Las traducciones son generadas a través de traducción automática. En caso de conflicto entre la traducción y la version original de inglés, prevalecerá la version en inglés.

Conéctese a los recursos privados de su VPC mediante VPC Lattice

Amazon Bedrock AgentCore admite la conectividad privada con los recursos alojados en su AWS VPC o con entornos locales conectados a su VPC, como servidores MCP privados, API de REST internas o bases de datos, sin exponer esos servicios a la Internet pública.

La conectividad privada se establece mediante las pasarelas de recursos y las configuraciones de recursos de Amazon VPC Lattice. Para obtener más información sobre los dos modos compatibles (Lattice gestionado y autogestionado), consulte los modos de salida de VPC compatibles.

Conceptos clave

Servicios de Amazon Bedrock AgentCore compatibles

Los siguientes AgentCore servicios de Amazon Bedrock admiten la salida de VPC con VPC Lattice:

Modos de salida de VPC compatibles

Amazon Bedrock AgentCore admite dos modos para configurar la conectividad de VPC Lattice:

En la siguiente tabla se resumen las principales diferencias:

Para obtener información sobre los precios de VPC Lattice, consulte los precios de Amazon VPC Lattice. https://aws.amazon.com/vpc/lattice/pricing/

Opción 1: recursos de VPC administrados

Con los recursos de VPC administrados, usted proporciona la información de la VPC, la subred y el grupo de seguridad opcional. AgentCore se encarga de la creación y la gestión del ciclo de vida de la pasarela de recursos de VPC Lattice y de la configuración de los recursos en tu nombre. La pasarela de recursos gestionada es un contenedor de las ENI de su VPC. No puede modificarla, configurarla ni interactuar con ella. AgentCore posee todo su ciclo de vida, incluida la creación, la reutilización y la eliminación.

AgentCore usa la función AWSServiceRoleForBedrockAgentCoreGatewayNetwork vinculada al servicio para crear y administrar las pasarelas de recursos de VPC Lattice en su cuenta. Este rol se crea automáticamente la primera vez que creas un destino de puerta de enlace con un punto final privado administrado. Para obtener más información sobre este rol, consulte el rol vinculado al servicio de Gateway.

Requisitos previos

Antes de crear un destino de puerta de enlace con un punto final privado administrado, asegúrese de lo siguiente:

Cree un objetivo con un punto final privado gestionado

Para crear un recurso con un punto final privado gestionado, incluye el privateEndpoint.managedVpcResource bloque en la solicitud de creación.

{
  ...
  "privateEndpoint": {
    "managedVpcResource": {
      "vpcIdentifier": "vpc-0abc123def456",
      "subnetIds": ["subnet-0abc123", "subnet-0def456"],
      "endpointIpAddressType": "IPV4",
      "securityGroupIds": ["sg-0abc123def"]
    }
  },
  ...
}

El managedVpcResource bloque acepta los siguientes campos:

Ver los recursos gestionados

Una vez creado el recurso, llama a la API Get correspondiente (por ejemploGetGatewayTarget) para ver los recursos gestionados de VPC Lattice que se AgentCore crearon en tu nombre. Estos se muestran en el privateEndpointManagedResources campo de la respuesta:

{
  ...
  "status": "READY",
  "privateEndpoint": {
    "managedVpcResource": {
      "vpcIdentifier": "vpc-0abc123def456",
      "subnetIds": ["subnet-0abc123", "subnet-0def456"],
      "endpointIpAddressType": "IPV4",
      "securityGroupIds": ["sg-0abc123def"]
    }
  },
  "privateEndpointManagedResources": [
    {
      "domain": "my-server.internal.example.com",
      "resourceGatewayArn": "arn:aws:vpc-lattice:us-east-1:123456789012:resourcegateway/rgw-abc123"
    }
  ]
}

resourceGatewayArnEs el ARN de la pasarela de recursos de VPC Lattice que AgentCore creaste en tu cuenta. AgentCore administra el ciclo de vida completo de este recurso: reutiliza la misma puerta de enlace de recursos para los destinos con configuraciones de VPC y subred coincidentes, y la elimina cuando ningún destino deja de usarla.

Opción 2: recursos de Lattice Self-managed

Con Lattice autogestionado, usted mismo crea y administra la pasarela de recursos y la configuración de recursos de VPC Lattice y, a continuación, proporciona el identificador de configuración de recursos a. AgentCore Usa esta opción si ya tienes configurados los recursos de VPC Lattice, necesitas compartir una configuración de recursos entre varios servicios o necesitas controlar el ciclo de vida de los recursos de Lattice.

Requisitos previos

Antes de crear un destino de puerta de enlace con un punto final privado autogestionado, sigue estos pasos:

Configure los recursos de VPC Lattice para una conectividad autogestionada

Su director de IAM también necesita los siguientes permisos AgentCore para poder asociar la configuración de recursos a la red de AgentCore servicios en su nombre:

{
"Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "vpc-lattice:GetResourceConfiguration",
        "vpc-lattice:CreateServiceNetworkResourceAssociation",
        "vpc-lattice:GetServiceNetworkResourceAssociation",
        "vpc-lattice:ListServiceNetworkResourceAssociations",
        "vpc-lattice:AssociateViaAWSService"
      ],
      "Resource": "*"
    }
  ]
}

Cree un objetivo con un punto final privado autogestionado

Para crear un recurso con un punto final privado autogestionado, incluye el privateEndpoint.selfManagedLatticeResource bloque en la solicitud de creación:

{
  ...
  "privateEndpoint": {
    "selfManagedLatticeResource": {
      "resourceConfigurationIdentifier": "arn:aws:vpc-lattice:us-east-1:123456789012:resourceconfiguration/rcfg-abc123"
    }
  },
  ...
}

resourceConfigurationIdentifierPuede ser el ARN o el ID de la configuración de recursos de VPC Lattice. AgentCore usa sus credenciales (mediante sesiones de acceso directo) para asociar la configuración de recursos a la red de servicios. AgentCore

Una vez creado el recurso, la respuesta de Get API incluye la resourceAssociationArn en el privateEndpointManagedResources campo. Si crea varios recursos que apunten a la misma configuración de recursos, reutiliza AgentCore automáticamente la asociación de recursos de la red de servicios existente.

Cross-account recursos privados

Puede conectarse AgentCore a recursos privados en una AWS cuenta diferente a la cuenta propietaria de la puerta de enlace. Este es un patrón común en los equipos de plataformas que administran pasarelas centralizadas, mientras que los equipos de servicio individuales son propietarios de los recursos privados.

La cuenta del propietario del recurso debe compartir la configuración de recursos de VPC Lattice con la cuenta del propietario de la puerta de enlace mediante la RAM. AWS A continuación, la cuenta del propietario de la puerta de enlace proporciona el identificador de configuración de recursos compartidos al crear el destino de la puerta de enlace.

Los pasos siguientes resumen la configuración multicuenta:

Configure la conectividad privada entre cuentas

Dirige el tráfico a través de un dominio intermedio

Puedes usar este routingDomain campo para dirigir el tráfico a través de un componente intermedio, como un punto de enlace de la VPC, un balanceador de carga de aplicaciones interno o un balanceador de cargas de red, en lugar de dirigirlo directamente al dominio de destino. Esto resulta útil cuando quieres consolidar varios recursos privados en un único punto de entrada (por ejemplo, enrutar varias puertas de enlace de API privadas a través de un único punto de conexión de VPC para reducir la cantidad de configuraciones de recursos y los costos asociados).

Al usar un dominio de enrutamiento, el dominio que especifiques para tu destino (en la URL del punto final de MCP o en la URL del servidor OpenAPI) debe ser el nombre DNS real de tu recurso. routingDomainSe trata de un dominio independiente que se AgentCore utiliza para configurar la configuración de recursos de VPC Lattice. En el momento de la invocación, AgentCore dirige el tráfico a través del dominio de enrutamiento, pero envía solicitudes con el dominio de destino real como nombre de host de TLS SNI, de modo que el recurso recibe las solicitudes dirigidas a su dominio real.

El dominio de enrutamiento puede ser cualquier dominio que dirija a tu recurso privado dentro de la VPC. Entre las opciones comunes se incluyen las siguientes:

Los pasos siguientes describen el flujo de tráfico cuando se usa un dominio de enrutamiento:

Ejemplo: puerta de enlace de API privada con dominio de enrutamiento VPCE

El siguiente ejemplo muestra cómo crear un destino de puerta de enlace para una puerta de enlace de API privada utilizando su dominio VPCE como dominio de enrutamiento. La URL de destino es el nombre de host privado de API Gateway y routingDomain es el nombre DNS de VPCE:

{
  "name": "my-private-apigw-target",
  "privateEndpoint": {
    "managedVpcResource": {
      "vpcIdentifier": "vpc-0123456789abcdef0",
      "subnetIds": ["subnet-0123456789abcdef0", "subnet-0abcdef1234567890"],
      "endpointIpAddressType": "IPV4",
      "routingDomain": "<vpce-id>.execute-api.us-east-1.vpce.amazonaws.com"
    }
  },
  "targetConfiguration": {
    "mcp": {
      "openApiSchema": {
        "inlinePayload": "<OpenAPI spec JSON with server URL matching the public certificate domain, for example https://<api-id>.execute-api.<region>.amazonaws.com>"
      }
    }
  }
}

Solución alternativa para los certificados privados: ALB

La salida de la VPC requiere que el punto final de destino tenga un certificado TLS de confianza pública. Si su recurso privado usa un certificado emitido por una autoridad de certificación (CA) privada, la solución alternativa recomendada es colocar un balanceador de carga de aplicaciones (ALB) interno delante del recurso.

Los pasos siguientes describen el flujo de tráfico:

Paso 1: Solicita un certificado ACM público

Solicita un certificado público de ACM para un dominio de tu propiedad. Este dominio se utilizará como URL de destino. Para obtener instrucciones, consulte Solicitar un certificado público en la Guía del usuario del administrador de AWS certificados.

Paso 2: Crear un ALB interno

Crea un balanceador de carga de aplicaciones interno en la misma VPC que tu recurso privado. Para obtener instrucciones, consulte Crear un balanceador de carga de aplicaciones en la guía del usuario de Elastic Load Balancing. Asegúrese de configurar el esquema en. internal

Paso 3: Crea un grupo IP-based objetivo

Cree un grupo objetivo con un tipo de objetivo ip que apunte a la dirección IP de su recurso privado en el puerto 443 (HTTPS) y registre su recurso privado como objetivo. Para obtener instrucciones, consulte Crear un grupo objetivo en la Guía del usuario de Elastic Load Balancing.

Paso 4: Crea un receptor HTTPS con la transformación del encabezado del host

Cree un oyente HTTPS en el puerto 443 con el certificado ACM público. Agregue una regla de escucha que transforme el encabezado del host del dominio público al dominio del recurso privado antes de reenviarlo.

aws elbv2 create-listener \
  --load-balancer-arn <alb-arn> \
  --protocol HTTPS \
  --port 443 \
  --certificates CertificateArn=<acm-certificate-arn> \
  --default-actions '[{
    "Type": "forward",
    "TargetGroupArn": "<target-group-arn>",
    "ForwardConfig": {
      "TargetGroups": [{"TargetGroupArn": "<target-group-arn>", "Weight": 1}]
    }
  }]'

A continuación, modifique la regla de escucha para añadir la transformación del encabezado del host:

aws elbv2 modify-rule \
  --rule-arn <default-rule-arn> \
  --actions '[{
    "Type": "forward",
    "TargetGroupArn": "<target-group-arn>",
    "ForwardConfig": {
      "TargetGroups": [{"TargetGroupArn": "<target-group-arn>", "Weight": 1}]
    }
  }]' \
  --transforms '[{
    "Type": "host-header",
    "HostHeaderConfig": {
      "Values": ["my-server.my-company.internal"]
    }
  }]'

Paso 5: configurar el punto final privado

Utilice el nombre DNS de ALB como URL de destino routingDomain y el dominio público del certificado como URL de destino.

{
  ...
  "privateEndpoint": {
    "managedVpcResource": {
      "vpcIdentifier": "<vpc-id>",
      "subnetIds": ["<subnet-id-1>", "<subnet-id-2>"],
      "endpointIpAddressType": "IPV4",
      "routingDomain": "internal-my-alb-1234567890.us-west-2.elb.amazonaws.com"
    }
  },
  ...
}

La URL de destino en su configuración de destino debe usar https://my-server.my-company.com (el dominio de certificado público), no el dominio privado.

Service-linked rol para la salida de la VPC

Cuando creas un destino de puerta de enlace con un punto final privado gestionado (managedVpcResource), AgentCore utiliza la función AWSServiceRoleForBedrockAgentCoreGatewayNetwork vinculada al servicio para crear y gestionar las pasarelas de recursos de VPC Lattice en tu cuenta. Esta función se crea automáticamente la primera vez que creas un objetivo de punto final privado gestionado, siempre que tu director de IAM tenga el permiso necesario. iam:CreateServiceLinkedRole

El rol vinculado a un servicio tiene las siguientes características clave:

Para ver el documento de política completo y las instrucciones para crear, editar y eliminar este rol, consulte el rol vinculado al servicio de Gateway.

Estado del objetivo y solución de problemas

Tras crear un recurso con un punto final privado, el recurso pasa por un CREATING estado mientras AgentCore configura los recursos de VPC Lattice y establece la asociación de la red de servicios. Para supervisar el estado, llama a la API Get correspondiente (por ejemploGetGatewayTarget) y comprueba los campos status ystatusReasons.

En la siguiente tabla se describen los valores de estado comunes y sus significados:

En la siguiente tabla se describen los problemas más comunes y sus soluciones:

Limitaciones y consideraciones

Ten en cuenta las siguientes limitaciones cuando utilices la salida de la VPC para: AgentCore