Redes

Você configura o acesso à rede para seu AWS Lambda MicroVMs associando recursos do Network Connector à sua MicroVM em runtime. Os conectores de rede são especificados quando você chama run-microvm e não podem ser alterados enquanto uma microVM está em execução.

Visão geral

Cada microVM pode ter configurações de rede independentes de entrada e saída.

Um único conector pode ser reutilizado em várias microVMs. Esse é o padrão de uso pretendido.

Conectividade de entrada

Cada Lambda MicroVM pode ser acessada em um URL de endpoint HTTPS exclusivo, atribuído quando você chama run-microvm. Os clientes enviam solicitações para esse endpoint por HTTPS. O Lambda faz o roteamento de cada solicitação para uma porta dentro da sua microVM, onde sua aplicação a recebe.

Por padrão, as solicitações recebidas no endpoint são roteadas para a porta 8080 dentro da microVM. Para rotear para uma porta diferente, consulte Roteamento de portas.

Os seguintes protocolos são compatíveis com o endpoint de entrada:

Roteamento de portas

O Lambda seleciona a porta de destino dentro da sua microVM usando a seguinte ordem de prioridade:

Autenticação

Todas as solicitações ao endpoint de uma microVM exigem um token de autenticação válido no cabeçalho X-aws-proxy-auth. Você gera tokens usando create-microvm-auth-token. Cada token é uma string JWE (JSON Web Encryption) criptografada com o escopo definido para:

O exemplo a seguir cria um token e o usa para enviar uma solicitação autenticada:

aws lambda-microvms create-microvm-auth-token \
  --microvm-identifier microvm-id \
  --expiration-in-minutes 30 \
  --allowed-ports '[{"port":8080}]'

curl 'https://microvm-endpoint' \
  -H 'X-aws-proxy-auth: TOKEN' \
  -H 'X-aws-proxy-port: 8080'

Para obter uma explicação completa sobre como criar tokens e se conectar a uma microVM, inclusive conexões WebSocket, consulte Conexão a uma microVM.

Respostas de erro

Os seguintes códigos de status HTTP são retornados pelo endpoint da microVM quando ele não consegue processar ou entregar uma solicitação à sua aplicação. Essas respostas vêm do endpoint, não da sua aplicação.

Cabeçalhos de solicitação

O namespace do cabeçalho X-aws-proxy-* é reservado pelo Lambda para os metadados da solicitação, como o token de autenticação (X-aws-proxy-auth) e a porta de destino (X-aws-proxy-port). O Lambda remove os cabeçalhos X-aws-proxy-* antes de encaminhar a solicitação para a aplicação.

Largura de banda de solicitação/resposta

Cada Lambda MicroVM tem uma largura de banda de solicitação/resposta que escala linearmente com seu tamanho. Essa largura de banda se aplica a todo o tráfego realizado por meio do endpoint da microVM, tanto as solicitações de entrada quanto as respostas de saída.

Se houver maior latência de solicitações devido à saturação da rede, reduza a simultaneidade da solicitação ou o tamanho da carga útil ou selecione um tamanho maior de microVM para aumentar a largura de banda disponível.

Suporte a HTTP/2

O Lambda MicroVMs oferece suporte a HTTP/2 no endpoint de entrada. O Lambda negocia o protocolo por meio de ALPN (Application-Layer Protocol Negotiation) durante o handshake TLS, dá preferência para HTTP/2 e volta para HTTP/1.1. Um cliente compatível com HTTP/2 o usa automaticamente.

Para usar HTTP/2 entre o endpoint e sua aplicação dentro da microVM:

Conectividade de saída

Por padrão, o Lambda MicroVMs tem acesso público à internet no caminho de saída. Para conectar microVMs com recursos em suas VPCs privadas, como RDS, ElastiCache, APIs internas e sistemas on-premises por meio do Direct Connect ou VPN, crie um Lambda Network Connector com sua configuração de VPC.

Ao usar a saída da VPC, o tráfego de saída está sujeito às regras do grupo de segurança e às ACLs de rede que regem o tráfego na sua VPC.

Trabalho com conectores de rede de saída

Os conectores de rede de saída fazem o roteamento do tráfego de saída de sua MicroVM pela sua VPC. Você cria um conector uma vez e, em seguida, faz referência a ele pelo ARN ao iniciar microVMs por meio do comando run-microvm.

Pré-requisitos

Antes de criar um conector de rede, você precisa de um perfil do IAM que permita ao Lambda criar interfaces de rede elásticas (ENIs) em sua VPC. A função requer as seguintes permissões:

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "CreateENI",
      "Effect": "Allow",
      "Action": "ec2:CreateNetworkInterface",
      "Resource": [
        "arn:aws:ec2:*:*:network-interface/*",
        "arn:aws:ec2:*:*:subnet/*",
        "arn:aws:ec2:*:*:security-group/*"
      ]
    },
    {
      "Sid": "TagENI",
      "Effect": "Allow",
      "Action": "ec2:CreateTags",
      "Resource": "arn:aws:ec2:*:*:network-interface/*",
      "Condition": {
        "StringEquals": {
          "ec2:ManagedResourceOperator": "network-connectors.lambda.amazonaws.com"
        }
      }
    }
  ]
}

Como criar um conector de rede

Crie um conector especificando as sub-redes da VPC, os grupos de segurança e o protocolo de rede (IPv4 ou DualStack):

aws lambda-core create-network-connector \
  --name my-connector \
  --configuration '{
    "VpcEgressConfiguration": {
      "SubnetIds": ["subnet-xxx"],
      "SecurityGroupIds": ["sg-xxx"],
      "NetworkProtocol": "IPv4",
      "AssociatedComputeResourceTypes": ["MicroVm"]
    }
  }' \
  --operator-role arn:aws:iam::123456789012:role/NetworkConnectorOperatorRole

Estados do conector de rede

Um conector deve estar no estado ACTIVE antes que você possa fazer referência a ele em run-microvm.

Executando uma microVM com um conector de rede

Faça referência ao ARN do conector ao executar uma microVM:

aws lambda-microvms run-microvm \
  --image-identifier arn:aws:lambda:us-east-1:123456789012:microvm-image:my-microvm-image \
  --egress-network-connectors connector-arn \
  --idle-policy '{"maxIdleDurationSeconds":900,"suspendedDurationSeconds":1800,"autoResumeEnabled":false}'

Uso do Lambda MicroVMs com endpoints da VPC da interface (AWS PrivateLink)

Você pode usar o AWS PrivateLink para conectividade privada na rede da AWS entre os recursos da VPC e o Lambda MicroVMs, sem atravessar a internet pública. O MicroVMs oferece suporte a dois endpoints da VPC, dependendo do destino desejado para o tráfego:

Endpoint da VPC para as APIs de gerenciamento da microVM

O Lambda MicroVMs compartilha o mesmo serviço de endpoint da VPC que o Lambda (com.amazonaws.region.lambda). Para obter instruções completas, consulte Criar um endpoint de interface para Lambda.

Política de endpoint para as APIs de gerenciamento da microVM

Para controlar quem pode usar o endpoint de interface e quais ações da API do Lambda MicroVMs ele pode realizar, vincule uma política de endpoint. A política especifica a entidade principal que pode executar ações, quais ações ela pode executar e os recursos no qual ela pode ser executada. As ações do Lambda MicroVMs usam o prefixo de ação lambda: IAM.

Para mais informações, consulte Controlar o acesso a serviços com VPC endpoints no Guia do usuário da Amazon VPC.

O exemplo de política a seguir permite que o usuário MyUser liste e obtenha imagens da microVM por meio do endpoint:

{
  "Statement": [
    {
      "Principal": {
        "AWS": "arn:aws:iam::111122223333:user/MyUser"
      },
      "Effect": "Allow",
      "Action": [
        "lambda:ListMicrovmImages",
        "lambda:GetMicrovmImage"
      ],
      "Resource": "*"
    }
  ]
}

Endpoint da VPC para conectividade da microVM

Para manter privado o tráfego HTTPS em suas microVMs em execução, crie um endpoint de interface para o serviço com.amazonaws.region.lambda-microvm. Esse endpoint manipula as conexões com os URLs do endpoint da microVM (por exemplo, abc123def456.lambda-microvm.us-east-1.on.aws).

Para saber mais sobre as propriedades do endpoint de interface, consulte o guia de endpoints de interface na documentação da Amazon VPC.

Criar o endpoint

Para criar um endpoint de interface para conectividade de microVM (console)

Para usar a opção de DNS privado, é necessário definir os recursos enableDnsHostnames e enableDnsSupport da sua VPC. Para obter mais informações, consulte Viewing and updating DNS support for your VPC no Guia do usuário da Amazon VPC.

Para criar um endpoint de interface para a conectividade da microVM (CLI da AWS)

aws ec2 create-vpc-endpoint \
  --vpc-id vpc-ec43eb89 \
  --vpc-endpoint-type Interface \
  --service-name com.amazonaws.us-east-1.lambda-microvm \
  --subnet-id subnet-abababab \
  --security-group-id sg-1a2b3c4d \
  --private-dns-enabled

Para verificar se o endpoint está disponível e se o DNS privado está em vigor:

aws ec2 describe-vpc-endpoints \
  --vpc-endpoint-ids vpce-1a2b3c4d5e6f7g8h9 \
  --query 'VpcEndpoints[0].{State:State,PrivateDns:PrivateDnsEnabled,Dns:DnsEntries[*].DnsName}'

Comportamento do DNS privado

Quando o DNS privado está habilitado: o endpoint gerencia a resolução de DNS para *.lambda-microvm.region.on.aws dentro da sua VPC. Os nomes de host de endpoint atuais da microVM (por exemplo, abc123def456.lambda-microvm.us-east-1.on.aws) são resolvidos para os endereços IP privados das interfaces de rede do endpoint. Nenhuma alteração por parte do cliente é necessária.

Quando o DNS privado está desabilitado: o Amazon VPC gera um nome de DNS específico do endpoint para seu endpoint no formato vpce-id-hash.lambda-microvm.region.vpce.amazonaws.com. Para rotear o tráfego por esse endpoint enquanto ainda acessa a microVM correta, você precisa preservar o nome do host original da microVM em dois lugares:

Se um dos valores for definido como nome do host do endpoint da VPC em vez do nome do host da microVM, a conexão não poderá ser roteada para a microVM correta.

Exemplo: conexão por meio de um nome de DNS específico do endpoint

O exemplo a seguir usa curl com o sinalizador --connect-to para redirecionar a conexão TCP para endpoint da VPC, enquanto mantém o nome do host da microVM nos cabeçalhos do URL, SNI e Host:

ENDPOINT_HOST=abc123def456.lambda-microvm.us-east-1.on.aws
VPCE_HOST=vpce-0a1b2c3d4e5f67890-a1b2c3d4.lambda-microvm.us-east-1.vpce.amazonaws.com

curl --connect-to "$ENDPOINT_HOST:443:$VPCE_HOST:443" \
  -H "x-aws-proxy-auth: $MICROVM_AUTH_TOKEN" \
  -H "x-aws-proxy-port: 8080" \
  "https://$ENDPOINT_HOST/"

O sinalizador --connect-to instrui o curl a abrir a conexão TCP com o endereço do endpoint da VPC, enquanto o cabeçalho do URL, TLS SNI e Host permanece definido como o nome do host da microVM.

Para mais informações, consulte Acessar um serviço por um endpoint de interface no Guia do usuário da Amazon VPC.

Política de endpoint para conectividade de microVM

É possível anexar uma política de endpoint para controlar quais microVMs podem ser acessadas por meio do endpoint da VPC do lambda-microvm. Uma política de endpoint no serviço do lambda-microvm permite que você defina o escopo das conexões com contas ou organizações específicas. Por padrão, o endpoint permite conexões com microVMs em qualquer conta da AWS. (Observação: o cliente que estabelece a conexão ainda precisa ter um token de autenticação de microVM válido para receber acesso).

Por padrão, o endpoint da VPC tem uma política de acesso total que permite todo o tráfego. Quando você substitui a política padrão por uma política personalizada, o Lambda MicroVMs avalia essa política em relação à ação lambda:ConnectMicrovm em cada conexão feita por meio do endpoint. Se a política não permitir a conexão com microVMs, a conexão será rejeitada com uma resposta HTTP 403 Forbidden. Uma política que não concede lambda:ConnectMicrovm nega todas as conexões por meio do endpoint.

Entidade principal e recurso

As conexões com um endpoint da microVM são autenticadas com um token de autenticação de microVM, em vez do AWS Signature Versão 4. Por esse motivo, nenhuma entidade principal do IAM está associada à conexão. Em vez disso, o Lambda MicroVMs avalia a política de endpoint com uma entidade principal anônima. Isso significa que:

Chaves de condição compatíveis

Exemplo: permitir conexões somente com microVMs em sua própria conta

A política de endpoint a seguir permite conexões por meio do endpoint somente para as microVMs pertencentes à conta 111122223333. As conexões com as microVMs pertencentes a qualquer outra conta são negadas.

{
  "Statement": [
    {
      "Principal": "*",
      "Effect": "Allow",
      "Action": "lambda:ConnectMicrovm",
      "Resource": "*",
      "Condition": {
        "StringEquals": {
          "aws:ResourceAccount": "111122223333"
        }
      }
    }
  ]
}