Terjemahan disediakan oleh mesin penerjemah. Jika konten terjemahan yang diberikan bertentangan dengan versi bahasa Inggris aslinya, utamakan versi bahasa Inggris.

Jaringan

Anda mengonfigurasi akses jaringan untuk AWS Lambda microVMS Anda dengan mengaitkan sumber daya Konektor Jaringan dengan microVM Anda pada waktu berjalan. Konektor jaringan ditentukan saat Anda menelepon run-microvm dan tidak dapat diubah saat microVM sedang berjalan.

Gambaran umum

Setiap microVM dapat memiliki konfigurasi jaringan ingress (inbound) dan egress (outbound) independen:

Konektor tunggal dapat digunakan kembali di banyak microVM - ini adalah pola penggunaan yang dimaksudkan.

Konektivitas Masuk

Setiap MicroVM Lambda dapat dijangkau di URL titik akhir HTTPS unik, yang ditetapkan saat Anda menelepon. run-microvm Klien mengirim permintaan ke titik akhir ini melalui HTTPS. Lambda merutekan setiap permintaan ke port di dalam microVM Anda, tempat aplikasi Anda menerimanya.

Secara default, permintaan yang diterima di titik akhir dirutekan ke port 8080 di dalam microVM. Untuk rute ke port yang berbeda, lihatPerutean port.

Protokol berikut didukung pada titik akhir masuk:

Perutean port

Lambda memilih port target di dalam microVM Anda menggunakan urutan prioritas berikut:

Autentikasi

Semua permintaan ke endpoint microVM memerlukan token otentikasi yang valid di header. X-aws-proxy-auth Anda menghasilkan token menggunakancreate-microvm-auth-token. Setiap token adalah string JWE (JSON Web Encryption) terenkripsi yang dicakup ke:

Contoh berikut membuat token dan menggunakannya untuk mengirim permintaan yang diautentikasi:

aws lambda-microvms create-microvm-auth-token \
  --microvm-identifier microvm-id \
  --expiration-in-minutes 30 \
  --allowed-ports '[{"port":8080}]'

curl 'https://microvm-endpoint' \
  -H 'X-aws-proxy-auth: TOKEN' \
  -H 'X-aws-proxy-port: 8080'

Untuk panduan lengkap dalam membuat token dan menghubungkan ke microVM, termasuk WebSocket koneksi, lihat. Menghubungkan ke MicroVM

Respons kesalahan

Kode status HTTP berikut dikembalikan oleh endpoint microVM ketika tidak dapat memproses atau mengirimkan permintaan ke aplikasi Anda. Tanggapan ini berasal dari titik akhir, bukan dari aplikasi Anda.

Minta header

Namespace X-aws-proxy-* header dicadangkan oleh Lambda untuk metadata permintaan, seperti token otentikasi () dan port target ()X-aws-proxy-auth. X-aws-proxy-port Lambda menghapus X-aws-proxy-* header sebelum meneruskan permintaan ke aplikasi Anda.

Request/response bandwidth

Setiap microVM Lambda memiliki request/response bandwidth yang berskala linier dengan ukurannya. Bandwidth ini berlaku untuk semua lalu lintas melalui endpoint microVM, baik permintaan masuk maupun respons keluar.

Jika Anda mengalami peningkatan latensi permintaan karena saturasi jaringan, kurangi konkurensi permintaan atau ukuran muatan, atau pilih ukuran microVM yang lebih besar untuk meningkatkan bandwidth yang tersedia.

HTTP/2 dukungan

Lambda MicroVMS mendukung HTTP/2 pada titik akhir masuk. Lambda menegosiasikan protokol melalui ALPN (Application-Layer Protocol Negotiation) selama jabat tangan TLS, lebih memilih dan kembali ke. HTTP/2 HTTP/1.1 HTTP/2-capable Klien menggunakannya secara otomatis.

Untuk menggunakan HTTP/2 antara titik akhir dan aplikasi Anda di dalam microVM:

Konektivitas keluar

Secara default, Lambda MicroVMS memiliki akses internet publik di jalur keluar. Untuk menghubungkan microVM dengan sumber daya di VPC pribadi Anda — seperti RDS, API internal ElastiCache, dan sistem lokal melalui Direct Connect atau VPN — buat Konektor Jaringan Lambda dengan konfigurasi VPC Anda.

Saat menggunakan jalan keluar VPC, lalu lintas keluar tunduk pada aturan grup keamanan dan ACL jaringan yang mengatur lalu lintas di VPC Anda.

Bekerja dengan konektor jaringan jalan keluar

Konektor jaringan keluar merutekan lalu lintas keluar dari microVM Anda melalui VPC Anda. Anda membuat konektor sekali, lalu mereferensikannya dengan ARN saat memulai microVMS melalui perintah. run-microvm

Prasyarat

Sebelum membuat konektor jaringan, Anda memerlukan peran IAM yang memungkinkan Lambda membuat antarmuka jaringan elastis (ENI) di VPC Anda. Peran tersebut memerlukan izin berikut:

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "CreateENI",
      "Effect": "Allow",
      "Action": "ec2:CreateNetworkInterface",
      "Resource": [
        "arn:aws:ec2:*:*:network-interface/*",
        "arn:aws:ec2:*:*:subnet/*",
        "arn:aws:ec2:*:*:security-group/*"
      ]
    },
    {
      "Sid": "TagENI",
      "Effect": "Allow",
      "Action": "ec2:CreateTags",
      "Resource": "arn:aws:ec2:*:*:network-interface/*",
      "Condition": {
        "StringEquals": {
          "ec2:ManagedResourceOperator": "network-connectors.lambda.amazonaws.com"
        }
      }
    }
  ]
}

Membuat konektor jaringan

Buat konektor dengan menentukan subnet VPC Anda, grup keamanan, dan protokol IPv4 jaringan (atau): DualStack

aws lambda-core create-network-connector \
  --name my-connector \
  --configuration '{
    "VpcEgressConfiguration": {
      "SubnetIds": ["subnet-xxx"],
      "SecurityGroupIds": ["sg-xxx"],
      "NetworkProtocol": "IPv4",
      "AssociatedComputeResourceTypes": ["MicroVm"]
    }
  }' \
  --operator-role arn:aws:iam::123456789012:role/NetworkConnectorOperatorRole

Status konektor jaringan

Konektor harus dalam ACTIVE keadaan sebelum Anda dapat mereferensikannyarun-microvm.

Versi konektor jaringan

Pembuatan versi berlaku untuk konektor jaringan keluar VPC (tipe konektor). VPC_EGRESS Konektor keluar VPC diberi versi: setiap update-network-connector panggilan yang berhasil membuat versi baru, dan versi sebelumnya tetap tersedia.

Saat Anda menjalankan microVM, Anda mereferensikan konektor keluar VPC oleh ARN di. --egress-network-connectors Anda dapat menggunakan salah satu bentuk:

MicroVM pindah ke versi baru hanya ketika Anda mengubah referensi ARN, sehingga Anda dapat mengadopsi versi baru sesuai jadwal Anda sendiri.

Contoh run-microvm panggilan menyematkan versi konektor tertentu:

aws lambda-microvms run-microvm \
  --image-identifier arn:aws:lambda:us-east-1:123456789012:microvm-image:my-microvm-image \
  --egress-network-connectors arn:aws:lambda:us-east-1:123456789012:network-connector:nc-id:version-number \
  --idle-policy '{"maxIdleDurationSeconds":900,"suspendedDurationSeconds":1800,"autoResumeEnabled":false}'

Menjalankan microVM dengan konektor jaringan

Referensi konektor ARN saat menjalankan microVM:

aws lambda-microvms run-microvm \
  --image-identifier arn:aws:lambda:us-east-1:123456789012:microvm-image:my-microvm-image \
  --egress-network-connectors connector-arn \
  --idle-policy '{"maxIdleDurationSeconds":900,"suspendedDurationSeconds":1800,"autoResumeEnabled":false}'

Menggunakan MicroVMS Lambda dengan titik akhir VPC antarmuka (AWS PrivateLink)

Anda dapat menggunakan AWS PrivateLink konektivitas pribadi melalui AWS jaringan antara sumber daya VPC Anda dan microVM Lambda, tanpa melintasi internet publik. MicroVMS mendukung dua titik akhir VPC, tergantung pada tujuan lalu lintas yang diinginkan:

Titik akhir VPC untuk API manajemen microVM

MicroVMS Lambda berbagi layanan titik akhir VPC yang sama dengan Lambda (). com.amazonaws.region.lambda Untuk petunjuk selengkapnya, lihat Membuat titik akhir antarmuka untuk Lambda.

Kebijakan titik akhir untuk API manajemen microVM

Untuk mengontrol siapa yang dapat menggunakan titik akhir antarmuka Anda dan tindakan API MicroVMS Lambda mana yang dapat mereka lakukan, lampirkan kebijakan titik akhir. Kebijakan menentukan prinsip yang dapat melakukan tindakan, tindakan yang dapat mereka lakukan, dan sumber daya yang dapat mereka lakukan. Tindakan microVMS Lambda menggunakan awalan tindakan IAM. lambda:

Untuk informasi selengkapnya, lihat Mengontrol Akses ke Layanan dengan titik akhir VPC dalam Panduan Pengguna Amazon VPC.

Contoh kebijakan berikut memungkinkan pengguna MyUser untuk membuat daftar dan mendapatkan gambar microVM melalui titik akhir:

{
  "Statement": [
    {
      "Principal": {
        "AWS": "arn:aws:iam::111122223333:user/MyUser"
      },
      "Effect": "Allow",
      "Action": [
        "lambda:ListMicrovmImages",
        "lambda:GetMicrovmImage"
      ],
      "Resource": "*"
    }
  ]
}

Titik akhir VPC untuk konektivitas microVM

Untuk menjaga lalu lintas HTTPS ke microVMS yang sedang berjalan Anda tetap pribadi, buat titik akhir antarmuka untuk layanan. com.amazonaws.region.lambda-microvm Titik akhir ini menangani koneksi ke URL endpoint microVM (misalnya,). abc123def456.lambda-microvm.us-east-1.on.aws

Untuk mempelajari lebih lanjut tentang properti titik akhir antarmuka, tinjau panduan titik akhir antarmuka dalam dokumentasi VPC Amazon.

Membuat titik akhir

Untuk membuat titik akhir antarmuka untuk konektivitas microVM (konsol)

Untuk menggunakan opsi DNS pribadi, Anda harus mengatur enableDnsHostnames dan enableDnsSupport atribut VPC Anda. Untuk informasi selengkapnya, lihat Melihat dan memperbarui dukungan DNS untuk VPC Anda di Panduan Pengguna Amazon VPC.

Untuk membuat titik akhir antarmuka untuk konektivitas microVM (CLI)AWS

aws ec2 create-vpc-endpoint \
  --vpc-id vpc-ec43eb89 \
  --vpc-endpoint-type Interface \
  --service-name com.amazonaws.us-east-1.lambda-microvm \
  --subnet-id subnet-abababab \
  --security-group-id sg-1a2b3c4d \
  --private-dns-enabled

Untuk memverifikasi bahwa titik akhir tersedia dan DNS pribadi berlaku:

aws ec2 describe-vpc-endpoints \
  --vpc-endpoint-ids vpce-1a2b3c4d5e6f7g8h9 \
  --query 'VpcEndpoints[0].{State:State,PrivateDns:PrivateDnsEnabled,Dns:DnsEntries[*].DnsName}'

Perilaku DNS pribadi

Saat DNS pribadi diaktifkan — Titik akhir mengelola resolusi DNS untuk di dalam VPC *.lambda-microvm.region.on.aws Anda. Nama host endpoint microVM Anda yang ada (misalnya,abc123def456.lambda-microvm.us-east-1.on.aws) diselesaikan ke alamat IP pribadi dari antarmuka jaringan titik akhir. Tidak diperlukan perubahan klien.

Saat DNS pribadi dinonaktifkan - Amazon VPC menghasilkan nama DNS khusus titik akhir untuk titik akhir Anda dalam formulir. vpce-id-hash.lambda-microvm.region.vpce.amazonaws.com Untuk merutekan lalu lintas melalui titik akhir ini sambil tetap mencapai microVM yang benar, Anda harus mempertahankan nama host microVM asli di dua tempat:

Jika salah satu nilai disetel ke nama host titik akhir VPC alih-alih nama host microVM, koneksi tidak dapat dirutekan ke microVM yang benar.

Contoh: Connect melalui nama DNS khusus titik akhir

Contoh berikut menggunakan curl dengan --connect-to flag untuk mengarahkan koneksi TCP ke titik akhir VPC Anda sambil menyimpan nama host microVM di URL, SNI, dan header Host:

ENDPOINT_HOST=abc123def456.lambda-microvm.us-east-1.on.aws
VPCE_HOST=vpce-0a1b2c3d4e5f67890-a1b2c3d4.lambda-microvm.us-east-1.vpce.amazonaws.com

curl --connect-to "$ENDPOINT_HOST:443:$VPCE_HOST:443" \
  -H "x-aws-proxy-auth: $MICROVM_AUTH_TOKEN" \
  -H "x-aws-proxy-port: 8080" \
  "https://$ENDPOINT_HOST/"

--connect-toBendera memberi tahu curl untuk membuka koneksi TCP ke alamat titik akhir VPC, sedangkan URL, TLS SNI, dan header Host tetap disetel ke nama host microVM Anda.

Untuk informasi selengkapnya, lihat Mengakses layanan melalui titik akhir antarmuka dalam Panduan Pengguna Amazon VPC.

Kebijakan titik akhir untuk konektivitas microVM

Anda dapat melampirkan kebijakan titik akhir untuk mengontrol microVM mana yang dapat dijangkau melalui titik akhir VPC. lambda-microvm Kebijakan endpoint pada lambda-microvm layanan memungkinkan Anda menjangkau koneksi ke akun atau organisasi tertentu. Secara default, titik akhir memungkinkan koneksi ke microVMS di akun apa pun. AWS (Catatan: Klien yang membuat koneksi harus tetap memegang token autentikasi microVM yang valid untuk diberikan akses).

Secara default, titik akhir VPC memiliki kebijakan akses penuh yang memungkinkan semua lalu lintas. Saat Anda mengganti kebijakan default dengan kebijakan khusus, Lambda MicroVMS mengevaluasi kebijakan tersebut terhadap lambda:ConnectMicrovm tindakan pada setiap koneksi yang dilakukan melalui titik akhir. Jika kebijakan tidak mengizinkan penyambungan ke microVMS, sambungan akan ditolak dengan respons HTTP 403 Forbidden. Kebijakan yang tidak memberikan lambda:ConnectMicrovm menolak semua koneksi melalui titik akhir.

Prinsipal dan sumber daya

Koneksi ke endpoint microVM diautentikasi dengan token autentikasi MicroVM daripada Signature Version 4. AWS Untuk alasan ini, tidak ada prinsipal IAM yang terkait dengan koneksi. Sebaliknya, Lambda MicroVMS mengevaluasi kebijakan endpoint dengan prinsipal anonim. Ini berarti:

Kunci kondisi yang didukung

Contoh: Izinkan koneksi hanya ke microVMS di akun Anda sendiri

Kebijakan endpoint berikut memungkinkan koneksi melalui titik akhir hanya ke microVM yang dimiliki oleh akun 111122223333. Koneksi ke microVMS yang dimiliki oleh akun lain ditolak.

{
  "Statement": [
    {
      "Principal": "*",
      "Effect": "Allow",
      "Action": "lambda:ConnectMicrovm",
      "Resource": "*",
      "Condition": {
        "StringEquals": {
          "aws:ResourceAccount": "111122223333"
        }
      }
    }
  ]
}