Lambda函数内连接RDS实例超时问题求助

问题现象 #

• 直接在lambda_handler函数外硬编码凭证连接RDS，可立即成功：

  conn = psycopg2.connect(dbname="postgres", user="postgres", password="...", 
                          host="...", port=5432)
  cursor = conn.cursor()
  print(cursor)
  def lambda_handler(event, context):
      pass
  

  输出结果：

  <cursor object at 0x7f5e00aeea70; closed: 0>

• 在lambda_handler函数内通过AWS Secrets Manager获取凭证连接时，出现超时：

  import boto3
  import json
  import psycopg2
  
  def lambda_handler(event, context):
  
      secret_name = 'db_credentials_secret_v2'
      client = boto3.client('secretsmanager')
      current_secret = client.get_secret_value(SecretId=secret_name)
      secret_string = current_secret['SecretString']
      secret_dict = json.loads(secret_string)
  
      psycopg2.connect(dbname=secret_dict["username"], user=secret_dict["username"], password=secret_dict["password"], host=secret_dict["host"], port=secret_dict["port"])
  

已知条件：Lambda与RDS处于同一VPC、子网，安全组配置正确，Lambda超时已增至15分钟，问题仍存在。

排查与解决方向 #

1. 修正数据库名参数错误
   代码中psycopg2.connect的dbname参数误用了secret_dict["username"]，这会导致RDS找不到对应数据库，进而引发连接超时。需将dbname改为Secrets Manager中存储的正确数据库名字段，比如secret_dict["dbname"]：

   psycopg2.connect(
       dbname=secret_dict["dbname"],
       user=secret_dict["username"],
       password=secret_dict["password"],
       host=secret_dict["host"],
       port=secret_dict["port"]
   )
   

2. 配置Secrets Manager的VPC端点
   Lambda处于VPC内时，默认无法直接访问公网的Secrets Manager服务。若未配置Secrets Manager的接口端点（Interface Endpoint），boto3.client('secretsmanager')会尝试走公网请求，导致凭证获取阶段卡住，最终引发超时。

   • 解决：在VPC中创建Secrets Manager的接口端点，确保Lambda所在子网能访问该端点，同时安全组允许Lambda到端点的流量。

3. 利用Lambda执行环境复用优化连接
   函数外的连接是在Lambda冷启动初始化阶段建立的，可被后续调用复用；而函数内的连接每次调用都会新建，易受VPC内DNS解析延迟或连接池问题影响。可将凭证获取和RDS连接逻辑移至函数外：

   import boto3
   import json
   import psycopg2
   
   # 初始化阶段完成凭证获取与连接建立
   secret_name = 'db_credentials_secret_v2'
   client = boto3.client('secretsmanager')
   current_secret = client.get_secret_value(SecretId=secret_name)
   secret_dict = json.loads(current_secret['SecretString'])
   
   conn = psycopg2.connect(
       dbname=secret_dict["dbname"],
       user=secret_dict["username"],
       password=secret_dict["password"],
       host=secret_dict["host"],
       port=secret_dict["port"]
   )
   cursor = conn.cursor()
   
   def lambda_handler(event, context):
       # 复用已建立的连接与游标
       cursor.execute("SELECT 1")
       result = cursor.fetchone()
       return {"statusCode": 200, "body": str(result)}
   

4. 检查子网路由表配置
   确认Lambda所在子网的路由表允许访问RDS所在子网，若使用VPC端点访问Secrets Manager，路由表需指向该端点的前缀列表；若需访问公网服务，需配置NAT网关并确保路由表指向网关。

内容的提问来源于stack exchange，提问作者udarH3