Configuración del tiempo de AgentCore ejecución y las herramientas de Amazon Bedrock para VPC

Puede configurar Amazon Bedrock AgentCore Runtime y las herramientas integradas (intérprete de código y herramienta de navegador) para conectarse a los recursos de su Amazon Virtual Private Cloud (VPC). Al configurar la conectividad de la VPC, habilita el acceso seguro a los recursos privados, como las bases de datos, las API internas y los servicios de su VPC.

Conectividad de VPC para Amazon Bedrock Runtime AgentCore y herramientas

Para permitir que Amazon Bedrock AgentCore Runtime y las herramientas integradas accedan de forma segura a los recursos de su VPC privada, AgentCore proporciona capacidades de conectividad de VPC. Esta función permite que su tiempo de ejecución y sus herramientas:

Al configurar la conectividad de VPC para Amazon Bedrock AgentCore Runtime y sus herramientas:

Requisitos previos

Antes de configurar Amazon Bedrock AgentCore Runtime y las herramientas para el acceso a la VPC, asegúrese de:

Zonas de disponibilidad admitidas

AgentCore admite la conectividad de VPC en zonas de disponibilidad específicas dentro de cada región compatible. Al configurar las subredes para Amazon Bedrock AgentCore Runtime y las herramientas integradas, asegúrese de que las subredes estén ubicadas en las zonas de disponibilidad compatibles de su región.

En la siguiente tabla se muestran los ID de zona de disponibilidad compatibles para cada región:

Para identificar el ID de zona de disponibilidad de sus subredes, puede usar el siguiente comando CLI:

aws ec2 describe-subnets --subnet-ids subnet-12345678 --query 'Subnets[0].AvailabilityZoneId'

Permisos de IAM

AgentCore usa la función vinculada al servicio AWSServiceRoleForBedrockAgentCoreNetwork para crear y administrar las interfaces de red en la VPC. Esta función se crea automáticamente cuando configura por primera vez Amazon Bedrock AgentCore Runtime o las herramientas AgentCore integradas para utilizar la conectividad de VPC.

Si necesita crear este rol manualmente, su entidad de IAM necesita los siguientes permisos:

{
    "Action": "iam:CreateServiceLinkedRole",
    "Effect": "Allow",
    "Resource": "arn:aws:iam::*:role/aws-service-role/network.bedrock-agentcore.amazonaws.com/AWSServiceRoleForBedrockAgentCoreNetwork",
    "Condition": {
        "StringLike": {
            "iam:AWSServiceName": "network.bedrock-agentcore.amazonaws.com"
        }
    }
}

Este permiso ya está incluido en la política AWS BedrockAgentCoreFullAccessgestionada.

Prácticas recomendadas

Para obtener un rendimiento y una seguridad óptimos con VPC-connected Amazon Bedrock AgentCore Runtime y las herramientas integradas:

Configuración del acceso a la VPC para el tiempo de ejecución y las herramientas

Puede configurar el acceso a la VPC para Amazon Bedrock AgentCore Runtime y las herramientas integradas mediante la consola de AWS administración, la AWS CLI o los SDK. AWS

Configuración del tiempo de ejecución

Configuración del intérprete de código

Configuración de la herramienta del navegador

Consideraciones relativas al grupo de seguridad

Los grupos de seguridad actúan como firewalls virtuales para su Amazon Bedrock AgentCore Runtime o herramienta integrada cuando se conectan a una VPC. Controlan el tráfico entrante y saliente a nivel de instancia. Para configurar grupos de seguridad para su tiempo de ejecución:

Ejemplo: conexión a una base de datos de Amazon RDS

Cuando Amazon Bedrock AgentCore Runtime se conecte a una base de datos de Amazon RDS, configure los grupos de seguridad de la siguiente manera:

Grupo de seguridad Amazon Bedrock AgentCore Runtime

Grupo de seguridad de bases de datos Amazon RDS

Ejemplo: conexión a archivos de Amazon EFS o Amazon S3

Al configurar sistemas de archivos tipo bring-your-own (puntos de acceso Amazon EFS o Amazon S3 Files) en el entorno de ejecución del agente, AgentCore Runtime monta el sistema de archivos sobre NFS. Esto requiere conectividad TCP en el puerto 2049 entre los ENI de tiempo de ejecución del agente y los destinos de montaje del sistema de archivos.

AgentCore gestiona automáticamente el cifrado TLS y la autenticación de IAM. El asistente de amazon-efs-utils montaje viene preinstalado en el entorno de ejecución de MicroVM, por lo que no es necesario configurar ni instalar ningún software de montaje en la imagen del contenedor.

Configuración del grupo de seguridad

Configure sus grupos de seguridad para permitir el tráfico NFS entre el entorno de ejecución del agente y los objetivos de montaje del sistema de archivos.

Grupo de seguridad en tiempo de ejecución del agente: regla de salida:

El sistema de archivos monta el grupo de seguridad de destino: regla de entrada:

sg-mounttargetSustitúyalo por el ID del grupo de seguridad de los destinos de montaje de EFS o S3 Files y sg-agentruntime por el ID del grupo de seguridad utilizado por el agente en tiempo de ejecución.

AWS CLI: agregue una regla de salida al grupo de seguridad de tiempo de ejecución del agente:

aws ec2 authorize-security-group-egress \
  --group-id sg-0123456789abcdef0 \
  --protocol tcp \
  --port 2049 \
  --source-group sg-0987654321fedcba0

AWS CLI: agregue una regla de entrada para montar el grupo de seguridad de destino:

aws ec2 authorize-security-group-ingress \
  --group-id sg-0987654321fedcba0 \
  --protocol tcp \
  --port 2049 \
  --source-group sg-0123456789abcdef0

Configuración de puntos de conexión de VPC

Al ejecutar Amazon Bedrock AgentCore Runtime en una VPC, recomendamos encarecidamente configurar los siguientes puntos de enlace de VPC. Estos puntos de enlace son necesarios si la VPC no tiene acceso a Internet y se recomienda encarecidamente, incluso si la VPC tiene una puerta de enlace NAT, para evitar los cargos por procesamiento de datos de la puerta de enlace NAT.

Puntos finales de VPC necesarios

Consideraciones sobre el acceso a Internet

Cuando conecta Amazon Bedrock AgentCore Runtime o una herramienta integrada a una Nube Privada Virtual (VPC), no tiene acceso a Internet de forma predeterminada. De forma predeterminada, estos recursos solo se pueden comunicar con los recursos de la misma VPC. Si el tiempo de ejecución o la herramienta requieren acceso tanto a los recursos de la VPC como a Internet, debe configurar la VPC en consecuencia.

Arquitectura de acceso a Internet

Para habilitar el acceso a Internet para su VPC-connected Amazon Bedrock AgentCore Runtime o su herramienta integrada, configure su VPC con los siguientes componentes:

Configuración de enrutamiento

Actualice las tablas de enrutamiento de subred de la siguiente manera:

Supervisión y solución de problemas

Para supervisar y solucionar problemas de su entorno de AgentCore ejecución y sus herramientas de VPC-connected Amazon Bedrock:

CloudWatch Registros

Habilite CloudWatch los registros en Amazon Bedrock AgentCore Runtime para identificar cualquier problema de conectividad:

Problemas y soluciones comunes de

Problemas con el intérprete de código

Problemas con las herramientas del navegador

Prueba de conectividad de VPC

Para comprobar que el AgentCore tiempo de ejecución y las herramientas tienen la conectividad de VPC adecuada, puedes probar las conexiones a tus recursos privados y comprobar que las interfaces de red se crean correctamente en las subredes especificadas.

Para comprobar que tu AgentCore herramienta tiene acceso a Internet, puedes configurar un intérprete de código con tu configuración de VPC y usar la Invoke API para intentar conectarte a una API o sitio web públicos mediante un curl comando y comprobar la respuesta. executeCommand Si se agota el tiempo de espera de la conexión, revise la configuración de la VPC, especialmente las tablas de enrutamiento y la configuración de la puerta de enlace NAT.

# Using awscurl
awscurl -X POST \
  "https://bedrock-agentcore.<Region>.amazonaws.com/code-interpreters/<code_interpreter_id>/tools/invoke" \
  -H "Content-Type: application/json" \
  -H "Accept: application/json" \
  -H "x-amzn-code-interpreter-session-id: your-session-id" \
  --service bedrock-agentcore \
  --region <Region> \
  -d '{
    "name": "executeCommand",
    "arguments": {
      "command": "curl amazon.com"
    }
  }'

Problemas de conectividad del sistema de archivos

Cuando se produce un error en el montaje de un sistema de archivos, la InvokeAgentRuntime API devuelve el estado HTTP 424 (dependencia fallida). Utilice las siguientes secciones para diagnosticar la causa raíz.

Se agota el tiempo de espera para montar el sistema

Síntomas: las invocaciones de agentes con configuraciones de sistema de archivos fallan tras un retraso prolongado. El error indica que se agotó el tiempo de espera de la operación de montaje.

Causas y soluciones comunes:

1. Faltan las reglas del grupo de seguridad

Compruebe la regla de salida en el grupo de seguridad de tiempo de ejecución del agente:

aws ec2 describe-security-groups \
  --group-ids sg-0123456789abcdef0 \
  --query 'SecurityGroups[0].IpPermissionsEgress[?ToPort==`2049`]'

Compruebe la regla de entrada en el grupo de seguridad de destino de montaje:

aws ec2 describe-security-groups \
  --group-ids sg-0987654321fedcba0 \
  --query 'SecurityGroups[0].IpPermissions[?ToPort==`2049`]'

Si alguna de las consultas arroja resultados vacíos, añada la regla que falta, tal y como se muestra en Ejemplo: conexión a Amazon EFS o Amazon S3 Files.

2. No hay ningún objetivo de montaje en la zona de disponibilidad del agente

El tiempo de ejecución del agente puede estar ubicado en una zona de disponibilidad donde no exista un objetivo de montaje. Compruebe la superposición:

# Get agent runtime subnet AZs
aws ec2 describe-subnets \
  --subnet-ids subnet-0123456789abcdef0 subnet-0123456789abcdef1 \
  --query 'Subnets[*].[SubnetId, AvailabilityZoneId]' --output table

# Get EFS mount target AZs
aws efs describe-mount-targets \
  --file-system-id fs-0123456789abcdef0 \
  --query 'MountTargets[*].[AvailabilityZoneId, LifeCycleState]' --output table

Solución: cree un objetivo de montaje en cada zona de disponibilidad en la que estén ubicadas las subredes de tiempo de ejecución del agente o restrinja las subredes de tiempo de ejecución del agente a las zonas de disponibilidad donde existan destinos de montaje.

3. En la tabla de rutas falta una ruta local

Compruebe que la tabla de enrutamiento asociada a las subredes de tiempo de ejecución del agente incluya la ruta de la VPC local:

aws ec2 describe-route-tables \
  --filters "Name=association.subnet-id,Values=subnet-0123456789abcdef0" \
  --query 'RouteTables[0].Routes[?DestinationCidrBlock]'

El montaje del sistema de archivos falla con "» ResourceNotFound

Síntomas: la invocación del agente falla inmediatamente (sin tiempo de espera) y se produce un ResourceNotFound error que hace referencia al nombre de host del sistema de archivos.

Causas y soluciones comunes:

1. Error de resolución de DNS: la VPC no puede resolver el nombre de host de destino del montaje del sistema de archivos.

Verifica la configuración de DNS en tu VPC:

aws ec2 describe-vpc-attribute \
  --vpc-id vpc-0123456789abcdef0 \
  --attribute enableDnsSupport

aws ec2 describe-vpc-attribute \
  --vpc-id vpc-0123456789abcdef0 \
  --attribute enableDnsHostnames

Ambos deben regresartrue. Si no, habilítelos:

aws ec2 modify-vpc-attribute --vpc-id vpc-0123456789abcdef0 --enable-dns-support
aws ec2 modify-vpc-attribute --vpc-id vpc-0123456789abcdef0 --enable-dns-hostnames

2. El objetivo de montaje no está en estado disponible: es posible que el objetivo de montaje aún se esté creando o que se haya eliminado.

# For EFS
aws efs describe-mount-targets --file-system-id fs-0123456789abcdef0

# For S3 Files
aws s3files list-mount-targets --file-system-id fs-0123456789abcdef0

Asegúrese de que el objetivo de montaje LifeCycleState seaavailable. Si falta el objetivo de montaje, vuelva a crearlo en las subredes correspondientes.

3. Sistema de archivos o punto de acceso eliminado: el recurso al que se hacía referencia en la configuración de tiempo de ejecución del agente ya no existe. Verifique y actualice el tiempo de ejecución del agente con ARN válidos.

Discordancia de la zona de disponibilidad (errores intermitentes)

Síntomas: los montajes del sistema de archivos se realizan correctamente de forma intermitente: algunas invocaciones funcionan y otras fallan cuando se agota el tiempo de espera.

Por qué ocurre esto: el tiempo de ejecución del agente tiene subredes en varias zonas de disponibilidad, pero los objetivos de montaje solo existen en algunas de ellas. Cuando el agente se coloca en una zona de disponibilidad sin un objetivo de montaje, se agota el tiempo de espera para el montaje.

Solución: cree objetivos de montaje en todas las zonas de disponibilidad en las que se encuentren las subredes de tiempo de ejecución del agente (recomendado) o elimine las subredes de tiempo de ejecución del agente que se encuentren en las zonas de disponibilidad sin objetivos de montaje.

# List all EFS mount target AZs
aws efs describe-mount-targets \
  --file-system-id fs-0123456789abcdef0 \
  --query 'MountTargets[*].AvailabilityZoneId' --output text

# Create a mount target in a missing AZ
aws efs create-mount-target \
  --file-system-id fs-0123456789abcdef0 \
  --subnet-id subnet-in-missing-az \
  --security-groups sg-0987654321fedcba0