AWS 如何使用私有 DNS 端点从 Lamda 函数 Nodejs 调用 SSM 参数存储

如何解决AWS 如何使用私有 DNS 端点从 Lamda 函数 Nodejs 调用 SSM 参数存储

您好，要求凭证需要存储在 SSM 参数存储中，并且将由位于 VPC 内的 Lambda 函数读取，并且我的 VPC 内的所有子网都是公共子网。 因此，当我使用以下代码调用 SSM 参数存储时，出现超时错误。

const AWS = require('aws-sdk');

AWS.config.update({
  region: 'us-east-1'
})

const parameterStore = new AWS.SSM();

exports.handler = async (event,context,callback) => {
    console.log('calling param store'); 
    const param = await getParam('/my/param/name')
    console.log('param : ',param);

    
    //Send API Response
    return {
        statusCode: '200',body: JSON.stringify('able to connect to param store'),headers: {
            'Content-Type': 'application/json',},};
};


const getParam = param => {
  return new Promise((res,rej) => {
    parameterStore.getParameter({
      Name: param
    },(err,data) => {
        if (err) {
          return rej(err)
        }
        return res(data)
    })
  })
}

所以我为 Secrets Manager 创建了 vpc 端点，它启用了私有 DNS 名称。

上述代码仍然出现超时错误。

我是否需要更改 Lambda 代码以在 Lambda 函数中指定私有 DNS 端点

下图包含子网 NACL 的出站规则

下图包含安全组的出站规则

解决方法

我设法解决了这个问题。此问题的根本原因是所有子网都是公有子网。由于 VPC 端点是在没有互联网的情况下私​​下访问的，因此与 Lambda 函数关联的子网应该是私有子网。

以下是我为解决此问题而采取的以下步骤

1. 在侧 VPC 中创建了一个 NAT 网关并为其分配了一个弹性 IP
2. 创建新的路由表并将所有流量指向步骤 1 中创建的 NAT 网关
3. 将新路由表附加到几个子网（使它们成为私有）
4. 然后仅将私有子网附加到 Lambda 函数

除此与 Lambda 函数关联的 IAM 角色外，还应具有以下 2 个策略来访问 SSM 参数存储

• AmazonSSMReadOnlyAccess
• AWSLambdaVPCAccessExecutionRole