Lambda integreren met AWS-services

Serverless-toepassingen met AWS Lambda

Claudio Canales

Senior DevOps Engineer

De integratielus

Event in.
Handlerlogica.
SDK-call.

Event -> handler -> SDK-loop

Triggers vs SDK-calls

Trigger

Bepaalt wanneer Lambda draait.

SDK-call (in de handler)

Leest en schrijft services zoals DynamoDB en S3.

Trigger vs SDK-call

Een concreet voorbeeld

Een bestand komt in S3.
Lambda draait.
Sla een klein record op in DynamoDB.

S3-upload -> Lambda -> DynamoDB

Eventpayload: vind wat je nodig hebt

{
  "Records": [{
    "s3": {
      "bucket": {"name": "…"},
      "object": {"key": "…"}
    }
  }]
}

Annotaties bij S3-eventpayload

Waar de AWS SDK past

Je code roept de SDK aan (boto3).
De SDK roept AWS-API's aan.
IAM is de portier.

Handler -> SDK -> AWS-API

Execution role = credentials

Tijdelijke credentials uit de execution role.
Geen access keys in code.
Kan de role een API niet aanroepen, dan faalt de SDK-call.

Execution role levert credentials

Least privilege: scopeer acties + resources

Beperkt de impact bij fouten.
Geef alleen benodigde acties en resources.
Vermijd wildcards tenzij echt nodig.

Least privilege: acties en resources

DynamoDB: kies de juiste operatie

PutItem schrijft.
GetItem leest op key.
Query vindt gerelateerde items.
Kies gerichte operaties boven brede scans.

DynamoDB-operaties

S3: werk met bucket + key

Objecten staan op bucket + key.
GetObject haalt content op.
PutObject schrijft een nieuw afgeleid bestand.

S3-bucket en key

Zet configuratie in omgevingsvariabelen

Resourcenamen hardcoden is fragiel.
Gebruik omgevingsvariabelen.
Deploy dezelfde code naar dev en prod.

Configuratie via omgevingsvariabelen

SDK-code: hou het klein en testbaar

import boto3
ddb = boto3.client("dynamodb")
def handler(event, context):
    ddb.put_item(
        TableName="files",
        Item={"pk": {"S": "1"}},
    )

Valideer input, roep de SDK aan, return.
Unit-test de pure logica.

Kleine handler met SDK-call

Ga bewust om met SDK-fouten

Permissiefouten komen vaak voor in het begin.
Maak bij falen duidelijk waarom.
Goede logs maken debuggen veiliger.

Succes- en faalpaden

Als IAM fout is, lijkt de code oké

AccessDeniedException
required action denied

Fix eerst IAM, dan de handlerlogica.

Toegang geweigerd

Idempotency: veilige retries en duplicaten

Je kunt hetzelfde event twee keer zien.
Idempotency-keys voorkomen dubbele verwerking.
Voorwaardelijke writes maken herhalingen veilig.

Idempotency-keypatroon

Alles samen (end-to-end)

S3-event bevat bucket en key.
Handler parseert ze.
PutItem schrijft metadata naar DynamoDB.
CloudWatch Logs tonen wat er gebeurde.

End-to-end integratiesamenvatting

Belangrijkste punten

Scheid triggers van SDK-calls.
Houd permissies strak met de execution role.
Maak config draagbaar met env-vars.

Belangrijkste integratiepunten

Laten we oefenen!

Serverless-toepassingen met AWS Lambda