Lambda Function URLs

AWS LambdaはAPIエンドポイントとして利用するケースも多いと思いますが、Lambda Function URLsを利用することでAPI Gatewayを追加することなくHTTPSエンドポイントを設定することができます。API Gatewayの機能を必要としないAPIエンドポイントであればこれ使っておけばOKというものらしいです。

Announcing AWS Lambda Function URLs: Built-in HTTPS Endpoints for Single-Function Microservices | Amazon Web Services

Organizations are adopting microservices architectures to build resilient and scalable applications using AWS Lambda. Th...

CDKでやる

CDKのバージョンは以下。

cdk --version
2.54.0 (build 9f41881)

CDKでは、FunctionUrlが用意されているのでそれを使用します。

class FunctionUrl (construct) · AWS CDK

# class FunctionUrl (construct)

import * as cdk from 'aws-cdk-lib';
import { Construct } from 'constructs';
import * as lambda from 'aws-cdk-lib/aws-lambda';

export class LambdaFunctionUrlsStack extends cdk.Stack {
  constructor(scope: Construct, id: string, props?: cdk.StackProps) {
    super(scope, id, props);

    const fn =  new lambda.Function(this, 'LambdaFunction', {
      runtime: lambda.Runtime.PYTHON_3_9,
      handler: 'app.lambda_handler',
      code: lambda.Code.fromAsset('./lambda'),
    });

    const fnUrl = fn.addFunctionUrl({
      authType: lambda.FunctionUrlAuthType.NONE,
    });
    new cdk.CfnOutput(this, 'TheUrl', {
      value: fnUrl.url,
    });
  }
}

Pythonは適当に。

def lambda_handler(event, context):
    return "Hello  world!!"

build後、cdk deploy を行うとURLが出力されます。curl実行でFunctionが実行されていることが確認できます。

Outputs:
LambdaFunctionUrlsStack.TheUrl = https://xxxxxxxxxx.lambda-url.ap-northeast-1.on.aws/

curl https://xxxxxxxxxx.lambda-url.ap-northeast-1.on.aws/
Hello  world!!%

IAM認証する場合

APIエンドポイントを公開する必要がない場合はIAM認証として設定することができます。以下の通り authType をAWS_IAMに変更するだけでOKです。

const fnUrl = fn.addFunctionUrl({
  authType: lambda.FunctionUrlAuthType.AWS_IAM,
});

ポリシーは lambda:InvokeFunctionUrl への許可があればOKだそうです。

Lambda 関数 URL の呼び出し - AWS Lambda

ウェブブラウザ、curl、Postman、または任意の HTTP クライアントを使用して、専用の HTTP エンドポイントを介して Lambda 関数を呼び出します。

Lambda 関数 URL におけるセキュリティと認証モデル - AWS Lambda

リソースベースのポリシーに加え AuthType パラメータを使用して、Lambda 関数 URL へのアクセスを保護および制限します。

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": "lambda:InvokeFunctionUrl",
            "Resource": "*"
        }
    ]
}

署名付きAPIへのアクセスが必要になるのですが、今回はPostmanでやってみました。
適当なIAMユーザーを作ってAccessKey, SecretAccessKeyを作成し、入力していきます。