Lambda: Env Vars, Monitoring, Config

Question 1

При помощи env vars можно …

Answer 1

изменить поведение Лямбда функции БЕЗ изменений в коде

Question 2

Lambda Service имеет некоторые стандартные

Answer 2

System Environment Variables

Question 3

Как использовать секреты в коде Лямбды?

Answer 3

В переменных окружения можно хранить секреты (зашифрованные KMS)
- Ключ для шифрования секретов можно выбрать
- Lambda Service Key
- Customer Master Key (CMK)

Question 4

Как можно отлаживать Лямбда функцию? Что для этого нужно?

Answer 4

Лямбда пишет логи своего выполнения в CloudWatch.

Благодаря IAM Role AWSLambda Basic ExecutionRole (позволяет upload’ить логи в CloudWatch).

Эта роль по-умолчанию прикреплена к любой новой Лямбде.

Question 5

Какие метрики можно отслеживать у Лямбды в CloudWatch?

Answer 5

• Invocations, Durations, Concurrent Executions
• Errors amount
• Iterator Age для Kinesis & DynamoDB Streams (на сколько курсор отстаёт)

Question 6

Что нужно сделать, чтобы отслеживать Лямбду в X-Ray?

Answer 6

• В настройках Лямбды нужно включить Active Tracing.
• X-Ray Демон будет работать “из коробки”, ничего делать НЕ надо
• X-Ray SDK должна быть использована в коде, нужно немного изменить код Лямбды
• IAM Role для записи в X-Ray должна быть прикреплена к Лямбде
  (managed Role AWSXRayDaemonWriteAccess)

Question 7

В Лямбда коде можно использовать переменные окружения с информацией об X-Ray. Какие?

Answer 7

AWS_XRAY_DAEMON_ADDRESS содержит IP_ADDRESS:PORT демона

Question 8

VPC по-умолчанию - что это значит в Лямбда?

Answer 8

По-умолчанию Лямбда запускается ВНЕ нашей VPC.
AWS имеет собственную VPC для запуска Лямбд.

Поэтому Лямбда НЕ имеет доступа к ресурсам,
которые находятся внутри нашей VPC.
Например, RDS, ElastiCache, internal ELB, internal EC2.

Question 9

Что нужно указать, чтобы задеплоить Лямбду в свою VPC?

Answer 9

Можно задеплоить Lambda функцию в своей VPC, указав
- VPC ID
- Subnets
- Security Groups

Question 10

Как Лямбда в нашей VPC свяжется с RDS в нашей VPC?
Что для этого нужно?

Answer 10

Лямбда создаст ENI (Elastic Network Interface) в подсети.
- Чтобы Лямбда смогла создать ENI, Лямбде нужно дать AWSLambda VPCAccess ExecutionRole
- Security Группа RDS должна разрешать (Allow) запросы от Security Группы Лямбды.

Question 11

Как Лямбда в нашей VPC свяжется с public internet? Что на счёт public / private subnet? Что для этого нужно?

Answer 11

• Лямбда функция в своей VPC НЕ имеет доступ в интернет (по-умолчанию).
• Лямбда функция НЕ имеет доступ в интернет, даже если находится в public подсети.

Чтобы дать Лямбде (находящейся в кастомной VPC) доступ в интернет, то нужно создать NAT Gateway / Instance.
NAT Девайс выведет запрос в интернет через IGW.
- Чтобы Лямбда смогла создать ENI, Лямбде нужно дать AWSLambda VPCAccess ExecutionRole

Question 12

Как EC2 instance в нашей VPC свяжется с public internet? Что на счёт public / private subnet?

Answer 12

Если в public подсети находится EC2 instance,
то он (в отличие от Лямбды) сразу по-умолчанию имеет доступ в интернет.

Question 13

Как Лямбда в нашей VPC свяжется с DynamoDB в нашей VPC? Что для этого нужно? В чём разница между способами?

Answer 13

Есть 2 способа дать Лямбде (находящейся в кастомной VPC) доступ к DynamoDB.
- Lambda в приватной подсети → NAT Девайс → IGW → DynamoDB
- Lambda в приватной подсети → VPC Endpoint → DynamoDB

• Чтобы Лямбда смогла создать ENI, Лямбде нужно дать AWSLambda VPCAccess ExecutionRole

Разница в том, что использовать VPC Endpoint нужно, если к DynamoDB необходимо подключаться по ПРИВАТНОЙ сети.

Question 14

Как Лямбда в нашей VPC свяжется с CloudWatch? Что для этого нужно?

Answer 14

Если Лямбда функция развёрнута в приватной подсети кастомной VPC,
то доступ к CloudWatch Logs она имеет В ЛЮБОМ СЛУЧАЕ.
Даже если НЕ настроены NAT Девайсы или VPC Endpoint’ы.

CloudWatch для Лямбды доступен ВСЕГДА.
Если конечно у Лямбды есть IAM Role AWSLambda Basic ExecutionRole.

Question 15

Какие настройки конфигурации есть у Лямбда?

Answer 15

RAM, vCPU, Timeout, Max Concurrent Executions

Question 16

Каковы лимиты по RAM для Лямбды?

Answer 16

128 MB - 10 GB (шагами по 1 MB)

Question 17

Как увеличивать vCPU для Лямбды?
Какова одна единица vCPU и зачем это знать?

Answer 17

vCPU увеличивается соразмерно RAM’у (напрямую CPU указать нельзя)
1_792 MB - это одна единица vCPU
После превышения этого уровня необходимо использовать много-поточный код, чтобы получать преимущества

Question 18

Если приложение является CPU-bound (делает много вычислений), …

Answer 18

то нужно увеличивать RAM

Question 19

Что такое vCPU?

Answer 19

vCPU (Virtual Central Processing Unit) - единица измерения вычислительной мощности.

Question 20

Каковы лимиты по timeout для Лямбда
Что если Лямбда превысила лимит по timeout? Что делать, если Лямбда постоянно превышает timeout?

Answer 20

• По-умолчанию timeout 3 sec
• Максимально можно выбрать timeout 900 sec (15 минут)

Время выполнения > timeout ⇒ timeout error

Если операция требует более 15-ти минут, то Лямбда НЕ подходит.
Лучше выбрать Fargate, ECS, EC2.