AWS Lambda从VPC向SNS发布消息超时问题求助

按以下步骤排查修复：

• 检查SNS VPC端点类型：确认创建的是Interface类型的VPC端点（SNS仅支持Interface端点），若创建错误则删除后重新创建正确类型的端点。

• 验证端点与Lambda子网的AZ匹配：SNS端点需在Lambda所在私有子网对应的可用区创建网络接口。进入VPC端点详情页，查看「网络接口」标签，确保每个Lambda子网的AZ都有对应的端点接口，缺失则编辑端点添加对应AZ的子网。

• 检查子网路由表配置：Lambda所在私有子网的路由表中，必须添加路由规则，将SNS服务前缀（格式为com.amazonaws.<你的区域>.sns）指向SNS VPC端点的网络接口或端点ID。确保私有子网无指向互联网网关的默认路由，避免流量走公网导致超时。

• 确认安全组规则：

  • Lambda安全组：允许**出站HTTPS（443端口）**流量到SNS端点的安全组或对应CIDR范围。
  • SNS端点安全组：允许**入站HTTPS（443端口）**流量来自Lambda的安全组。

• 检查端点策略：VPC端点策略需允许Lambda执行角色调用sns:Publish操作，且目标主题ARN匹配。示例策略：

  {
      "Version": "2012-10-17",
      "Statement": [
          {
              "Effect": "Allow",
              "Principal": {
                  "AWS": "arn:aws:iam::<账号ID>:role/<Lambda执行角色ARN>"
              },
              "Action": "sns:Publish",
              "Resource": "<你的SNS主题ARN>"
          }
      ]
  }
  

• 验证代码中的区域配置：确保boto3客户端指定的区域与SNS主题、VPC端点的区域一致。修改代码明确指定区域：

  client = boto3.client('sns', region_name='<你的区域>')
  publish_response = client.publish(
      TopicArn='<my-topic-arn>',
      Message="Hello"
  )
  

• 测试端点连通性：可在Lambda中添加简单网络测试代码（如用urllib3访问SNS服务端点），确认是否能建立连接，若连不通优先排查路由和安全组问题。

内容的提问来源于stack exchange，提问作者Ramzi Agougile