Доступ AWS S3 от Lambda внутри VPC

Question

В целом, я довольно смущен использованием AWS Lambda в VPC. Проблема заключается в том, что Lambda отключается, пытаясь получить доступ к ведро S3. Решение, похоже, является конечной точкой VPC.

Я добавил функцию Lambda в VPC, чтобы он мог получить доступ к базе данных RDS, которая не показана в коде ниже, но функциональна. Однако теперь я не могу получить доступ к S3 и любой попытке сделать так много времени.

Я попытался создать конечную точку VPC S3, но ничего не изменилось.

VPC Конфигурация

Я использую простой VPC созданный по умолчанию всякий раз, когда я первый сделал экземпляр EC2. Он имеет четыре подсети, все созданные по умолчанию.

VPC маршрута Таблица

_Destination - Target - Status - Propagated_ 

172.31.0.0/16 - local - Active - No 

pl-63a5400a (com.amazonaws.us-east-1.s3) - vpce-b44c8bdd - Active - No 

0.0.0.0/0 - igw-325e6a56 - Active - No 

Simple S3 Скачать Lambda:

import boto3 
import pymysql 
from StringIO import StringIO 

def lambda_handler(event, context): 
    s3Obj = StringIO() 

    return boto3.resource('s3').Bucket('marineharvester').download_fileobj('Holding - Midsummer/sample', s3Obj) 

Answer 1

Причиной моего вопроса была не правильной конфигурации Outbound Rules моей группы безопасности. В частности, мне нужно было добавить правило исходящего исходящего трафика с назначением pl-XXXXXXXX (услуга S3. Фактическое значение было предоставлено консолью AWS).

Answer 2

С помощью boto3 URL-адреса S3: виртуальный по умолчанию, который затем требует доступа к Интернету для решения определенных URL-адресов региона. Это вызывает зависание функции лямбда до истечения времени ожидания.

Для решения этой проблемы требует использования Config объекта при создании клиента, который говорит boto3 создать тракту на основе URLs S3 вместо:

import boto3 import botocore.config 

client = boto3.client('s3', 'ap-southeast-2, config=botocore.config.Config(s3={'addressing_style':'path'})) 

Обратите внимание, что область в вызове должна быть область который вы развертываете лямбда и конечная точка VPC.

Тогда вы сможете использовать префикс pl-xxxxxx для конечной точки VPC в группе безопасности Lambda и по-прежнему обращаться к S3.

Работает CloudFormation script, что демонстрирует это. Он создает ведро S3, лямбда (которое помещает записи в ведро), связанное с VPC, содержащим только частные подсети и конечную точку VPC, и необходимые роли IAM.