Verarbeiten Amazon MQ MQ-Nachrichten mit Lambda

Netzwerkzugriff konfigurieren

Um Lambda über Ihre Ereignisquellenzuordnung vollen Zugriff auf Ihren Broker zu gewähren, muss Ihr Broker entweder einen öffentlichen Endpunkt (öffentliche IP-Adresse) verwenden oder Sie müssen Zugriff auf das Amazon gewähren, in dem VPC Sie den Broker erstellt haben.

Bei der Erstellung eines Amazon-MQ-Brokers wird das Flag PubliclyAccessible standardmäßig auf „false“ festgelegt. Damit Ihr Broker eine öffentliche IP-Adresse erhält, muss das Flag PubliclyAccessible auf „true“ festgelegt werden.

Eine bewährte Methode für die Verwendung von Amazon MQ mit Lambda besteht darin, AWS PrivateLink VPCEndpunkte zu verwenden und Ihrer Lambda-Funktion Zugriff auf die Ihres Brokers zu gewähren. VPC Stellen Sie einen Endpunkt für Lambda und, nur für ActiveMQ, einen Endpunkt für AWS Security Token Service () bereit.AWS STS Wenn Ihr Broker Authentifizierung verwendet, stellen Sie auch einen Endpunkt für bereit. AWS Secrets Manager Weitere Informationen hierzu finden Sie unter VPCAmazon-Endpunkte einrichten.

Alternativ können Sie in jedem öffentlichen Subnetz, das Ihren Amazon VPC MQ-Broker enthält, ein NAT Gateway konfigurieren. Weitere Informationen finden Sie unter Aktivieren Sie den Internetzugang für VPC verbundene Lambda-Funktionen.

Wenn Sie eine Ereignisquellenzuordnung für einen Amazon MQ-Broker erstellen, prüft Lambda, ob Elastic Network Interfaces (ENIs) bereits für die Subnetze und Sicherheitsgruppen Ihres Brokers vorhanden sind. VPC Wenn Lambda feststellt, dass sie vorhanden ENIs sind, versucht es, sie wiederzuverwenden. Andernfalls erstellt Lambda neue, ENIs um eine Verbindung zur Ereignisquelle herzustellen und Ihre Funktion aufzurufen.

Konfigurieren Sie Sicherheitsgruppenregeln

Konfigurieren Sie die Sicherheitsgruppen für das Amazon, das Ihren Amazon MQ VPC enthält.

VPCAmazon-Endpunkte einrichten

Wenn Sie VPC Amazon-Endpunkte verwenden, AWS leitet Ihre API Aufrufe über das Elastic Network Interface () ENI des Endpunkts zum Aufrufen einer Funktion weiter. Der Lambda-Serviceprinzipal muss alle Funktionen aufrufenlambda:InvokeFunction, die diese ENIs verwenden. Darüber hinaus muss der Lambda-Serviceprinzipal für Amazon MQ for ActiveMQ Rollen ausführen, die sts:AssumeRole den verwenden. ENIs

Standardmäßig verfügen VPC Amazon-Endgeräte über offene IAM Richtlinien, die einen breiten Zugriff auf Ressourcen ermöglichen. Um Amazon MQ mit Lambda in der Produktion zu verwenden, können Sie diese Richtlinien so einschränken, dass nur bestimmte Prinzipale nur auf bestimmte Rollen und Funktionen zugreifen können.

Die folgenden VPC Beispiel-Endpunktrichtlinien zeigen, wie der erforderliche Zugriff für AWS STS und Lambda-Endpunkte gewährt wird.

{
      "Statement": [
          {
              "Action": "sts:AssumeRole",
              "Effect": "Allow",
              "Principal": {
                  "Service": [
                      "lambda.amazonaws.com"
                  ]
              },
              "Resource": "arn:aws::iam::123456789012:role/my-role"
          }
      ]
  }

{
      "Statement": [
          {
              "Action": "lambda:InvokeFunction",
              "Effect": "Allow",
              "Principal": {
                  "Service": [
                      "lambda.amazonaws.com"
                  ]
              },
              "Resource": "arn:aws::lambda:us-west-2:123456789012:function:my-function"
          }
      ]
  }

Wenn Ihr Amazon MQ-Broker Authentifizierung verwendet, können Sie auch die Endpunktrichtlinie für den Secrets Manager Manager-Endpunkt einschränken. Um den Secrets Manager aufzurufenAPI, verwendet Lambda Ihre Funktionsrolle, nicht den Lambda-Serviceprinzipal. Das folgende Beispiel zeigt eine Secrets Manager Manager-Endpunktrichtlinie.

{
      "Statement": [
          {
              "Action": "secretsmanager:GetSecretValue",
              "Effect": "Allow",
              "Principal": {
                  "AWS": [
                      "arn:aws::iam::123456789012:role/my-role"
                  ]
              },
              "Resource": "arn:aws::secretsmanager:us-west-2:123456789012:secret:my-secret"
          }
      ]
  }

Erstellen Sie die Zuordnung der Ereignisquellen

Erstellen Sie ein Ereignisquellen-Zuweisung, um Lambda anzuweisen, Datensätze aus einem Amazon-MQ-Broker an eine Lambda-Funktion zu senden. Sie können mehrere Ereignisquellen-Zuweisungen erstellen, um gleiche Daten mit mehreren Funktionen oder Elemente aus mehreren Streams mit nur einer Funktion zu verarbeiten.

Um Ihre Funktion für das Lesen aus Amazon MQ zu konfigurieren, fügen Sie die erforderlichen Berechtigungen hinzu und erstellen Sie einen MQ-Trigger in der Lambda-Konsole.

Um Datensätze von einem Amazon MQ-Broker zu lesen, benötigt Ihre Lambda-Funktion die folgenden Berechtigungen. Sie gewähren Lambda die Erlaubnis, mit Ihrem Amazon MQ-Broker und den zugrunde liegenden Ressourcen zu interagieren, indem Sie Ihrer Funktionsausführungsrolle Berechtigungsanweisungen hinzufügen:

Lambda unterstützt die folgenden Optionen für Amazon-MQ-Ereignisquellen.

Um den Auslöser zu aktivieren oder zu deaktivieren (oder zu löschen), wählen Sie den MQ-Auslöser im Designer aus. Verwenden Sie die Operationen zur Zuordnung API der Ereignisquellen, um den Trigger neu zu konfigurieren.