教學課程：使用 Amazon MSK 事件來源對應來叫用 Lambda 函數

為您的界面 Amazon VPC 端點 (端點) 建立安全群組，以允許來自叢集的 443 上輸入 TCP 流量。SecurityGroup SecurityGroups遵循 Amazon EC2 文件中建立安全群組中的程序來建立安全群組。然後，按照 Amazon EC2 文件中將規則新增至安全群組中的程序來新增適當的規則。

使用下列資訊建立安全性群組：

新增輸入規則時，請為叢集中的每個安全性群組建立規則SecurityGroups。對於每個規則：

建立一個端點，將 Lambda 服務連接到包含您的 Amazon MSK 叢集的 Amazon VPC。遵循建立介面端點中的程序。

使用下列資訊建立介面端點：

建立一個端點，將 AWS STS 服務連接到包含您的 Amazon MSK 叢集的 Amazon VPC。遵循建立介面端點中的程序。

使用下列資訊建立介面端點：

對於與 Amazon MSK 叢集相關聯的每個安全群組 (即叢集中)SecurityGroups，允許以下事項：

預設安全性群組規則允許其中一些流量，因此，如果叢集附加至單一安全性群組，而該群組具有預設規則，則不需要額外的規則。若要調整安全群組規則，請遵循 Amazon EC2 文件中將規則新增至安全群組中的程序。

使用下列資訊將規則新增至您的安全群組：

撰寫 IAM 政策文件 (JSON 文件) 叢集 AuthPolicy，允許 Lambda 使用您的卡夫卡客戶群組讀取 Amazon MSK 叢集中的卡夫卡主題。Lambda 需要在讀取時設定卡夫卡消費群組。

變更下列範本以符合您的先決條件：

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "kafka-cluster:Connect",
                "kafka-cluster:DescribeGroup",
                "kafka-cluster:AlterGroup",
                "kafka-cluster:DescribeTopic",
                "kafka-cluster:ReadData",
                "kafka-cluster:DescribeClusterDynamicConfiguration"
            ],
            "Resource": [
                "arn:aws:kafka:region:account-id:cluster/mskClusterName/cluster-uuid",
                "arn:aws:kafka:region:account-id:topic/mskClusterName/cluster-uuid/mskTopicName",
                "arn:aws:kafka:region:account-id:group/mskClusterName/cluster-uuid/mskGroupName"
            ]
        }
    ]
}       

欲了解更多信息，請諮詢IAM 角色型身分驗證。撰寫您的政策時：

識別 Lambda 探索和連接 Amazon MSK 叢集所需的 Amazon MSK、Amazon EC2 和 CloudWatch 許可，並記錄這些事件。

受AWSLambdaMSKExecutionRole管理的原則會寬鬆定義必要的權限。請按照以下步驟使用它。

在生產環境中，請根據最低權限原則評估AWSLambdaMSKExecutionRole以限制執行角色原則，然後為您的角色撰寫取代此受管理原則的原則。

登入 AWS Management Console 並開啟身分與存取權管理主控台，網址為 https://console.aws.amazon.com/iam/。

在左側的導覽窗格中，選擇 Policies (政策)。

選擇 Create policy (建立政策)。

在政策編輯器中，選擇 JSON 選項。

貼上叢集AuthPolicy。

將許可新增至政策後，請選擇下一步。

在檢視與建立頁面上，為您正在建立的政策輸入政策名稱與描述 (選用)。檢視此政策中定義的許可，來查看您的政策所授予的許可。

選擇 Create policy (建立政策) 儲存您的新政策。

在 IAM 主控台中開啟 角色頁面。

選擇 建立角色。

在受信任的實體類型下，選擇 AWS  服務。

在 使用案例 下，選擇 Lambda。

選擇下一步。

選取以下政策：

選擇下一步。

在角色名稱中，輸入 lambda，AuthRole然後選擇建立角色。

開啟 Lambda 主控台，然後從標頭中選取建立函數。

選取從頭開始撰寫。

對於函數名稱，請提供您選擇的適當名稱。

對於 Runtime，請選擇的最新支援版本，Node.js以使用本教學課程中提供的程式碼。

選擇 [變更預設執行角色]。

選取 [使用現有角色]。

對於現有角色，選取 lambda AuthRole。

瀏覽至 Lambda 函數的概觀頁面。

在「功能概覽」區段中，選擇左下角的「新增觸發器」。

在 [選取來源] 下拉式清單中，選取 Amazon MSK。

請勿設定驗證。

對於 MSK 叢集，請選取叢集的名稱。

對於 Batch 大小，輸入 1。此步驟使得此功能更容易測試，並且在生產中不是理想的價值。

對於「主題名稱」，請提供您的 Kafka 主題名稱。

對於消費者群組 ID，請提供您的卡夫卡用戶群組的 ID。

瀏覽至 Lambda 函數的概觀頁面。

選擇 程式碼 標籤。

在程式碼來源 IDE 中輸入提供的程式碼。

在 [程式碼原始碼] 導覽列中，選擇 [部署]。

使用您的卡夫卡管理主機使用 CLI 生成卡夫卡事件。kafka-console-producer如需詳細資訊，請參閱 Kafka 文件中的將一些事件寫入主題。針對先前步驟中定義的事件來源對應，傳送足夠的事件以填滿批次大小定義的批次，否則 Lambda 將等待更多資訊呼叫。

如果您的函數執行，Lambda 會寫入發生的事情 CloudWatch。在主控台中，導覽至 Lambda 函數的詳細資料頁面。

選取 Configuration (組態) 索引標籤。

在側邊欄中，選取監控和作業工具。

識別記CloudWatch 錄組態下的記錄群組。記錄群組的開頭應為/aws/lambda。選擇日誌群組的連結。

在 CloudWatch 主控台中，檢查 Lambda 傳送至記錄串流的記錄事件記錄事件。識別是否存在包含來自 Kafka 事件之訊息的記錄事件，如下圖所示。如果有的話，您已經使用 Lambda 事件來源對應成功將 Lambda 函數連接到 Amazon MSK。