Las traducciones son generadas a través de traducción automática. En caso de conflicto entre la traducción y la version original de inglés, prevalecerá la version en inglés.

Conexión a herramientas alojadas de forma privada

Descripción general de las conexiones privadas

AWS DevOps El agente se puede ampliar con herramientas personalizadas del Protocolo de contexto modelo (MCP) y otras integraciones que permiten al agente acceder a sistemas internos, como registros de paquetes privados, plataformas de observabilidad autohospedadas, API de documentación interna e instancias de control de código fuente (consulte:). Configuración de integraciones y conocimientos Estos servicios suelen ejecutarse en una Amazon Virtual Private Cloud (Amazon VPC) sin acceso público o restringido a Internet, lo que significa que el AWS DevOps agente no puede acceder a ellos de forma predeterminada.

Las conexiones privadas de AWS DevOps Agent le permiten conectar de forma segura su espacio de agente a los servicios que se ejecutan en su VPC sin exponerlos a la Internet pública. Las conexiones privadas funcionan con cualquier integración que necesite llegar a un punto final privado, incluidos los servidores MCP, las instancias de Grafana o Splunk autohospedadas y los sistemas de control de código fuente como Enterprise Server y. GitHub GitLab Self-Managed

Cómo funcionan las conexiones privadas

Una conexión privada crea una ruta de red segura entre el AWS DevOps agente y un recurso de destino en su VPC. En segundo plano, el AWS DevOps agente usa Amazon VPC Lattice para establecer esta ruta de conectividad privada y segura. VPC Lattice es un servicio de redes de aplicaciones que le permite conectar, proteger y supervisar la comunicación entre aplicaciones a través de VPC, cuentas y tipos de procesamiento, sin administrar la infraestructura de red subyacente.

Al crear una conexión privada, ocurre lo siguiente:

El AWS DevOps agente administra completamente la puerta de enlace de recursos y aparece como un recurso de solo lectura en su cuenta (con un nombreaidevops-{your-private-connection-name}). No es necesario configurarla ni mantenerla. Los únicos recursos creados en tu VPC son los ENI de las subredes que especifiques. Estos ENI sirven como punto de entrada para el tráfico privado y el servicio los administra en su totalidad. No aceptan conexiones entrantes de Internet y tú mantienes el control total de su tráfico a través de tus propios grupos de seguridad.

Seguridad

Las conexiones privadas están diseñadas con varios niveles de seguridad:

Arquitectura

El siguiente diagrama muestra la ruta de red para una conexión privada.

En esta arquitectura:

Configurar las reglas de firewall para las conexiones privadas

En el caso de las conexiones privadas, el tráfico del AWS DevOps agente a la herramienta alojada de forma privada se origina en los ENI de Resource Gateway de las subredes que especificó durante la creación de la conexión privada. Esto es diferente de las conexiones de herramientas alojadas de forma pública, que utilizan las direcciones IP estáticas que aparecen en la página de seguridad. AWS DevOps Seguridad del agente

Para permitir que el tráfico de los AWS DevOps agentes llegue a su herramienta alojada de forma privada:

Para encontrar los bloques de CIDR de tu subred, ejecuta el siguiente comando con los ID de subred que especificaste al crear una conexión privada:

aws ec2 describe-subnets \
    --subnet-ids subnet-0123456789abcdef0 subnet-0123456789abcdef1 \
    --query 'Subnets[*].[SubnetId,CidrBlock]' \
    --output table

Crea una conexión privada

Puede crear una conexión privada mediante la consola AWS de administración o la AWS CLI.

Requisitos previos

Antes de crear una conexión privada, comprueba que tienes lo siguiente:

Las conexiones privadas son recursos a nivel de cuenta. Después de crear una conexión privada, puede reutilizarla en varias integraciones y espacios de agente que tengan que llegar al mismo host.

Crea una conexión privada mediante la consola

El estado de la conexión cambia a Creación en curso. Este proceso puede tardar hasta 10 minutos. Cuando el estado cambie a Activo, la ruta de red estará lista.

Si los cambios de estado a Create fallaron, compruebe lo siguiente:

Cree una conexión privada mediante el AWS CLI

Ejecute el siguiente comando para crear una conexión privada. Sustituya los valores de los marcadores de posición por los suyos propios.

aws devops-agent create-private-connection \
    --name my-mcp-tool-connection \
    --mode '{
        "serviceManaged": {
            "hostAddress": "mcp.internal.example.com",
            "vpcId": "vpc-0123456789abcdef0",
            "subnetIds": [
                "subnet-0123456789abcdef0",
                "subnet-0123456789abcdef1"
            ],
            "securityGroupIds": [
                "sg-0123456789abcdef0"
            ],
            "portRanges": ["443"],
            "dnsResolution": "PUBLIC"
        }
    }'

El dnsResolution campo controla la forma en que se resuelve el nombre hostAddress DNS. Los valores válidos son PUBLIC (el valor predeterminado si se omite) yIN_VPC. IN_VPCUtilízalo cuando tu dirección de host solo se resuelva dentro de tu VPC (por ejemplo, un nombre en una zona alojada privada). Si especificas una dirección IP parahostAddress, este campo no tendrá ningún efecto.

La respuesta incluye el nombre de la conexión y el estado deCREATE_IN_PROGRESS:

{
    "name": "my-mcp-tool-connection",
    "status": "CREATE_IN_PROGRESS",
    "resourceGatewayId": "rgw-0123456789abcdef0",
    "hostAddress": "mcp.internal.example.com",
    "vpcId": "vpc-0123456789abcdef0"
}

Para comprobar el estado de la conexión, utilice el describe-private-connection comando:

aws devops-agent describe-private-connection \
    --name my-mcp-tool-connection

Cuando el estado esACTIVE, la conexión privada está lista para usarse.

Usa una conexión privada con un proveedor de capacidades

Para usar una conexión privada, puede vincularla durante el registro de un proveedor de capacidades. Las capacidades compatibles que se pueden usar con conexiones privadas incluyen: GitHubGitLab,MCP Server,Remote Agent, yGrafana. Puede realizar este paso mediante la consola AWS de administración o la AWS CLI.

Utilice una conexión privada con un proveedor de servicios mediante la consola

En la consola del AWS DevOps agente, las conexiones privadas se pueden vincular a una capacidad durante el registro seleccionando la opción «Conectarse al punto final mediante una conexión privada».

Dirección de host y URL de punto final

Tanto una conexión privada como un proveedor de capacidades toman una dirección. Las dos no son intercambiables:

Los dos valores no tienen que ser idénticos, por lo que un nombre de host que solo se resuelva dentro de la VPC no tiene que aparecer en la dirección del host. Si el nombre de host de tu servicio es privado para tu VPC, tienes dos opciones:

Usted elige el modo de resolución de DNS al crear la conexión, así que decida primero qué opción desea. Para obtener información sobre los síntomas que produce una falta de coincidencia entre estos dos valores, consulte La dirección de un host DNS no se resuelve o el tráfico llega al lugar equivocado.

Enrutar el punto final y el intercambio de tokens de OAuth a través de diferentes conexiones privadas

En el caso de los proveedores de servidores OAuth-based MCP y agentes remotos, el agente realiza solicitudes a dos puntos finales diferentes: la URL de destino (el punto final del servidor MCP o el punto final del agente remoto que registre) y la URL de intercambio (el punto final del intercambio de tokens de OAuth). De forma predeterminada, se usa una única para ambasprivateConnectionName. Si se puede acceder a estos dos puntos finales a través de rutas de red privadas diferentes, puede enrutar cada uno a través de su propia conexión privada utilizando targetUrlPrivateConnectionName y exchangeUrlPrivateConnectionName en su lugar:

Puedes especificar una de ellas o ambas. Si configuras solo uno, se llega al otro punto final a través de la Internet pública (no se recurre a la otra conexión privada).

En el siguiente ejemplo, se registra un servidor MCP de credenciales de cliente de OAuth que llega a su punto final y al punto final de intercambio de tokens a través de dos conexiones privadas independientes:

aws devops-agent register-service \
    --service mcpserver \
    --target-url-private-connection-name my-target-connection \
    --exchange-url-private-connection-name my-exchange-connection \
    --service-details '{
        "mcpserver": {
            "name": "my-mcp-tool",
            "endpoint": "https://mcp.internal.example.com",
            "authorizationConfig": {
                "oAuthClientCredentials": {
                    "clientName": "MyOAuthClient",
                    "clientId": "client-id",
                    "clientSecret": "secret-value",
                    "exchangeUrl": "https://auth.internal.example.com/token"
                }
            }
        }
    }' \
    --region us-east-1

Utilice una conexión privada con un proveedor de capacidades mediante el AWS CLI

Puede registrar capacidades con una conexión privada si incluye el private-connection-name argumento. A continuación se muestra un ejemplo de cómo registrar un servidor MCP con la autorización de una clave de API mediante la conexión my-mcp-tool-connection privada. Sustituya los valores de los marcadores de posición por los suyos propios.

aws devops-agent register-service \
    --service mcpserver \
    --private-connection-name my-mcp-tool-connection \
    --service-details '{
        "mcpserver": {
            "name": "my-mcp-tool",
            "endpoint": "https://mcp.internal.example.com",
            "authorizationConfig": {
                "apiKey": {
                    "apiKeyName": "api-key",
                    "apiKeyValue": "secret-value",
                    "apiKeyHeader": "x-api-key"
                }
            }
        }
    }' \
    --region us-east-1

Verifique una conexión privada

Cuando la conexión privada alcance el estado activo y la haya utilizado un proveedor de capacidades, compruebe que el AWS DevOps agente pueda comunicarse con el servicio de destino:

Si la conexión falla, compruebe lo siguiente:

Eliminar una conexión privada

Puede eliminar las conexiones privadas no utilizadas mediante la consola AWS de administración o la AWS CLI.

Elimine una conexión privada mediante la consola

La conexión privada se mostrará con el estado «Eliminando la conexión», mientras que el AWS DevOps agente elimina la puerta de enlace de recursos administrada y los ENI de su VPC. Una vez finalizada la eliminación, la conexión dejará de aparecer en la lista de conexiones privadas.

Elimine una conexión privada mediante el AWS CLI

aws devops-agent delete-private-connection \
    --name my-mcp-tool-connection

La respuesta devuelve un estado deDELETE_IN_PROGRESS. AWS DevOps El agente elimina la puerta de enlace de recursos administrada y los ENI de su VPC. Una vez finalizada la eliminación, la conexión ya no aparece en la lista de conexiones privadas.

Configuración avanzada con los recursos de VPC Lattice existentes

Si su organización ya usa Amazon VPC Lattice y administra sus propias configuraciones de recursos, puede crear una conexión privada en modo autogestionado. En lugar de hacer que el AWS DevOps agente cree una pasarela de recursos por ti, debes proporcionar el nombre de recurso de Amazon (ARN) de una configuración de recursos existente que apunta a tu servicio de destino.

Este enfoque es útil cuando:

Para crear una conexión privada autogestionada con la CLI: AWS

aws devops-agent create-private-connection \
    --name my-advanced-connection \
    --mode '{
        "selfManaged": {
            "resourceConfigurationId": "arn:aws:vpc-lattice:us-east-1:123456789012:resourceconfiguration/rcfg-0123456789abcdef0"
        }
    }'

Para obtener más información sobre la configuración de las pasarelas de recursos y las configuraciones de recursos de VPC Lattice, consulte la guía del usuario de Amazon VPC Lattice.

Cross-region conectividad

Las conexiones privadas se deben crear en la misma AWS región que su espacio de agente. Si tu servicio objetivo se ejecuta en una región diferente, usa el modo autogestionado con interconexiones de VPC entre regiones o interconexiones de Transit Gateway para cerrar la brecha.

El patrón es:

Por ejemplo, si su espacio de agente está dentro us-east-1 y su servidor MCP está en: ap-southeast-2

aws devops-agent create-private-connection \
    --name cross-region-connection \
    --mode '{
        "selfManaged": {
            "resourceConfigurationId": "arn:aws:vpc-lattice:us-east-1:123456789012:resourceconfiguration/rcfg-0123456789abcdef0"
        }
    }' \
    --region us-east-1

Temas relacionados