Redes

Você configura o acesso à rede para seu AWS Lambda MicroVMS associando recursos do Network Connector à sua MicroVM em runtime. Os conectores de rede são especificados quando você chama run-microvm e não podem ser alterados enquanto uma microVM está em execução.

Visão geral

Cada microVM pode ter configurações de rede independentes de entrada e saída.

Um único conector pode ser reutilizado em várias microVMs. Esse é o padrão de uso pretendido.

Conectividade de entrada

Cada Lambda MicroVM pode ser acessada em um URL de endpoint HTTPS exclusivo, atribuído quando você chama run-microvm. Os clientes enviam solicitações para esse endpoint por HTTPS. O Lambda faz o roteamento de cada solicitação para uma porta dentro da sua microVM, onde sua aplicação a recebe.

Por padrão, as solicitações recebidas no endpoint são roteadas para a porta 8080 dentro da microVM. Para rotear para uma porta diferente, consulte Roteamento de portas.

Os seguintes protocolos são compatíveis com o endpoint de entrada:

Roteamento de portas

O Lambda seleciona a porta de destino dentro da sua microVM usando a seguinte ordem de prioridade:

Autenticação

Todas as solicitações ao endpoint de uma microVM exigem um token de autenticação válido no cabeçalho X-aws-proxy-auth. Você gera tokens usando create-microvm-auth-token. Cada token é uma string JWE (JSON Web Encryption) criptografada com o escopo definido para:

O exemplo a seguir cria um token e o usa para enviar uma solicitação autenticada:

aws lambda-microvms create-microvm-auth-token \
  --microvm-identifier microvm-id \
  --expiration-in-minutes 30 \
  --allowed-ports '[{"port":8080}]'

curl 'https://microvm-endpoint' \
  -H 'X-aws-proxy-auth: TOKEN' \
  -H 'X-aws-proxy-port: 8080'

Para obter uma explicação completa sobre como criar tokens e se conectar a uma microVM, inclusive conexões WebSocket, consulte Conexão a uma microVM.

Respostas de erro

Os seguintes códigos de status HTTP são retornados pelo endpoint da microVM quando ele não consegue processar ou entregar uma solicitação à sua aplicação. Essas respostas vêm do endpoint, não da sua aplicação.

Cabeçalhos de solicitação

O namespace do cabeçalho X-aws-proxy-* é reservado pelo Lambda para os metadados da solicitação, como o token de autenticação (X-aws-proxy-auth) e a porta de destino (X-aws-proxy-port). O Lambda remove os cabeçalhos X-aws-proxy-* antes de encaminhar a solicitação para a aplicação.

Largura de banda de solicitação/resposta

Cada Lambda MicroVM tem uma largura de banda de solicitação/resposta que escala linearmente com seu tamanho. Essa largura de banda se aplica a todo o tráfego realizado por meio do endpoint da microVM, tanto as solicitações de entrada quanto as respostas de saída.

Se houver maior latência de solicitações devido à saturação da rede, reduza a simultaneidade da solicitação ou o tamanho da carga útil ou selecione um tamanho maior de microVM para aumentar a largura de banda disponível.

Suporte a HTTP/2

O Lambda MicroVMS oferece suporte a HTTP/2 no endpoint de entrada. O Lambda negocia o protocolo por meio de ALPN (Application-Layer Protocol Negotiation) durante o handshake TLS, dá preferência para HTTP/2 e volta para HTTP/1.1. Um cliente compatível com HTTP/2 o usa automaticamente.

Para usar HTTP/2 entre o endpoint e sua aplicação dentro da microVM:

Conectividade de saída

Por padrão, o Lambda MicroVMS tem acesso público à internet no caminho de saída. Para conectar microVMs com recursos em suas VPCs privadas, como RDS, ElastiCache, APIs internas e sistemas on-premises por meio do Direct Connect ou VPN, crie um Lambda Network Connector com sua configuração de VPC.

Ao usar a saída da VPC, o tráfego de saída está sujeito às regras do grupo de segurança e às ACLs de rede que regem o tráfego na sua VPC.

Trabalho com conectores de rede de saída

Os conectores de rede de saída fazem o roteamento do tráfego de saída de sua MicroVM pela sua VPC. Você cria um conector uma vez e, em seguida, faz referência a ele pelo ARN ao iniciar microVMs por meio do comando run-microvm.

Pré-requisitos

Antes de criar um conector de rede, você precisa de um perfil do IAM que permita ao Lambda criar interfaces de rede elásticas (ENIs) em sua VPC. A função requer as seguintes permissões:

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "CreateENI",
      "Effect": "Allow",
      "Action": "ec2:CreateNetworkInterface",
      "Resource": [
        "arn:aws:ec2:*:*:network-interface/*",
        "arn:aws:ec2:*:*:subnet/*",
        "arn:aws:ec2:*:*:security-group/*"
      ]
    },
    {
      "Sid": "TagENI",
      "Effect": "Allow",
      "Action": "ec2:CreateTags",
      "Resource": "arn:aws:ec2:*:*:network-interface/*",
      "Condition": {
        "StringEquals": {
          "ec2:ManagedResourceOperator": "network-connectors.lambda.amazonaws.com"
        }
      }
    }
  ]
}

Como criar um conector de rede

Crie um conector especificando as sub-redes da VPC, os grupos de segurança e o protocolo de rede (IPv4 ou DualStack):

aws lambda-core create-network-connector \
  --name my-connector \
  --configuration '{
    "VpcEgressConfiguration": {
      "SubnetIds": ["subnet-xxx"],
      "SecurityGroupIds": ["sg-xxx"],
      "NetworkProtocol": "IPv4",
      "AssociatedComputeResourceTypes": ["MicroVm"]
    }
  }' \
  --operator-role arn:aws:iam::123456789012:role/NetworkConnectorOperatorRole

Estados do conector de rede

Um conector deve estar no estado ACTIVE antes que você possa fazer referência a ele em run-microvm.

Executando uma microVM com um conector de rede

Faça referência ao ARN do conector ao executar uma microVM:

aws lambda-microvms run-microvm \
  --image-identifier arn:aws:lambda:us-east-1:123456789012:microvm-image:my-microvm-image \
  --egress-network-connectors connector-arn \
  --idle-policy '{"maxIdleDurationSeconds":900,"suspendedDurationSeconds":1800,"autoResumeEnabled":false}'