隔离租户模式下，Lambda静态IP架构的子网资源复用问题

是否需要为每个Lambda实例新建私有/公有子网？ #

先说结论：不需要为每个Lambda单独创建子网，但要做好网络层面的逻辑隔离控制。

• AWS的子网是VPC内的IP段逻辑划分，只要给每个租户的Lambda分配独立的安全组，就能实现网络隔离：安全组规则只允许该Lambda访问其专属的SFTP服务器IP，同时禁止租户间的网络互通。这种逻辑隔离已经能满足绝大多数严格合规要求。
• 除非你的合规要求明确指定必须物理级别的网络隔离（而非逻辑隔离），否则没必要为每个租户单独建子网——这会大幅增加VPC资源的管理成本，反而容易引入配置失误。

该架构中存在哪些可共享资源？ #

在不破坏租户隔离的前提下，以下资源可以安全共享：

• VPC：只要VPC的基础配置（路由表、DNS设置）统一且安全，多个租户的Lambda可以共用同一个VPC，VPC本身是逻辑隔离的边界，内部通过安全组、网络ACL做细粒度管控。
• NAT网关/弹性IP（EIP）：如果你的Lambda通过NAT网关绑定EIP实现静态出站IP，多个租户可以共享同一个NAT网关。只要每个租户的安全组严格限制访问目标（仅允许对应SFTP服务器），就不会出现流量混淆或数据泄露的风险。
• Lambda层（Layer）：如果有通用的代码依赖（比如SFTP客户端工具、通用日志库），可以创建共享的Lambda层。只要层内不包含任何租户敏感数据，并且通过IAM权限控制仅允许指定租户的Lambda访问该层即可。
• IAM权限边界：可以创建通用的权限边界策略，限定所有租户Lambda的最大权限范围，然后每个租户的专属IAM角色基于这个边界配置更细的专属权限（比如仅允许访问自身对应的SFTP资源）。

内容的提问来源于stack exchange，提问作者GreenB