AWS Lambda从VPC中访问机密管理器

Question

使用Secrets Manager提供的默认代码和必要的IAM角色，我可以在我的lambda中从Secrets Manager中读取API密钥：

# Use this code snippet in your app.
# If you need more information about configurations or implementing the sample code, visit the AWS docs:   
# https://aws.amazon.com/developers/getting-started/python/

import boto3
import base64
from botocore.exceptions import ClientError

def get_secret():

    secret_name = "MYSECRET"
    region_name = "ap-southeast-2"

    # Create a Secrets Manager client
    session = boto3.session.Session()
    client = session.client(
        service_name='secretsmanager',
        region_name=region_name
    )

    # In this sample we only handle the specific exceptions for the 'GetSecretValue' API.
    # See https://docs.aws.amazon.com/secretsmanager/latest/apireference/API_GetSecretValue.html
    # We rethrow the exception by default.

    try:
        get_secret_value_response = client.get_secret_value(
            SecretId=secret_name
        )
    except ClientError as e:
 ... # Default error handling..
    else:
        # Decrypts secret using the associated KMS CMK.
        # Depending on whether the secret is a string or binary, one of these fields will be populated.
        if 'SecretString' in get_secret_value_response:
            secret = get_secret_value_response['SecretString']
            return secret
        else:
            decoded_binary_secret = base64.b64decode(get_secret_value_response['SecretBinary'])
            return decoded_binary_secret

def lambda_handler(event, context):
    secrt = get_secret()

    return {
        'statusCode': 200,
        "headers": {
            'Access-Control-Allow-Origin': '*',
            'Content-Type': 'application/json'
        },
        'body': secrt 
    }             

这个Lambda能够成功地从Secrets Manager中检索和打印API密钥。

为了与EC2实例通信，我有一个带有助手层和一些简单测试代码的Lambda：

import apihelper
import json

def lambda_handler(event, context):
  conn = apihelper.getConnection('API KEY')
  return {
    'statusCode': 200,
    "headers": {
      "Access-Control-Allow-Origin": "*"
    },
    'body': json.dumps(conn.listProducts())
  }

null

我想我已经把范围缩小到VPC了。第一个Lambda只是打印出秘密工作完美，直到我把它放在VPC中。但是我不知道该在哪里查看，也不知道如何配置它，以允许Lambda与VPC内部的EC2以及秘密管理器进行对话。

Answer 1

没有错误信息，只是超时了。

不幸的是，VPC中的lambda函数既没有internet访问，也没有公共IP。来自文档：

将函数连接到公共子网不会给它internet访问或公共IP地址。

    client = session.client(
        service_name='secretsmanager',
        region_name=region_name
    )