Traiter les messages Amazon MQ avec Lambda

Configuration de l'accès au réseau

Pour donner à Lambda un accès complet à votre courtier via le mappage de votre source d'événements, soit votre courtier doit utiliser un point de terminaison public (adresse IP publique), soit vous devez fournir un accès à l'Amazon dans lequel VPC vous avez créé le courtier.

Par défaut, lorsque vous créez un agent Amazon MQ, l'indicateur PubliclyAccessible défini sur false. Pour que votre agent reçoive une adresse IP publique, vous devez définir l'indicateur PubliclyAccessible sur true.

La meilleure pratique pour utiliser Amazon MQ avec Lambda consiste à utiliser des AWS PrivateLink VPCpoints de terminaison et à donner à votre fonction Lambda l'accès à celle de votre courtier. VPC Déployez un point de terminaison pour Lambda et, pour ActiveMQ uniquement, un point de terminaison pour (). AWS Security Token Service AWS STS Si votre courtier utilise l'authentification, déployez également un point de terminaison pour AWS Secrets Manager. Pour en savoir plus, consultez Configurer les points de VPC terminaison Amazon.

Vous pouvez également configurer une NAT passerelle sur chaque sous-réseau public du sous-réseau VPC contenant votre courtier Amazon MQ. Pour de plus amples informations, veuillez consulter Activer l'accès à Internet pour les VPC fonctions Lambda connectées.

Lorsque vous créez un mappage de source d'événements pour un courtier Amazon MQ, Lambda vérifie si des interfaces réseau élastiques (ENIs) sont déjà présentes pour les sous-réseaux et les groupes de sécurité de votre courtier. VPC Si Lambda trouve des objets existantsENIs, il essaie de les réutiliser. Sinon, Lambda en crée un nouveau ENIs pour se connecter à la source de l'événement et appeler votre fonction.

Configuration des règles du groupe de sécurité

Configurez les groupes de sécurité pour l'Amazon VPC contenant votre Amazon MQ.

Configurer les points de VPC terminaison Amazon

Lorsque vous utilisez des VPC points de terminaison Amazon, AWS achemine vos API appels pour appeler une fonction à l'aide de l'interface réseau élastique (ENI) du point de terminaison. Le principal du service Lambda doit faire appel à toutes lambda:InvokeFunction les fonctions qui les utilisent. ENIs En outre, pour Amazon MQ pour ActiveMQ, le principal du service Lambda doit exécuter les rôles qui utilisent le. sts:AssumeRole ENIs

Par défaut, les VPC points de terminaison Amazon ont des IAM politiques ouvertes qui permettent un large accès aux ressources. Pour utiliser Amazon MQ avec Lambda en production, vous pouvez restreindre ces politiques afin de n'autoriser que des principaux à accéder à des rôles et fonctions spécifiques.

Les exemples de politiques de point de VPC terminaison suivants montrent comment accorder l'accès requis aux points de terminaison Lambda AWS STS et aux points de terminaison Lambda.

{
      "Statement": [
          {
              "Action": "sts:AssumeRole",
              "Effect": "Allow",
              "Principal": {
                  "Service": [
                      "lambda.amazonaws.com"
                  ]
              },
              "Resource": "arn:aws::iam::123456789012:role/my-role"
          }
      ]
  }

{
      "Statement": [
          {
              "Action": "lambda:InvokeFunction",
              "Effect": "Allow",
              "Principal": {
                  "Service": [
                      "lambda.amazonaws.com"
                  ]
              },
              "Resource": "arn:aws::lambda:us-west-2:123456789012:function:my-function"
          }
      ]
  }

Si votre courtier Amazon MQ utilise l'authentification, vous pouvez également restreindre la politique de point de terminaison pour le point de terminaison Secrets Manager. Pour appeler le Secrets ManagerAPI, Lambda utilise votre rôle fonctionnel, et non le principal du service Lambda. L'exemple suivant montre une politique de point de terminaison de Secrets Manager.

{
      "Statement": [
          {
              "Action": "secretsmanager:GetSecretValue",
              "Effect": "Allow",
              "Principal": {
                  "AWS": [
                      "arn:aws::iam::123456789012:role/my-role"
                  ]
              },
              "Resource": "arn:aws::secretsmanager:us-west-2:123456789012:secret:my-secret"
          }
      ]
  }

Création du mappage des sources d'événements

Créez un mappage de source d'événement pour indiquer à Lambda d'envoyer des enregistrements d'un agent Amazon MQ à une fonction Lambda. Vous pouvez créer plusieurs mappages de source d'événement pour traiter les mêmes données avec plusieurs fonctions, ou pour traiter des éléments à partir de plusieurs sources avec une seule fonction.

Pour configurer votre fonction de manière à lire depuis Amazon MQ, ajoutez les autorisations requises et créez un déclencheur MQ dans la console Lambda.

Pour lire les enregistrements d'un courtier Amazon MQ, votre fonction Lambda a besoin des autorisations suivantes. Vous autorisez Lambda à interagir avec votre courtier Amazon MQ et ses ressources sous-jacentes en ajoutant des instructions d'autorisation à votre rôle d'exécution de fonction :

Lambda prend en charge les options suivantes pour les sources d'événement Amazon MQ.

Pour activer ou désactiver le déclencheur (ou le supprimer), choisissez le déclencheur MQ dans le concepteur. Pour reconfigurer le déclencheur, utilisez les API opérations de mappage des sources d'événements.