Mengkonfigurasi sumber acara Amazon MQ untuk Lambda

Konfigurasikan keamanan jaringan

Untuk memberikan Lambda akses penuh ke Amazon MQ melalui pemetaan sumber acara Anda, broker Anda harus menggunakan titik akhir publik (alamat IP publik), atau Anda harus memberikan akses ke Amazon VPC tempat Anda membuat broker.

Saat Anda menggunakan Amazon MQ dengan Lambda, buat titik akhir AWS PrivateLink VPC yang menyediakan akses fungsi Anda ke sumber daya di Amazon VPC Anda.

Buat titik akhir untuk menyediakan akses ke sumber daya berikut:

Atau, konfigurasikan gateway NAT pada setiap subnet publik di Amazon VPC. Untuk informasi selengkapnya, lihat Aktifkan akses internet untuk fungsi VPC-connected Lambda.

Saat Anda membuat pemetaan sumber peristiwa untuk Amazon MQ, Lambda memeriksa apakah Elastic Network Interfaces (ENI) sudah ada untuk subnet dan grup keamanan yang dikonfigurasi untuk Amazon VPC Anda. Jika Lambda menemukan ENI yang ada, ia mencoba untuk menggunakannya kembali. Jika tidak, Lambda membuat ENI baru untuk terhubung ke sumber peristiwa dan memanggil fungsi Anda.

Konfigurasikan grup keamanan untuk Amazon VPC yang berisi broker Anda. Secara default, Amazon MQ menggunakan port berikut: 61617 (Amazon MQ untuk ActiveMQ), dan 5671 (Amazon MQ untuk RabbitMQ).

Jika broker Anda menggunakan otentikasi, Anda juga dapat membatasi kebijakan titik akhir untuk titik akhir Manajer Rahasia. Untuk memanggil API Manajer Rahasia, Lambda menggunakan peran fungsi Anda, bukan prinsipal layanan Lambda.

{
      "Statement": [
          {
              "Action": "secretsmanager:GetSecretValue",
              "Effect": "Allow",
              "Principal": {
                  "AWS": [
                      "arn:aws::iam::123456789012:role/my-role"
                  ]
              },
              "Resource": "arn:aws::secretsmanager:us-west-2:123456789012:secret:my-secret"
          }
      ]
  }

Saat Anda menggunakan titik akhir Amazon VPC, AWS rute panggilan API Anda untuk memanggil fungsi Anda menggunakan Antarmuka Jaringan Elastis (ENI) titik akhir. Prinsip layanan Lambda perlu memanggil lambda:InvokeFunction peran dan fungsi apa pun yang menggunakan ENI tersebut.

Secara default, titik akhir Amazon VPC memiliki kebijakan IAM terbuka yang memungkinkan akses luas ke sumber daya. Praktik terbaik adalah membatasi kebijakan ini untuk melakukan tindakan yang diperlukan menggunakan titik akhir tersebut. Untuk memastikan bahwa pemetaan sumber peristiwa Anda dapat memanggil fungsi Lambda Anda, kebijakan titik akhir VPC harus mengizinkan prinsipal layanan Lambda untuk memanggil dan. sts:AssumeRole lambda:InvokeFunction Membatasi kebijakan titik akhir VPC Anda untuk mengizinkan hanya panggilan API yang berasal dari organisasi Anda mencegah pemetaan sumber peristiwa berfungsi dengan baik, sehingga "Resource": "*" diperlukan dalam kebijakan ini.

Contoh kebijakan titik akhir VPC berikut menunjukkan cara memberikan akses yang diperlukan ke prinsipal layanan Lambda untuk titik akhir AWS STS dan Lambda.

{
      "Statement": [
          {
              "Action": "sts:AssumeRole",
              "Effect": "Allow",
              "Principal": {
                  "Service": [
                      "lambda.amazonaws.com"
                  ]
              },
              "Resource": "*"
          }
      ]
    }

{
      "Statement": [
          {
              "Action": "lambda:InvokeFunction",
              "Effect": "Allow",
              "Principal": {
                  "Service": [
                      "lambda.amazonaws.com"
                  ]
              },
              "Resource": "*"
          }
      ]
  }

Buat pemetaan sumber acara

Buat pemetaan sumber kejadian untuk memberi tahu Lambda agar mengirim rekaman dari broker Amazon MQ ke fungsi Lambda. Anda dapat membuat beberapa pemetaan sumber kejadian untuk memproses data yang sama dengan beberapa fungsi, atau untuk memproses item dari beberapa sumber dengan satu fungsi.

Untuk mengonfigurasi fungsi Anda untuk membaca dari Amazon MQ, tambahkan izin yang diperlukan dan buat pem icu MQ di konsol Lambda.

Untuk membaca catatan dari broker Amazon MQ, fungsi Lambda Anda memerlukan izin berikut. Anda memberikan izin Lambda untuk berinteraksi dengan broker Amazon MQ Anda dan sumber daya yang mendasarinya dengan menambahkan pernyataan izin ke peran eksekusi fungsi Anda: Mendefinisikan izin fungsi Lambda dengan peran pelaksanaan

Lambda mendukung opsi berikut untuk sumber kejadian Amazon MQ:

Untuk mengaktifkan atau menonaktifkan pemicu (atau menghapusnya) pilih pemicu MQ di desainer. Untuk mengonfigurasi ulang pemicu, gunakan operasi API pemetaan sumber kejadian.