Las traducciones son generadas a través de traducción automática. En caso de conflicto entre la traducción y la version original de inglés, prevalecerá la version en inglés.

Configurar el tiempo de AgentCore ejecución y las herramientas de Amazon Bedrock para VPC

Puede configurar Amazon Bedrock AgentCore Runtime y las herramientas integradas (el intérprete de código y la herramienta de navegador) para conectarse a los recursos de su Amazon Virtual Private Cloud (VPC). Al configurar la conectividad de la VPC, permite un acceso seguro a los recursos privados, como las bases de datos, las API internas y los servicios de su VPC.

Conectividad de VPC para el tiempo de ejecución y las herramientas de Amazon Bedrock AgentCore

Para permitir que Amazon Bedrock AgentCore Runtime y las herramientas integradas accedan de forma segura a los recursos de su VPC privada, AgentCore proporciona capacidades de conectividad de VPC. Esta función permite que su tiempo de ejecución y sus herramientas:

Al configurar la conectividad de la VPC para el tiempo de AgentCore ejecución y las herramientas de Amazon Bedrock:

Requisitos previos

Antes de configurar Amazon Bedrock AgentCore Runtime y las herramientas para el acceso a la VPC, asegúrese de tener:

Zonas de disponibilidad admitidas

AgentCore admite la conectividad de VPC en zonas de disponibilidad específicas dentro de cada región compatible. Al configurar subredes para su Amazon Bedrock AgentCore Runtime y las herramientas integradas, asegúrese de que sus subredes estén ubicadas en las zonas de disponibilidad compatibles de su región.

En la siguiente tabla se muestran los ID de zona de disponibilidad compatibles para cada región:

Para identificar el identificador de zona de disponibilidad de sus subredes, puede usar el siguiente comando de la CLI:

aws ec2 describe-subnets --subnet-ids subnet-12345678 --query 'Subnets[0].AvailabilityZoneId'

Permisos de IAM

AgentCore usa la función vinculada al servicio AWSServiceRoleForBedrockAgentCoreNetwork para crear y administrar las interfaces de red en su VPC. Este rol se crea automáticamente al configurar por primera vez Amazon Bedrock AgentCore Runtime o las herramientas AgentCore integradas para usar la conectividad de la VPC.

Si necesita crear este rol manualmente, su entidad de IAM necesita los siguientes permisos:

{
    "Action": "iam:CreateServiceLinkedRole",
    "Effect": "Allow",
    "Resource": "arn:aws:iam::*:role/aws-service-role/network.bedrock-agentcore.amazonaws.com/AWSServiceRoleForBedrockAgentCoreNetwork",
    "Condition": {
        "StringLike": {
            "iam:AWSServiceName": "network.bedrock-agentcore.amazonaws.com"
        }
    }
}

Este permiso ya está incluido en la política AWS BedrockAgentCoreFullAccess gestionada.

Prácticas recomendadas

Para obtener un rendimiento y una seguridad óptimos con VPC-connected Amazon Bedrock AgentCore Runtime y las herramientas integradas:

Configurar el acceso a la VPC para el tiempo de ejecución y las herramientas

Puede configurar el acceso a la VPC para Amazon Bedrock AgentCore Runtime y las herramientas integradas mediante la consola de AWS administración, la AWS CLI o los SDK. AWS

Configuración del tiempo de ejecución

Configuración del intérprete de código

Configuración de la herramienta de navegación

Consideraciones relativas al grupo de seguridad

Los grupos de seguridad actúan como firewalls virtuales para su Amazon Bedrock AgentCore Runtime o como una herramienta integrada cuando se conectan a una VPC. Controlan el tráfico entrante y saliente a nivel de instancia. Para configurar los grupos de seguridad para tu tiempo de ejecución:

Ejemplo: conectarse a una base de datos de Amazon RDS

Cuando su Amazon Bedrock AgentCore Runtime se conecte a una base de datos de Amazon RDS, configure los grupos de seguridad de la siguiente manera:

Grupo de seguridad de Amazon Bedrock Runtime AgentCore

Grupo de seguridad de bases de datos de Amazon RDS

Ejemplo: conectarse a archivos de Amazon EFS o Amazon S3

Cuando configura sistemas de archivos personalizados (puntos de acceso de Amazon EFS o Amazon S3 Files) en el tiempo de ejecución de su agente, AgentCore Runtime monta el sistema de archivos en NFS. Esto requiere una conectividad TCP en el puerto 2049 entre los ENI en tiempo de ejecución del agente y los destinos de montaje del sistema de archivos.

AgentCore gestiona automáticamente el cifrado TLS y la autenticación de IAM. El ayudante de amazon-efs-utils montaje viene preinstalado en el entorno de ejecución de la microVM, por lo que no es necesario configurar ni instalar ningún software de montaje en la imagen del contenedor.

Configuración del grupo de seguridad

Configure sus grupos de seguridad para permitir el tráfico de NFS entre el tiempo de ejecución del agente y los destinos de montaje del sistema de archivos.

Grupo de seguridad en tiempo de ejecución del agente: regla de salida:

Grupo de seguridad de destino para el montaje del sistema de archivos: regla de entrada:

sg-mounttargetSustitúyalo por el ID del grupo de seguridad de sus destinos de montaje de archivos EFS o S3 y sg-agentruntime por el ID del grupo de seguridad utilizado por el agente en tiempo de ejecución.

AWS CLI: agregue una regla de salida al grupo de seguridad en tiempo de ejecución del agente:

aws ec2 authorize-security-group-egress \
  --group-id sg-0123456789abcdef0 \
  --protocol tcp \
  --port 2049 \
  --source-group sg-0987654321fedcba0

AWS CLI: agregue una regla de entrada para montar el grupo de seguridad de destino:

aws ec2 authorize-security-group-ingress \
  --group-id sg-0987654321fedcba0 \
  --protocol tcp \
  --port 2049 \
  --source-group sg-0123456789abcdef0

Configuración de puntos de conexión de VPC

Al ejecutar Amazon Bedrock AgentCore Runtime en una VPC, se recomienda encarecidamente configurar los siguientes puntos de enlace de la VPC. Estos puntos de enlace son obligatorios si su VPC no tiene acceso a Internet y se recomiendan encarecidamente, incluso si su VPC tiene una puerta de enlace NAT, para evitar los cargos por procesamiento de datos de la puerta de enlace NAT.

Puntos finales de VPC necesarios

Consideraciones sobre el acceso a Internet

Al conectar Amazon Bedrock AgentCore Runtime o una herramienta integrada a una nube privada virtual (VPC), esta no tiene acceso a Internet de forma predeterminada. De forma predeterminada, estos recursos solo pueden comunicarse con los recursos de la misma VPC. Si el motor de ejecución o la herramienta requieren acceso tanto a los recursos de la VPC como a Internet, debes configurar la VPC en consecuencia.

Arquitectura de acceso a Internet

Para habilitar el acceso a Internet para su VPC-connected Amazon Bedrock AgentCore Runtime o una herramienta integrada, configure su VPC con los siguientes componentes:

Configuración de enrutamiento

Actualice las tablas de rutas de subred de la siguiente manera:

Supervisión y solución de problemas

Para supervisar y solucionar problemas relacionados con el tiempo de ejecución y las herramientas de VPC-connected Amazon Bedrock AgentCore :

CloudWatch Registros

Habilite CloudWatch los registros de su Amazon Bedrock AgentCore Runtime para identificar cualquier problema de conectividad:

Problemas y soluciones comunes de

Problemas con el intérprete de código

Problemas con la herramienta del navegador

Probando la conectividad de la VPC

Para comprobar que el AgentCore motor de ejecución y las herramientas tienen la conectividad de VPC adecuada, puedes probar las conexiones a tus recursos privados y comprobar que las interfaces de red se hayan creado correctamente en las subredes especificadas.

Para verificar que tu AgentCore herramienta tenga acceso a Internet, puedes configurar un intérprete de código con tu configuración de VPC y usar la Invoke API para intentar conectarse a una API o sitio web públicos mediante un curl comando y comprobar la respuesta. executeCommand Si se agota el tiempo de espera de la conexión, revisa la configuración de la VPC, en particular las tablas de enrutamiento y la configuración de la puerta de enlace NAT.

# Using awscurl
awscurl -X POST \
  "https://bedrock-agentcore.<Region>.amazonaws.com/code-interpreters/<code_interpreter_id>/tools/invoke" \
  -H "Content-Type: application/json" \
  -H "Accept: application/json" \
  -H "x-amzn-code-interpreter-session-id: your-session-id" \
  --service bedrock-agentcore \
  --region <Region> \
  -d '{
    "name": "executeCommand",
    "arguments": {
      "command": "curl amazon.com"
    }
  }'

Problemas de conectividad del sistema de archivos

Cuando se produce un error en el montaje de un sistema de archivos, la InvokeAgentRuntime API devuelve el estado HTTP 424 (dependencia fallida). Utilice las siguientes secciones para diagnosticar la causa principal.

Se agota el tiempo de espera del montaje del sistema

Síntomas: las invocaciones de agentes con configuraciones de sistemas de archivos fallan tras un retraso prolongado. El error indica que se agotó el tiempo de espera de la operación de montaje.

Causas y soluciones comunes:

1. Faltan reglas del grupo de seguridad

Verifique la regla de salida en el grupo de seguridad de ejecución de su agente:

aws ec2 describe-security-groups \
  --group-ids sg-0123456789abcdef0 \
  --query 'SecurityGroups[0].IpPermissionsEgress[?ToPort==`2049`]'

Verifique la regla de entrada en su grupo de seguridad de destino de montaje:

aws ec2 describe-security-groups \
  --group-ids sg-0987654321fedcba0 \
  --query 'SecurityGroups[0].IpPermissions[?ToPort==`2049`]'

Si alguna de las consultas arroja resultados vacíos, añada la regla que falta, como se muestra en el ejemplo: Conexión a archivos de Amazon EFS o Amazon S3.

2. No hay ningún objetivo de montaje en la zona de disponibilidad del agente

El tiempo de ejecución del agente puede estar ubicado en una zona de disponibilidad en la que no exista un destino de montaje. Verifique la superposición:

# Get agent runtime subnet AZs
aws ec2 describe-subnets \
  --subnet-ids subnet-0123456789abcdef0 subnet-0123456789abcdef1 \
  --query 'Subnets[*].[SubnetId, AvailabilityZoneId]' --output table

# Get EFS mount target AZs
aws efs describe-mount-targets \
  --file-system-id fs-0123456789abcdef0 \
  --query 'MountTargets[*].[AvailabilityZoneId, LifeCycleState]' --output table

Solución: cree un destino de montaje en cada zona de disponibilidad en la que estén ubicadas las subredes de ejecución de los agentes o restrinja las subredes de tiempo de ejecución de los agentes a las zonas de disponibilidad en las que existan objetivos de montaje.

3. En la tabla de rutas falta la ruta local

Verifique que la tabla de rutas asociada a las subredes de tiempo de ejecución de su agente incluya la ruta de la VPC local:

aws ec2 describe-route-tables \
  --filters "Name=association.subnet-id,Values=subnet-0123456789abcdef0" \
  --query 'RouteTables[0].Routes[?DestinationCidrBlock]'

El montaje del sistema de archivos falla con "» ResourceNotFound

Síntomas: la invocación del agente falla inmediatamente (sin que se agote el tiempo de espera) y se produce un ResourceNotFound error al hacer referencia al nombre de host del sistema de archivos.

Causas y soluciones comunes:

1. Fallo de resolución de DNS: la VPC no puede resolver el nombre de host de destino del montaje del sistema de archivos.

Verifique la configuración de DNS en su VPC:

aws ec2 describe-vpc-attribute \
  --vpc-id vpc-0123456789abcdef0 \
  --attribute enableDnsSupport

aws ec2 describe-vpc-attribute \
  --vpc-id vpc-0123456789abcdef0 \
  --attribute enableDnsHostnames

Ambos deben regresartrue. Si no es así, habilítelos:

aws ec2 modify-vpc-attribute --vpc-id vpc-0123456789abcdef0 --enable-dns-support
aws ec2 modify-vpc-attribute --vpc-id vpc-0123456789abcdef0 --enable-dns-hostnames

2. El destino de montaje no está en estado Disponible: es posible que el destino de montaje aún se esté creando o que se haya eliminado.

# For EFS
aws efs describe-mount-targets --file-system-id fs-0123456789abcdef0

# For S3 Files
aws s3files list-mount-targets --file-system-id fs-0123456789abcdef0

Asegúrese de que el objetivo de montaje sí LifeCycleState lo estéavailable. Si falta el objetivo de montaje, vuelva a crearlo en las subredes correspondientes.

3. Sistema de archivos o punto de acceso eliminado: el recurso al que se hace referencia en la configuración del tiempo de ejecución del agente ya no existe. Verifique y actualice el tiempo de ejecución del agente con ARN válidos.

Discordancia en la zona de disponibilidad (errores intermitentes)

Síntomas: los montajes del sistema de archivos se realizan correctamente de forma intermitente; algunas invocaciones funcionan mientras que otras fallan y se agota el tiempo de espera.

Por qué ocurre esto: el tiempo de ejecución de su agente tiene subredes en varias zonas de disponibilidad, pero los objetivos de montaje solo existen en algunas de ellas. Cuando el agente se coloca en una zona de disponibilidad sin un objetivo de montaje, se agota el tiempo de espera del montaje.

Solución: cree destinos de montaje en todas las zonas de disponibilidad en las que estén ubicadas las subredes de tiempo de ejecución del agente (recomendado) o elimine las subredes de tiempo de ejecución del agente que estén en zonas de disponibilidad sin objetivos de montaje.

# List all EFS mount target AZs
aws efs describe-mount-targets \
  --file-system-id fs-0123456789abcdef0 \
  --query 'MountTargets[*].AvailabilityZoneId' --output text

# Create a mount target in a missing AZ
aws efs create-mount-target \
  --file-system-id fs-0123456789abcdef0 \
  --subnet-id subnet-in-missing-az \
  --security-groups sg-0987654321fedcba0