Les traductions sont fournies par des outils de traduction automatique. En cas de conflit entre le contenu d'une traduction et celui de la version originale en anglais, la version anglaise prévaudra.

Mise en réseau

Vous configurez l'accès réseau pour vos AWS Lambda micromachines virtuelles en associant les ressources du connecteur réseau à votre micromachine virtuelle au moment de l'exécution. Les connecteurs réseau sont spécifiés lorsque vous appelez run-microvm et ne peuvent pas être modifiés lorsqu'une microVM est en cours d'exécution.

Vue d’ensemble

Chaque microVM peut avoir des configurations réseau d'entrée (entrant) et de sortie (sortant) indépendantes :

Un seul connecteur peut être réutilisé sur de nombreuses micromachines virtuelles. Il s'agit du modèle d'utilisation prévu.

Connectivité entrante

Chaque microVM Lambda est accessible via une URL de point de terminaison HTTPS unique, attribuée lorsque vous appelez. run-microvm Les clients envoient des demandes à ce point de terminaison via HTTPS. Lambda achemine chaque demande vers un port de votre microVM, où votre application la reçoit.

Par défaut, les demandes reçues au point de terminaison sont acheminées vers le port 8080 de la microVM. Pour accéder à un autre port, voirRoutage des ports.

Les protocoles suivants sont pris en charge sur le terminal entrant :

Routage des ports

Lambda sélectionne le port cible dans votre microVM selon l'ordre de priorité suivant :

Authentification

Toutes les demandes adressées à un point de terminaison microVM nécessitent un jeton d'authentification valide dans l'X-aws-proxy-authen-tête. Vous générez des jetons en utilisantcreate-microvm-auth-token. Chaque jeton est une chaîne JWE (JSON Web Encryption) cryptée dont la portée est la suivante :

L'exemple suivant crée un jeton et l'utilise pour envoyer une demande authentifiée :

aws lambda-microvms create-microvm-auth-token \
  --microvm-identifier microvm-id \
  --expiration-in-minutes 30 \
  --allowed-ports '[{"port":8080}]'

curl 'https://microvm-endpoint' \
  -H 'X-aws-proxy-auth: TOKEN' \
  -H 'X-aws-proxy-port: 8080'

Pour une présentation complète de la création de jetons et de la connexion à une microVM, y compris WebSocket les connexions, consultez. Connexion à une microVM

Réponses d'erreur

Les codes d'état HTTP suivants sont renvoyés par le point de terminaison MicroVM lorsqu'il ne peut pas traiter ou transmettre une demande à votre application. Ces réponses proviennent du terminal et non de votre application.

En-têtes de demandes

L'espace de noms d'X-aws-proxy-*en-tête est réservé par Lambda pour les métadonnées de demande, telles que le jeton d'authentification (X-aws-proxy-auth) et le port cible (X-aws-proxy-port). Lambda supprime les X-aws-proxy-* en-têtes avant de transmettre la demande à votre application.

Request/response bande passante

Chaque microVM Lambda possède une request/response bande passante qui évolue de manière linéaire en fonction de sa taille. Cette bande passante s'applique à tout le trafic via le point de terminaison MicroVM, à la fois aux demandes entrantes et aux réponses sortantes.

Si vous constatez une augmentation de la latence des demandes en raison de la saturation du réseau, réduisez la simultanéité de vos demandes ou la taille de la charge utile, ou sélectionnez une taille de microVM plus importante pour augmenter la bande passante disponible.

HTTP/2 soutien

Lambda MicroVMS prend en charge HTTP/2 le terminal entrant. Lambda négocie le protocole via ALPN (Application-Layer Protocol Negotiation) lors de la prise de contact TLS, en préférant HTTP/2 et en revenant à. HTTP/1.1 Un HTTP/2-capable client l'utilise automatiquement.

À utiliser HTTP/2 entre le terminal et votre application dans la microVM :

Connectivité sortante

Par défaut, les microVM Lambda disposent d'un accès Internet public sur le chemin de sortie. Pour connecter des micromachines virtuelles aux ressources de vos VPC privés, telles que RDS ElastiCache, des API internes et des systèmes locaux via Direct Connect ou VPN, créez un connecteur réseau Lambda avec votre configuration VPC.

Lorsque vous utilisez la sortie d'un VPC, le trafic sortant est soumis aux règles des groupes de sécurité et aux ACL réseau qui régissent le trafic dans votre VPC.

Utilisation de connecteurs réseau de sortie

Les connecteurs réseau de sortie acheminent le trafic sortant de votre microVM via votre VPC. Vous créez un connecteur une fois, puis vous le référencez par ARN lorsque vous démarrez MicroVMS via la run-microvm commande.

Conditions préalables

Avant de créer un connecteur réseau, vous avez besoin d'un rôle IAM qui permet à Lambda de créer des interfaces réseau élastiques (ENI) dans votre VPC. Ce rôle requiert les autorisations suivantes :

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "CreateENI",
      "Effect": "Allow",
      "Action": "ec2:CreateNetworkInterface",
      "Resource": [
        "arn:aws:ec2:*:*:network-interface/*",
        "arn:aws:ec2:*:*:subnet/*",
        "arn:aws:ec2:*:*:security-group/*"
      ]
    },
    {
      "Sid": "TagENI",
      "Effect": "Allow",
      "Action": "ec2:CreateTags",
      "Resource": "arn:aws:ec2:*:*:network-interface/*",
      "Condition": {
        "StringEquals": {
          "ec2:ManagedResourceOperator": "network-connectors.lambda.amazonaws.com"
        }
      }
    }
  ]
}

Création d'un connecteur réseau

Créez un connecteur en spécifiant vos sous-réseaux VPC, vos groupes de sécurité et votre protocole réseau (IPv4ouDualStack) :

aws lambda-core create-network-connector \
  --name my-connector \
  --configuration '{
    "VpcEgressConfiguration": {
      "SubnetIds": ["subnet-xxx"],
      "SecurityGroupIds": ["sg-xxx"],
      "NetworkProtocol": "IPv4",
      "AssociatedComputeResourceTypes": ["MicroVm"]
    }
  }' \
  --operator-role arn:aws:iam::123456789012:role/NetworkConnectorOperatorRole

États du connecteur réseau

Un connecteur doit être en ACTIVE état pour que vous puissiez y faire référencerun-microvm.

Exécution d'une microVM avec un connecteur réseau

Référez-vous à l'ARN du connecteur lors de l'exécution d'une microVM :

aws lambda-microvms run-microvm \
  --image-identifier arn:aws:lambda:us-east-1:123456789012:microvm-image:my-microvm-image \
  --egress-network-connectors connector-arn \
  --idle-policy '{"maxIdleDurationSeconds":900,"suspendedDurationSeconds":1800,"autoResumeEnabled":false}'

Utilisation de microVM Lambda avec des points de terminaison VPC d'interface (AWS PrivateLink)

Vous pouvez l'utiliser AWS PrivateLink pour une connectivité privée sur le AWS réseau entre vos ressources VPC et Lambda MicroVMS, sans passer par l'Internet public. MicroVMS prend en charge deux points de terminaison VPC, en fonction de la destination du trafic souhaitée :

Point de terminaison VPC pour les API de gestion MicroVM

Lambda MicroVMS partage le même service de point de terminaison VPC que Lambda (). com.amazonaws.region.lambda Pour obtenir des instructions complètes, consultez Création d'un point de terminaison d'interface pour Lambda.

Politique relative aux terminaux pour les API de gestion MicroVM

Pour contrôler qui peut utiliser le point de terminaison de votre interface et quelles actions d'API Lambda MicroVMS il peut effectuer, attachez une politique de point de terminaison. La politique spécifie le principal qui peut effectuer des actions, les actions qu'il peut effectuer et les ressources sur lesquelles il peut agir. Les actions Lambda MicroVMS utilisent le préfixe d'action lambda: IAM.

Pour plus d’informations, consultez Contrôle de l’accès aux services avec points de terminaison d’un VPC dans le Guide de l’utilisateur Amazon VPC.

L'exemple de politique suivant permet MyUser à l'utilisateur de répertorier et d'obtenir des images microVM via le point de terminaison :

{
  "Statement": [
    {
      "Principal": {
        "AWS": "arn:aws:iam::111122223333:user/MyUser"
      },
      "Effect": "Allow",
      "Action": [
        "lambda:ListMicrovmImages",
        "lambda:GetMicrovmImage"
      ],
      "Resource": "*"
    }
  ]
}

Point de terminaison VPC pour la connectivité microVM

Pour préserver la confidentialité du trafic HTTPS vers vos micromachines virtuelles en cours d'exécution, créez un point de terminaison d'interface pour le com.amazonaws.region.lambda-microvm service. Ce point de terminaison gère les connexions aux URL des points de terminaison MicroVM (par exemple,abc123def456.lambda-microvm.us-east-1.on.aws).

Pour en savoir plus sur les propriétés des points de terminaison d'interface, consultez le guide des points de terminaison d'interface dans la documentation Amazon VPC.

Création du point de terminaison

Pour créer un point de terminaison d'interface pour la connectivité microVM (console)

Pour utiliser l'option DNS privé, vous devez définir les enableDnsSupport attributs enableDnsHostnames et de votre VPC. Pour plus d'informations, consultez Affichage et mise à jour de la prise en charge de DNS pour votre VPC dans le Guide de l'utilisateur Amazon VPC.

Pour créer un point de terminaison d'interface pour la connectivité microVM (AWS CLI)

aws ec2 create-vpc-endpoint \
  --vpc-id vpc-ec43eb89 \
  --vpc-endpoint-type Interface \
  --service-name com.amazonaws.us-east-1.lambda-microvm \
  --subnet-id subnet-abababab \
  --security-group-id sg-1a2b3c4d \
  --private-dns-enabled

Pour vérifier que le terminal est disponible et que le DNS privé est actif, procédez comme suit :

aws ec2 describe-vpc-endpoints \
  --vpc-endpoint-ids vpce-1a2b3c4d5e6f7g8h9 \
  --query 'VpcEndpoints[0].{State:State,PrivateDns:PrivateDnsEnabled,Dns:DnsEntries[*].DnsName}'

Comportement du DNS privé

Lorsque le DNS privé est activé  : le point de terminaison gère la résolution DNS pour *.lambda-microvm.region.on.aws l'intérieur de votre VPC. Les noms d'hôte de vos terminaux MicroVM existants (par exempleabc123def456.lambda-microvm.us-east-1.on.aws) sont les adresses IP privées des interfaces réseau des terminaux. Aucun changement de client n'est requis.

Lorsque le DNS privé est désactivé, Amazon VPC génère un nom DNS spécifique au point de terminaison pour votre terminal dans le formulaire. vpce-id-hash.lambda-microvm.region.vpce.amazonaws.com Pour acheminer le trafic via ce point de terminaison tout en atteignant la microVM correcte, vous devez conserver le nom d'hôte microVM d'origine à deux endroits :

Si l'une des valeurs est définie sur le nom d'hôte du point de terminaison du VPC au lieu du nom d'hôte de la microVM, la connexion ne peut pas être acheminée vers la microVM appropriée.

Exemple : connexion via un nom DNS spécifique au point de terminaison

L'exemple suivant utilise curl avec l'--connect-toindicateur pour rediriger la connexion TCP vers votre point de terminaison VPC tout en conservant le nom d'hôte de la microVM dans l'URL, le SNI et l'en-tête Host :

ENDPOINT_HOST=abc123def456.lambda-microvm.us-east-1.on.aws
VPCE_HOST=vpce-0a1b2c3d4e5f67890-a1b2c3d4.lambda-microvm.us-east-1.vpce.amazonaws.com

curl --connect-to "$ENDPOINT_HOST:443:$VPCE_HOST:443" \
  -H "x-aws-proxy-auth: $MICROVM_AUTH_TOKEN" \
  -H "x-aws-proxy-port: 8080" \
  "https://$ENDPOINT_HOST/"

L'--connect-toindicateur indique à curl d'ouvrir la connexion TCP à l'adresse du point de terminaison du VPC, tandis que l'URL, le SNI TLS et l'en-tête Host restent définis sur le nom d'hôte de votre microVM.

Pour plus d’informations, consultez Accès à un service via un point de terminaison d’interface dans le Guide de l’utilisateur Amazon VPC.

Politique relative aux terminaux pour la connectivité des microVM

Vous pouvez associer une politique de point de terminaison pour contrôler quelles micromachines virtuelles sont accessibles via le point de terminaison lambda-microvm VPC. Une politique relative aux terminaux sur le lambda-microvm service vous permet de définir les connexions à des comptes ou à des organisations spécifiques. Par défaut, le point de terminaison autorise les connexions à des micromachines virtuelles sur n'importe quel AWS compte. (Remarque : le client établissant la connexion doit toujours détenir un jeton d'authentification MicroVM valide pour obtenir l'accès).

Par défaut, un point de terminaison VPC dispose d'une politique d'accès complet qui autorise tout le trafic. Lorsque vous remplacez la politique par défaut par une stratégie personnalisée, Lambda MicroVMS évalue cette politique par rapport à l'lambda:ConnectMicrovmaction effectuée sur chaque connexion établie via le point de terminaison. Si la politique n'autorise pas la connexion à des micromachines virtuelles, la connexion est rejetée avec une réponse HTTP 403 Interdit. Une politique qui n'autorise pas à lambda:ConnectMicrovm refuser toutes les connexions via le terminal.

Directeur et ressource

Les connexions à un point de terminaison MicroVM sont authentifiées avec un jeton d'authentification MicroVM plutôt qu' AWS avec Signature Version 4. Pour cette raison, aucun principal IAM n'est associé à la connexion. Au lieu de cela, Lambda MicroVMS évalue la politique des terminaux à l'aide d'un principal anonyme. Autrement dit :

Clés de condition prises en charge

Exemple : autorisez les connexions uniquement aux micromachines virtuelles de votre propre compte

La politique de point de terminaison suivante autorise les connexions via le point de terminaison uniquement aux micromachines virtuelles appartenant au compte 111122223333. Les connexions à des micromachines virtuelles appartenant à un autre compte sont refusées.

{
  "Statement": [
    {
      "Principal": "*",
      "Effect": "Allow",
      "Action": "lambda:ConnectMicrovm",
      "Resource": "*",
      "Condition": {
        "StringEquals": {
          "aws:ResourceAccount": "111122223333"
        }
      }
    }
  ]
}