-1

一段时间以来，我一直在尝试部署具有 20 个 lambda 函数的 RestApiGateway，每次尝试部署时，我都会收到错误消息 Subnet is out of IP 地址。知道为什么会发生这种情况吗？

这是我的 Vpc 堆栈的样子：

        this.vpc = new ec2.Vpc(this, 'vpc', {
        cidr: '10.0.0.0/21',
        maxAzs: this.azs,
        natGateways: this.azs,
        subnetConfiguration: [
            {
                subnetType: ec2.SubnetType.PUBLIC,
                name: `${APP_PREFIX}-public-subnet`,
                cidrMask: 24,
            },
            {
                subnetType: ec2.SubnetType.PRIVATE,
                name: `${APP_PREFIX}-private-subnet`,
                cidrMask: 28,
            },
        ],
    });

...这是网关：

const interfaceVpcEndpoint = vpc.addInterfaceEndpoint(`${APP_PREFIX}-endpoint`, {
    service: ec2.InterfaceVpcEndpointAwsService.APIGATEWAY,
    subnets: { subnetType: ec2.SubnetType.PRIVATE },
});

const restApiLogGroup = new logs.LogGroup(stack, `${APP_PREFIX}-log-group`, {
    logGroupName: `${APP_PREFIX}-log-group`,
});

return new gateway.RestApi(stack, `${APP_PREFIX}-rest-api`, {
    restApiName: `${APP_PREFIX}-rest-api`,
    endpointConfiguration: {
        types: [gateway.EndpointType.PRIVATE],
        vpcEndpoints: [interfaceVpcEndpoint],
    },
    retainDeployments: true,
    deployOptions: {
        stageName: 'v2',
        loggingLevel: gateway.MethodLoggingLevel.INFO,
        dataTraceEnabled: true,
        accessLogDestination: new gateway.LogGroupLogDestination(restApiLogGroup),
        accessLogFormat: gateway.AccessLogFormat.jsonWithStandardFields(),
    },
    policy: new iam.PolicyDocument({
        statements: [
            new iam.PolicyStatement({
                effect: iam.Effect.DENY,
                principals: [new iam.AnyPrincipal()],
                actions: ['execute-api:Invoke'],
                resources: ['execute-api:/*/POST/*'],
                conditions: {
                    StringNotEquals: {
                        'aws:sourceVpc': vpc.vpcId,
                    },
                },
            }),
            new iam.PolicyStatement({
                effect: iam.Effect.ALLOW,
                principals: [new iam.AnyPrincipal()],
                actions: ['execute-api:Invoke'],
                resources: ['execute-api:/*/POST/*'],
            }),
        ],
    }),
});

这个想法是 lambda 函数不应从 Internet 访问，只能从我将通过另一个堆栈部署的 Fargate 服务访问。

4

2 回答 2

3

我认为这是问题所在：

cidrMask: 28

/28 网络允许 16 个 IP 地址，AWS 为自己占用其中 3 个地址。

我不熟悉创建子网的 CDK 类，所以不能说您使用的整体方法是否正确。我假设它足够聪明，可以根据您为掩码提供的内容将 VPC CIDR 分成子网块。

我建议为每个子网至少分配一个 /24；我更喜欢 /20。还有一个/16 到 VPC。开始时网络配置是免费的，以后更正的成本非常高。

于 2021-03-08T17:22:53.467 回答
0

我最终明确地将 VPC 构造创建的默认安全组添加到每个 Lambda 并且有效。

于 2021-03-09T07:43:57.390 回答