AWS Lambda调用Step Function超时问题排查咨询

问题描述 #

我有一个AWS Lambda函数，计划通过@aws-sdk/client-sfn包调用Step Function，但在执行await client.send( command )时出现超时停止的情况。同时调用其他AWS服务也存在相同问题。已配置IAM角色拥有相关服务的完全访问权限，也设置了VPC端点，且Step Function手动执行无异常。请问需要排查哪些配置或因素来解决该问题？

相关代码 #

import { SFNClient, StartExecutionCommand } from "@aws-sdk/client-sfn";
const client = new SFNClient({region: "eu-west-1"});

export const handler = async ( event ) => {
    const d = new Date();
    const yr = d.getFullYear();
    const inputParams = {
        "uid": "xxxx-xxxx-xxxx-xxxx",
        "httpMethod": "PUT",
        "settings": 1,
        yr,
        "id": 82,
        "rd": 1
    };
    const command = new StartExecutionCommand({
        input: JSON.stringify( inputParams ),
        name: "test",
        stateMachineArn: process.env.stateMachine
    });
    try {
        const res = await client.send( command );
        console.log( res );
        client.destroy();
    } catch (error) {
        console.log(JSON.stringify(error));
    }
    return res;
};

已确认配置 #

• IAM角色已赋予相关服务的完全访问权限
• 已配置VPC端点
• Step Function手动执行无错误

排查方向与步骤 #

一、VPC端点配置验证 #

• 端点类型与匹配性：确认针对Step Functions及其他目标AWS服务创建的是接口类型VPC端点，且端点所属的VPC、子网与Lambda函数完全一致。
• 安全组规则检查：
  • Lambda所在安全组需允许出站流量到VPC端点的私有IP段（或对应服务的端口，如443）；
  • VPC端点的安全组需允许来自Lambda安全组的入站流量（对应服务端口）。
• VPC DNS配置：确保VPC开启了enableDnsSupport和enableDnsHostnames属性，否则Lambda无法通过服务域名解析到VPC端点的私有IP。
• 端点策略限制：检查VPC端点的端点策略，确认未限制Lambda角色调用目标服务的API（例如states:StartExecution），即使IAM角色已有全权限，端点策略也可能拦截请求。

二、Lambda函数配置检查 #

• 子网路由表：若Lambda部署在私有子网，需确认子网关联的路由表中存在指向VPC端点前缀列表的路由，而非依赖互联网网关（私有子网无公网访问能力）。
• 超时时间设置：Lambda默认超时为3秒，调用AWS服务可能需要更长时间，可尝试将超时调整为10-15秒测试。
• SDK客户端配置：尝试在SFNClient初始化时显式指定VPC端点的域名，例如：

  const client = new SFNClient({
    region: "eu-west-1",
    endpoint: "https://states.eu-west-1.vpce.amazonaws.com" // 替换为实际的VPC端点域名
  });
  

• 环境变量有效性：验证process.env.stateMachine是否正确加载了状态机ARN，避免因ARN错误导致的隐性超时。

三、网络连通性测试 #

• Lambda内部连通测试：在Lambda代码中添加简单的网络测试逻辑，例如测试与VPC端点443端口的连通性：

  import net from 'net';
  // 在handler中添加
  const testConn = () => new Promise((resolve, reject) => {
    const socket = net.connect({ host: 'states.eu-west-1.vpce.amazonaws.com', port: 443 }, () => {
      socket.end();
      resolve('连通成功');
    });
    socket.on('error', reject);
  });
  console.log(await testConn());
  

• VPC流日志分析：开启VPC流日志，查看是否存在拒绝流量的记录，定位是安全组还是路由表导致的连通失败。

四、其他潜在问题 #

• 区域一致性：确认Lambda、Step Functions、VPC端点所有资源都处于同一区域（代码中为eu-west-1），跨区域调用可能导致超时。
• IAM信任关系：检查Lambda的IAM角色信任策略，确保允许lambda.amazonaws.com扮演该角色，避免身份验证失败导致的超时。

内容的提问来源于stack exchange，提问作者Chris Palatinus