Accéder aux ressources privées dans un VPC

Applications serverless avec AWS Lambda

Claudio Canales

Senior DevOps Engineer

Qu'est-ce qu'un VPC ?

• Un VPC est votre réseau privé dans AWS.
• Il fournit espace d'adressage, routage et contrôles de pare-feu.
• Vous décidez comment les ressources se connectent.

Une analogie simple : un lotissement sécurisé

• Les sous-réseaux sont des quartiers.
• Les groupes de sécurité sont les règles du portail.
• Le NAT est la sortie commune vers Internet public.

Pourquoi exécuter Lambda dans un VPC ?

• Accéder à des ressources privées comme services internes ou bases.
• Les groupes de sécurité contrôlent ce à quoi Lambda peut se connecter.

Ce que vous configurez

• Sélectionnez des sous-réseaux.
• Sélectionnez un groupe de sécurité.
• Lambda obtient une IP dans votre VPC pour joindre des points de terminaison privés.

Sous-réseaux : où s'exécute votre fonction

• Les sous-réseaux déterminent l'emplacement réseau de la fonction.
• Les sous-réseaux privés n'ont pas de route Internet directe.
• Choisissez des sous-réseaux qui atteignent ce dont le handler a besoin.

Groupes de sécurité : règles de pare-feu

• Les groupes de sécurité sont des règles de pare-feu pour l'interface réseau.
• Ils contrôlent le trafic entrant et sortant.
• Les règles sortantes déterminent souvent si Lambda peut atteindre une base de données.

ENI et cold starts

• ENI = Elastic Network Interface.
• Lambda peut devoir créer et attacher une ENI avant d'appeler votre handler.
• Cette configuration réseau ajoute de la latence au cold start.

Analogie ENI : brancher un câble réseau

• ENI = la connexion réseau de votre fonction.
• Elle est créée dans le sous-réseau sélectionné.
• Plus de configuration peut ralentir le cold start.

Accès Internet sortant

• Les sous-réseaux privés ne peuvent généralement pas atteindre Internet public.
• Sans routage sortant, les appels aux API publiques expirent.
• Approche courante : une passerelle NAT.

Quand avez-vous besoin de NAT ?

• Besoin de NAT pour appeler des endpoints publics.
• NAT peut être inutile pour des ressources VPC privées uniquement.

Symptômes courants en cas d'erreur réseau

• Les timeouts suggèrent des routes ou un NAT manquants.
• Les refus de connexion indiquent des règles de groupe de sécurité.

Bonnes pratiques

• Utilisez VPC uniquement pour la connectivité privée.
• Gardez la configuration minimale.
• Surveillez la latence de cold start et les erreurs de connexion.

Points clés

• VPC offre un réseau privé à Lambda.
• Vous configurez sous-réseaux et groupes de sécurité.
• Les ENI peuvent ajouter du coût au cold start.
• Les sous-réseaux privés nécessitent un NAT pour Internet sortant.

Passons à la pratique !

Applications serverless avec AWS Lambda