View a markdown version of this page

VPC dan AWS PrivateLink dengan AWS Pendaftaran Agen - Batu Dasar Amazon AgentCore
Pertimbangan untuk AWS Pendaftaran AgenBuat titik akhir antarmuka untuk AWS Pendaftaran AgenMembuat kebijakan titik akhir untuk titik akhir antarmuka Anda

Terjemahan disediakan oleh mesin penerjemah. Jika konten terjemahan yang diberikan bertentangan dengan versi bahasa Inggris aslinya, utamakan versi bahasa Inggris.

VPC dan AWS PrivateLink dengan AWS Pendaftaran Agen

Anda dapat menggunakan AWS PrivateLink untuk membuat koneksi pribadi antara VPC dan AWS Agen Registry. Anda dapat mengakses Registry AWS Agen seolah-olah berada di VPC Anda, tanpa menggunakan gateway internet, perangkat NAT, koneksi VPN, atau koneksi AWS Direct Connect. Instans di VPC Anda tidak memerlukan alamat IP publik untuk mengakses Registry AWS Agen.

Anda membuat koneksi pribadi ini dengan membuat titik akhir antarmuka, yang didukung oleh AWS PrivateLink. Kami membuat antarmuka jaringan endpoint di setiap subnet yang Anda aktifkan untuk titik akhir antarmuka. Ini adalah antarmuka jaringan yang dikelola pemohon yang berfungsi sebagai titik masuk untuk lalu lintas yang ditujukan untuk Agen Registry. AWS

Untuk informasi selengkapnya, lihat AWS Layanan Ak AWS PrivateLink ses melalui AWS PrivateLink Panduan.

Sebelum Anda menyiapkan titik akhir antarmuka untuk AWS Agen Registry, tinjau Pertimbangan dalam AWS PrivateLink Panduan.

AWS Agen Registry menyediakan dua AWS PrivateLink titik akhir:

  • Titik akhir bidang kontrol: com.amazonaws.region.agent-registry-control — untuk registri dan manajemen catatan (membuat, memperbarui, menghapus operasi, dan sebagainya).

  • Titik akhir bidang data: com.amazonaws.region.agent-registry — untuk penemuan rekaman dan titik akhir MCP registri (pencarian InvokeRegistryMcp,, dan sebagainya).

Untuk daftar Wilayah di mana titik akhir antarmuka AWS Agen Registry tersedia, lihat Wil AWS ayah yang Di dukung. AWS Titik akhir antarmuka tersedia di setiap Wilayah di mana AWS Agen Registry tersedia.

penting

API bidang data mendukung header Sig AWS nature Version 4 (SigV4) untuk otentikasi dan otentikasi Bearer Token (OAuth), dan kebijakan titik akhir Anda dievaluasi untuk keduanya. Penelepon token pembawa tidak memiliki identitas IAM, sehingga hanya cocok dengan pernyataan yang Principal adalah* — tidak pernah akun, peran, atau ARN pengguna tertentu. Agar permintaan token pembawa berhasil melalui titik akhir, Allow pernyataan dengan disetel Principal ke * harus mencakup tindakan dan sumber daya; pernyataan yang menamai AWS identitas tertentu tidak mengakuinya. Untuk membatasi penelepon token pembawa, gunakan Deny pernyataan dengan disetel ke Principal * dicakup oleh Action dan Resource — Anda tidak dapat memilih pemanggil pembawa individu berdasarkan prinsipal, karena pemanggil pembawa tidak dapat dibedakan di tingkat utama. Registri diotorisasi oleh SIGv4 atau JWT sesuai dengan ituauthorizerType, tidak pernah keduanya, jadi setiap registri hanya membutuhkan formulir pernyataan yang cocok dengan mode otorisasinya sendiri.

AWS Agen Registry mendukung kunci konteks kondisi global AWS IAM, termasuk aws:SourceVpc danaws:SourceVpce. Secara default, Anda memiliki akses penuh ke AWS Agen Registry melalui titik akhir antarmuka. Untuk membatasi akses tersebut, lampirkan kebijakan titik akhir khusus ke titik akhir antarmuka atau kaitkan grup keamanan dengan antarmuka jaringan titik akhir.

Anda dapat membuat titik akhir antarmuka untuk AWS Agen Registry menggunakan konsol Amazon VPC atau AWS Command Line Interface (AWS CLI). Untuk informasi selengkapnya, lihat Membuat titik akhir antarmuka di AWS PrivateLink Panduan.

Buat titik akhir antarmuka untuk AWS Agen Registry menggunakan format nama layanan berikut:

  • Untuk operasi pesawat kontrol (registri dan manajemen catatan): com.amazonaws.region.agent-registry-control (misalnya,com.amazonaws.us-east-1.agent-registry-control)

  • Untuk operasi bidang data (penemuan rekaman dan titik akhir MCP registri): com.amazonaws.region.agent-registry (misalnya,com.amazonaws.us-east-1.agent-registry)

Jika Anda mengaktifkan DNS pribadi untuk titik akhir antarmuka, Anda dapat membuat permintaan API ke AWS Agen Registry menggunakan nama DNS Regional defaultnya:

  • Pesawat kontrol: agent-registry-control.region.api.aws (misalnya,agent-registry-control.us-east-1.api.aws)

  • Bidang data: agent-registry.region.api.aws (misalnya,agent-registry.us-east-1.api.aws)

Kebijakan titik akhir adalah sumber daya IAM yang dapat Anda lampirkan ke titik akhir antarmuka. Dengan kebijakan titik akhir default, Anda memiliki akses penuh ke AWS Agen Registry melalui titik akhir antarmuka. Untuk membatasi akses tersebut, lampirkan kebijakan titik akhir khusus.

kebijakan titik akhir mencantumkan informasi berikut:

  • Prinsipal yang dapat melakukan tindakan (AWS akun, pengguna IAM, dan peran IAM).

    • Untuk titik akhir bidang data Registry AWS Agen, jika registri menggunakan otorisasi JWT alih-alih Sig AWS nature Version 4 (SIGv4), setel Principal ke * untuk pernyataan apa pun yang mengotorisasi pemanggil JWT. Dengan SigV4-based otentikasi, Anda dapat mendefinisikan Principal sebagai AWS identitas tertentu.

  • Tindakan yang dapat dilakukan.

  • Sumber daya untuk melakukan tindakan.

Untuk informasi selengkapnya, lihat Mengontrol akses ke layanan menggunakan kebijakan titik akhir di AWS PrivateLink Panduan.

Contoh berikut menunjukkan kebijakan titik akhir untuk setiap titik akhir AWS Agen Registry. Pilih tab untuk melihat kebijakan bidang kontrol, operasi penemuan-rekaman bidang data, atau titik akhir MCP bidang data.

contoh
Control plane (registry and record management)

  1. Kebijakan titik akhir berikut memungkinkan prinsipal IAM tertentu untuk mengelola registri dan catatannya melalui titik akhir bidang kontrol.

    {
   "Statement": [
      {
         "Effect": "Allow",
         "Principal": {
            "AWS": "arn:aws:iam::ACCOUNT_ID:root"
         },
         "Action": [
            "agent-registry:CreateRegistry",
            "agent-registry:GetRegistry",
            "agent-registry:UpdateRegistry",
            "agent-registry:DeleteRegistry",
            "agent-registry:ListRegistries",
            "agent-registry:CreateRegistryRecord",
            "agent-registry:GetRegistryRecord",
            "agent-registry:UpdateRegistryRecord",
            "agent-registry:DeleteRegistryRecord",
            "agent-registry:ListRegistryRecords",
            "agent-registry:SubmitRegistryRecordForApproval",
            "agent-registry:UpdateRegistryRecordStatus"
         ],
         "Resource": "arn:aws:agent-registry:us-east-1:ACCOUNT_ID:registry/*"
      }
   ]
}

    Kebijakan titik akhir berikut memungkinkan akses read-only utama IAM tertentu ke registri dan rekam metadata melalui titik akhir bidang kontrol — berguna untuk perkakas yang menginventarisasi registri tanpa memodifikasinya.

    Read-only akses ke metadata registri 

    {
   "Statement": [
      {
         "Effect": "Allow",
         "Principal": {
            "AWS": "arn:aws:iam::ACCOUNT_ID:root"
         },
         "Action": [
            "agent-registry:GetRegistry",
            "agent-registry:ListRegistries",
            "agent-registry:GetRegistryRecord",
            "agent-registry:ListRegistryRecords"
         ],
         "Resource": "arn:aws:agent-registry:us-east-1:ACCOUNT_ID:registry/*"
      }
   ]
}

    Untuk membatasi akses pesawat kontrol ke satu registri dan catatannya, gunakan dua ARN sumber daya yang menargetkan yang spesifik REGISTRY_ID — satu untuk registri itu sendiri (registry/REGISTRY_ID) dan satu untuk catatannya (registry/REGISTRY_ID/record/*). CreateRegistrydan ListRegistries beroperasi di tingkat akun dan tidak dapat dicakup ke ARN registri tertentu, jadi lepaskan mereka dari daftar tindakan — berikan mereka secara terpisah dengan sumber daya wildcard jika pemanggil membutuhkannya.

    Cakupan akses ke satu registri 

    {
   "Statement": [
      {
         "Effect": "Allow",
         "Principal": {
            "AWS": "arn:aws:iam::ACCOUNT_ID:root"
         },
         "Action": [
            "agent-registry:GetRegistry",
            "agent-registry:UpdateRegistry",
            "agent-registry:DeleteRegistry",
            "agent-registry:CreateRegistryRecord",
            "agent-registry:GetRegistryRecord",
            "agent-registry:UpdateRegistryRecord",
            "agent-registry:DeleteRegistryRecord",
            "agent-registry:ListRegistryRecords",
            "agent-registry:SubmitRegistryRecordForApproval",
            "agent-registry:UpdateRegistryRecordStatus"
         ],
         "Resource": [
            "arn:aws:agent-registry:us-east-1:ACCOUNT_ID:registry/REGISTRY_ID",
            "arn:aws:agent-registry:us-east-1:ACCOUNT_ID:registry/REGISTRY_ID/record/*"
         ]
      }
   ]
}
Data plane (record discovery)

  1. Kebijakan titik akhir berikut memungkinkan prinsipal IAM tertentu untuk mencari dan menelusuri catatan yang disetujui dalam satu registri melalui titik akhir bidang data.

    {
   "Statement": [
      {
         "Effect": "Allow",
         "Principal": {
            "AWS": "arn:aws:iam::ACCOUNT_ID:root"
         },
         "Action": [
            "agent-registry:SearchDiscoverableRegistryRecords",
            "agent-registry:ListDiscoverableRegistryRecords",
            "agent-registry:GetDiscoverableRegistryRecord"
         ],
         "Resource": [
            "arn:aws:agent-registry:us-east-1:ACCOUNT_ID:registry/REGISTRY_ID",
            "arn:aws:agent-registry:us-east-1:ACCOUNT_ID:registry/REGISTRY_ID/record/*"
         ]
      }
   ]
}

    Kebijakan berikut memungkinkan prinsipal IAM tertentu untuk mencari SigV4-authorized registri, dan pemanggil JWT yang diautentikasi untuk mencari JWT-authorized registri, melalui titik akhir yang sama.

    Otorisasi SigV4 dan JWT campuran 

    {
   "Statement": [
      {
         "Sid": "AllowIamSearchOnSigV4Registry",
         "Effect": "Allow",
         "Principal": {
            "AWS": "arn:aws:iam::ACCOUNT_ID:root"
         },
         "Action": [
            "agent-registry:SearchDiscoverableRegistryRecords",
            "agent-registry:ListDiscoverableRegistryRecords",
            "agent-registry:GetDiscoverableRegistryRecord"
         ],
         "Resource": [
            "arn:aws:agent-registry:us-east-1:ACCOUNT_ID:registry/SIGV4_REGISTRY_ID",
            "arn:aws:agent-registry:us-east-1:ACCOUNT_ID:registry/SIGV4_REGISTRY_ID/record/*"
         ]
      },
      {
         "Sid": "AllowJwtSearchOnJwtRegistry",
         "Effect": "Allow",
         "Principal": "*",
         "Action": [
            "agent-registry:SearchDiscoverableRegistryRecords",
            "agent-registry:ListDiscoverableRegistryRecords",
            "agent-registry:GetDiscoverableRegistryRecord"
         ],
         "Resource": [
            "arn:aws:agent-registry:us-east-1:ACCOUNT_ID:registry/JWT_REGISTRY_ID",
            "arn:aws:agent-registry:us-east-1:ACCOUNT_ID:registry/JWT_REGISTRY_ID/record/*"
         ]
      }
   ]
}
Data plane (registry MCP endpoint)

  1. Kebijakan titik akhir berikut memungkinkan setiap pemanggil yang diautentikasi untuk memanggil titik akhir MCP registri pada registri. JWT-authorized Karena titik akhir MCP pada JWT-authorized registri diautentikasi oleh token pembawa daripada SIGv4, setel ke *. Principal

    {
   "Statement": [
      {
         "Effect": "Allow",
         "Principal": "*",
         "Action": [
            "agent-registry:InvokeRegistryMcp",
            "agent-registry:SearchDiscoverableRegistryRecords"
         ],
         "Resource": "arn:aws:agent-registry:us-east-1:ACCOUNT_ID:registry/REGISTRY_ID"
      }
   ]
}

    InvokeRegistryMcptidak diekspos sebagai metode klien SDK - ini adalah tindakan IAM yang mengotorisasi lalu lintas yang dikirim ke jalur protokol MCP registri melalui titik akhir bidang data. Memanggil titik akhir MCP registri memerlukan keduanya agent-registry:InvokeRegistryMcp dan tindakan pencarian penemuan. Di agent-registry namespace tindakan pencarian adalahagent-registry:SearchDiscoverableRegistryRecords; di bedrock-agentcore namespace lama itu ada. bedrock-agentcore:SearchRegistryRecords