AWS Lambda访问密钥自动轮换：VPC内部署超时问题排查

我在个人项目中需要创建AWS Lambda函数，实现每三个月自动轮换访问密钥。我将该函数部署至默认VPC的隔离子网，并尝试通过VPC端点向IAM服务发起SDK请求。

创建VPC端点时，我指定了IAM Identity Center作为服务，代码如下：

vpc.addInterfaceEndpoint("some-id", InterfaceVpcEndpointOptions.builder()
        .service(InterfaceVpcEndpointAwsService.IAM_IDENTITY_CENTER)
        .securityGroups(List.of(iamVpcEndpointSg))
        .subnets(SubnetSelection.builder()
                .subnets(List.of(isolatedSubnet))
                .build())
        .privateDnsEnabled(true)
        .build());

测试Lambda时，简单的ListUsersResult users = iamClient.listUsers();请求超时60秒。奇怪的是，我用相同方式创建的其他VPC端点均可正常工作。我已启用VPC流日志调试，但未找到与该SDK请求相关的流量（其他服务的请求流量已被记录）。

我的问题 #

1. IAM_IDENTITY_CENTER是否为正确的服务？IAM相关服务选项有限，但对应SDK（AmazonIdentityManagement）提供了所需方法。
2. 还有哪些进一步调试的方案？VPC流日志未奏效，是否有其他工具/服务可用于深入排查？
3. 可通过哪些网络相关步骤检查连接情况？
4. 我是否忽略了其他潜在问题？

1. 关于VPC端点服务的正确性 #

IAM_IDENTITY_CENTER是错误的服务选项。你调用的listUsers()属于传统的IAM服务（AWS Identity and Access Management），而非IAM Identity Center（原SSO服务）。正确的VPC端点服务应该是InterfaceVpcEndpointAwsService.IAM（对应服务名称为com.amazonaws.<region>.iam）。

2. 进一步调试方案 #

• 启用Lambda X-Ray追踪：在Lambda配置中开启X-Ray，能查看请求完整调用链，包括DNS解析、API请求各阶段的耗时，定位是卡在网络层还是服务端。
• 添加Lambda网络诊断代码：在函数开头加入简单测试，比如执行nslookup iam.<region>.amazonaws.com或curl测试IAM端点连通性，把结果输出到CloudWatch日志，确认DNS解析、TCP连接是否正常。
• 检查CloudTrail日志：查看是否有IAM API请求记录——如果没有，说明请求根本没发出去；如果有拒绝记录，排查权限配置。

3. 网络连接检查步骤 #

• 验证私有DNS解析：确认privateDnsEnabled设为true后，IAM服务域名（如iam.us-east-1.amazonaws.com）是否被解析到VPC端点的私有IP，可在Lambda中执行DNS查询验证。
• 检查安全组规则：
  • 确保Lambda所在安全组允许出站流量到VPC端点安全组的443端口。
  • 确保VPC端点安全组允许来自Lambda安全组的443端口入站流量。
• 确认子网路由表：隔离子网的路由表中是否存在指向IAM服务前缀列表、下一跳为VPC端点的路由条目。
• EC2实例连通性测试：在同一隔离子网启动EC2实例，安装AWS CLI执行aws iam list-users，同时观察VPC流日志。如果EC2能正常调用，说明问题出在Lambda配置上。

4. 潜在的遗漏问题 #

• Lambda VPC配置：确认Lambda已正确关联目标隔离子网和对应安全组，没有误选公有子网。
• IAM权限：Lambda执行角色是否拥有iam:ListUsers等所需权限——虽然超时通常是网络问题，但权限不足也可能导致异常，需确认。
• VPC端点区域支持：检查当前区域是否支持IAM的VPC端点（大部分区域都支持，可通过AWS官方信息确认）。
• DNS解析失效：如果私有DNS未生效，Lambda可能仍在尝试访问IAM公网端点，而隔离子网无互联网出口，导致超时。

内容的提问来源于stack exchange，提问作者Dominique M