aws:ec2:*:*:network-interface/*",
        "arn:aws:ec2:*:*:subnet/*",
        "arn:aws:ec2:*:*:security-group/*"
      ]
    },
    {
      "Sid": "TagENI",
      "Effect": "Allow",
      "Action": "ec2:CreateTags",
      "Resource": "arn:aws:ec2:*:*:network-interface/*",
      "Condition": {
        "StringEquals": {
          "ec2:ManagedResourceOperator": "network-connectors.lambda.amazonaws.com"
        }
      }
    }
  ]
}

Création d'un connecteur réseau

Créez un connecteur en spécifiant vos sous-réseaux VPC, vos groupes de sécurité et votre protocole réseau (IPv4ou) : DualStack

aws lambda-core create-network-connector \
  --name my-connector \
  --configuration '{
    "VpcEgressConfiguration": {
      "SubnetIds": ["subnet-xxx"],
      "SecurityGroupIds": ["sg-xxx"],
      "NetworkProtocol": "IPv4",
      "AssociatedComputeResourceTypes": ["MicroVm"]
    }
  }' \
  --operator-role arn:aws:iam::123456789012:role/NetworkConnectorOperatorRole

États du connecteur réseau

Un connecteur doit être en ACTIVE état pour que vous puissiez le référencerrun-microvm.

Gestion des versions des connecteurs réseau

Le versionnement s'applique aux connecteurs réseau de sortie VPC (type de connecteur). VPC_EGRESS Un connecteur de sortie VPC est versionné : chaque update-network-connector appel réussi crée une nouvelle version, et les versions antérieures restent disponibles.

Lorsque vous exécutez une microVM, vous référencez un connecteur de sortie VPC par ARN in. --egress-network-connectors Vous pouvez utiliser l'un ou l'autre des formulaires suivants :

Une microVM passe à une nouvelle version uniquement lorsque vous modifiez l'ARN auquel elle fait référence, afin que vous puissiez adopter de nouvelles versions selon votre propre calendrier.

Exemple run-microvm d'appel visant à épingler une version de connecteur spécifique :

aws lambda-microvms run-microvm \
  --image-identifier arn:aws:lambda:us-east-1:123456789012:microvm-image:my-microvm-image \
  --egress-network-connectors arn:aws:lambda:us-east-1:123456789012:network-connector:nc-id:version-number \
  --idle-policy '{"maxIdleDurationSeconds":900,"suspendedDurationSeconds":1800,"autoResumeEnabled":false}'

Exécution d'une microVM avec un connecteur réseau

Référencez l'ARN du connecteur lors de l'exécution d'une microVM :

aws lambda-microvms run-microvm \
  --image-identifier arn:aws:lambda:us-east-1:123456789012:microvm-image:my-microvm-image \
  --egress-network-connectors connector-arn \
  --idle-policy '{"maxIdleDurationSeconds":900,"suspendedDurationSeconds":1800,"autoResumeEnabled":false}'

Utilisation de microVM Lambda avec des points de terminaison VPC d'interface (AWS PrivateLink)

Vous pouvez utiliser AWS PrivateLink une connectivité privée sur le AWS réseau entre vos ressources VPC et les microVM Lambda, sans passer par l'Internet public. MicroVMS prend en charge deux points de terminaison VPC, en fonction de la destination du trafic souhaitée :

Point de terminaison VPC pour les API de gestion de microVM

Lambda MicroVMS partage le même service de point de terminaison VPC que Lambda (). com.amazonaws.region.lambda Pour obtenir des instructions complètes, consultez Création d'un point de terminaison d'interface pour Lambda.

Politique de point de terminaison pour les API de gestion des micromachines virtuelles

Pour contrôler qui peut utiliser le point de terminaison de votre interface et quelles actions d'API Lambda microVMS ils peuvent effectuer, associez une politique de point de terminaison. La politique indique le principal habilité à effectuer des actions, les actions qu'il peut effectuer et les ressources sur lesquelles il peut agir. Les actions Lambda MicroVMS utilisent le préfixe d'action IAM. lambda:

Pour plus d’informations, consultez Contrôle de l’accès aux services avec points de terminaison d’un VPC dans le Guide de l’utilisateur Amazon VPC.

L'exemple de politique suivant permet MyUser à l'utilisateur de répertorier et d'obtenir des images microVM via le point de terminaison :

{
  "Statement": [
    {
      "Principal": {
        "AWS": "arn:aws:iam::111122223333:user/MyUser"
      },
      "Effect": "Allow",
      "Action": [
        "lambda:ListMicrovmImages",
        "lambda:GetMicrovmImage"
      ],
      "Resource": "*"
    }
  ]
}

Point de terminaison VPC pour la connectivité microVM

Pour que le trafic HTTPS vers vos microVM en cours d'exécution reste privé, créez un point de terminaison d'interface pour le com.amazonaws.region.lambda-microvm service. Ce point de terminaison gère les connexions aux URL des points de terminaison microVM (par exemple,abc123def456.lambda-microvm.us-east-1.on.aws).

Pour en savoir plus sur les propriétés des points de terminaison d'interface, consultez le guide des points de terminaison d'interface dans la documentation Amazon VPC.

Création du point de terminaison

Pour créer un point de terminaison d'interface pour la connectivité microVM (console)

Pour utiliser l'option DNS privé, vous devez définir les enableDnsSupport attributs enableDnsHostnames et de votre VPC. Pour plus d'informations, consultez Affichage et mise à jour de la prise en charge de DNS pour votre VPC dans le Guide de l'utilisateur Amazon VPC.

Pour créer un point de terminaison d'interface pour la connectivité microVM (AWS CLI)

aws ec2 create-vpc-endpoint \
  --vpc-id vpc-ec43eb89 \
  --vpc-endpoint-type Interface \
  --service-name com.amazonaws.us-east-1.lambda-microvm \
  --subnet-id subnet-abababab \
  --security-group-id sg-1a2b3c4d \
  --private-dns-enabled

Pour vérifier que le point de terminaison est disponible et que le DNS privé est activé :

aws ec2 describe-vpc-endpoints \
  --vpc-endpoint-ids vpce-1a2b3c4d5e6f7g8h9 \
  --query 'VpcEndpoints[0].{State:State,PrivateDns:PrivateDnsEnabled,Dns:DnsEntries[*].DnsName}'

Comportement du DNS privé

Lorsque le DNS privé est activé : le point de terminaison gère la résolution DNS pour *.lambda-microvm.region.on.aws l'intérieur de votre VPC. Les noms d'hôte de vos points de terminaison MicroVM existants (par exemple,abc123def456.lambda-microvm.us-east-1.on.aws) sont les adresses IP privées des interfaces réseau des points de terminaison. Aucun changement de client n'est requis.

Lorsque le DNS privé est désactivé, Amazon VPC génère un nom DNS spécifique au point de terminaison pour votre point de terminaison dans le formulaire. vpce-id-hash.lambda-microvm.region.vpce.amazonaws.com Pour acheminer le trafic via ce point de terminaison tout en atteignant le microVM approprié, vous devez conserver le nom d'hôte microVM d'origine à deux endroits :

Si l'une des valeurs est définie sur le nom d'hôte du point de terminaison VPC au lieu du nom d'hôte de la microVM, la connexion ne peut pas être routée vers la microVM appropriée.

Exemple : Connexion via un nom DNS spécifique au point de terminaison

L'exemple suivant utilise curl avec l'--connect-toindicateur pour rediriger la connexion TCP vers votre point de terminaison VPC tout en conservant le nom d'hôte microVM dans l'URL, le SNI et l'en-tête Host :

ENDPOINT_HOST=abc123def456.lambda-microvm.us-east-1.on.aws
VPCE_HOST=vpce-0a1b2c3d4e5f67890-a1b2c3d4.lambda-microvm.us-east-1.vpce.amazonaws.com

curl --connect-to "$ENDPOINT_HOST:443:$VPCE_HOST:443" \
  -H "x-aws-proxy-auth: $MICROVM_AUTH_TOKEN" \
  -H "x-aws-proxy-port: 8080" \
  "https://$ENDPOINT_HOST/"

L'--connect-toindicateur indique à curl d'ouvrir la connexion TCP à l'adresse du point de terminaison VPC, tandis que l'URL, le TLS SNI et l'en-tête Host restent définis sur le nom d'hôte de votre microVM.

Pour plus d’informations, consultez Accès à un service via un point de terminaison d’interface dans le Guide de l’utilisateur Amazon VPC.

Politique de point de terminaison pour la connectivité des micromachines virtuelles

Vous pouvez associer une politique de point de terminaison pour contrôler les microVM accessibles via le point de terminaison VPC. lambda-microvm Une politique de point de terminaison sur le lambda-microvm service vous permet de définir les connexions à des comptes ou à des organisations spécifiques. Par défaut, le point de terminaison autorise les connexions aux microVM depuis n'importe quel AWS compte. (Remarque : le client établissant la connexion doit toujours détenir un jeton d'authentification MicroVM valide pour pouvoir y accéder).

Par défaut, un point de terminaison VPC dispose d'une politique d'accès complet qui autorise tout le trafic. Lorsque vous remplacez la politique par défaut par une politique personnalisée, Lambda microVMS évalue cette politique par rapport à l'lambda:ConnectMicrovmaction sur chaque connexion établie via le point de terminaison. Si la politique n'autorise pas la connexion aux microVM, la connexion est rejetée avec une réponse HTTP 403 Forbidden. Une politique qui n'accorde pas d'autorisation lambda:ConnectMicrovm refuse toutes les connexions via le point de terminaison.

Principal et ressource

Les connexions à un point de terminaison microVM sont authentifiées à l'aide d'un jeton d'authentification microVM plutôt que AWS de Signature version 4. Pour cette raison, aucun principal IAM n'est associé à la connexion. Lambda MicroVMS évalue plutôt la politique du point de terminaison avec un principal anonyme. Autrement dit :

Clés de condition prises en charge

Exemple : autoriser les connexions uniquement aux microVM dans votre propre compte

La politique de point de terminaison suivante autorise les connexions via le point de terminaison uniquement aux microVM détenues par le compte 111122223333. Les connexions aux microVM appartenant à un autre compte sont refusées.

{
  "Statement": [
    {
      "Principal": "*",
      "Effect": "Allow",
      "Action": "lambda:ConnectMicrovm",
      "Resource": "*",
      "Condition": {
        "StringEquals": {
          "aws:ResourceAccount": "111122223333"
        }
      }
    }
  ]
}