Création d'une fonction Lambda à l'aide d'une image de conteneur

Le code de votre AWS Lambda fonction se compose de scripts ou de programmes compilés et de leurs dépendances. Pour déployer votre code de fonction vers Lambda, vous utilisez un package de déploiement. Lambda prend en charge deux types de packages de déploiement : les images conteneurs et les archives de fichiers .zip.

Il existe trois méthodes pour créer une image de conteneur pour une fonction Lambda :

Pour créer une fonction Lambda à partir d'une image de conteneur, créez votre image localement et chargez-la dans un référentiel Amazon Elastic Container Registry ECR (Amazon). Spécifiez ensuite le référentiel URI lorsque vous créez la fonction. Le ECR référentiel Amazon doit être Région AWS identique à la fonction Lambda. Vous pouvez créer une fonction en utilisant une image d'un autre AWS compte, à condition que l'image se trouve dans la même région que la fonction Lambda. Pour de plus amples informations, veuillez consulter Autorisations ECR multi-comptes Amazon.

Cette page explique les types d’images de base et les exigences requises pour créer des images de conteneur compatibles avec Lambda.

Prérequis

Installez la version 2 AWS Command Line Interface (AWS CLI) et le Docker CLI. En outre, notez les exigences suivantes :

Utilisation d'une image AWS de base pour Lambda

Vous pouvez utiliser l’une des images de base AWS pour Lambda afin de créer l’image de conteneur pour votre code de fonction. Les images de base sont préchargées avec une exécution de langage et d’autres composants requis pour exécuter une image conteneur sur Lambda. Vous ajoutez votre code de fonction et vos dépendances à l’image de base, puis vous l’empaquetez en tant qu’image de conteneur.

AWS fournit régulièrement des mises à jour des images AWS de base pour Lambda. Si votre Dockerfile inclut le nom de l'image dans la FROM propriété, votre client Docker extrait la dernière version de l'image du référentiel Amazon. ECR Afin d’utiliser l’image de base mise à jour, vous devez reconstruire votre image de conteneur et mettre à jour le code de la fonction.

Le Node.js 20, Python 3.12, Java 21,. NETLes images de base 8, Ruby 3.3 et versions ultérieures sont basées sur l'image de conteneur minimale Amazon Linux 2023. Les images de base antérieures utilisaient Amazon Linux 2. AL2Le 023 offre plusieurs avantages par rapport à Amazon Linux 2, notamment un encombrement de déploiement réduit et des versions mises à jour de bibliothèques telles queglibc.

AL2Les images basées sur le format 023 utilisent microdnf (lien symbolique sous formednf) comme gestionnaire de packages au lieu deyum, qui est le gestionnaire de packages par défaut dans Amazon Linux 2. microdnfest une implémentation autonome de. dnf Pour obtenir la liste des packages inclus dans les images AL2 basées sur la version 023, reportez-vous aux colonnes Conteneur minimal de la section Comparaison des packages installés sur les images de conteneurs Amazon Linux 2023. Pour plus d'informations sur les différences entre AL2 023 et Amazon Linux 2, consultez Présentation du runtime Amazon Linux 2023 AWS Lambda sur le blog AWS Compute.

Pour créer une image de conteneur à l'aide d'une image de AWS base, choisissez les instructions correspondant à votre langue préférée :

Utilisation d'une image de base AWS uniquement pour le système d'exploitation

AWS Les images de base réservées au système d'exploitation contiennent une distribution Amazon Linux et l'émulateur d'interface d'exécution. Ces images sont couramment utilisées pour créer des images de conteneur pour les langages compilés, tels que Go et Rust, et pour une langue ou une version linguistique pour laquelle Lambda ne fournit pas d'image de base, comme Node.js 19. Vous pouvez également utiliser des images de base uniquement pour le système d'exploitation pour implémenter un environnement d'exécution personnalisé. Pour rendre l’image compatible avec Lambda, vous devez inclure un client d’interface d’exécution pour votre langage dans l’image.

Galerie publique Amazon Elastic Container Registry : gallery.ecr.aws/lambda/fourni

Utilisation d'une image non AWS basique

Lambda prend en charge toute image conforme à l’un des formats de manifeste d’image suivants :

Lambda prend en charge une taille maximale d’image non compressée de 10 Go, comprenant toutes les couches.

Clients d’interface d’exécution

Si vous utilisez une image de base uniquement pour le système d’exploitation ou une autre image de base, vous devez inclure un client d'interface d'exécution dans votre image. Le client de l'interface d'exécution doit étendre leUtilisation du moteur d'exécution Lambda API pour des environnements d'exécution personnalisés, qui gère l'interaction entre Lambda et votre code de fonction. AWS fournit des clients d'interface d'exécution open source pour les langages suivants :

Si vous utilisez un langage qui ne possède pas de client d'interface d'exécution AWS fourni, vous devez créer le vôtre.

ECRAutorisations Amazon

Avant de créer une fonction Lambda à partir d'une image de conteneur, vous devez créer l'image localement et la télécharger dans un référentiel AmazonECR. Lorsque vous créez la fonction, spécifiez le ECR référentiel AmazonURI.

Assurez-vous que les autorisations accordées à l'utilisateur ou au rôle qui crée la fonction incluent GetRepositoryPolicy etSetRepositoryPolicy.

Par exemple, utilisez la IAM console pour créer un rôle avec la politique suivante :

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "VisualEditor0",
      "Effect": "Allow",
      "Action": [
        "ecr:SetRepositoryPolicy",
        "ecr:GetRepositoryPolicy"
      ],
      "Resource": "arn:aws:ecr:us-east-1:111122223333:repository/hello-world"
    }
  ]
}

Politiques relatives aux ECR référentiels Amazon

Pour une fonction associée au même compte que l'image du conteneur dans AmazonECR, vous pouvez ajouter ecr:BatchGetImage des ecr:GetDownloadUrlForLayer autorisations à votre politique de ECR dépôt Amazon. L’exemple suivant présente la stratégie minimum :

{
        "Sid": "LambdaECRImageRetrievalPolicy",
        "Effect": "Allow",
        "Principal": {
          "Service": "lambda.amazonaws.com"
        },
        "Action": [
          "ecr:BatchGetImage",
          "ecr:GetDownloadUrlForLayer"
        ]
    }   

Pour plus d'informations sur les autorisations relatives aux ECR référentiels Amazon, consultez les politiques relatives aux référentiels privés dans le guide de l'utilisateur d'Amazon Elastic Container Registry.

Si le ECR référentiel Amazon n'inclut pas ces autorisations, Lambda ajoute ecr:BatchGetImage des autorisations ecr:GetDownloadUrlForLayer au référentiel d'images du conteneur. Lambda ne peut ajouter ces autorisations que si le principal appelant Lambda dispose des autorisations ecr:getRepositoryPolicy et ecr:setRepositoryPolicy.

Pour consulter ou modifier les autorisations de votre ECR référentiel Amazon, suivez les instructions de la section Définition d'une déclaration de politique de dépôt privé dans le guide de l'utilisateur d'Amazon Elastic Container Registry.

Autorisations ECR multi-comptes Amazon

Un autre compte dans la même région peut créer une fonction qui utilise une image conteneur appartenant à votre compte. Dans l'exemple suivant, votre politique d'autorisation de ECR dépôt Amazon nécessite les instructions suivantes pour autoriser l'accès au numéro de compte 123456789012.

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "CrossAccountPermission",
      "Effect": "Allow",
      "Action": [
        "ecr:BatchGetImage",
        "ecr:GetDownloadUrlForLayer"
      ],
      "Principal": {
        "AWS": "arn:aws:iam::123456789012:root"
      }
    },
    {
      "Sid": "LambdaECRImageCrossAccountRetrievalPolicy",
      "Effect": "Allow",
      "Action": [
        "ecr:BatchGetImage",
        "ecr:GetDownloadUrlForLayer"
      ],
      "Principal": {
        "Service": "lambda.amazonaws.com"
      },
      "Condition": {
        "StringLike": {
          "aws:sourceARN": "arn:aws:lambda:us-east-1:123456789012:function:*"
        }
      }
    }
  ]
}

Pour donner accès à plusieurs comptes, vous ajoutez le compte IDs à la liste Principal de la CrossAccountPermission politique et à la liste d'évaluation des conditions dans leLambdaECRImageCrossAccountRetrievalPolicy.

Si vous travaillez avec plusieurs comptes au sein d'une AWS organisation, nous vous recommandons d'énumérer chaque ID de compte dans la politique ECR d'autorisation. Cette approche est conforme aux meilleures pratiques de AWS sécurité qui consistent à définir des autorisations restreintes dans les IAM politiques.

Outre les autorisations Lambda, l'utilisateur ou le rôle qui crée la fonction doit également disposer BatchGetImage d'GetDownloadUrlForLayerautorisations.

Cycle de vie des fonctions

Après avoir chargé une nouvelle image de conteneur ou une image de conteneur mise à jour, Lambda optimise l'image avant que la fonction ne puisse traiter les appels. Le processus d'optimisation peut prendre quelques secondes. La fonction reste à l'état Pending jusqu'à la fin du processus. La fonction passe ensuite à l'état Active. Lorsque la fonction est à l'état Pending, vous pouvez l'appeler, mais les autres opérations sur la fonction échouent. Les appels survenant lors de la mise à jour d'une image exécutent le code de l'image précédente.

Si une fonction n'est pas appelée pendant plusieurs semaines, Lambda récupère sa version optimisée, et la fonction passe à l'état Inactive. Pour réactiver la fonction, vous devez l'appeler. Lambda rejette la première invocation et la fonction passe à l'état Pending jusqu'à ce que Lambda réoptimise l'image. La fonction revient ensuite à l'état Active.

Lambda récupère régulièrement l'image du conteneur associée dans le référentiel Amazon. ECR Si l'image de conteneur correspondante n'existe plus sur Amazon ECR ou si les autorisations sont révoquées, la fonction passe à l'Failedétat et Lambda renvoie un échec pour toute invocation de fonction.

Vous pouvez utiliser le Lambda API pour obtenir des informations sur l'état d'une fonction. Pour de plus amples informations, veuillez consulter États de la fonction Lambda.