為 Lambda 設定 Amazon MSK 叢集和 Amazon VPC 網路

若要將 AWS Lambda 函數連線至 Amazon MSK 叢集，您需要正確設定叢集及其所在的 Amazon Virtual Private Cloud (VPC)。此頁面說明如何設定您的叢集和 VPC。如果您的叢集和 VPC 已正確設定，請參閱 設定 Lambda 的 Amazon MSK 事件來源 來設定事件來源映射。

Lambda 和 MSK 整合的網路組態需求概觀

Lambda 和 MSK 整合所需的聯網組態取決於您應用程式的網路架構。此整合涉及三個主要資源：Amazon MSK 叢集、Lambda 函數和 Lambda 事件來源映射。這些資源都位於不同的 VPC 中：

事件來源映射是 MSK 叢集和 Lambda 函數之間的媒介資源。事件來源映射有兩個主要任務。首先，它會輪詢 MSK 叢集以取得新訊息。然後，它會使用這些訊息調用 Lambda 函數。由於這三個資源位於不同的 VPCs 中，因此輪詢和調用操作都需要跨 VPC 網路呼叫。

事件來源映射的網路組態需求取決於其是否使用佈建模式或隨需模式，如下圖所示：

Lambda 事件來源映射輪詢 MSK 叢集以取得新訊息的方式在這兩種模式中都相同。為了在您的事件來源映射和 MSK 叢集之間建立連線，Lambda 會在您的私有子網路中建立超平面 ENI （或重複使用現有的 ENI，如果有的話），以建立安全連線。如圖所示，此超平面 ENI 會使用 MSK 叢集的子網路和安全群組組態，而不是 Lambda 函數。

從叢集輪詢訊息後，Lambda 叫用函數的方式在每個模式中都不同：

NAT 閘道允許私有子網路中的資源存取公有網際網路。使用此組態表示您的流量在叫用 Lambda 函數之前周遊網際網路。 AWS PrivateLink 端點可讓私有子網路安全地連線至 AWS 服務或其他私有 VPC 資源，而不會周遊公有網際網路。如需如何設定這些資源的詳細資訊設定 MSK 事件來源的 AWS PrivateLink 端點，請參閱 設定 MSK 事件來源的 NAT 閘道或 。

到目前為止，我們假設您的 MSK 叢集位於 VPC 內的私有子網路中，這是更常見的情況。不過，即使您的 MSK 叢集位於 VPC 內的公有子網路中，您仍必須設定 AWS PrivateLink 端點以啟用安全連線。下表根據您設定 MSK 叢集和 Lambda 事件來源映射的方式，摘要說明聯網組態需求：

此外，與您的 MSK 叢集相關聯的安全群組必須允許透過正確連接埠的流量。請確定您已設定下列安全群組規則：

設定 MSK 事件來源的 NAT 閘道

您可以設定 NAT 閘道，以允許事件來源映射從您的叢集輪詢訊息，並透過 VPC 透過路徑叫用函數。只有當您的事件來源映射使用隨需模式，且您的叢集位於 VPC 的私有子網路內時，才需要此操作。如果您的叢集位於 VPC 的公有子網路中，或您的事件來源映射使用佈建模式，則不需要設定 NAT 閘道。

NAT 閘道允許私有子網路中的資源存取公有網際網路。如果您需要 Lambda 的私有連線，請設定 MSK 事件來源的 AWS PrivateLink 端點改為參閱 。

設定 NAT 閘道之後，您必須設定適當的路由表。這可讓來自私有子網路的流量透過 NAT 閘道路由至公有網際網路。

下列步驟會引導您使用 主控台設定 NAT 閘道。視需要為每個可用區域 (AZ) 重複這些步驟。

設定 MSK 事件來源的 AWS PrivateLink 端點

您可以將 AWS PrivateLink 端點設定為從叢集輪詢訊息，並透過 VPC 透過路徑叫用函數。這些端點應允許 MSK 叢集存取下列項目：

只有在事件來源映射使用隨需模式時，才需要設定 PrivateLink 端點。如果您的事件來源映射使用佈建模式，Lambda 會為您建立必要的連線。

PrivateLink 端點允許安全的私有存取 AWS 服務 AWS PrivateLink。或者，若要設定 NAT 閘道以讓您的 MSK 叢集存取公有網際網路，請參閱 設定 MSK 事件來源的 NAT 閘道。

設定 VPC 端點之後，MSK 叢集應該可以直接和私有存取 Lambda、STS 和選用的 Secrets Manager。

下列步驟會引導您使用 主控台設定 PrivateLink 端點。視需要為每個端點 (Lambda、STS、Secrets Manager) 重複這些步驟。

根據預設，Amazon VPC 端點具有開放的 IAM 政策，允許廣泛存取資源。最佳實務是限制這些政策，以使用該端點執行所需的動作。例如，針對 Secrets Manager 端點，您可以修改其政策，使其僅允許函數的執行角色存取秘密。

{
    "Statement": [
        {
            "Action": "secretsmanager:GetSecretValue",
            "Effect": "Allow",
            "Principal": {
                "AWS": [
                    "arn:aws::iam::123456789012:role/my-role"
                ]
            },
            "Resource": "arn:aws::secretsmanager:us-west-2:123456789012:secret:my-secret"
        }
    ]
}

對於 AWS STS 和 Lambda 端點，您可以將呼叫委託人限制為 Lambda 服務委託人。不過，請確定您在這些政策"Resource": "*"中使用 。

{
    "Statement": [
        {
            "Action": "sts:AssumeRole",
            "Effect": "Allow",
            "Principal": {
                "Service": [
                    "lambda.amazonaws.com"
                ]
            },
            "Resource": "*"
        }
    ]
} 

{
    "Statement": [
        {
            "Action": "lambda:InvokeFunction",
            "Effect": "Allow",
            "Principal": {
                "Service": [
                    "lambda.amazonaws.com"
                ]
            },
            "Resource": "*"
        }
    ]
}