CDK 中的 SQS 接口端点
SQS Interface Endpoint in CDK
使用 AWS-CDK。我不得不将写入 SQS 的 Lambda 移动到 VPC 内。我添加了接口网关以允许从 VPC 直接连接到 SQS:
props.vpc.addInterfaceEndpoint('sqs-gateway', {
service: InterfaceVpcEndpointAwsService.SQS,
subnets: {
subnetType: SubnetType.PRIVATE,
},
})
Lambda 被部署到同一个 VPC(默认情况下到同一个私有子网)并且我将 QUEUE_URL 作为 env 参数传递,就像我在没有 VPC 的情况下所做的那样:
const ingestLambda = new lambda.Function(this, 'TTPIngestFunction', {
...
environment: {
QUEUE_URL: queue.queueUrl,
},
vpc: props.vpc,
})
并且 Lambda 代码仅通过以下方式发送消息:
const sqs = new AWS.SQS({ region: process.env.AWS_REGION })
return sqs
.sendMessageBatch({
QueueUrl: process.env.QUEUE_URL as string,
Entries: entries,
})
.promise()
在没有 VPC 的情况下,此发送有效,但现在 Lambda 只是超时以发送 SQS 消息。我在这里错过了什么?
默认情况下,接口 VPC 端点会创建一个新的安全组并且流量不是
从 VPC CIDR 自动允许。
如果您想允许来自您的 Lambda 的流量,您可以执行以下操作:
const sqsEndpoint = props.vpc.addInterfaceEndpoint('sqs-gateway', {
service: InterfaceVpcEndpointAwsService.SQS,
});
sqsEndpoint.connections.allowDefaultPortFrom(ingestLambda);
或者,您可以允许所有流量:
sqsEndpoint.connections.allowDefaultPortFromAnyIpv4();
此默认行为目前正在 https://github.com/aws/aws-cdk/pull/4938 中讨论。
使用 AWS-CDK。我不得不将写入 SQS 的 Lambda 移动到 VPC 内。我添加了接口网关以允许从 VPC 直接连接到 SQS:
props.vpc.addInterfaceEndpoint('sqs-gateway', {
service: InterfaceVpcEndpointAwsService.SQS,
subnets: {
subnetType: SubnetType.PRIVATE,
},
})
Lambda 被部署到同一个 VPC(默认情况下到同一个私有子网)并且我将 QUEUE_URL 作为 env 参数传递,就像我在没有 VPC 的情况下所做的那样:
const ingestLambda = new lambda.Function(this, 'TTPIngestFunction', {
...
environment: {
QUEUE_URL: queue.queueUrl,
},
vpc: props.vpc,
})
并且 Lambda 代码仅通过以下方式发送消息:
const sqs = new AWS.SQS({ region: process.env.AWS_REGION })
return sqs
.sendMessageBatch({
QueueUrl: process.env.QUEUE_URL as string,
Entries: entries,
})
.promise()
在没有 VPC 的情况下,此发送有效,但现在 Lambda 只是超时以发送 SQS 消息。我在这里错过了什么?
默认情况下,接口 VPC 端点会创建一个新的安全组并且流量不是 从 VPC CIDR 自动允许。
如果您想允许来自您的 Lambda 的流量,您可以执行以下操作:
const sqsEndpoint = props.vpc.addInterfaceEndpoint('sqs-gateway', {
service: InterfaceVpcEndpointAwsService.SQS,
});
sqsEndpoint.connections.allowDefaultPortFrom(ingestLambda);
或者,您可以允许所有流量:
sqsEndpoint.connections.allowDefaultPortFromAnyIpv4();
此默认行为目前正在 https://github.com/aws/aws-cdk/pull/4938 中讨论。