Activation de l’accès Internet pour les fonctions Lambda connectées à un VPC

Par défaut, les fonctions Lambda s’exécutent dans un VPC géré par Lambda disposant d’un accès à Internet. Pour accéder aux ressources d’un VPC dans votre compte, vous pouvez ajouter une configuration VPC à une fonction. Cela limite la fonction aux ressources de ce VPC, sauf si le VPC dispose d’un accès à Internet. Cette page explique comment fournir un accès Internet aux fonctions Lambda connectées au VPC.

Créer le VPC

Le flux de travail de création de VPC crée toutes les ressources VPC requises pour qu’une fonction Lambda accède à l’Internet public à partir d’un sous-réseau privé, y compris les sous-réseaux, la passerelle NAT, la passerelle Internet et les entrées de table de routage.

Pour créer le VPC

Ouvrez la console Amazon VPC à l’adresse https://console.aws.amazon.com/vpc/.
Sur le tableau de bord, choisissez Créer un VPC.
Sous Ressources à créer, choisissez VPC et plus encore.
Configurer le VPC
1. Pour Name tag auto-generation (Génération automatique de balises de nom), saisissez un nom pour le VPC.
2. Pour le bloc IPv4 CIDR, vous pouvez conserver la suggestion par défaut ou saisir le bloc CIDR requis par votre application ou votre réseau.
3. Si votre application communique à l'aide d' IPv6 adresses, choisissez le bloc IPv6CIDR, le bloc CIDR fourni par Amazon IPv6 .
Configurer les sous-réseaux
1. Pour Nombre de zones de disponibilité, choisissez 2. Nous en recommandons au moins deux AZs pour une haute disponibilité.
2. Pour Number of public subnets (Nombre de sous-réseaux publics), choisissez 2.
3. Pour Number of private subnets (Nombre de sous-réseaux privés), choisissez 2.
4. Vous pouvez conserver le bloc d'adresse CIDR par défaut pour le sous-réseau public ou développer Personnaliser les blocs d'adresse CIDR du sous-réseau et saisir un bloc d'adresse CIDR. Pour plus d’informations, consultez Subnet CIDR blocks.
Pour Passerelles NAT, choisissez 1 par zone de disponibilité afin d'améliorer la résilience.
Pour la passerelle Internet de sortie uniquement, choisissez Oui si vous avez choisi d'inclure un bloc IPv6 CIDR.
Pour Points de terminaison de VPC, conservez la valeur par défaut (Passerelle S3). Cette option n’entraîne pas de frais. Pour plus d’informations, consultez Types of VPC endpoints for Amazon S3.
Pour Options DNS, conservez les paramètres par défaut.
Sélectionnez Create VPC (Créer un VPC).

Configurer la fonction Lambda

Pour configurer un VPC lorsque vous créez une fonction

Ouvrez la page Functions (Fonctions) de la console Lambda.
Sélectionnez Create function (Créer une fonction).
Sous Informations de base, dans Nom de fonction, entrez un nom pour votre fonction.
Développez Advanced settings (Paramètres avancés).
Sélectionnez Activer le VPC, puis choisissez un VPC.
(Facultatif) Pour autoriser le IPv6 trafic sortant, sélectionnez Autoriser le IPv6 trafic pour les sous-réseaux à double pile.
Pour Sous-réseaux, sélectionnez tous les sous-réseaux privés. Les sous-réseaux privés peuvent accéder à Internet via une passerelle NAT. La connexion d’une fonction à un sous-réseau public ne lui donne pas accès à Internet.

Note
Si vous avez sélectionné Autoriser IPv6 le trafic pour les sous-réseaux à double pile, tous les sous-réseaux sélectionnés doivent comporter un bloc IPv4 CIDR et un bloc CIDR. IPv6
Pour les groupes de sécurité, sélectionnez un groupe de sécurité qui autorise le trafic sortant.
Sélectionnez Create function (Créer une fonction).

Lambda crée automatiquement un rôle d'exécution avec la politique AWSLambdaVPCAccessExecutionRole AWS gérée. Les autorisations de cette politique ne sont nécessaires que pour créer des interfaces réseau élastiques pour la configuration VPC, et non pour invoquer votre fonction. Pour appliquer les autorisations de moindre privilège, vous pouvez supprimer la AWSLambdaVPCAccessExecutionRolepolitique de votre rôle d'exécution après avoir créé la fonction et la configuration VPC. Pour de plus amples informations, veuillez consulter Autorisations IAM requises.

Pour configurer un VPC pour une fonction existante

Pour ajouter une configuration VPC à une fonction existante, le rôle d’exécution de la fonction doit être autorisé à créer et à gérer des interfaces réseau élastiques. La politique AWSLambdaVPCAccessExecutionRole AWS gérée inclut les autorisations requises. Pour appliquer les autorisations de moindre privilège, vous pouvez supprimer la AWSLambdaVPCAccessExecutionRolepolitique de votre rôle d'exécution après avoir créé la configuration VPC.

Ouvrez la page Functions (Fonctions) de la console Lambda.
Choisissez une fonction.
Choisissez l’onglet Configuration puis choisissez VPC.
Sous VPC, choisissez Modifier.
Sélectionnez le VPC.
(Facultatif) Pour autoriser le IPv6 trafic sortant, sélectionnez Autoriser le IPv6 trafic pour les sous-réseaux à double pile.
Pour Sous-réseaux, sélectionnez tous les sous-réseaux privés. Les sous-réseaux privés peuvent accéder à Internet via une passerelle NAT. La connexion d’une fonction à un sous-réseau public ne lui donne pas accès à Internet.

Note
Si vous avez sélectionné Autoriser IPv6 le trafic pour les sous-réseaux à double pile, tous les sous-réseaux sélectionnés doivent comporter un bloc IPv4 CIDR et un bloc CIDR. IPv6
Pour les groupes de sécurité, sélectionnez un groupe de sécurité qui autorise le trafic sortant.
Choisissez Save (Enregistrer).

Tester la fonction

Utilisez l’exemple de code suivant pour vérifier que votre fonction connectée au VPC peut accéder à l’Internet public. En cas de succès, le code renvoie un code d’état 200. En cas d’échec, la fonction expire.

Node.js

Dans le volet Source du code de la console Lambda, collez le code suivant dans le fichier index.mjs. La fonction envoie une requête HTTP GET à un point de terminaison public et renvoie le code de réponse HTTP pour tester si la fonction a accès à l’Internet public.

Exemple – Requête HTTP avec async/await


const url = "https://aws.amazon.com/";

export const handler = async(event) => {
    try {
        // fetch is available with Node.js 18 and later runtimes
        const res = await fetch(url);
        console.info("status", res.status);
        return res.status;
    }
    catch (e) {
        console.error(e);
        return 500;
    }
};

Dans la section DÉPLOYER, choisissez Déployer pour mettre à jour le code de votre fonction :
Choisissez l’onglet Test.
Sélectionnez Tester).
La fonction renvoie un code d’état 200. Cela signifie que la fonction dispose d’un accès Internet sortant.

Si la fonction ne parvient pas à accéder à l’Internet public, un message d’erreur de ce type s’affiche :
```
{
  "errorMessage": "2024-04-11T17:22:20.857Z abe12jlc-640a-8157-0249-9be825c2y110 Task timed out after 3.01 seconds"
}
```

Python

Dans le volet Source du code de la console Lambda, collez le code suivant dans le fichier lambda_function.py. La fonction envoie une requête HTTP GET à un point de terminaison public et renvoie le code de réponse HTTP pour tester si la fonction a accès à l’Internet public.


import urllib.request

def lambda_handler(event, context):
    try:
        response = urllib.request.urlopen('https://aws.amazon.com')
        status_code = response.getcode()
        print('Response Code:', status_code)
        return status_code
    except Exception as e:
        print('Error:', e)
        raise e

Dans la section DÉPLOYER, choisissez Déployer pour mettre à jour le code de votre fonction :
Choisissez l’onglet Test.
Sélectionnez Tester).
La fonction renvoie un code d’état 200. Cela signifie que la fonction dispose d’un accès Internet sortant.

Si la fonction ne parvient pas à accéder à l’Internet public, un message d’erreur de ce type s’affiche :
```
{
  "errorMessage": "2024-04-11T17:22:20.857Z abe12jlc-640a-8157-0249-9be825c2y110 Task timed out after 3.01 seconds"
}
```

Si vous possédez déjà un VPC mais que vous devez configurer un accès Internet public pour une fonction Lambda, procédez comme suit. Cette procédure suppose que votre VPC possède au moins deux sous-réseaux. Si vous n’avez pas deux sous-réseaux, consultez Create a subnet dans le Guide de l’utilisateur Amazon VPC.

Vérification de la configuration de la table de routage

Ouvrez la console Amazon VPC à l’adresse https://console.aws.amazon.com/vpc/.
Choisissez l’ID de VPC.
Faites défiler la page jusqu’à la section Carte des ressources. Notez les mappages des tables de routage. Ouvrez chaque table de routage mappée à un sous-réseau.
Faites défiler jusqu’à l’onglet Routes. Passez en revue les routes pour déterminer si l’une des situations suivantes se produit. Chacune de ces exigences doit être satisfaite par une table de routage distincte.
- Le trafic Internet (0.0.0.0/0pour IPv4, ::/0 pour IPv6) est acheminé vers une passerelle Internet (). igw-xxxxxxxxxx Cela signifie que le sous-réseau associé à la table de routage est un sous-réseau public.
  
  Note
  Si votre sous-réseau ne possède pas de bloc IPv6 CIDR, vous ne verrez que la IPv4 route ()0.0.0.0/0.
  
  Exemple Table de routage de sous-réseau public
- Le trafic Internet pour IPv4 (0.0.0.0/0) est acheminé vers une passerelle NAT (nat-xxxxxxxxxx) associée à un sous-réseau public. Cela signifie que le sous-réseau est un sous-réseau privé qui peut accéder à l’Internet via la passerelle NAT.
  
  Note
  Si votre sous-réseau comporte un bloc IPv6 CIDR, la table de routage doit également acheminer le IPv6 trafic Internet (::/0) vers une passerelle Internet de sortie uniquement (). eigw-xxxxxxxxxx Si votre sous-réseau ne possède pas de bloc IPv6 CIDR, vous ne verrez que la IPv4 route ()0.0.0.0/0.
  
  Exemple table de routage de sous-réseau privé
Répétez l’étape précédente jusqu’à ce que vous ayez examiné chaque table de routage associée à un sous-réseau de votre VPC et confirmé que vous disposez d’une table de routage avec une passerelle Internet et d’une table de routage avec une passerelle NAT.

Si vous n’avez pas deux tables de routage, l’une avec une route vers une passerelle Internet et l’autre avec une route vers une passerelle NAT, suivez ces étapes pour créer les ressources manquantes et les entrées de table de routage.

Suivez les étapes ci-dessous pour créer une table de routage et l’associer à un sous-réseau.

Pour créer une table de routage personnalisée à l’aide de la console Amazon VPC

Ouvrez la console Amazon VPC à l’adresse https://console.aws.amazon.com/vpc/.
Dans le volet de navigation, choisissez Route tables (Tables de routage).
Choisissez Créer une table de routage.
(Facultatif) Pour Nom, entrez un nom pour votre table de routage.
Pour VPC, choisissez votre VPC.
(Facultatif) Pour ajouter une identification, choisissez Add new tag (Ajouter une identification) et saisissez la clé et la valeur de l'identification.
Choisissez Créer une table de routage.
Sur l'onglet Associations de sous-réseau, choisissez Modifier les associations de sous-réseau.
Sélectionnez la case à cocher pour le sous-réseau à associer à la table de routage.
Choisissez Save associations (Enregistrer les associations).

Procédez comme suit pour créer une passerelle Internet, l’associer à votre VPC et l’ajouter à la table de routage de votre sous-réseau public.

Pour créer une passerelle Internet

Ouvrez la console Amazon VPC à l’adresse https://console.aws.amazon.com/vpc/.
Dans le panneau de navigation, choisissez Passerelles Internet.
Choisissez Créer une passerelle Internet.
(Facultatif) Saisissez un nom pour votre passerelle Internet.
(Facultatif) Pour ajouter une identification, choisissez Add new tag (Ajouter une identification) et saisissez la clé et la valeur de l’identification.
Choisissez Créer une passerelle Internet.
Choisissez Attacher à un VPC dans la bannière en haut de l’écran, sélectionnez un VPC disponible, puis choisissez Attacher une passerelle Internet.
Choisissez l’ID de VPC.
Sélectionnez à nouveau l’ID de VPC pour ouvrir la page des détails.
Faites défiler vers le bas jusqu’à la section Carte des ressources et choisissez un sous-réseau. Les détails du sous-réseau s’affichent dans un nouvel onglet.
Cliquez sur le lien sous Table de routage.
Choisissez l’ID de la table de routage pour ouvrir la page de détails de la table de routage.
Sous Routes, choisissez la Modifier des routes.
Choisissez Ajouter une route, puis saisissez 0.0.0.0/0 dans la zone Destination.
Pour Cible, sélectionnez Passerelle Internet, puis choisissez la passerelle Internet que vous avez créée précédemment. Si votre sous-réseau possède un bloc IPv6 CIDR, vous devez également ajouter une route ::/0 vers la même passerelle Internet.
Sélectionnez Enregistrer les modifications.

Suivez ces étapes pour créer une passerelle NAT, l’associer à un sous-réseau public, puis l’ajouter à la table de routage de votre sous-réseau privé.

Pour créer une passerelle NAT et l’associer à un sous-réseau public

Dans le volet de navigation, sélectionnez Passerelles NAT.
Sélectionnez Créer une passerelle NAT.
(Facultatif) Saisissez un nom pour votre passerelle NAT.
Pour Sous-réseau, sélectionnez le sous-réseau public dans votre VPC. (Un sous-réseau public est un sous-réseau qui a une entrée de table de routage comportant une route vers une passerelle Internet)

Note
Les passerelles NAT sont associées à un sous-réseau public, mais l’entrée de la table de routage se trouve dans le sous-réseau privé.
Pour ID d’allocation IP élastique, sélectionnez une adresse IP élastique ou choisissez Allouer une adresse IP élastique.
Sélectionnez Créer une passerelle NAT.

Pour ajouter une route vers la passerelle NAT dans la table de routage du sous-réseau privé

Dans le panneau de navigation, choisissez Subnets (Sous-réseaux).
Sélectionnez un sous-réseau privé dans votre VPC. (Un sous-réseau privé est un sous-réseau qui ne comporte pas de route vers une passerelle Internet dans sa table de routage)
Cliquez sur le lien sous Table de routage.
Choisissez l’ID de la table de routage pour ouvrir la page de détails de la table de routage.
Choisissez l’onglet Routes, puis Modifier des routes.
Choisissez Ajouter une route, puis saisissez 0.0.0.0/0 dans la zone Destination.
Pour Cible, choisissez Passerelle NAT, puis sélectionnez la passerelle NAT que vous avez créée.
Sélectionnez Enregistrer les modifications.

Procédez comme suit pour créer une passerelle Internet de sortie uniquement et l’ajouter à la table de routage de votre sous-réseau privé.

Pour créer une passerelle Internet de sortie uniquement

Dans le volet de navigation, choisissez Passerelles Internet de sortie uniquement.
Choisissez Créer une passerelle Internet de sortie uniquement.
(Facultatif) Saisissez un nom.
Sélectionnez le VPC dans lequel créer la passerelle Internet de sortie uniquement.
Choisissez Créer une passerelle Internet de sortie uniquement.
Choisissez le lien sous ID du VPC attaché.
Sélectionnez le lien sous l’ID de VPC pour ouvrir la page des détails.
Faites défiler vers le bas jusqu’à la section Carte des ressources et choisissez un sous-réseau privé. (Un sous-réseau privé est un sous-réseau qui ne comporte pas de route vers une passerelle Internet dans sa table de routage) Les détails du sous-réseau s’affichent dans un nouvel onglet.
Cliquez sur le lien sous Table de routage.
Choisissez l’ID de la table de routage pour ouvrir la page de détails de la table de routage.
Sous Routes, choisissez la Modifier des routes.
Choisissez Ajouter une route, puis saisissez ::/0 dans la zone Destination.
Pour Cible, sélectionnez Passerelle Internet de sortie uniquement, puis choisissez la passerelle que vous avez créée précédemment.
Sélectionnez Enregistrer les modifications.

Configurer la fonction Lambda

Pour configurer un VPC lorsque vous créez une fonction

Ouvrez la page Functions (Fonctions) de la console Lambda.
Sélectionnez Create function (Créer une fonction).
Sous Informations de base, dans Nom de fonction, entrez un nom pour votre fonction.
Développez Advanced settings (Paramètres avancés).
Sélectionnez Activer le VPC, puis choisissez un VPC.
(Facultatif) Pour autoriser le IPv6 trafic sortant, sélectionnez Autoriser le IPv6 trafic pour les sous-réseaux à double pile.
Pour Sous-réseaux, sélectionnez tous les sous-réseaux privés. Les sous-réseaux privés peuvent accéder à Internet via une passerelle NAT. La connexion d’une fonction à un sous-réseau public ne lui donne pas accès à Internet.

Note
Si vous avez sélectionné Autoriser IPv6 le trafic pour les sous-réseaux à double pile, tous les sous-réseaux sélectionnés doivent comporter un bloc IPv4 CIDR et un bloc CIDR. IPv6
Pour les groupes de sécurité, sélectionnez un groupe de sécurité qui autorise le trafic sortant.
Sélectionnez Create function (Créer une fonction).

Pour configurer un VPC pour une fonction existante

Ouvrez la page Functions (Fonctions) de la console Lambda.
Choisissez une fonction.
Choisissez l’onglet Configuration puis choisissez VPC.
Sous VPC, choisissez Modifier.
Sélectionnez le VPC.
(Facultatif) Pour autoriser le IPv6 trafic sortant, sélectionnez Autoriser le IPv6 trafic pour les sous-réseaux à double pile.
Pour Sous-réseaux, sélectionnez tous les sous-réseaux privés. Les sous-réseaux privés peuvent accéder à Internet via une passerelle NAT. La connexion d’une fonction à un sous-réseau public ne lui donne pas accès à Internet.

Note
Si vous avez sélectionné Autoriser IPv6 le trafic pour les sous-réseaux à double pile, tous les sous-réseaux sélectionnés doivent comporter un bloc IPv4 CIDR et un bloc CIDR. IPv6
Pour les groupes de sécurité, sélectionnez un groupe de sécurité qui autorise le trafic sortant.
Choisissez Save (Enregistrer).

Tester la fonction

Node.js

Exemple – Requête HTTP avec async/await


const url = "https://aws.amazon.com/";

export const handler = async(event) => {
    try {
        // fetch is available with Node.js 18 and later runtimes
        const res = await fetch(url);
        console.info("status", res.status);
        return res.status;
    }
    catch (e) {
        console.error(e);
        return 500;
    }
};

Dans la section DÉPLOYER, choisissez Déployer pour mettre à jour le code de votre fonction :
Choisissez l’onglet Test.
Sélectionnez Tester).
La fonction renvoie un code d’état 200. Cela signifie que la fonction dispose d’un accès Internet sortant.

Si la fonction ne parvient pas à accéder à l’Internet public, un message d’erreur de ce type s’affiche :
```
{
  "errorMessage": "2024-04-11T17:22:20.857Z abe12jlc-640a-8157-0249-9be825c2y110 Task timed out after 3.01 seconds"
}
```

Python


import urllib.request

def lambda_handler(event, context):
    try:
        response = urllib.request.urlopen('https://aws.amazon.com')
        status_code = response.getcode()
        print('Response Code:', status_code)
        return status_code
    except Exception as e:
        print('Error:', e)
        raise e

Dans la section DÉPLOYER, choisissez Déployer pour mettre à jour le code de votre fonction :
Choisissez l’onglet Test.
Sélectionnez Tester).
La fonction renvoie un code d’état 200. Cela signifie que la fonction dispose d’un accès Internet sortant.

Si la fonction ne parvient pas à accéder à l’Internet public, un message d’erreur de ce type s’affiche :
```
{
  "errorMessage": "2024-04-11T17:22:20.857Z abe12jlc-640a-8157-0249-9be825c2y110 Task timed out after 3.01 seconds"
}
```

Avertissement JavaScript est désactivé ou n'est pas disponible dans votre navigateur.

Pour que vous puissiez utiliser la documentation AWS, Javascript doit être activé. Vous trouverez des instructions sur les pages d'aide de votre navigateur.

Conventions de rédaction

Attachement de fonctions aux ressources d’un autre compte

Réseaux entrants

Activation de l’accès Internet pour les fonctions Lambda connectées à un VPC

Créer le VPC

Pour créer le VPC

Configurer la fonction Lambda

Pour configurer un VPC lorsque vous créez une fonction

Note

Pour configurer un VPC pour une fonction existante

Note

Tester la fonction

Exemple – Requête HTTP avec async/await

Vérification de la configuration de la table de routage

Note

Exemple Table de routage de sous-réseau public

Note

Exemple table de routage de sous-réseau privé

Pour créer une table de routage personnalisée à l’aide de la console Amazon VPC

Pour créer une passerelle Internet

Pour créer une passerelle NAT et l’associer à un sous-réseau public

Note

Pour ajouter une route vers la passerelle NAT dans la table de routage du sous-réseau privé

Pour créer une passerelle Internet de sortie uniquement

Configurer la fonction Lambda

Pour configurer un VPC lorsque vous créez une fonction

Note

Pour configurer un VPC pour une fonction existante

Note

Tester la fonction

Exemple – Requête HTTP avec async/await