Les traductions sont fournies par des outils de traduction automatique. En cas de conflit entre le contenu d'une traduction et celui de la version originale en anglais, la version anglaise prévaudra.

Création d’une fonction Lambda à l’aide d’une image de conteneur

Le code de votre AWS Lambda fonction se compose de scripts ou de programmes compilés et de leurs dépendances. Pour déployer votre code de fonction vers Lambda, vous utilisez un package de déploiement. Lambda prend en charge deux types de packages de déploiement : les images conteneurs et les archives de fichiers .zip.

Il existe trois méthodes pour créer une image de conteneur pour une fonction Lambda :

Pour créer une fonction Lambda à partir d’une image de conteneur, créez votre image localement et chargez-la dans un référentiel Amazon Elastic Container Registry (Amazon ECR). Si vous utilisez une image de conteneur fournie par un vendeur AWS Marketplace, vous devez d’abord cloner l’image dans votre référentiel Amazon ECR privé. Indiquez ensuite l’URI du référentiel lorsque vous créez la fonction. Le référentiel Amazon ECR doit être Région AWS identique à la fonction Lambda. Vous pouvez créer une fonction en utilisant une image d'un autre AWS compte, à condition que l'image se trouve dans la même région que la fonction Lambda. Pour de plus amples informations, veuillez consulter Autorisations entre comptes Amazon ECR.

Cette page explique les types d'images de base et les exigences relatives à la création d'images de Lambda-compatible conteneur.

Exigences

Installez l’AWS CLI version 2 et la CLI Docker. En outre, notez les exigences suivantes :

À l'aide d'un AWS image de base pour Lambda

Vous pouvez utiliser l’une des images de base AWS pour Lambda afin de créer l’image de conteneur pour votre code de fonction. Les images de base sont préchargées avec une exécution de langage et d’autres composants requis pour exécuter une image conteneur sur Lambda. Vous ajoutez votre code de fonction et vos dépendances à l’image de base, puis vous l’empaquetez en tant qu’image de conteneur.

AWS fournit régulièrement des mises à jour des images AWS de base pour Lambda. Si votre Dockerfile inclut le nom de l’image dans la propriété FROM, votre client Docker extrait la dernière version de l’image du référentiel Amazon ECR. Afin d’utiliser l’image de base mise à jour, vous devez reconstruire votre image de conteneur et mettre à jour le code de la fonction.

Les images de base Node.js 20, Python 3.12, Java 21, .NET 8, Ruby 3.3 et versions ultérieures sont basées sur l'image de conteneur minimale Amazon Linux 2023. Les images de base antérieures utilisaient Amazon Linux 2. AL2023 offre plusieurs avantages par rapport à Amazon  Linux2, notamment un encombrement de déploiement réduit et des versions mises à jour de bibliothèques telles que glibc.

AL2023-based les images utilisent microdnf (lié par un lien symboliquednf) comme gestionnaire de packages au lieu deyum, qui est le gestionnaire de packages par défaut dans Amazon Linux 2. microdnfest une implémentation autonome de. dnf Pour obtenir la liste des packages inclus dans les AL2023-based images, reportez-vous aux colonnes Conteneur minimal de la section Comparaison des packages installés sur Amazon Linux 2023 Container Images. Pour plus d’informations sur les différences entre AL2023 et Amazon Linux 2, consultez Introducing the Amazon Linux 2023 runtime for AWS Lambda sur le blog AWS  Compute.

Pour créer une image de conteneur à l'aide d'une image de AWS base, choisissez les instructions correspondant à votre langue préférée :

À l'aide d'un AWS OS-only image de base

AWS OS-only les images de base contiennent une distribution Amazon Linux et l'émulateur d'interface d'exécution. Ces images sont couramment utilisées pour créer des images de conteneur pour les langages compilés, tels que Go et Rust, et pour une langue ou une version linguistique pour laquelle Lambda ne fournit pas d'image de base, telle que Node.js 19. Vous pouvez également utiliser des images OS-only de base pour implémenter un environnement d'exécution personnalisé. Pour rendre l’image compatible avec Lambda, vous devez inclure un client d’interface d’exécution pour votre langage dans l’image.

Galerie publique d'Amazon Elastic Container Registry : gallery.ecr. aws/lambda/fourni

En utilisant un non-AWS image de base

Lambda prend en charge toute image conforme à l’un des formats de manifeste d’image suivants :

Lambda prend en charge une taille maximale d’image non compressée de 10 Go, comprenant toutes les couches.

Clients d’interface d’exécution

Si vous utilisez une image OS-only de base ou une image de base alternative, vous devez inclure un client d'interface d'exécution dans votre image. Le client de l'interface d'exécution doit étendre leUtilisation de l’API de l’environnement d’exécution Lambda pour des environnements d’exécution personnalisés, qui gère l'interaction entre Lambda et votre code de fonction. AWS fournit des clients d'interface d'exécution open source pour les langages suivants :

Si vous utilisez un langage qui ne possède pas de client d'interface d'exécution AWS fourni, vous devez créer le vôtre.

Autorisations Amazon ECR

Avant de créer une fonction Lambda à partir d’une image de conteneur, vous devez créer l’image localement et la charger dans un référentiel Amazon ECR. Lorsque vous créez la fonction, indiquez l’URI du référentiel Amazon ECR.

Assurez-vous que les autorisations accordées à l'utilisateur ou au rôle qui crée la fonction incluent GetRepositoryPolicySetRepositoryPolicy,BatchGetImage, etGetDownloadUrlForLayer.

Par exemple, utilisez la console IAM pour créer un rôle avec la stratégie suivante :

JSON

{
  "Version":"2012-10-17",
  "Statement": [
    {
      "Sid": "VisualEditor0",
      "Effect": "Allow",
      "Action": [
        "ecr:SetRepositoryPolicy",
        "ecr:GetRepositoryPolicy",
        "ecr:BatchGetImage",
        "ecr:GetDownloadUrlForLayer"
      ],
      "Resource": "arn:aws:ecr:us-east-1:111122223333:repository/hello-world"
    }
  ]
}

Les autorisations dont Lambda a besoin pour récupérer votre image de conteneur varient selon que le référentiel Amazon ECR se trouve sur le même AWS compte que la fonction ou sur un compte différent. Les sections suivantes expliquent les exigences de chaque scénario.

Same-account Politiques relatives aux référentiels Amazon ECR

Pour une fonction associée au même compte que l'image du conteneur dans Amazon ECR, vous pouvez accorder l'accès à Lambda par le biais de la politique basée sur l'identité sur le rôle d'exécution ou de la politique basée sur les ressources du référentiel Amazon ECR. Un seul côté doit autoriser l'accès.

Si vous choisissez d'utiliser une politique de dépôt Amazon ECR, ajoutez ecr:BatchGetImage et ecr:GetDownloadUrlForLayer autorisations. L’exemple suivant présente la stratégie minimum :

{
        "Sid": "LambdaECRImageRetrievalPolicy",
        "Effect": "Allow",
        "Principal": {
          "Service": "lambda.amazonaws.com"
        },
        "Action": [
          "ecr:BatchGetImage",
          "ecr:GetDownloadUrlForLayer"
        ]
    }   

Pour plus d’informations sur les autorisations des référentiels Amazon ECR, consultez Politiques des référentiels privés dans le Guide de l’utilisateur Amazon Elastic Container Registry.

Si le référentiel Amazon ECR n’inclut pas ces autorisations, Lambda tente de les ajouter automatiquement. Lambda ne peut ajouter ces autorisations que si le principal appelant Lambda dispose des autorisations ecr:getRepositoryPolicy et ecr:setRepositoryPolicy.

Pour afficher ou modifier les autorisations de votre référentiel Amazon ECR, suivez les instructions de la section Définition d’une déclaration de politique de référentiel privé dans le Guide de l’utilisateur Amazon Elastic Container Registry.

Autorisations entre comptes Amazon ECR

Lorsqu'une fonction d'un compte utilise une image de conteneur provenant d'un référentiel Amazon ECR d'un autre compte, les deux parties doivent autoriser l'accès. La politique basée sur l'identité concernant le rôle dans le compte consommateur doit autoriser ecr:BatchGetImage etecr:GetDownloadUrlForLayer, et la politique basée sur les ressources du référentiel Amazon ECR du compte propriétaire doit également autoriser ces actions.

Dans l’exemple suivant, votre politique d’autorisations de référentiel Amazon ECR a besoin des instructions suivantes pour accorder l’accès au numéro de compte 123456789012.

Pour donner accès à plusieurs comptes, vous ajoutez les ID de compte à la liste Principal de la stratégie CrossAccountPermissionet à la liste d’évaluation des conditions dans leLambdaECRImageCrossAccountRetrievalPolicy.

Si vous travaillez avec plusieurs comptes au AWS sein d'une organisation, nous vous recommandons d'énumérer chaque ID de compte dans la politique d'autorisation ECR. Cette approche est conforme aux meilleures pratiques de AWS sécurité qui consistent à définir des autorisations restreintes dans les politiques IAM.

Outre la politique de référentiel Amazon ECR, l'utilisateur ou le rôle qui crée la fonction doit également disposer BatchGetImage d'GetDownloadUrlForLayerautorisations dans sa politique basée sur l'identité.

Cycle de vie des fonctions

Après avoir chargé une nouvelle image de conteneur ou une image de conteneur mise à jour, Lambda optimise l'image avant que la fonction ne puisse traiter les appels. Le processus d'optimisation peut prendre quelques secondes. La fonction reste dans l’état Pending jusqu’à ce que le processus se termine, l’état passant alors à Active. Vous ne pouvez pas invoquer la fonction jusqu’à ce qu’elle atteigne l’état Active.

Si une fonction n'est pas appelée pendant plusieurs semaines, Lambda récupère sa version optimisée, et la fonction passe à l'état Inactive. Pour réactiver la fonction, vous devez l'appeler. Lambda rejette la première invocation et la fonction passe à l'état Pending jusqu'à ce que Lambda réoptimise l'image. La fonction revient ensuite à l'état Active.

Lambda récupère périodiquement l’image de conteneur associée à partir du référentiel Amazon ECR. Si l'image de conteneur correspondante n'existe plus sur Amazon ECR ou si les autorisations ont été révoquées, la fonction passera à l'état Failed, et Lambda renverra un message d'échec à tout appel de la fonction.

Vous pouvez utiliser l'API Lambda pour obtenir des informations sur l'état d'une fonction. Pour de plus amples informations, veuillez consulter États de la fonction Lambda.