概述

楼主最近做了一个项目，需要Lambda去连接一个DynamoDB，难度在于Lambda和DynamoDB分别在两个AWS账户中，同时Lambda处于也要连接RDS的需要，跟RDS也放在同一个VPC中，这无异于再增加了一层难度，也就是说Lambda的traffic需要通过VPC Endpoint先出VPC才能连接DynamoDB。与此同时还有权限问题和身份问题，Lambda需要assume role的权限来操控另一个账户的DynamoDB，楼主将一步一步来解析这些是如何实现。

建立权限

首先需要给Lambda Function建立一个单独的身份(role), 除了给到你Lambda本身需要的那这些基本权限诸如RDS/CloudWatch的读写权限以外，还需要增加两个规则，一个是AWS提供的VPC读写权限，一个是自定义的AssumeRole Police在Lambda所在的账户中(这里假定是A账户)，因为Lambda本身是没有权限去读写在另一个账户的任何资源的，只能通过assume role到DynamoDB所在的AWS账户中(这里假定是B账户)的DynamoDB所绑定的角色来进行读写操作.

以下是账户A中Lambda的身份(role)中拥有的VPC权限和Assume Role权限, 注意Resource指定的Arn号码对应的是B账户中的账户B中DynamoDB所依附的身份(role):

以下是账户B中DynamoDB所依附的身份(role)中所依附的权限规则，包含了要显式信任的账户A的Lambda身份资源号码（ARN):

以下是账户B中DynamoDB所依附的身份(role)中所依附的权限规则，包含了对应DynamoDB表的读写权限:

到这一步在IAM中创建权限和身份的工作就完成了，下一步就是进行VPC网络配置。

VPC网络配置

这个章节讲述如何将Lambda的网络请求和数据访问到DynamoDB。需要注意的是我设置Lambda是放在VPC之中，默认只能访问到所在VPC里面的资源，比如同处于一个VPC的RDS. 默认配置下AssumeRole和Lambda对DynamoDB的读写请求都无法通过VPC到达公网。这里就要用到两个新的网管组件，一个是NAT(network address translation)和VPC Endpoint, NAT可以讲VPC内网请求连接到公网，VPC Endpoint则是专门给DynamoDB提供网络请求的数据通道，这样DynamoDB的读写请求和数据交互就不用通过公网了，保证了数据的安全。

1.创建VPC

在AWS VPC服务中创建VPC, 并且给Lambda指定这个刚刚创建的VPC.

2.创建子网Subnet

VPC是由子网作为基本单元所组成的，我们需要最少要创建三个子网subnet，一个子网subnet-a给IGW(internet gateway)用于连接公网所用，另外两个(subnet-b和subnet-c)给Lambda用。创建subnet的时候，CIDR可以用下图的组合：

将创建好的subnet-b和subnet-c绑定到Lambda

3.创建igw公网网关

创建internet gateway，并且绑定到我们一开始创建的VPC上即可。

4.创建NAT Gateway

子网subnet选择subnet-a，就是那个公共子网(public subnet), 下面弹性IP ID选择创建新的EIP按钮即可。

5.创建路由表route table

创建两个新的路由表(route table)，为了理解方便，分别叫route-table-a和route-table-b，

route-table-a作为默认主要路由表，默认所有外网请求通过internet gateway网关来请求VPC外的资源。

route-table-b则是这个项目最为精华的部分了，如下图配置，0.0.0.0/0地址规则表明默认流量是去到NAT的，NAT会又会自动把流量导到Internet gateway网关，这个规则主要是为了assume role的流量服务的，倒数第二行的规则在创建目的地的时候下拉选项里面会自动弹出来，选择我么刚刚创建的VPC endpoint对应的目的地，这样Lambda看到要去到dynamoDB的流量请求就会走VPC endpoint。

同时将这个路由表route-table-b跟我们之前创建的两个私有子网subnet进行关联.

6.创建安全组Security Group

并且把security group绑定到Lambda.

至此，所有网络设置都完成了，下面将讲解如何在代码中实现连接。

代码

const assumeRoleOnDynamoDB = function (results, sts = new AWS.STS({apiVersion: '2012-10-17'})) {

const params = {

RoleArn: process.env.AssumedDDBRole,

RoleSessionName: process.env.RoleSessionName

};

return new Promise((resolve, reject) => {

sts.assumeRole(params, function (err, stsEncryptedData) {

if (err) {

console.error("[ERROR] Unable to assume role on Freelunch DynamoDB. ");

return reject(err);

}

return resolve([results, stsEncryptedData]);

});

});

};

const upsertDynamoDBTable = function (results, stsEncryptedData) {

const dynamodb = new AWS.DynamoDB({

apiVersion: '2012-08-10',

accessKeyId: stsEncryptedData.Credentials.AccessKeyId,

secretAccessKey: stsEncryptedData.Credentials.SecretAccessKey,

sessionToken: stsEncryptedData.Credentials.SessionToken,

region: process.env.REGION

});

const paramsForDDB = {

TableName: 'TableName',

Item: { 'data': { "S": "data" }}

};

return new Promise((resolve, reject) => {

dynamodb.putItem(paramsForDDB, function (err, data) {

if (err) {

console.error("[ERROR]: Failed to upsert info into DynamoDB. ");

return reject(err);

}

resolve([results, dynamodb])

});

});

};