Stellen Sie mithilfe von VPC Lattice eine Connect zu privaten Ressourcen in Ihrer VPC her

Amazon Bedrock AgentCore unterstützt private Konnektivität zu Ressourcen, die in Ihrer AWS VPC gehostet werden, oder zu lokalen Umgebungen, die mit Ihrer VPC verbunden sind, wie private MCP-Server, interne REST-APIs oder Datenbanken, ohne diese Dienste dem öffentlichen Internet zugänglich zu machen.

Private Konnektivität wird mithilfe von Amazon VPC Lattice-Ressourcen-Gateways und Ressourcenkonfigurationen hergestellt. Einzelheiten zu den beiden unterstützten Modi (verwaltetes und selbstverwaltetes Lattice) finden Sie unter Unterstützte VPC-Ausgangsmodi.

Die wichtigsten Konzepte

Unterstützte Amazon Bedrock-Services AgentCore

Die folgenden Amazon AgentCore Bedrock-Services unterstützen VPC-Egress mit VPC Lattice:

Unterstützte VPC-Ausgangsmodi

Amazon Bedrock AgentCore unterstützt zwei Modi für die Konfiguration der VPC-Lattice-Konnektivität:

In der folgenden Tabelle sind die wichtigsten Unterschiede zusammengefasst:

Preisinformationen zu VPC Lattice finden Sie unter Amazon VPC Lattice-Preise.

Option 1: Verwaltete VPC-Ressourcen

Mit verwalteten VPC-Ressourcen geben Sie Ihre VPC-, Subnetz- und optionale Sicherheitsgruppeninformationen an. AgentCore kümmert sich in Ihrem Namen um die Erstellung und das Lebenszyklusmanagement des VPC Lattice Resource Gateways und die Ressourcenkonfiguration. Das Managed Resource Gateway ist ein Wrapper für ENIs in Ihrer VPC. Sie können es nicht ändern, konfigurieren oder mit ihm interagieren. AgentCore besitzt seinen gesamten Lebenszyklus, einschließlich Erstellung, Wiederverwendung und Löschung.

AgentCore verwendet die AWSServiceRoleForBedrockAgentCoreGatewayNetwork dienstverknüpfte Rolle, um VPC Lattice-Ressourcen-Gateways in Ihrem Konto zu erstellen und zu verwalten. Diese Rolle wird automatisch erstellt, wenn Sie zum ersten Mal ein Gateway-Ziel mit einem verwalteten privaten Endpunkt erstellen. Weitere Informationen zu dieser Rolle finden Sie unter Service-verknüpfte Gateway-Rolle.

Voraussetzungen

Bevor Sie ein Gateway-Ziel mit einem verwalteten privaten Endpunkt erstellen, stellen Sie Folgendes sicher:

Erstellen Sie ein Ziel mit einem verwalteten privaten Endpunkt

Um eine Ressource mit einem verwalteten privaten Endpunkt zu erstellen, fügen Sie den privateEndpoint.managedVpcResource Block in Ihre Erstellungsanforderung ein.

{
  ...
  "privateEndpoint": {
    "managedVpcResource": {
      "vpcIdentifier": "vpc-0abc123def456",
      "subnetIds": ["subnet-0abc123", "subnet-0def456"],
      "endpointIpAddressType": "IPV4",
      "securityGroupIds": ["sg-0abc123def"]
    }
  },
  ...
}

Der managedVpcResource Block akzeptiert die folgenden Felder:

Verwaltete Ressourcen anzeigen

Rufen Sie nach der Erstellung der Ressource die entsprechende Get API auf (z. B.GetGatewayTarget), um die verwalteten VPC-Lattice-Ressourcen anzuzeigen, die in Ihrem AgentCore Namen erstellt wurden. Diese werden im privateEndpointManagedResources Feld der Antwort zurückgegeben:

{
  ...
  "status": "READY",
  "privateEndpoint": {
    "managedVpcResource": {
      "vpcIdentifier": "vpc-0abc123def456",
      "subnetIds": ["subnet-0abc123", "subnet-0def456"],
      "endpointIpAddressType": "IPV4",
      "securityGroupIds": ["sg-0abc123def"]
    }
  },
  "privateEndpointManagedResources": [
    {
      "domain": "my-server.internal.example.com",
      "resourceGatewayArn": "arn:aws:vpc-lattice:us-east-1:123456789012:resourcegateway/rgw-abc123"
    }
  ]
}

Das resourceGatewayArn ist der ARN des VPC Lattice Resource Gateways, das in Ihrem AgentCore Konto erstellt wurde. AgentCore verwaltet den gesamten Lebenszyklus dieser Ressource: Es verwendet dasselbe Ressourcen-Gateway für Ziele mit übereinstimmenden VPC- und Subnetzkonfigurationen wieder und löscht es, wenn es von keinem Ziel mehr verwendet wird.

Option 2: Lattice-Ressourcen Self-managed

Mit selbstverwaltetem Lattice erstellen und verwalten Sie das VPC Lattice-Ressourcen-Gateway und die Ressourcenkonfiguration selbst und geben dann die ID für die Ressourcenkonfiguration an. AgentCore Verwenden Sie diese Option, wenn Sie bereits VPC-Lattice-Ressourcen konfiguriert haben, eine Ressourcenkonfiguration für mehrere Dienste gemeinsam nutzen müssen oder Kontrolle über den Lattice-Ressourcenlebenszyklus benötigen.

Voraussetzungen

Führen Sie die folgenden Schritte aus, bevor Sie ein Gateway-Ziel mit einem selbstverwalteten privaten Endpunkt erstellen:

VPC-Lattice-Ressourcen für selbstverwaltete Konnektivität einrichten

Ihr IAM-Principal benötigt außerdem die folgenden Berechtigungen, AgentCore um die Ressourcenkonfiguration in Ihrem Namen mit dem AgentCore Dienstnetzwerk verknüpfen zu können:

{
"Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "vpc-lattice:GetResourceConfiguration",
        "vpc-lattice:CreateServiceNetworkResourceAssociation",
        "vpc-lattice:GetServiceNetworkResourceAssociation",
        "vpc-lattice:ListServiceNetworkResourceAssociations",
        "vpc-lattice:AssociateViaAWSService"
      ],
      "Resource": "*"
    }
  ]
}

Erstellen Sie ein Ziel mit einem selbstverwalteten privaten Endpunkt

Um eine Ressource mit einem selbstverwalteten privaten Endpunkt zu erstellen, fügen Sie den privateEndpoint.selfManagedLatticeResource Block in Ihre Erstellungsanfrage ein:

{
  ...
  "privateEndpoint": {
    "selfManagedLatticeResource": {
      "resourceConfigurationIdentifier": "arn:aws:vpc-lattice:us-east-1:123456789012:resourceconfiguration/rcfg-abc123"
    }
  },
  ...
}

Dies resourceConfigurationIdentifier kann entweder der ARN oder die ID der VPC-Lattice-Ressourcenkonfiguration sein. AgentCore verwendet Ihre Anmeldeinformationen (über Forward Access Sessions), um die Ressourcenkonfiguration dem AgentCore Servicenetzwerk zuzuordnen.

Nachdem die Ressource erstellt wurde, enthält die Get API-Antwort das resourceAssociationArn in das privateEndpointManagedResources Feld. Wenn Sie mehrere Ressourcen erstellen, die auf dieselbe Ressourcenkonfiguration verweisen, AgentCore wird automatisch die bestehende Dienstenetzwerk-Ressourcenzuweisung wiederverwendet.

Cross-account private Ressourcen

Sie können eine Verbindung AgentCore zu privaten Ressourcen in einem anderen AWS Konto als dem Konto herstellen, dem das Gateway gehört. Dies ist ein übliches Muster für Plattformteams, die zentrale Gateways verwalten, während die privaten Ressourcen den einzelnen Serviceteams gehören.

Das Ressourcenbesitzerkonto muss die VPC Lattice-Ressourcenkonfiguration mit dem Gateway-Besitzerkonto teilen, das RAM verwendet AWS . Das Gateway-Besitzerkonto gibt dann bei der Erstellung des Gateway-Ziels die Konfigurations-ID für die gemeinsam genutzte Ressource an.

Die folgenden Schritte fassen die kontenübergreifende Einrichtung zusammen:

Richten Sie kontoübergreifende private Konnektivität ein

Leiten Sie den Verkehr über eine Zwischendomäne weiter

Sie können das routingDomain Feld verwenden, um den Datenverkehr über eine Zwischenkomponente — z. B. einen VPC-Endpunkt, einen internen Application Load Balancer oder Network Load Balancer — statt direkt an Ihre Zieldomäne weiterzuleiten. Dies ist nützlich, wenn Sie mehrere private Ressourcen hinter einem einzigen Einstiegspunkt konsolidieren möchten (z. B. mehrere private API-Gateways über einen einzigen VPC-Endpunkt weiterleiten möchten, um die Anzahl der Ressourcenkonfigurationen und die damit verbundenen Kosten zu reduzieren).

Wenn Sie eine Routing-Domain verwenden, sollte die Domain, die Sie für Ihr Ziel angeben (in der MCP-Endpunkt-URL oder OpenAPI-Server-URL), der tatsächliche DNS-Name Ihrer Ressource sein. Das routingDomain ist eine separate Domäne, die zum Einrichten der VPC-Lattice-Ressourcenkonfiguration AgentCore verwendet wird. Leitet zum Zeitpunkt des Aufrufs den AgentCore Datenverkehr über die Routingdomäne weiter, sendet jedoch Anfragen mit der tatsächlichen Zieldomäne als TLS-SNI-Hostnamen, sodass Ihre Ressource Anfragen empfängt, die an ihre tatsächliche Domäne gerichtet sind.

Bei der Routingdomäne kann es sich um eine beliebige Domain handeln, die zu Ihrer privaten Ressource innerhalb der VPC weiterleitet. Zu den gängigen Optionen gehören:

Die folgenden Schritte beschreiben den Verkehrsfluss, wenn eine Routingdomäne verwendet wird:

Beispiel: Privates API Gateway mit VPCE-Routingdomäne

Das folgende Beispiel zeigt, wie Sie ein Gateway-Ziel für ein privates API Gateway erstellen, das dessen VPCE-Domäne als Routingdomäne verwendet. Die Ziel-URL ist der private API-Gateway-Hostname und routingDomain der VPCE-DNS-Name:

{
  "name": "my-private-apigw-target",
  "privateEndpoint": {
    "managedVpcResource": {
      "vpcIdentifier": "vpc-0123456789abcdef0",
      "subnetIds": ["subnet-0123456789abcdef0", "subnet-0abcdef1234567890"],
      "endpointIpAddressType": "IPV4",
      "routingDomain": "<vpce-id>.execute-api.us-east-1.vpce.amazonaws.com"
    }
  },
  "targetConfiguration": {
    "mcp": {
      "openApiSchema": {
        "inlinePayload": "<OpenAPI spec JSON with server URL matching the public certificate domain, for example https://<api-id>.execute-api.<region>.amazonaws.com>"
      }
    }
  }
}

Problemumgehung für private Zertifikate: ALB

Für VPC-Egress muss Ihr Zielendpunkt über ein öffentlich vertrauenswürdiges TLS-Zertifikat verfügen. Wenn Ihre private Ressource ein Zertifikat verwendet, das von einer privaten Zertifizierungsstelle (CA) ausgestellt wurde, besteht die empfohlene Lösung darin, einen internen Application Load Balancer (ALB) vor Ihrer Ressource zu platzieren.

Die folgenden Schritte beschreiben den Verkehrsfluss:

Schritt 1: Fordern Sie ein öffentliches ACM-Zertifikat an

Fordern Sie von ACM ein öffentliches Zertifikat für eine Domain an, die Sie besitzen. Diese Domain wird als Ziel-URL verwendet. Anweisungen finden Sie im Certificate Manager-Benutzerhandbuch unter Anfordern eines öffentlichen AWS Zertifikats.

Schritt 2: Erstellen Sie ein internes ALB

Erstellen Sie einen internen Application Load Balancer in derselben VPC wie Ihre private Ressource. Anweisungen finden Sie unter Erstellen eines Application Load Balancer im Elastic Load Balancing Balancing-Benutzerhandbuch. Stellen Sie sicher, dass Sie das Schema auf internal einstellen.

Schritt 3: Erstellen Sie eine IP-based Zielgruppe

Erstellen Sie eine Zielgruppe mit einem Zieltypip, der auf die IP-Adresse Ihrer privaten Ressource auf Port 443 (HTTPS) verweist, und registrieren Sie Ihre private Ressource als Ziel. Eine Anleitung finden Sie unter Eine Zielgruppe erstellen im Elastic Load Balancing User Guide.

Schritt 4: Erstellen Sie einen HTTPS-Listener mit Host-Header-Transformation

Erstellen Sie mithilfe des öffentlichen ACM-Zertifikats einen HTTPS-Listener auf Port 443. Fügen Sie eine Listener-Regel hinzu, die den Host-Header vor der Weiterleitung von der öffentlichen Domain in die Domain der privaten Ressource umwandelt.

aws elbv2 create-listener \
  --load-balancer-arn <alb-arn> \
  --protocol HTTPS \
  --port 443 \
  --certificates CertificateArn=<acm-certificate-arn> \
  --default-actions '[{
    "Type": "forward",
    "TargetGroupArn": "<target-group-arn>",
    "ForwardConfig": {
      "TargetGroups": [{"TargetGroupArn": "<target-group-arn>", "Weight": 1}]
    }
  }]'

Ändern Sie dann die Listener-Regel, um die Host-Header-Transformation hinzuzufügen:

aws elbv2 modify-rule \
  --rule-arn <default-rule-arn> \
  --actions '[{
    "Type": "forward",
    "TargetGroupArn": "<target-group-arn>",
    "ForwardConfig": {
      "TargetGroups": [{"TargetGroupArn": "<target-group-arn>", "Weight": 1}]
    }
  }]' \
  --transforms '[{
    "Type": "host-header",
    "HostHeaderConfig": {
      "Values": ["my-server.my-company.internal"]
    }
  }]'

Schritt 5: Konfigurieren Sie den privaten Endpunkt

Verwenden Sie den ALB-DNS-Namen als Ziel-URL routingDomain und die öffentliche Zertifikatsdomäne.

{
  ...
  "privateEndpoint": {
    "managedVpcResource": {
      "vpcIdentifier": "<vpc-id>",
      "subnetIds": ["<subnet-id-1>", "<subnet-id-2>"],
      "endpointIpAddressType": "IPV4",
      "routingDomain": "internal-my-alb-1234567890.us-west-2.elb.amazonaws.com"
    }
  },
  ...
}

Die Ziel-URL in Ihrer Zielkonfiguration sollte https://my-server.my-company.com (die öffentliche Zertifikatsdomäne) verwenden, nicht die private Domain.

Service-linked Rolle für VPC-Egress

Wenn Sie ein Gateway-Ziel mit einem verwalteten privaten Endpunkt (managedVpcResource) erstellen, AgentCore verwendet die AWSServiceRoleForBedrockAgentCoreGatewayNetwork dienstverknüpfte Rolle, um VPC Lattice-Ressourcen-Gateways in Ihrem Konto zu erstellen und zu verwalten. Diese Rolle wird automatisch erstellt, wenn Sie zum ersten Mal ein verwaltetes privates Endpunktziel erstellen, sofern Ihr IAM-Prinzipal über die erforderlichen Berechtigungen verfügt. iam:CreateServiceLinkedRole

Die serviceverknüpfte Rolle weist die folgenden Hauptmerkmale auf:

Das vollständige Richtliniendokument und Anweisungen zum Erstellen, Bearbeiten und Löschen dieser Rolle finden Sie unter Service-verknüpfte Gateway-Rolle.

Zielstatus und Problembehandlung

Nachdem Sie eine Ressource mit einem privaten Endpunkt erstellt haben, durchläuft die Ressource einen CREATING Status, während sie AgentCore die VPC-Lattice-Ressourcen einrichtet und die Dienstnetzwerkverbindung herstellt. Sie können den Status überwachen, indem Sie die entsprechende Get-API aufrufen (z. B.GetGatewayTarget) und die status Felder und überprüfen. statusReasons

In der folgenden Tabelle werden allgemeine Statuswerte und ihre Bedeutung beschrieben:

In der folgenden Tabelle werden häufig auftretende Probleme und deren Lösungen beschrieben:

Einschränkungen und Überlegungen

Beachten Sie die folgenden Einschränkungen bei der Verwendung von VPC-Egress für: AgentCore