LambdaでVPC内のEC2のAPIにアクセスする方法を教えて頂けないでしょうか。

Question

いつもお世話になっております。
LambdaでVPC内EC2上で稼働しているアプリケーションに
GETリクエストを送りたいのですが、
テストするとタイムアウトしてしまい困っているので、
どなたか知見をお借りすることはできないでしょうか。

実現したいこと全体

ユーザから空メールを送信して貰い、
MXレコードでSESに空メールを転送し、SESの受信を契機に
Lambdaを動かし、EC2上にメールアドレスをGETで送りたいと思っています。
SESからLambdaが呼ばれるまでは確認できています。

 空メール ⇒ Route53 ⇒ SES ⇒ Lambda ⇒ EC2(API) ⇒ メール送信

このようなフローを実現したいです。

発生している問題

VPC内EC2上に作成したAPIに対してGETリクエストを
node.jsの書いてあるLambdaから送信すると、
タイムアウトしてしまいエラーになります。

切り分け

セキュリティグループのインバウンドルールを

0.0.0.0/0

とすると、GETリクエストがEC2上に届くことが
ログを見ると確認できる。

わからないこと

1. セキュリティグループに対して、Lambdaの許可をする方法
2. インバウンドルールを全許可状態で、role等が全く同じLambdaをオレゴンリージョンのLambdaを動かすと
   200でOKになり、Lambdaが１度動くという想定通りの挙動をするのに対し
   東京のLambdaを実行すると、１秒間に5～9回Lambdaが実行されこと

お忙しいところ大変申しわけありませんが、どなたかご教示頂けないでしょうか。

Answer 1

vpc endpoint

Comments

[wasi300]

ご回答頂きありがとうございます。
提示頂いた方法は、EC2と同じVPC内に
VPCを存在させるという手法だと認識しております。

Lambda用のロールに、
VPCのポリシーがアタッチされているという前提での、
AWS上の具体的な手順としては

1. Lambdaの画面から関数を選択
2. 同画面のネットワークからVPC選択
3. VPCサブネットを選択
4. セキュリティグループを選択
5. 保存をクリック

このとき3については、全てのサブネットを選択していて
4については、EC2で設定したセキュリティグループと同じものを設定しています。

この状態で、テストデータをEC2に向けてGET送っているのですが、
タイムアウトしてしまいます。タイムアウトは１０秒に設定しています。

仮説1
設定して思ったのですが、これはLambda自身の保護をしていて、
セキュリティグループへのアクセス許可とは違うことをやっているように思えます。

仮説1の対応方法
このLambda自身のIPを許可するなり、ARNを許可する必要があると思っています。

対応方法への課題
ARNをセキュリティグループで許可する方法が存在するのかどうか不明なのと、
LambdaのIPを何処で把握すればよいのか分かりません。
ただ、Lambdaは毎回違うサーバーで動作していると思っているので、
IPは都度違うのではないかとも思っています。

下記について、教えて頂けないでしょうか。
1. 頂いた記事に対する私の対応は適切でしょうか
2. 仮説1は間違っていますでしょうか。
3. 仮説1の対応方法は適切でしょうか
4. 対応方法への課題の中の各サービスの中への認識は間違っていますでしょうか

ご協力しても良いと思える場合のみ、ご助力下さい。
お忙しい中、ご回答頂き本当にありがとうございました。

Answer 2

VPC 内で Lambda 関数を動かすということですので、Lambda 実行時のセキュリティグループを設定できると思います。
Lambda のセキュリティグループを EC2 側セキュリティグループで許可するといいと思います。
(セキュリティグループの Source には、IPアドレスではなく、他のセキュリティグループを設定できます。)

Comments

[TaichiYanagiya]

Lambda と EC2 インスタンスのセキュリティグループが同じでも、許可ルールの設定(Source にセキュリティグループを設定)は必要です。

[wasi300]

ご回答頂きありがとうございました。

早速セキュリティグループのインバウンドルールを編集し
LambdaでhttpsでGETを送信しているので、
ポート443番に対して、sg-***********96 (****_dev)
の許可を出した後、Lambdaでテストデータを送信しました。
結果はタイムアウトしてしまいました。
切り分けの為、httpでGETを送信して、
ポート80番に対して、sg-***********96 (****_dev)
の許可を出した後、再度、Lambdaでテストデータを送信しました。
ただ、こちらもタイムアウトしてしまいました。
sg-***********96 (****_dev)に対してsg-***********96 (****_dev)を
許可しているのが問題なのかと思い、別のセキュリティグループを作成し、
同じ手順で443と80を許可してテスト実行しましたが、
結果はタイムアウトになってしまいました。

ネットワークインターフェースの設定を見ても、
両方のセキュリティグループが許可されているのが確認できているので、
私の方が、許可ルールの設定について認識違いしているのではないかと感じています。

許可ルールの設定についての認識違いはないでしょうか。

[TaichiYanagiya]

文章ではわかりづらいのですが、たぶん、許可ルールは合っていると思います。

[wasi300]

色々教えて頂きありがとうございました。
今回はどうしてもうまく行かないので、別の方法を検討しようと思います。
多分何か理解していない前提があるのだと思います。