VPC环境下Lambda调用无对应端点AWS服务的问题咨询

安全阿岳

2026-10-5

问题1：为什么secretmanager和lambda端点可正常运行，但smtp-email端点无法正常工作？

AWS SES的SMTP VPC端点和Secret Manager、Lambda的API型VPC端点实现逻辑不同：

Secret Manager和Lambda的VPC端点是原生HTTPS API端点，只要开启VPC私有DNS、安全组放通443出站即可正常使用，配置门槛极低
SES的SMTP VPC端点只支持TLS封装的SMTP协议流量，挂起通常是两个配置错误导致：
- 安全组未放行出站的465/587端口到SES VPC端点的CIDR段
- SMTP客户端未替换默认公网SMTP域名为你创建的VPC端点域名，流量默认走公网路径，VPC内Lambda没有公网出口自然请求挂起

首先确认你所用的AWS区域：2023年之后大部分商用区域已经上线了Cognito用户池的VPC端点，类型为com.amazonaws.<region>.cognito-idp，直接创建配置即可使用。
如果所在区域确实不支持，可选用两种替代方案：

方案1：通过AWS PrivateLink自定义私有端点，将Cognito公网API的流量通过PrivateLink转发，全程走AWS内网，无需暴露到公网
方案2：抽离Cognito调用逻辑为独立非VPC Lambda，VPC内的业务Lambda通过已验证可用的Lambda VPC端点调用该非VPC Lambda即可，不需要额外配置公网出口

不是必须。除了上述PrivateLink自定义端点、非VPC Lambda代理的方案外，还可以根据业务场景选择：

低流量非核心场景：用开源NAT实例替代NAT网关，成本远低于托管NAT网关，缺点是需要自行维护可用性
多VPC部署场景：通过Transit Gateway将流量转发到有公网出口的统一出口VPC访问目标服务
只有当你需要高频、高可用访问大量无VPC端点的公网服务时，NAT网关才是优先级最高的选择。

是的。Lambda本身没有公网访问入口，所有调用完全基于IAM权限校验：只要你没有给Lambda配置允许*主体调用的资源策略，也没有绑定APIG、ALB、Function URL等公网触发源，哪怕是非VPC部署的Lambda，外部黑客也完全无法通过公网直接调用。

只要做好权限隔离是完全合理的，且可以解决你提到的安全隐患：

权限校验逻辑完全留在VPC内的业务Lambda中完成，校验通过后再调用代理Lambda，代理Lambda仅做流量转发，不处理任何业务逻辑，也不需要授予数据库访问权限
给代理Lambda配置严格的资源策略，仅允许指定的VPC内业务Lambda的执行角色调用，禁止其他任何身份访问
该方案成本极低，适合中小流量的业务场景。

根据业务规模和预算选择即可：

若月请求量超过10万次，或后续会新增更多需要公网访问的业务逻辑，直接部署冗余NAT网关是最省心的选择，运维成本远低于自行维护代理方案
若当前仅需访问SES、Cognito少量服务，且请求量较低，优化后的非VPC Lambda代理方案完全可以满足需求，不需要额外承担NAT网关的成本
你担心的公网访问安全问题无需顾虑：AWS服务的公网API调用全程走TLS加密，只要IAM权限配置正确，不会有额外安全风险。

内容的提问来源于stack exchange，提问作者jingleheimer