Lambda调用Secrets Manager获取密钥慢，配置VPC端点无改善

• 排查Lambda冷启动叠加影响
  如果延迟仅出现在首次调用、长时间未调用后的首次触发场景，属于Lambda冷启动开销和Secrets Manager调用开销叠加导致。你可以将凭据读取逻辑迁移到Lambda初始化阶段（即handler函数外的全局代码区域），利用Lambda执行环境复用机制避免每次请求重复拉取凭据；对延迟要求高的业务可以配置Lambda预置并发，从根源消除冷启动开销。
• 开启SDK侧凭据缓存
  默认AWS SDK不会缓存Secrets Manager返回的凭据，每次调用都会发起完整的网络请求。你可以使用SDK内置的Secrets Manager缓存客户端，将凭据缓存到Lambda执行环境内存中，自定义缓存有效期，配置后后续读取耗时可降至毫秒级，无需重复发起网络请求。
• 核对VPC链路配置
  确认VPC端点关联的安全组入方向已放行Lambda所在安全组的443端口访问；检查Lambda所在子网的路由规则，确认Secrets Manager的流量没有被路由到NAT网关、防火墙等中间节点产生额外耗时，你可以在Lambda测试代码中加入网络链路探测逻辑确认每段链路的耗时。
• 排查凭据本身的额外开销
  如果凭据存储的内容过大、或者使用自定义KMS密钥加密，会额外增加传输、解密的耗时。你可以精简凭据存储的内容大小，同时确认KMS密钥和Lambda、Secrets Manager处于同一区域，没有跨账户、跨区域的权限调用开销。
• 核对区域一致性
  确认Lambda运行的AWS区域和Secrets Manager凭据存储的区域完全一致，跨区域调用会产生固定的网络往返延迟。

内容的提问来源于stack exchange，提问作者Alex