ネットワーク

実行時にネットワークコネクタリソースを MicroVM に関連付けることで AWS Lambda MicroVMs のネットワークアクセスを設定します。ネットワークコネクタは、run-microvm を呼び出すときに指定されます。MicroVM の実行中に変更することはできません。

概要

各 MicroVM は、独立した入力 (インバウンド) ネットワーク設定と出力 (アウトバウンド) ネットワーク設定を持つことができます。

1 つのコネクタを複数の MicroVM で再利用できます。これは意図した使用パターンです。

インバウンド接続

各 Lambda MicroVM は、run-microvm を呼び出したときに割り当てられた一意の HTTPS エンドポイント URL でアクセスできます。クライアントは、このエンドポイントに HTTPS 経由でリクエストを送信します。Lambda は、各リクエストを MicroVM 内のポートにルーティングし、そこでアプリケーションがリクエストを受信します。

デフォルトでは、エンドポイントで受信されたリクエストは MicroVM 内のポート 8080 にルーティングされます。別のポートにルーティングするには、「ポートルーティング」を参照してください。

インバウンドエンドポイントでは、次のプロトコルがサポートされています。

ポートルーティング

Lambda は、次の優先順位で MicroVM 内のターゲットポートを選択します。

認証

MicroVM エンドポイントへのすべてのリクエストには、X-aws-proxy-auth ヘッダーに有効な認証トークンが必要です。create-microvm-auth-token を使用してトークンを生成します。各トークンは、以下を対象とする暗号化された JWE (JSON Web Encryption) 文字列です。

次の例では、トークンを作成し、それを使用して認証済みのリクエストを送信します。

aws lambda-microvms create-microvm-auth-token \
  --microvm-identifier microvm-id \
  --expiration-in-minutes 30 \
  --allowed-ports '[{"port":8080}]'

curl 'https://microvm-endpoint' \
  -H 'X-aws-proxy-auth: TOKEN' \
  -H 'X-aws-proxy-port: 8080'

トークンの作成と MicroVM への接続 (WebSocket 接続を含む) の完全なチュートリアルについては、「MicroVM に接続する」を参照してください。

エラーレスポンス

リクエストを処理できない場合、またはアプリケーションにリクエストを配信できない場合、次の HTTP ステータスコードが MicroVM エンドポイントから返されます。これらのレスポンスは、アプリケーションからではなく、エンドポイントから送信されます。

リクエストヘッダー

X-aws-proxy-* ヘッダー名前空間は、認証トークン (X-aws-proxy-auth) やターゲットポート (X-aws-proxy-port) などのリクエストメタデータ用に Lambda によって予約されています。Lambda は、リクエストをアプリケーションに転送する前に X-aws-proxy-* ヘッダーを削除します。

リクエスト/レスポンス帯域幅

各 Lambda MicroVM には、そのサイズに合わせて直線的にスケールするリクエスト/レスポンス帯域幅があります。この帯域幅は、MicroVM エンドポイント経由のすべてのトラフィック (インバウンドリクエストとアウトバウンドレスポンスの両方を含む) に適用されます。

ネットワーク飽和が原因でリクエストレイテンシーが増加した場合は、リクエストの同時実行数またはペイロードサイズを減らすか、より大きな MicroVM サイズを選択して使用可能な帯域幅を増やします。

HTTP/2 サポート

Lambda MicroVMs は、インバウンドエンドポイントで HTTP/2 をサポートします。Lambda は、TLS ハンドシェイク中に ALPN (Application-Layer Protocol Negotiation) を介してプロトコルをネゴシエートし、HTTP/2 を優先して HTTP/1.1 にフォールバックします。HTTP/2 対応クライアントは、これを自動的に使用します。

MicroVM 内のエンドポイントとアプリケーションの間で HTTP/2 を使用するには:

アウトバウンド接続

デフォルトでは、Lambda MicroVMs の出力パスにはパブリックインターネットアクセスがあります。MicroVM を Direct Connect または VPN 経由でプライベート VPC 内のリソース (RDS、ElastiCache、内部 API、オンプレミスシステムなど) に接続するには、VPC 設定で Lambda ネットワークコネクタを作成します。

VPC 出力を使用する場合、アウトバウンドトラフィックには、VPC 内のトラフィックを管理するセキュリティグループルールとネットワーク ACL が適用されます。

出力ネットワークコネクタを操作する

出力ネットワークコネクタは、MicroVM からのアウトバウンドトラフィックを VPC 経由でルーティングします。run-microvm コマンドから MicroVM を起動するときにコネクタを 1 回作成して ARN で参照します。

前提条件

ネットワークコネクタを作成するには、Lambda が VPC に Elastic Network Interface (ENI) を作成することを許可する IAM ロールが必要です。このロールには以下のアクセス許可が必要です。

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "CreateENI",
      "Effect": "Allow",
      "Action": "ec2:CreateNetworkInterface",
      "Resource": [
        "arn:aws:ec2:*:*:network-interface/*",
        "arn:aws:ec2:*:*:subnet/*",
        "arn:aws:ec2:*:*:security-group/*"
      ]
    },
    {
      "Sid": "TagENI",
      "Effect": "Allow",
      "Action": "ec2:CreateTags",
      "Resource": "arn:aws:ec2:*:*:network-interface/*",
      "Condition": {
        "StringEquals": {
          "ec2:ManagedResourceOperator": "network-connectors.lambda.amazonaws.com"
        }
      }
    }
  ]
}

ネットワークコネクタを作成する

VPC サブネット、セキュリティグループ、ネットワークプロトコル (IPv4 または DualStack) を指定してコネクタを作成します。

aws lambda-core create-network-connector \
  --name my-connector \
  --configuration '{
    "VpcEgressConfiguration": {
      "SubnetIds": ["subnet-xxx"],
      "SecurityGroupIds": ["sg-xxx"],
      "NetworkProtocol": "IPv4",
      "AssociatedComputeResourceTypes": ["MicroVm"]
    }
  }' \
  --operator-role arn:aws:iam::123456789012:role/NetworkConnectorOperatorRole

ネットワークコネクタの状態

run-microvm で参照するには、コネクタが ACTIVE 状態である必要があります。

ネットワークコネクタで MicroVM を実行する

MicroVM を実行するときは、コネクタの ARN を参照します。

aws lambda-microvms run-microvm \
  --image-identifier arn:aws:lambda:us-east-1:123456789012:microvm-image:my-microvm-image \
  --egress-network-connectors connector-arn \
  --idle-policy '{"maxIdleDurationSeconds":900,"suspendedDurationSeconds":1800,"autoResumeEnabled":false}'