Comment faire répondre une fonction Lambda depuis une adresse web, sans rien installer de plus

Imaginez un petit programme que vous voulez exécuter seulement quand quelqu'un l'appelle : recevoir l'avis qu'un client a payé, traiter un formulaire de contact, convertir une image. Vous ne voulez pas d'un serveur allumé 24 heures sur 24 pour cela. C'est à cela que sert Lambda : vous confiez votre code à Amazon, et Amazon l'exécute seulement quand c'est nécessaire et ne vous facture que ce temps-là. Aucune machine à entretenir.

La question est : comment l'appeler ? Le plus universel est de lui donner une adresse web, une URL comme https://algo.on.aws/, de façon que n'importe quel navigateur ou programme puisse « l'ouvrir » et que votre code réponde. Ce guide fait exactement cela avec l'option intégrée à Lambda, appelée URL de fonction. Rien à installer ni à souscrire en plus.

Pas à pas

1. Vérifiez que votre fonction sait répondre à une requête web

   Quand la fonction est appelée par son adresse web, Lambda lui remet un paquet de données avec la requête (ce qui était demandé, avec quelles données) et attend que votre code renvoie une réponse avec deux choses : un code d'état (200 veut dire « tout va bien ») et un corps (le texte ou les données que vous renvoyez). Si votre fonction a été écrite pour un autre usage, il faut l'adapter. Un exemple minimal, en Node.js, qui répond « bonjour, monde » :

   export const handler = async (event) => ({
     statusCode: 200,
     headers: { "Content-Type": "application/json" },
     body: JSON.stringify({ hola: "mundo" })
   });

   Si ce n'est pas vous qui programmez, transmettez ce paragraphe à la personne qui le fait : elle saura ce que cela veut dire.

2. Décidez qui pourra appeler la fonction

   C'est la seule décision importante du guide, et il vaut mieux bien la comprendre. Il y a deux options :

   • Seulement avec des identifiants AWS (l'option s'appelle AWS_IAM) : seul un programme à vous ayant des permissions sur votre compte Amazon pourra l'appeler. C'est la plus sûre, mais un navigateur normal ou un service externe ne pourront pas l'utiliser.
   • Ouverte (l'option s'appelle NONE) : toute personne qui connaît l'adresse pourra l'appeler. C'est ce qu'il vous faut si elle doit être appelée par un service externe (un webhook) ou par une page web. En contrepartie, c'est votre code qui doit assurer la sécurité : vérifier un mot de passe ou une signature à chaque appel. Nous le voyons à la dernière étape.

   Règle simple : si vous ne savez pas laquelle choisir, choisissez la première. Si la fonction doit recevoir des appels de l'extérieur de votre compte, choisissez la seconde et ne sautez pas la dernière étape.

3. Activez l'adresse web

   Dans la console AWS, entrez dans Lambda, ouvrez votre fonction et cliquez sur l'onglet Configuration. Dans le menu de gauche, choisissez URL de fonction et cliquez sur Créer une URL de fonction. Choisissez le type d'accès de l'étape précédente.

   Si elle va être appelée par une page web à vous depuis un autre domaine, dépliez CORS et écrivez l'adresse de cette page dans « Autoriser l'origine » (par exemple https://miweb.com). Si vous mettez un astérisque, n'importe quel site au monde pourra l'appeler depuis le navigateur ; évitez-le sauf si c'est bien ce que vous voulez. Enregistrez. En haut apparaît la nouvelle adresse, qui ressemble à ceci : https://xxxxxxxx.lambda-url.eu-west-1.on.aws/. C'est votre URL.

4. Testez-la

   Si vous avez choisi l'option ouverte, copiez l'adresse et collez-la dans le navigateur : vous devriez voir la réponse de votre fonction (dans l'exemple, le texte « hola, mundo »). Elle fonctionne déjà.

   Si vous préférez la tester depuis un terminal, dans CloudShell (l'icône de terminal dans la barre supérieure de la console AWS), tapez :

   curl -i https://xxxxxxxx.lambda-url.eu-west-1.on.aws/

   Si vous avez choisi l'option avec identifiants, le navigateur dira « Forbidden » : c'est attendu, puisqu'il ne porte pas d'identifiants. Le test devra être fait par votre programme qui va l'appeler, en utilisant les bibliothèques AWS, qui savent déjà signer les requêtes.

5. Regardez le journal des exécutions

   Onglet Surveiller, bouton Afficher les journaux CloudWatch. Chaque appel laisse une note avec le temps qu'il a pris et ce que votre code a écrit. Si un appel renvoie une erreur, vous en verrez ici la raison. Un conseil qui fait économiser de l'argent : dans ce groupe de journaux, définissez une rétention de, par exemple, 30 jours ; sinon, les journaux sont conservés pour toujours et facturés.

6. Si vous l'avez laissée ouverte, protégez-la

   Ouverte veut dire que n'importe qui peut l'appeler, donc votre code doit vérifier quelque chose à chaque appel. Le plus courant : le service qui vous envoie le webhook inclut une signature ou une clé secrète dans chaque avis, et votre fonction vérifie qu'elle est correcte avant de faire quoi que ce soit. Gardez cette clé dans les variables d'environnement de la fonction (onglet Configuration), pas écrite dans le code.

   Et mettez un plafond au nombre d'exécutions simultanées (simultanéité réservée, dans Configuration) : si quelqu'un bombarde l'adresse, le plafond évite que la facture s'envole.

Ce qui peut mal tourner