Lambda函数安全组疑问：默认配置、修改方法及最佳实践

1. 未部署在VPC中的Lambda函数会被分配何种安全组？ #

未部署在VPC内的Lambda函数不会关联任何安全组。这类函数运行在AWS管理的共享基础设施中，完全通过AWS内部网络交互，而安全组是VPC专属的网络控制组件，仅适用于部署到VPC环境的Lambda函数。

2. 限制默认安全组或使用自定义安全组是否为最佳实践？ #

最佳实践是使用自定义安全组，不要依赖默认安全组。默认安全组通常自带宽松规则：比如允许同组内所有资源互相访问，入站可能开放全量流量（具体依VPC初始配置而定），存在不必要的安全风险。自定义安全组可以按需配置最小权限规则——比如仅允许API Gateway的合法流量触发Lambda（针对VPC内的Lambda），同时严格管控出站流量，完全贴合业务需求。

3. 如何修改Lambda函数的安全组？ #

只有部署在VPC中的Lambda函数才能配置安全组，操作步骤如下：

• 登录Lambda控制台，选中目标函数
• 切换到「配置」标签页，找到「VPC」配置模块
• 点击「编辑」，在弹窗中可添加/移除关联的安全组，确认VPC子网配置后保存即可
  未部署在VPC的Lambda没有安全组配置入口，因为它不属于VPC网络环境。

4. 无独立函数端点的Lambda函数是否需要进行安全组修改？ #

分两种情况：

• 如果Lambda未部署在VPC：本身无安全组，无需任何修改
• 如果Lambda部署在VPC内且仅通过API Gateway触发（无独立端点）：需要配置安全组，仅允许API Gateway的VPC端点流量（若使用私有集成）或AWS内部服务流量触发，同时根据Lambda的出站需求（比如访问VPC内RDS、EC2）配置对应出站规则。另外，如果你的Lambda不需要访问VPC内资源，建议直接不部署到VPC，这样无需处理安全组配置，更高效安全。

内容的提问来源于stack exchange，提问作者user19953380