Les traductions sont fournies par des outils de traduction automatique. En cas de conflit entre le contenu d'une traduction et celui de la version originale en anglais, la version anglaise prévaudra.

Connectez-vous aux ressources privées de votre VPC à l'aide de VPC Lattice

Amazon Bedrock AgentCore prend en charge la connectivité privée aux ressources hébergées dans votre AWS VPC ou aux environnements sur site connectés à votre VPC, tels que des serveurs MCP privés, des API REST internes ou des bases de données, sans exposer ces services à l'Internet public.

La connectivité privée est établie à l'aide des passerelles de ressources et des configurations de ressources Amazon VPC Lattice. Pour plus de détails sur les deux modes pris en charge (réseau géré et réseau autogéré), consultez la section Modes de sortie VPC pris en charge.

Concepts clés

Services Amazon Bedrock AgentCore pris en charge

Les AgentCore services Amazon Bedrock suivants prennent en charge la sortie des VPC avec VPC Lattice :

Modes de sortie VPC pris en charge

Amazon Bedrock AgentCore prend en charge deux modes de configuration de la connectivité VPC Lattice :

Le tableau suivant récapitule les principales différences :

Pour en savoir plus sur la tarification de VPC Lattice, consultez la page Tarification d'Amazon VPC Lattice.

Option 1 : ressources VPC gérées

Avec les ressources VPC gérées, vous fournissez les informations relatives à votre VPC, à votre sous-réseau et à votre groupe de sécurité facultatif. AgentCore gère la création et la gestion du cycle de vie de la passerelle de ressources VPC Lattice et la configuration des ressources en votre nom. La passerelle de ressources gérées est une enveloppe autour des ENI de votre VPC. Vous ne pouvez pas le modifier, le configurer ou interagir avec celui-ci. AgentCore possède son cycle de vie complet, y compris la création, la réutilisation et la suppression.

AgentCore utilise le rôle AWSServiceRoleForBedrockAgentCoreGatewayNetwork lié à un service pour créer et gérer des passerelles de ressources VPC Lattice dans votre compte. Ce rôle est créé automatiquement la première fois que vous créez une cible de passerelle avec un point de terminaison privé géré. Pour plus d'informations sur ce rôle, consultez la section Rôle lié au service Gateway.

Conditions préalables

Avant de créer une cible de passerelle avec un point de terminaison privé géré, assurez-vous de ce qui suit :

Création d'une cible avec un point de terminaison privé géré

Pour créer une ressource avec un point de terminaison privé géré, incluez le privateEndpoint.managedVpcResource bloc dans votre demande de création.

{
  ...
  "privateEndpoint": {
    "managedVpcResource": {
      "vpcIdentifier": "vpc-0abc123def456",
      "subnetIds": ["subnet-0abc123", "subnet-0def456"],
      "endpointIpAddressType": "IPV4",
      "securityGroupIds": ["sg-0abc123def"]
    }
  },
  ...
}

Le managedVpcResource bloc accepte les champs suivants :

Afficher les ressources gérées

Une fois la ressource créée, appelez l'API Get appropriée (par exempleGetGatewayTarget) pour afficher les ressources VPC Lattice gérées qui ont AgentCore été créées en votre nom. Ils sont renvoyés dans le privateEndpointManagedResources champ de la réponse :

{
  ...
  "status": "READY",
  "privateEndpoint": {
    "managedVpcResource": {
      "vpcIdentifier": "vpc-0abc123def456",
      "subnetIds": ["subnet-0abc123", "subnet-0def456"],
      "endpointIpAddressType": "IPV4",
      "securityGroupIds": ["sg-0abc123def"]
    }
  },
  "privateEndpointManagedResources": [
    {
      "domain": "my-server.internal.example.com",
      "resourceGatewayArn": "arn:aws:vpc-lattice:us-east-1:123456789012:resourcegateway/rgw-abc123"
    }
  ]
}

resourceGatewayArnIl s'agit de l'ARN de la passerelle de ressources VPC Lattice AgentCore créée dans votre compte. AgentCore gère le cycle de vie complet de cette ressource : elle réutilise la même passerelle de ressources pour les cibles dont les configurations de VPC et de sous-réseau correspondent, et la supprime lorsqu'elle n'est plus utilisée par aucune cible.

Option 2 : ressources Self-managed en treillis

Avec Lattice autogéré, vous créez et gérez vous-même la passerelle de ressources VPC Lattice et la configuration des ressources, puis vous fournissez l'identifiant de configuration des ressources à. AgentCore Utilisez cette option si vous avez déjà configuré des ressources VPC Lattice, si vous avez besoin de partager une configuration de ressources entre plusieurs services ou si vous avez besoin de contrôler le cycle de vie des ressources Lattice.

Conditions préalables

Avant de créer une cible de passerelle avec un point de terminaison privé autogéré, procédez comme suit :

Configuration des ressources VPC Lattice pour une connectivité autogérée

Votre principal IAM a également besoin des autorisations suivantes AgentCore pour pouvoir associer la configuration des ressources au réseau de AgentCore service en votre nom :

{
"Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "vpc-lattice:GetResourceConfiguration",
        "vpc-lattice:CreateServiceNetworkResourceAssociation",
        "vpc-lattice:GetServiceNetworkResourceAssociation",
        "vpc-lattice:ListServiceNetworkResourceAssociations",
        "vpc-lattice:AssociateViaAWSService"
      ],
      "Resource": "*"
    }
  ]
}

Créez une cible avec un point de terminaison privé autogéré

Pour créer une ressource avec un point de terminaison privé autogéré, incluez le privateEndpoint.selfManagedLatticeResource bloc dans votre demande de création :

{
  ...
  "privateEndpoint": {
    "selfManagedLatticeResource": {
      "resourceConfigurationIdentifier": "arn:aws:vpc-lattice:us-east-1:123456789012:resourceconfiguration/rcfg-abc123"
    }
  },
  ...
}

Il resourceConfigurationIdentifier peut s'agir de l'ARN ou de l'ID de la configuration des ressources VPC Lattice. AgentCore utilise vos informations d'identification (via les sessions d'accès direct) pour associer la configuration des ressources au réseau AgentCore de service.

Une fois la ressource créée, la réponse Get API l'inclut resourceAssociationArn dans le privateEndpointManagedResources champ. Si vous créez plusieurs ressources pointant vers la même configuration de ressources, réutilise AgentCore automatiquement l'association de ressources du réseau de service existante.

Cross-account ressources privées

Vous pouvez vous connecter AgentCore à des ressources privées via un AWS compte différent de celui qui possède la passerelle. Il s'agit d'un modèle courant pour les équipes de plateforme qui gèrent des passerelles centralisées tandis que les équipes de service individuelles sont propriétaires des ressources privées.

Le compte du propriétaire de la ressource doit partager la configuration des ressources VPC Lattice avec le compte du propriétaire de la passerelle à l'aide AWS de la RAM. Le compte propriétaire de la passerelle fournit ensuite l'identifiant de configuration des ressources partagées lors de la création de la cible de passerelle.

Les étapes suivantes résument la configuration multi-comptes :

Configurer la connectivité privée entre comptes

Acheminer le trafic via un domaine intermédiaire

Vous pouvez utiliser ce routingDomain champ pour acheminer le trafic via un composant intermédiaire, tel qu'un point de terminaison VPC, un équilibreur de charge d'application interne ou un équilibreur de charge réseau, plutôt que directement vers votre domaine cible. Cela est utile lorsque vous souhaitez consolider plusieurs ressources privées derrière un seul point d'entrée (par exemple, en acheminant plusieurs passerelles API privées via un seul point de terminaison VPC afin de réduire le nombre de configurations de ressources et les coûts associés).

Lorsque vous utilisez un domaine de routage, le domaine que vous spécifiez pour votre cible (dans l'URL du point de terminaison MCP ou l'URL du serveur OpenAPI) doit être le nom DNS réel de votre ressource. routingDomainIl s'agit d'un domaine distinct AgentCore utilisé pour configurer la configuration des ressources VPC Lattice. Au moment de l'invocation, AgentCore achemine le trafic via le domaine de routage mais envoie des demandes avec le domaine cible réel comme nom d'hôte TLS SNI, afin que votre ressource reçoive les demandes adressées à son domaine réel.

Le domaine de routage peut être n'importe quel domaine qui achemine vers votre ressource privée au sein du VPC. Les options les plus courantes sont les suivantes :

Les étapes suivantes décrivent le flux de trafic lorsqu'un domaine de routage est utilisé :

Exemple : passerelle API privée avec domaine de routage VPCE

L'exemple suivant montre comment créer une cible de passerelle pour une passerelle API privée en utilisant son domaine VPCE comme domaine de routage. L'URL cible est le nom d'hôte privé de la passerelle API et routingDomain le nom DNS VPCE :

{
  "name": "my-private-apigw-target",
  "privateEndpoint": {
    "managedVpcResource": {
      "vpcIdentifier": "vpc-0123456789abcdef0",
      "subnetIds": ["subnet-0123456789abcdef0", "subnet-0abcdef1234567890"],
      "endpointIpAddressType": "IPV4",
      "routingDomain": "<vpce-id>.execute-api.us-east-1.vpce.amazonaws.com"
    }
  },
  "targetConfiguration": {
    "mcp": {
      "openApiSchema": {
        "inlinePayload": "<OpenAPI spec JSON with server URL matching the public certificate domain, for example https://<api-id>.execute-api.<region>.amazonaws.com>"
      }
    }
  }
}

Solution pour les certificats privés : ALB

La sortie du VPC nécessite que votre point de terminaison cible dispose d'un certificat TLS approuvé par le public. Si votre ressource privée utilise un certificat émis par une autorité de certification (CA) privée, la solution recommandée consiste à placer un équilibreur de charge d'application (ALB) interne devant votre ressource.

Les étapes suivantes décrivent le flux de trafic :

Étape 1 : demander un certificat ACM public

Demandez un certificat public à ACM pour un domaine dont vous êtes propriétaire. Ce domaine sera utilisé comme URL cible. Pour obtenir des instructions, consultez la section Demander un certificat public dans le guide de l'utilisateur du gestionnaire de AWS certificats.

Étape 2 : Création d'un ALB interne

Créez un équilibreur de charge d'application interne dans le même VPC que votre ressource privée. Pour obtenir des instructions, consultez la section Création d'un équilibreur de charge d'application dans le guide de l'utilisateur d'Elastic Load Balancing. Assurez-vous de configurer le schéma surinternal.

Étape 3 : Création d'un groupe IP-based cible

Créez un groupe cible avec un type de cible ip qui pointe vers l'adresse IP de votre ressource privée sur le port 443 (HTTPS) et enregistrez votre ressource privée en tant que cible. Pour obtenir des instructions, consultez la section Création d'un groupe cible dans le Guide de l'utilisateur d'Elastic Load Balancing.

Étape 4 : Création d'un écouteur HTTPS avec transformation de l'en-tête de l'hôte

Créez un écouteur HTTPS sur le port 443 à l'aide du certificat ACM public. Ajoutez une règle d'écoute qui transforme l'en-tête Host du domaine public au domaine de la ressource privée avant le transfert.

aws elbv2 create-listener \
  --load-balancer-arn <alb-arn> \
  --protocol HTTPS \
  --port 443 \
  --certificates CertificateArn=<acm-certificate-arn> \
  --default-actions '[{
    "Type": "forward",
    "TargetGroupArn": "<target-group-arn>",
    "ForwardConfig": {
      "TargetGroups": [{"TargetGroupArn": "<target-group-arn>", "Weight": 1}]
    }
  }]'

Modifiez ensuite la règle d'écoute pour ajouter la transformation d'en-tête de l'hôte :

aws elbv2 modify-rule \
  --rule-arn <default-rule-arn> \
  --actions '[{
    "Type": "forward",
    "TargetGroupArn": "<target-group-arn>",
    "ForwardConfig": {
      "TargetGroups": [{"TargetGroupArn": "<target-group-arn>", "Weight": 1}]
    }
  }]' \
  --transforms '[{
    "Type": "host-header",
    "HostHeaderConfig": {
      "Values": ["my-server.my-company.internal"]
    }
  }]'

Étape 5 : Configuration du point de terminaison privé

Utilisez le nom DNS ALB comme URL cible routingDomain et le domaine de certificat public comme URL cible.

{
  ...
  "privateEndpoint": {
    "managedVpcResource": {
      "vpcIdentifier": "<vpc-id>",
      "subnetIds": ["<subnet-id-1>", "<subnet-id-2>"],
      "endpointIpAddressType": "IPV4",
      "routingDomain": "internal-my-alb-1234567890.us-west-2.elb.amazonaws.com"
    }
  },
  ...
}

L'URL cible de votre configuration cible doit utiliser https://my-server.my-company.com (le domaine de certificat public) et non le domaine privé.

Service-linked rôle pour la sortie du VPC

Lorsque vous créez une cible de passerelle avec un point de terminaison privé géré (managedVpcResource), AgentCore utilise le rôle AWSServiceRoleForBedrockAgentCoreGatewayNetwork lié à un service pour créer et gérer des passerelles de ressources VPC Lattice dans votre compte. Ce rôle est créé automatiquement la première fois que vous créez une cible de point de terminaison privée gérée, à condition que votre principal IAM dispose des iam:CreateServiceLinkedRole autorisations requises.

Le rôle lié aux services présente les caractéristiques clés suivantes :

Pour obtenir le document de politique complet et les instructions relatives à la création, à la modification et à la suppression de ce rôle, consultez la section Rôle lié au service Gateway.

État de la cible et résolution des problèmes

Une fois que vous avez créé une ressource avec un point de terminaison privé, la ressource passe par un CREATING état lors de la AgentCore configuration des ressources VPC Lattice et de l'établissement de l'association au réseau de services. Vous pouvez surveiller l'état en appelant l'API Get appropriée (par exempleGetGatewayTarget) et en vérifiant les statusReasons champs status et.

Le tableau suivant décrit les valeurs d'état courantes et leur signification :

Le tableau suivant décrit les problèmes courants et leurs solutions :

Limites et considérations

Tenez compte des limites suivantes lorsque vous utilisez VPC Egress pour : AgentCore