Die vorliegende Übersetzung wurde maschinell erstellt. Im Falle eines Konflikts oder eines Widerspruchs zwischen dieser übersetzten Fassung und der englischen Fassung (einschließlich infolge von Verzögerungen bei der Übersetzung) ist die englische Fassung maßgeblich.

Verbindung zu privat gehosteten Tools herstellen

Überblick über private Verbindungen

AWS DevOps Der Agent kann mit benutzerdefinierten MCP-Tools (Model Context Protocol) und anderen Integrationen erweitert werden, die dem Agenten Zugriff auf interne Systeme wie private Paketregistrierungen, selbst gehostete Observability-Plattformen, interne Dokumentations-APIs und Quellcodeverwaltungsinstanzen ermöglichen (siehe:). Konfiguration von Integrationen und Wissen Diese Dienste werden häufig in einer Amazon Virtual Private Cloud (Amazon VPC) mit eingeschränktem oder keinem öffentlichen Internetzugang ausgeführt, was bedeutet, dass der AWS DevOps Agent sie standardmäßig nicht erreichen kann.

Private Verbindungen für AWS DevOps Agenten ermöglichen es Ihnen, Ihren Agent Space sicher mit Diensten zu verbinden, die in Ihrer VPC ausgeführt werden, ohne sie dem öffentlichen Internet auszusetzen. Private Verbindungen funktionieren mit jeder Integration, die einen privaten Endpunkt erreichen muss, einschließlich MCP-Servern, selbst gehosteten Grafana- oder Splunk-Instances und Quellcodeverwaltungssystemen wie Enterprise Server und. GitHub GitLab Self-Managed

Wie funktionieren private Verbindungen

Eine private Verbindung erstellt einen sicheren Netzwerkpfad zwischen dem AWS DevOps Agenten und einer Zielressource in Ihrer VPC. Unter der Haube verwendet der AWS DevOps Agent Amazon VPC Lattice, um diesen sicheren privaten Konnektivitätspfad herzustellen. VPC Lattice ist ein Anwendungsnetzwerkservice, mit dem Sie die Kommunikation zwischen Anwendungen über VPCs, Konten und Rechenarten hinweg verbinden, sichern und überwachen können, ohne die zugrunde liegende Netzwerkinfrastruktur verwalten zu müssen.

Wenn Sie eine private Verbindung herstellen, passiert Folgendes:

Das Ressourcen-Gateway wird vollständig vom AWS DevOps Agenten verwaltet und erscheint als schreibgeschützte Ressource in Ihrem Konto (benanntaidevops-{your-private-connection-name}). Sie müssen es nicht konfigurieren oder verwalten. Die einzigen Ressourcen, die in Ihrer VPC erstellt werden, sind ENIs in den von Ihnen angegebenen Subnetzen. Diese ENIs dienen als Einstiegspunkt für den privaten Verkehr und werden vollständig vom Dienst verwaltet. Sie akzeptieren keine eingehenden Verbindungen aus dem Internet, und Sie behalten die volle Kontrolle über ihren Datenverkehr durch Ihre eigenen Sicherheitsgruppen.

Sicherheit

Private Verbindungen sind mit mehreren Sicherheitsebenen ausgestattet:

Architektur

Das folgende Diagramm zeigt den Netzwerkpfad für eine private Verbindung.

In dieser Architektur:

Konfiguration von Firewallregeln für private Verbindungen

Bei privaten Verbindungen stammt der Datenverkehr vom AWS DevOps Agenten zu Ihrem privat gehosteten Tool von den Resource Gateway-ENIs in den Subnetzen, die Sie bei der Erstellung der privaten Verbindung angegeben haben. Dies unterscheidet sich von öffentlich gehosteten Tool-Verbindungen, bei denen die auf der Sicherheitsseite aufgeführten statischen IP-Adressen verwendet werden. AWS DevOps Agentensicherheit

Gehen Sie wie folgt vor, um zu ermöglichen, dass AWS DevOps Agenten-Traffic Ihr privat gehostetes Tool erreicht:

Um Ihre Subnetz-CIDR-Blöcke zu finden, führen Sie den folgenden Befehl mit den Subnetz-IDs aus, die Sie beim Erstellen der privaten Verbindung angegeben haben:

aws ec2 describe-subnets \
    --subnet-ids subnet-0123456789abcdef0 subnet-0123456789abcdef1 \
    --query 'Subnets[*].[SubnetId,CidrBlock]' \
    --output table

Erstellen Sie eine private Verbindung

Sie können eine private Verbindung mit der AWS Management Console oder der AWS CLI erstellen.

Voraussetzungen

Bevor Sie eine private Verbindung herstellen, stellen Sie sicher, dass Sie über Folgendes verfügen:

Private Verbindungen sind Ressourcen auf Kontoebene. Nachdem Sie eine private Verbindung erstellt haben, können Sie sie für mehrere Integrationen und Agent Spaces wiederverwenden, die denselben Host erreichen müssen.

Erstellen Sie mithilfe der Konsole eine private Verbindung

Der Verbindungsstatus ändert sich in Create in progress. Dieser Vorgang kann bis zu 10 Minuten dauern. Wenn sich der Status in Aktiv ändert, ist der Netzwerkpfad bereit.

Wenn sich der Status in Erstellen fehlgeschlagen ändert, überprüfen Sie Folgendes:

Erstellen Sie eine private Verbindung mit dem AWS CLI

Führen Sie den folgenden Befehl aus, um eine private Verbindung herzustellen. Ersetzen Sie die Platzhalterwerte durch Ihre eigenen.

aws devops-agent create-private-connection \
    --name my-mcp-tool-connection \
    --mode '{
        "serviceManaged": {
            "hostAddress": "mcp.internal.example.com",
            "vpcId": "vpc-0123456789abcdef0",
            "subnetIds": [
                "subnet-0123456789abcdef0",
                "subnet-0123456789abcdef1"
            ],
            "securityGroupIds": [
                "sg-0123456789abcdef0"
            ],
            "portRanges": ["443"],
            "dnsResolution": "PUBLIC"
        }
    }'

Das dnsResolution Feld steuert, wie der hostAddress DNS-Name aufgelöst wird. Gültige Werte sind PUBLIC (die Standardeinstellung, wenn sie weggelassen wird) undIN_VPC. Verwenden Sie diese Option, IN_VPC wenn Ihre Hostadresse nur innerhalb Ihrer VPC aufgelöst wird (z. B. ein Name in einer privat gehosteten Zone). Wenn Sie eine IP-Adresse für angebenhostAddress, hat dieses Feld keine Auswirkung.

Die Antwort enthält den Verbindungsnamen und den StatusCREATE_IN_PROGRESS:

{
    "name": "my-mcp-tool-connection",
    "status": "CREATE_IN_PROGRESS",
    "resourceGatewayId": "rgw-0123456789abcdef0",
    "hostAddress": "mcp.internal.example.com",
    "vpcId": "vpc-0123456789abcdef0"
}

Verwenden Sie den folgenden describe-private-connection Befehl, um den Verbindungsstatus zu überprüfen:

aws devops-agent describe-private-connection \
    --name my-mcp-tool-connection

Wenn der Status lautetACTIVE, ist Ihre private Verbindung einsatzbereit.

Verwenden Sie eine private Verbindung mit einem Capability Provider

Um eine private Verbindung zu verwenden, können Sie bei der Registrierung eines Funktionsanbieters eine Verknüpfung zu dieser Verbindung herstellen. Zu den unterstützten Funktionen, die mit privaten Verbindungen verwendet werden könnenGitHub, gehören: GitLabMCP Server,Remote Agent, undGrafana. Sie können diesen Schritt mit der AWS Management Console oder der AWS CLI ausführen.

Verwenden Sie über die Konsole eine private Verbindung zu einem Capability Provider

In der AWS DevOps Agentenkonsole können private Verbindungen bei der Registrierung mit einer Funktion verknüpft werden, indem Sie die Option „Mit einem Endpunkt über eine private Verbindung verbinden“ auswählen.

Hostadresse und Endpunkt-URL

Eine private Verbindung und ein Capability Provider erhalten jeweils eine Adresse. Die beiden sind nicht austauschbar:

Die beiden Werte müssen nicht identisch sein, sodass ein Hostname, der nur in Ihrer VPC aufgelöst wird, nicht in der Hostadresse erscheinen muss. Wenn der Hostname Ihres Dienstes für Ihre VPC privat ist, haben Sie zwei Möglichkeiten:

Sie wählen den DNS-Auflösungsmodus, wenn Sie die Verbindung herstellen. Entscheiden Sie also zuerst, welche Option Sie verwenden möchten. Informationen zu den Symptomen, die eine Nichtübereinstimmung zwischen diesen beiden Werten hervorruft, finden Sie unter Eine DNS-Hostadresse wird nicht aufgelöst oder der Datenverkehr erreicht die falsche Stelle.

Routing des Endpunkts und des OAuth-Token-Austauschs über verschiedene private Verbindungen

Bei Anbietern von OAuth-based MCP-Servern und Remote-Agent-Funktionen sendet der Agent Anfragen an zwei verschiedene Endpunkte: die Ziel-URL (den MCP-Server oder den Remote-Agent-Endpunkt, den Sie registrieren) und die Exchange-URL (der OAuth-Token-Austauschendpunkt). Standardmäßig wird eine einzelne privateConnectionName für beide verwendet. Wenn diese beiden Endpunkte über unterschiedliche private Netzwerkpfade erreichbar sind, können Sie jeden über eine eigene private Verbindung weiterleiten, indem Sie exchangeUrlPrivateConnectionName stattdessen targetUrlPrivateConnectionName und verwenden:

Sie können eines oder beide angeben. Wenn Sie nur einen Endpunkt festlegen, wird der andere Endpunkt über das öffentliche Internet erreicht (er fällt nicht auf die andere private Verbindung zurück).

Im folgenden Beispiel wird ein MCP-Server mit OAuth-Client-Anmeldeinformationen registriert, der seinen Endpunkt und seinen Token-Exchange-Endpunkt über zwei separate private Verbindungen erreicht:

aws devops-agent register-service \
    --service mcpserver \
    --target-url-private-connection-name my-target-connection \
    --exchange-url-private-connection-name my-exchange-connection \
    --service-details '{
        "mcpserver": {
            "name": "my-mcp-tool",
            "endpoint": "https://mcp.internal.example.com",
            "authorizationConfig": {
                "oAuthClientCredentials": {
                    "clientName": "MyOAuthClient",
                    "clientId": "client-id",
                    "clientSecret": "secret-value",
                    "exchangeUrl": "https://auth.internal.example.com/token"
                }
            }
        }
    }' \
    --region us-east-1

Verwenden Sie eine private Verbindung mit einem Capability Provider unter Verwendung der AWS CLI

Sie können Funktionen mit einer privaten Verbindung registrieren, indem Sie das private-connection-name Argument angeben. Unten finden Sie ein Beispiel für die Registrierung eines MCP-Servers mit API-Schlüsselautorisierung über die my-mcp-tool-connection private Verbindung. Ersetzen Sie die Platzhalterwerte durch Ihre eigenen.

aws devops-agent register-service \
    --service mcpserver \
    --private-connection-name my-mcp-tool-connection \
    --service-details '{
        "mcpserver": {
            "name": "my-mcp-tool",
            "endpoint": "https://mcp.internal.example.com",
            "authorizationConfig": {
                "apiKey": {
                    "apiKeyName": "api-key",
                    "apiKeyValue": "secret-value",
                    "apiKeyHeader": "x-api-key"
                }
            }
        }
    }' \
    --region us-east-1

Überprüfen Sie eine private Verbindung

Nachdem die private Verbindung den Status Aktiv erreicht hat und von einem Funktionsanbieter genutzt wurde, stellen Sie sicher, dass der AWS DevOps Agent Ihren Zieldienst erreichen kann:

Wenn die Verbindung fehlschlägt, überprüfen Sie Folgendes:

Löschen Sie eine private Verbindung

Sie können ungenutzte private Verbindungen mithilfe der AWS Managementkonsole oder der AWS CLI löschen.

Löschen Sie eine private Verbindung mithilfe der Konsole

Die private Verbindung wird mit dem Status „Verbindung wird entfernt“ angezeigt, während der AWS DevOps Agent das verwaltete Ressourcen-Gateway und die ENIs aus Ihrer VPC entfernt. Nach Abschluss des Löschvorgangs erscheint die Verbindung nicht mehr in Ihrer Liste der privaten Verbindungen.

Löschen Sie eine private Verbindung mit dem AWS CLI

aws devops-agent delete-private-connection \
    --name my-mcp-tool-connection

Die Antwort gibt den Status von zurückDELETE_IN_PROGRESS. AWS DevOps Der Agent entfernt das verwaltete Ressourcen-Gateway und die ENIs aus Ihrer VPC. Nach Abschluss des Löschvorgangs erscheint die Verbindung nicht mehr in Ihrer Liste der privaten Verbindungen.

Erweiterte Einrichtung unter Verwendung vorhandener VPC Lattice-Ressourcen

Wenn Ihre Organisation Amazon VPC Lattice bereits verwendet und Ihre eigenen Ressourcenkonfigurationen verwaltet, können Sie im selbstverwalteten Modus eine private Verbindung herstellen. Anstatt dass der AWS DevOps Agent ein Ressourcen-Gateway für Sie erstellt, geben Sie den Amazon-Ressourcennamen (ARN) einer vorhandenen Ressourcenkonfiguration an, die auf Ihren Zielservice verweist.

Dieser Ansatz ist nützlich, wenn Sie:

So erstellen Sie eine selbstverwaltete private Verbindung mit der CLI: AWS

aws devops-agent create-private-connection \
    --name my-advanced-connection \
    --mode '{
        "selfManaged": {
            "resourceConfigurationId": "arn:aws:vpc-lattice:us-east-1:123456789012:resourceconfiguration/rcfg-0123456789abcdef0"
        }
    }'

Weitere Informationen zur Einrichtung von VPC Lattice-Ressourcen-Gateways und Ressourcenkonfigurationen finden Sie im Amazon VPC Lattice-Benutzerhandbuch.

Cross-region Konnektivität

Private Verbindungen müssen in derselben AWS Region wie Ihr Agent Space erstellt werden. Wenn Ihr Zieldienst in einer anderen Region läuft, verwenden Sie den selbstverwalteten Modus mit regionsübergreifendem VPC-Peering oder Transit Gateway-Peering, um die Lücke zu schließen.

Das Muster ist:

Zum Beispiel, wenn Ihr Agentenbereich aktiviert ist us-east-1 und Ihr MCP-Server in: ap-southeast-2

aws devops-agent create-private-connection \
    --name cross-region-connection \
    --mode '{
        "selfManaged": {
            "resourceConfigurationId": "arn:aws:vpc-lattice:us-east-1:123456789012:resourceconfiguration/rcfg-0123456789abcdef0"
        }
    }' \
    --region us-east-1

Verwandte Themen