Eine geplante Lambda-Funktion läuft derzeit ohne VPC-Zugriff und ruft Datensätze aus dem Internet ab. Die Anwendung wird geändert, sodass die Lambda in eine RDS DB-Instanz schreiben muss, die sich in einem privaten Subnetz befindet. Die VPC verfügt über zwei öffentliche und zwei private Subnetze. Welche Konfiguration ermöglicht es der Lambda, die private DB zu erreichen und trotzdem auf das Internet zuzugreifen?

Die korrekte Lösung besteht darin, die Lambda-Funktion mit VPC-Zugriff in den privaten Subnetzen zu platzieren, in denen sich die RDS-Datenbank befindet. Dies ermöglicht der Lambda-Funktion, die private Datenbank zu erreichen. Um weiterhin auf das Internet zugreifen zu können, müssen NAT-Gateways in den öffentlichen Subnetzen erstellt werden. Die Routing-Tabellen der privaten Subnetze müssen so konfiguriert werden, dass der gesamte ausgehende Internetverkehr (0.0.0.0/0) über die NAT-Gateways geleitet wird. Eine Sicherheitsgruppe an der Lambda-Funktion mit erlaubtem ausgehenden Zugriff ist ebenfalls notwendig. Die anderen Optionen sind falsch, weil: Das Anhängen der Lambda an öffentliche Subnetze würde den direkten Zugriff auf die private RDS-Instanz verhindern. Elastic IPs sind für Lambdas in VPCs nicht direkt anwendbar, da die ENI eine private IP erhält. Öffentliche IP-Adressen für eine Lambda in öffentlichen Subnetzen würden ebenfalls den direkten Zugriff auf die private RDS-Instanz verhindern und sind nicht der Standardweg für ausgehenden Internetzugriff aus einer VPC-Lambda. Das direkte Senden von Internet-gebundenem Datenverkehr aus privaten Subnetzen an ein Internet-Gateway ist nicht möglich; dies erfordert ein NAT-Gateway oder eine NAT-Instanz.