.NET6 Lambda调用KMS EncryptAsync超时无响应问题排查

我有一个基于.NET6的Lambda函数，通过以下代码实现加密功能：

[HttpPost("encrypt")]
public async Task<IActionResult> Encrypt([FromBody]string value)
{
    try
    {
        var region = RegionEndpoint.GetBySystemName(_configuration.GetValue<string>("AWS_REGION"));
        var client = new AmazonKeyManagementServiceClient(region);

        var kmsKeyId = Environment.GetEnvironmentVariable("KMS_KEY_ID");

        var encryptResponse = await client.EncryptAsync(new EncryptRequest
        {
            KeyId = kmsKeyId,
            Plaintext = new MemoryStream(Encoding.ASCII.GetBytes(value))
        });

        string encryptedValue = string.Empty;
        if (encryptResponse != null)
        {
            encryptedValue = Convert.ToBase64String(encryptResponse.CiphertextBlob.ToArray());
        }

        return Ok(encryptedValue);
    }
    catch(Exception exception)
    {
        _logger.LogError(exception, "An exception occured while encrypting");
        return BadRequest(exception.Message);
    }
}

遇到的问题：Lambda函数执行时会超时，且无.NET代码抛出的异常，调试发现执行在调用EncryptAsync后停滞。本地Visual Studio 2022运行代码正常，Lambda已配置包含以下权限的IAM策略：

statement {
    sid = "KmsAccess"
    effect    = "Allow"

    actions = [
      "kms:Encrypt",
      "kms:Decrypt",
      "kms:ReEncrypt*",
      "kms:DescribeKey",
      "kms:GenerateDataKey*",
    ]
}

请问为何在AWS环境中运行时会出现此卡住的情况？

以下是几种常见的原因及对应解决方法：

1. IAM策略资源范围未明确配置 #

当前IAM策略只指定了允许的操作，但未限定resources（资源）字段。AWS权限模型中，KMS服务需要明确指定资源才能确保权限生效：

• 修正IAM策略，添加目标KMS密钥的ARN作为资源，示例：

statement {
    sid = "KmsAccess"
    effect    = "Allow"
    actions = [
      "kms:Encrypt",
      "kms:Decrypt",
      "kms:ReEncrypt*",
      "kms:DescribeKey",
      "kms:GenerateDataKey*",
    ]
    resources = ["arn:aws:kms:你的区域:你的账户ID:key/你的KMS密钥ID"]
}

• 同时检查KMS密钥的资源策略（密钥本身的权限配置），确保该Lambda的执行角色ARN被允许调用kms:Encrypt操作。

2. Lambda的VPC网络配置问题 #

如果Lambda部署在VPC内，且未配置正确的网络出口，会导致无法访问KMS服务，进而卡住超时：

• 若Lambda不需要VPC访问，直接将其移出VPC，测试是否恢复正常；
• 若必须在VPC内运行：
  • 配置NAT网关，确保Lambda所在子网能通过NAT访问公网（KMS的公网端点）；
  • 或者创建KMS的VPC端点（Interface类型），并配置安全组允许Lambda所在的安全组访问该端点的443端口。

3. 区域配置不匹配 #

检查Lambda的AWS_REGION环境变量值，是否与KMS密钥所在的区域一致。跨区域调用KMS可能会因为网络延迟或权限限制导致请求停滞。

4. AWS SDK客户端创建方式不合理 #

当前代码每次请求都创建新的AmazonKeyManagementServiceClient实例，可能导致连接资源耗尽，进而引发超时：

• 改用依赖注入的方式单例注入KMS客户端，在Program.cs中添加：

builder.Services.AddAWSService<IAmazonKeyManagementService>();

• 在控制器中注入IAmazonKeyManagementService替代手动创建客户端，复用连接池资源：

private readonly IAmazonKeyManagementService _kmsClient;

public YourController(IAmazonKeyManagementService kmsClient)
{
    _kmsClient = kmsClient;
}

内容的提问来源于stack exchange，提问作者Sajan