AWS Lambda VPC内のLambda関数から、SecretsManagerに GetSecretValue を実施すると timeout する

Question

VPC 内 RDS Proxy に対して接続する Lambda を作成しています。
RDS Proxy は Secrets Manager 設定済みです。

以下のコードを実行します。
これは、Secrets Managerコンソールでサンプルとして与えられたソースコードを参考に作成したものです。

// Create a Secrets Manager client
var client = new AWS.SecretsManager({
    region: region
});

let secPromFunc = (sn) => {return new Promise((resolve, reject) => {
	console.log(`create client ${JSON.stringify(client)}`);
	client.getSecretValue({SecretId: sn}, function(err, data) {
		try{
			console.log(`client getSecretValue err:${err} data:${data}`);
		    if (err) {
		        throw err;
		    }
		    else {
		        // Decrypts secret using the associated KMS CMK.
		        // Depending on whether the secret is a string or binary, one of these fields will be populated.
		        if ('SecretString' in data) {
		            secret = data.SecretString;
		            console.log(`data is string ${secret}`);
		        } else {
		            let buff = new Buffer(data.SecretBinary, 'base64');
		            decodedBinarySecret = buff.toString('ascii');
		            console.log(`data is binary ${decodedBinarySecret}`);
		        }
		        resolve({
		        	str: secret,
		        	bin: decodedBinarySecret,
		        });
		    }
		}catch(err){
			reject(err);
		}
	});
})};
	
let result = await secPromFunc(secretName);

結果

{
  "errorMessage": "2021-08-13T04:46:46.785Z Task timed out after 3.00 seconds"
}

補足事項

• VPCからSecretsManager へ GetSecretValue するために必要となるロールやVPC、セキュリティグループの設定があるのではないかと思っていますが、調べ切れていません。
• RDS Proxy にクリアパスワードで接続、CRUDすることはできているので、Lambdaそのものは動作している様子

Answer 1

Lambda に設定のセキュリティグループ、アウトバウンドに 443
が必要だと気づきました

ありがとうございました。

Comments

[yu_1985]

アウトバウンドをわざわざ絞っているのはそういうポリシーだからでしょうか？
セキュリティグループはコンソールから作るとデフォルトではインバウンドのみ制限してアウトバウンドは特に制限していない（全開放）ので特に理由がなければそれに合わせれば良いと思います。

[t4c62096]

リアクションありがとうございます。
そういうポリシーというか、

デフォルトの 0.0.0.0 に不安を感じたので、脳死で削除していました。

チュート通りにやっていれば困らなかったのでしょうけど、ここは理解する上で重要なポイントだったと思い、ある意味めっけもんでした。