Networking

您可以通过在运行时将网络连接器资源关联到 MicroVM，从而为您的 AWS Lambda MicroVMs 配置网络访问权限。网络连接器将在您调用 run-microvm 时指定，无法在 MicroVM 运行时更改。

概述

每个 MicroVM 都可以具有独立的入口（入站）和出口（出站）网络配置：

单个连接器可以在多个 MicroVM 中重复使用，这是预期的使用模式。

入站连接

每个 Lambda MicroVM 都可通过您在调用 run-microvm 时分配的唯一 HTTPS 端点 URL 进行访问。客户端会通过 HTTPS 向该端点发送请求。Lambda 会将每个请求路由到您的 MicroVM 内的端口，并且您的应用程序将在该端点接收该请求。

默认情况下，在该端点收到的请求会路由到 MicroVM 内的 8080 端口。要路由到其他端口，请参阅端口路由。

入站端点支持以下协议：

端口路由

Lambda 将按以下优先顺序选择 MicroVM 内的目标端口：

身份验证

对一个 MicroVM 端点的所有请求都需要在 X-aws-proxy-auth 标头中包含有效的身份验证令牌。您可以使用 create-microvm-auth-token 来生成令牌。每个令牌都是一个加密的 JWE（JSON Web 加密）字符串，其作用域为：

以下示例会创建一个令牌并用来发送已通过身份验证的请求：

aws lambda-microvms create-microvm-auth-token \
  --microvm-identifier microvm-id \
  --expiration-in-minutes 30 \
  --allowed-ports '[{"port":8080}]'

curl 'https://microvm-endpoint' \
  -H 'X-aws-proxy-auth: TOKEN' \
  -H 'X-aws-proxy-port: 8080'

有关创建令牌和连接到 MicroVM（包括 WebSocket 连接）的完整演示，请参阅连接到 MicroVM。

错误响应

当 MicroVM 端点无法处理或向您的应用程序传输请求时，将会返回以下 HTTP 状态代码。这些响应来自端点，而不是来自应用程序。

请求标头

X-aws-proxy-* 标头命名空间由 Lambda 保留，用于请求元数据，例如身份验证令牌 (X-aws-proxy-auth) 和目标端口 (X-aws-proxy-port)。在将请求转发给您的应用程序之前，Lambda 会移除 X-aws-proxy-* 标头。

请求/响应带宽

每个 Lambda MicroVM 都有一个可随其大小线性扩缩的请求/响应带宽。此带宽适用于通过 MicroVM 端点的所有流量，包括入站请求和出站响应。

如果由于网络饱和而导致请求延迟增加，请减少请求并发量或有效载荷大小，或者选择更大的 MicroVM 大小来增加可用带宽。

HTTP/2 支持

Lambda MicroVMs 支持入站端点上的 HTTP/2 流量。Lambda 在 TLS 握手期间通过 ALPN（应用程序层协议协商）来协商协议，并首选 HTTP/2，失败则回退到 HTTP/1.1。支持 HTTP/2 的客户端会自动使用此协议。

要在 MicroVM 内的端点和应用程序之间使用 HTTP/2，请执行以下操作：

出站连接

默认情况下，Lambda MicroVMs 在出口路径上具有公共互联网访问权限。要通过 Direct Connect 或 VPN 将 MicroVM 连接到 RDS、ElastiCache、内部 API 和本地系统等私有 VPC 中的资源，请使用您的 VPC 配置创建一个 Lambda 网络连接器。

使用 VPC 出口时，出站流量受用于管理 VPC 中流量的安全组规则和网络 ACL 约束。

使用出口网络连接器

出口网络连接器通过您的 VPC 路由来自 MicroVM 的出站流量。您只需一次创建连接器，然后在通过 run-microvm 命令启动 MicroVM 时使用 ARN 引用即可。

先决条件

在创建网络连接器之前，您需要拥有一个允许 Lambda 在您的 VPC 中创建弹性网络接口（ENI）的 IAM 角色。该角色需要以下权限：

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "CreateENI",
      "Effect": "Allow",
      "Action": "ec2:CreateNetworkInterface",
      "Resource": [
        "arn:aws:ec2:*:*:network-interface/*",
        "arn:aws:ec2:*:*:subnet/*",
        "arn:aws:ec2:*:*:security-group/*"
      ]
    },
    {
      "Sid": "TagENI",
      "Effect": "Allow",
      "Action": "ec2:CreateTags",
      "Resource": "arn:aws:ec2:*:*:network-interface/*",
      "Condition": {
        "StringEquals": {
          "ec2:ManagedResourceOperator": "network-connectors.lambda.amazonaws.com"
        }
      }
    }
  ]
}

创建网络连接器

通过指定您的 VPC 子网、安全组和网络协议（IPv4 或 DualStack）来创建连接器：

aws lambda-core create-network-connector \
  --name my-connector \
  --configuration '{
    "VpcEgressConfiguration": {
      "SubnetIds": ["subnet-xxx"],
      "SecurityGroupIds": ["sg-xxx"],
      "NetworkProtocol": "IPv4",
      "AssociatedComputeResourceTypes": ["MicroVm"]
    }
  }' \
  --operator-role arn:aws:iam::123456789012:role/NetworkConnectorOperatorRole

网络连接器状态

连接器必须处于 ACTIVE 状态，然后才能在 run-microvm 中引用。

使用网络连接器运行 MicroVM

在运行 MicroVM 时引用连接器 ARN：

aws lambda-microvms run-microvm \
  --image-identifier arn:aws:lambda:us-east-1:123456789012:microvm-image:my-microvm-image \
  --egress-network-connectors connector-arn \
  --idle-policy '{"maxIdleDurationSeconds":900,"suspendedDurationSeconds":1800,"autoResumeEnabled":false}'

将 Lambda MicroVM 与接口 VPC 端点（AWS PrivateLink）结合使用

您可以使用 AWS PrivateLink，通过 AWS 网络在 VPC 资源与 Lambda MicroVM 之间进行私有连接，而无需经过公有互联网。MicroVM 支持两个 VPC 终端节点，具体取决于所需的流量目的地： MicroVM 支持两个 VPC 端点，具体取决于所需的流量目标：

用于 MicroVM 管理 API 的 VPC 端点

Lambda MicroVM 与 Lambda (com.amazonaws.region.lambda) 共享同一个 VPC 端点服务。有关完整说明，请参阅为 Lambda 创建接口端点。

用于 MicroVM 管理 API 的端点策略

要控制哪些用户可以使用您的接口端点，以及他们可以执行哪些 Lambda MicroVM API 操作，请附加端点策略。该策略指定了可以执行操作的主体、他们可以执行的操作以及他们可以操作的资源。Lambda MicroVM 操作使用 lambda: IAM 操作前缀。

有关更多信息，请参阅《Amazon VPC User Guide》中的 Controlling access to services with VPC endpoints。

以下示例策略允许用户 MyUser 通过端点列出和获取 MicroVM 映像：

{
  "Statement": [
    {
      "Principal": {
        "AWS": "arn:aws:iam::111122223333:user/MyUser"
      },
      "Effect": "Allow",
      "Action": [
        "lambda:ListMicrovmImages",
        "lambda:GetMicrovmImage"
      ],
      "Resource": "*"
    }
  ]
}

用于 MicroVM 连接的 VPC 端点

要使流向正在运行的 MicroVM 的 HTTPS 流量保持私有，请为 com.amazonaws.region.lambda-microvm 服务创建接口端点。此端点处理与 MicroVM 端点 URL 的连接（例如 abc123def456.lambda-microvm.us-east-1.on.aws）。

要了解有关接口端点属性的更多信息，请查看《Amazon VPC 文档》中的接口端点指南。

创建终端节点

为 MicroVM 连接创建接口端点（控制台）

要使用私有 DNS 选项，您必须设置 VPC 的 enableDnsHostnames 和 enableDnsSupport 属性。有关更多信息，请参阅《Amazon VPC 用户指南》中的查看和更新 VPC 的 DNS 支持。

为 MicroVM 连接创建接口端点（AWS CLI）

aws ec2 create-vpc-endpoint \
  --vpc-id vpc-ec43eb89 \
  --vpc-endpoint-type Interface \
  --service-name com.amazonaws.us-east-1.lambda-microvm \
  --subnet-id subnet-abababab \
  --security-group-id sg-1a2b3c4d \
  --private-dns-enabled

要验证端点是否可用以及私有 DNS 是否生效，请执行以下操作：

aws ec2 describe-vpc-endpoints \
  --vpc-endpoint-ids vpce-1a2b3c4d5e6f7g8h9 \
  --query 'VpcEndpoints[0].{State:State,PrivateDns:PrivateDnsEnabled,Dns:DnsEntries[*].DnsName}'

私有 DNS 行为

启用私有 DNS 时：该端点会管理 VPC 内 *.lambda-microvm.region.on.aws 的 DNS 解析。您现有的 MicroVM 端点主机名（例如 abc123def456.lambda-microvm.us-east-1.on.aws）将解析为端点网络接口的私有 IP 地址。无需更改客户端。

禁用私有 DNS 时：Amazon VPC 会为端点生成一个特定于端点的 DNS 名称，格式为 vpce-id-hash.lambda-microvm.region.vpce.amazonaws.com。要通过此端点路由流量，同时仍能到达正确的 MicroVM，必须在两个位置保留原始 MicroVM 主机名：

如果将任一值设置为 VPC 端点主机名而非 MicroVM 主机名，连接将无法路由到正确的 MicroVM。

示例：通过特定于端点的 DNS 名称进行连接

以下示例使用带有 --connect-to 标志的 curl，将 TCP 连接重定向到 VPC 端点，同时在 URL、SNI 和 Host 标头中保留 MicroVM 主机名：

ENDPOINT_HOST=abc123def456.lambda-microvm.us-east-1.on.aws
VPCE_HOST=vpce-0a1b2c3d4e5f67890-a1b2c3d4.lambda-microvm.us-east-1.vpce.amazonaws.com

curl --connect-to "$ENDPOINT_HOST:443:$VPCE_HOST:443" \
  -H "x-aws-proxy-auth: $MICROVM_AUTH_TOKEN" \
  -H "x-aws-proxy-port: 8080" \
  "https://$ENDPOINT_HOST/"

--connect-to 标志指示 curl 向 VPC 端点地址建立 TCP 连接，而 URL、TLS SNI 和 Host 标头仍保持设置为 MicroVM 主机名。

有关更多信息，请参阅《Amazon VPC 用户指南》中的通过接口端点访问服务。

用于 MicroVM 连接的端点策略

您可以附加端点策略来控制哪些 MicroVM 可通过 lambda-microvm VPC 端点进行访问。lambda-microvm 服务上的端点策略允许您将连接范围限定为特定账户或组织。默认情况下，该端点允许连接到任何 AWS 账户中的 MicroVM。（注意：建立连接的客户端仍必须持有有效的 MicroVM 身份验证令牌才能获得访问权限）。

默认情况下，VPC 端点具有允许所有流量的完全访问策略。当您将默认策略替换为自定义策略时，Lambda MicroVM 会针对通过该端点建立的每个连接，根据 lambda:ConnectMicrovm 操作评估该策略。如果该策略不允许连接到 MicroVM，连接将被拒绝，并返回 HTTP 403 Forbidden 响应。未授予 lambda:ConnectMicrovm 的策略将拒绝通过该端点建立的所有连接。

主体和资源

连接到 MicroVM 端点时，使用 MicroVM 身份验证令牌而非 AWS 签名版本 4 进行身份验证。因此，没有 IAM 主体与该连接关联。相反，Lambda MicroVM 会以匿名主体来评估端点策略。这意味着：

支持的条件键

示例：仅允许连接到您自己账户中的 MicroVM

以下端点策略仅允许通过该端点连接到账户 111122223333 拥有的 MicroVM。与任何其他账户拥有的 MicroVM 建立连接均会被拒绝。

{
  "Statement": [
    {
      "Principal": "*",
      "Effect": "Allow",
      "Action": "lambda:ConnectMicrovm",
      "Resource": "*",
      "Condition": {
        "StringEquals": {
          "aws:ResourceAccount": "111122223333"
        }
      }
    }
  ]
}