Zappa部署Django到AWS Lambda连接AWS Elasticsearch超时问题排查

本地环境能正常连通ES，说明连接配置语法、账号密码本身没有错误，超时问题基本由网络配置、访问权限、部署配置缺项导致，按以下优先级排查：

网络连通性问题（占这类故障的90%） #

• 确认ES的部署模式：如果ES是VPC内部端点（非公开访问端点），默认Lambda运行在AWS公网执行池，无法直接访问VPC内资源。必须给Lambda配置与ES相同VPC下的子网，子网需要绑定NAT网关保证出网能力，同时关联的安全组要放行Lambda到ES 443端口的出站规则，ES侧的安全组要放行对应Lambda安全组的443端口入站请求。
• 如果ES是公网端点，检查Lambda是否具备公网出口：如果Lambda挂载了VPC但未配置NAT网关，Lambda将没有公网访问能力，连接公网ES必然超时。
• 检查ES的IP白名单配置：本地能连通通常是因为办公网IP在ES白名单内，Lambda的公网出口IP默认是动态变化的，不在白名单内时请求会被直接丢弃触发超时，这种场景建议改用VPC内网访问，或者给Lambda配置固定弹性IP再加白名单。

权限配置问题 #

• 如果ES开启的是IAM角色鉴权而非基础账号密码鉴权，现有配置里写死的http_auth静态账密不会生效，需要给Lambda的执行角色附加ES的读写访问策略，同时连接配置替换为AWS4签名鉴权。
• 如果ES用的是细粒度访问控制，要确认你配置的账密是否具备对应索引的查询权限，权限不足时部分版本的ES不会直接返回403错误，会挂起连接直到超时。

配置细节坑点 #

• 现有配置里hosts字段末尾多了冗余斜杠，部分版本的elasticsearch-py库会因为末尾斜杠出现请求路径拼接错误，本地环境依赖版本和Lambda运行环境不一致时可能触发请求挂死，修改为'hosts': 'https://myendpoint.eu-central-1.es.amazonaws.com'即可。
• 检查Lambda超时配置：Zappa默认部署的Lambda超时时间为30秒，若走API网关触发，API网关的最大超时时间为29秒，若ES查询本身耗时超过这个阈值就会返回端点超时，需要优化查询逻辑，或者改用异步方式处理慢查询。
• 确认Zappa打包时将requests、elasticsearch_dsl等依赖正确打包到部署包中，依赖缺失、版本不兼容时可能不会直接抛出导入错误，而是卡在请求阶段触发超时，可以在Lambda测试控制台写最简单的requests请求脚本直连ES，跳过业务逻辑验证连通性，如果测试脚本也超时即可排除代码层面问题。

排查时优先看Lambda的CloudWatch日志，能直接看到请求是卡在TCP连接阶段、鉴权阶段还是查询返回阶段，大幅缩短排查时间。

内容的提问来源于stack exchange，提问作者Yorbjörn