使用CDK连接Node.js Lambda至Neptune无服务器实例超时求助

以下是针对连接超时问题的分步排查和修复方案：

1. 网络配置（最常见原因） #

Lambda默认运行在AWS公共服务网络，无法直接访问Neptune的私有VPC网络，必须将Lambda部署到Neptune所在的VPC中：

• 在CDK中为Lambda添加VPC配置，指定Neptune所在的VPC、子网和安全组：

  import { aws_ec2 as ec2 } from "aws-cdk-lib";
  
  // 从现有资源中获取Neptune的VPC和安全组（替换为实际ID）
  const neptuneVpc = ec2.Vpc.fromLookup(this, "NeptuneVpc", { vpcId: "vpc-xxxxxx" });
  const neptuneSg = ec2.SecurityGroup.fromSecurityGroupId(this, "NeptuneSg", "sg-xxxxxx");
  
  const feedbackLambda = new lambdaNodejs.NodejsFunction(
      this,
      `${app}-feedback`,
      {
          // 保留原有配置...
          vpc: neptuneVpc,
          // 选择Neptune所在的子网类型（通常是PRIVATE_ISOLATED或PRIVATE_WITH_EGRESS）
          vpcSubnets: { subnetType: ec2.SubnetType.PRIVATE_ISOLATED },
          securityGroups: [neptuneSg],
      }
  );
  

• 确保Neptune的安全组添加入站规则：允许Lambda所在安全组的8182端口（Neptune默认HTTP端口，HTTPS为8181）的流量。

2. 连接URL与客户端配置错误 #

• 环境变量中的MAIN_GRAPH_DB仅提供了域名，必须补充端口和SSL参数：
  正确的连接字符串应为：wss://${MAIN_GRAPH_DB}:8182/gremlin?ssl=true（Gremlin协议）或https://${MAIN_GRAPH_DB}:8182/sparql（SPARQL协议）。
• 使用gremlin-js的示例代码：

  import { DriverRemoteConnection, Graph } from 'gremlin';
  
  export const handler = async () => {
      const dbHost = process.env.MAIN_GRAPH_DB;
      if (!dbHost) throw new Error("MAIN_GRAPH_DB环境变量未设置");
  
      // 构建完整的连接字符串
      const connectionStr = `wss://${dbHost}:8182/gremlin?ssl=true`;
      const dc = new DriverRemoteConnection(connectionStr, {
          pingEnabled: true,
          pingInterval: 60000,
          mimeType: 'application/vnd.gremlin-v2.0+json'
      });
  
      try {
          const g = new Graph().traversal().withRemote(dc);
          const data = await g.V().limit(5).toList();
          return { statusCode: 200, body: JSON.stringify(data) };
      } catch (err) {
          console.error("连接失败:", err);
          throw err;
      } finally {
          await dc.close(); // 每次请求后关闭连接，避免无服务器实例缩放问题
      }
  };
  

3. IAM权限补充 #

• 如果Lambda部署到VPC，CDK会自动添加AWSLambdaVPCAccessExecutionRole托管策略，无需手动配置；如果未自动添加，需为Lambda角色添加该策略，用于管理VPC网络接口。
• 无需过度授权，NeptuneFullAccess已包含连接所需的neptune-db:Connect权限，可保留。

4. 无服务器Neptune额外注意事项 #

• 无服务器Neptune不支持长连接，每次请求完成后必须关闭连接，避免连接泄漏导致后续请求失败。
• 若使用Neptune数据API（无需VPC），需在Lambda中通过IAM签名调用API，此时无需配置VPC，但要确保Lambda角色有neptune-db:ExecuteStatement权限。

内容的提问来源于stack exchange，提问作者Peter McArthur