如何使用AWS CDK获取现有ElastiCache集群构造以配置Lambda访问？

引用现有ElastiCache集群的方法 #

虽然CfnCacheCluster没有内置的fromLookup或fromARN静态方法，但可以通过以下两种方式获取现有集群的属性：

1. 手动构造集群引用（已知集群ID时）

直接使用CfnCacheCluster.fromCacheClusterId方法，传入集群ID创建引用实例，之后可通过实例属性获取连接参数：

import { CfnCacheCluster } from 'aws-cdk-lib/aws-elasticache';
import { Function } from 'aws-cdk-lib/aws-lambda';

// 替换为你的现有ElastiCache集群ID
const EXISTING_REDIS_CLUSTER_ID = 'your-redis-cluster-id';

// 引用现有集群
const existingRedisCluster = CfnCacheCluster.fromCacheClusterId(
  this,
  'ExistingRedisCluster',
  EXISTING_REDIS_CLUSTER_ID
);

// 获取连接端点和端口
const redisEndpoint = existingRedisCluster.attrRedisEndpointAddress;
const redisPort = existingRedisCluster.attrRedisEndpointPort;

// 将参数传入Lambda（通过环境变量）
const yourLambda = new Function(this, 'YourLambda', {
  // Lambda基础配置（代码路径、运行时等）
  environment: {
    REDIS_ENDPOINT: redisEndpoint,
    REDIS_PORT: redisPort,
  },
});

2. 自定义资源动态获取集群信息（未知集群ID时）

如果需要在部署阶段通过标签等条件动态查找集群，可使用CDK自定义资源结合AWS SDK调用describeCacheClusters接口获取目标集群属性：

import { CustomResource, AwsSdkCall } from 'aws-cdk-lib';
import { Role, ServicePrincipal, PolicyStatement } from 'aws-cdk-lib/aws-iam';

// 创建自定义资源执行角色
const customResourceRole = new Role(this, 'RedisLookupRole', {
  assumedBy: new ServicePrincipal('lambda.amazonaws.com'),
});
customResourceRole.addToPolicy(new PolicyStatement({
  actions: ['elasticache:DescribeCacheClusters'],
  resources: ['*'], // 可根据需要缩小权限范围
}));

// 定义AWS SDK调用规则，示例为按标签过滤集群
const redisLookupCall: AwsSdkCall = {
  service: 'ElastiCache',
  action: 'describeCacheClusters',
  parameters: {
    ShowCacheNodeInfo: true,
    Filters: [
      { Name: 'tag:Environment', Values: ['Production'] }
    ]
  },
  physicalResourceId: { id: Date.now().toString() }, // 保证每次部署触发查找
};

// 创建自定义资源（需替换为对应区域的CDK自定义资源Lambda ARN）
const redisLookupResource = new CustomResource(this, 'RedisLookup', {
  serviceToken: 'arn:aws:lambda:us-east-1:123456789012:function:aws-cdk-custom-resources',
  role: customResourceRole,
  properties: {
    AwsSdkCall: JSON.stringify(redisLookupCall),
  },
});

// 从自定义资源结果中提取集群连接参数
const redisEndpoint = redisLookupResource.getAttString('CacheClusters.0.RedisEndpoint.Address');
const redisPort = redisLookupResource.getAttString('CacheClusters.0.RedisEndpoint.Port');

配置Lambda访问Redis的权限与网络 #

Lambda访问Redis需满足网络连通性，若使用IAM认证的Redis还需额外配置IAM权限：

1. 普通Redis集群（无IAM认证）

• 将Lambda部署到与Redis集群相同的VPC（或通过VPC peering、Transit Gateway实现跨VPC连通）
• 配置Lambda的安全组允许出站访问Redis集群安全组的对应端口（默认6379，自定义端口需匹配）
• 无需额外IAM策略，访问控制由安全组实现

2. IAM认证的Redis集群

除上述网络配置外，需给Lambda添加IAM策略以允许连接：

import { PolicyStatement } from 'aws-cdk-lib/aws-iam';

yourLambda.addToRolePolicy(new PolicyStatement({
  actions: ['elasticache:Connect'],
  resources: [existingRedisCluster.attrArn], // 或从自定义资源获取的集群ARN
}));

内容的提问来源于stack exchange，提问作者user12463073