Terjemahan disediakan oleh mesin penerjemah. Jika konten terjemahan yang diberikan bertentangan dengan versi bahasa Inggris aslinya, utamakan versi bahasa Inggris.

Hubungkan ke sumber daya pribadi di VPC Anda menggunakan VPC Lattice

Amazon Bedrock AgentCore mendukung konektivitas pribadi ke sumber daya yang dihosting di dalam AWS VPC atau lingkungan lokal yang terhubung ke VPC Anda, seperti server MCP pribadi, REST API internal, atau database, tanpa mengekspos layanan tersebut ke internet publik.

Konektivitas pribadi dibuat menggunakan gateway sumber daya Amazon VPC Lattice dan konfigurasi sumber daya. Untuk detail tentang dua mode yang didukung (Lattice yang dikelola dan dikelola sendiri), lihat Mode keluar VPC yang didukung.

Konsep Utama

Layanan Amazon Bedrock yang AgentCore didukung

Layanan Amazon Bedrock berikut mendukung AgentCore keluar VPC dengan VPC Lattice:

Mode keluar VPC yang didukung

Amazon Bedrock AgentCore mendukung dua mode untuk mengonfigurasi konektivitas VPC Lattice:

Tabel berikut merangkum perbedaan utama:

Untuk detail harga VPC Lattice, lihat harga Amazon VPC Lattice.

Opsi 1: Sumber daya VPC yang dikelola

Dengan sumber daya VPC terkelola, Anda menyediakan VPC, subnet, dan informasi grup keamanan opsional. AgentCore menangani pembuatan dan manajemen siklus hidup gateway sumber daya VPC Lattice dan konfigurasi sumber daya atas nama Anda. Gateway sumber daya terkelola adalah pembungkus di sekitar ENI di VPC Anda. Anda tidak dapat memodifikasi, mengkonfigurasi, atau berinteraksi dengannya. AgentCore memiliki siklus hidup penuhnya, termasuk pembuatan, penggunaan kembali, dan penghapusan.

AgentCore menggunakan peran AWSServiceRoleForBedrockAgentCoreGatewayNetwork terkait layanan untuk membuat dan mengelola gateway sumber daya VPC Lattice di akun Anda. Peran ini dibuat secara otomatis saat pertama kali Anda membuat target gateway dengan titik akhir pribadi terkelola. Untuk informasi selengkapnya tentang peran ini, lihat Peran ter taut layanan Gateway.

Prasyarat

Sebelum membuat target gateway dengan titik akhir pribadi terkelola, pastikan hal berikut:

Membuat target dengan titik akhir pribadi terkelola

Untuk membuat sumber daya dengan titik akhir pribadi terkelola, sertakan privateEndpoint.managedVpcResource blok dalam permintaan pembuatan Anda.

{
  ...
  "privateEndpoint": {
    "managedVpcResource": {
      "vpcIdentifier": "vpc-0abc123def456",
      "subnetIds": ["subnet-0abc123", "subnet-0def456"],
      "endpointIpAddressType": "IPV4",
      "securityGroupIds": ["sg-0abc123def"]
    }
  },
  ...
}

managedVpcResourceBlok menerima bidang berikut:

Lihat sumber daya yang dikelola

Setelah sumber daya dibuat, panggil Get API yang relevan (misalnya,GetGatewayTarget) untuk melihat sumber daya VPC Lattice terkelola yang AgentCore dibuat atas nama Anda. Ini dikembalikan di privateEndpointManagedResources bidang respons:

{
  ...
  "status": "READY",
  "privateEndpoint": {
    "managedVpcResource": {
      "vpcIdentifier": "vpc-0abc123def456",
      "subnetIds": ["subnet-0abc123", "subnet-0def456"],
      "endpointIpAddressType": "IPV4",
      "securityGroupIds": ["sg-0abc123def"]
    }
  },
  "privateEndpointManagedResources": [
    {
      "domain": "my-server.internal.example.com",
      "resourceGatewayArn": "arn:aws:vpc-lattice:us-east-1:123456789012:resourcegateway/rgw-abc123"
    }
  ]
}

Ini resourceGatewayArn adalah ARN dari gateway sumber daya VPC Lattice yang AgentCore dibuat di akun Anda. AgentCore mengelola siklus hidup penuh sumber daya ini: menggunakan kembali gateway sumber daya yang sama untuk target dengan konfigurasi VPC dan subnet yang cocok, dan menghapusnya ketika tidak lagi digunakan oleh target apa pun.

Opsi 2: Sumber daya Self-managed kisi

Dengan Lattice yang dikelola sendiri, Anda membuat dan mengelola sendiri gateway sumber daya VPC Lattice dan konfigurasi sumber daya, lalu memberikan pengenal konfigurasi sumber daya ke. AgentCore Gunakan opsi ini jika Anda sudah mengonfigurasi sumber daya VPC Lattice, perlu berbagi konfigurasi sumber daya di beberapa layanan, atau memerlukan kontrol atas siklus hidup sumber daya Lattice.

Prasyarat

Sebelum membuat target gateway dengan titik akhir pribadi yang dikelola sendiri, selesaikan langkah-langkah berikut:

Menyiapkan sumber daya VPC Lattice untuk konektivitas yang dikelola sendiri

Prinsipal IAM Anda juga memerlukan izin berikut untuk mengizinkan AgentCore mengaitkan konfigurasi sumber daya dengan jaringan AgentCore layanan atas nama Anda:

{
"Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "vpc-lattice:GetResourceConfiguration",
        "vpc-lattice:CreateServiceNetworkResourceAssociation",
        "vpc-lattice:GetServiceNetworkResourceAssociation",
        "vpc-lattice:ListServiceNetworkResourceAssociations",
        "vpc-lattice:AssociateViaAWSService"
      ],
      "Resource": "*"
    }
  ]
}

Buat target dengan titik akhir pribadi yang dikelola sendiri

Untuk membuat sumber daya dengan titik akhir pribadi yang dikelola sendiri, sertakan privateEndpoint.selfManagedLatticeResource blok tersebut dalam permintaan pembuatan Anda:

{
  ...
  "privateEndpoint": {
    "selfManagedLatticeResource": {
      "resourceConfigurationIdentifier": "arn:aws:vpc-lattice:us-east-1:123456789012:resourceconfiguration/rcfg-abc123"
    }
  },
  ...
}

Dapat resourceConfigurationIdentifier berupa ARN atau ID konfigurasi sumber daya VPC Lattice. AgentCore menggunakan kredenSIAL Anda (melalui Sesi Akses Teruskan) untuk mengaitkan konfigurasi sumber daya dengan jaringan AgentCore layanan.

Setelah sumber daya dibuat, respons Get API menyertakan resourceAssociationArn di privateEndpointManagedResources bidang. Jika Anda membuat beberapa sumber daya yang menunjuk ke konfigurasi sumber daya yang sama, AgentCore secara otomatis menggunakan kembali asosiasi sumber daya jaringan layanan yang ada.

Cross-account sumber daya pribadi

Anda dapat terhubung AgentCore ke sumber daya pribadi di AWS akun yang berbeda dari akun yang memiliki gateway. Ini adalah pola umum untuk tim platform yang mengelola gateway terpusat sementara tim layanan individu memiliki sumber daya pribadi.

Akun pemilik sumber daya harus berbagi konfigurasi sumber daya VPC Lattice dengan akun pemilik gateway menggunakan AWS RAM. Akun pemilik gateway kemudian menyediakan pengenal konfigurasi sumber daya bersama saat membuat target gateway.

Langkah-langkah berikut merangkum pengaturan lintas akun:

Menyiapkan konektivitas pribadi lintas akun

Rute lalu lintas melalui domain perantara

Anda dapat menggunakan routingDomain bidang ini untuk merutekan lalu lintas melalui komponen perantara — seperti titik akhir VPC, Penyeimbang Beban Aplikasi internal, atau Penyeimbang Beban Jaringan — alih-alih langsung ke domain target Anda. Ini berguna ketika Anda ingin mengkonsolidasikan beberapa sumber daya pribadi di belakang satu titik masuk (misalnya, merutekan beberapa Gerbang API pribadi melalui titik akhir VPC tunggal untuk mengurangi jumlah konfigurasi sumber daya dan biaya terkait).

Saat menggunakan domain routing, domain yang Anda tentukan untuk target Anda (di URL titik akhir MCP atau URL server OpenAPI) harus menjadi nama DNS sebenarnya dari sumber daya Anda. Ini routingDomain adalah domain terpisah yang digunakan AgentCore untuk mengatur konfigurasi sumber daya VPC Lattice. Pada waktu pemanggilan, AgentCore merutekan lalu lintas melalui domain routing tetapi mengirimkan permintaan dengan domain target aktual sebagai nama host SNI TLS, sehingga sumber daya Anda menerima permintaan yang ditujukan ke domain sebenarnya.

Domain routing dapat berupa domain apa pun yang merutekan ke sumber daya pribadi Anda dalam VPC. Opsi umum meliputi:

Langkah-langkah berikut menjelaskan aliran lalu lintas saat domain routing digunakan:

Contoh: Gerbang API Pribadi dengan domain routing VPCE

Contoh berikut menunjukkan cara membuat target gateway untuk Gateway API pribadi menggunakan domain VPCE sebagai domain routing. URL target adalah nama host API Gateway pribadi, dan itu routingDomain adalah nama DNS VPCE:

{
  "name": "my-private-apigw-target",
  "privateEndpoint": {
    "managedVpcResource": {
      "vpcIdentifier": "vpc-0123456789abcdef0",
      "subnetIds": ["subnet-0123456789abcdef0", "subnet-0abcdef1234567890"],
      "endpointIpAddressType": "IPV4",
      "routingDomain": "<vpce-id>.execute-api.us-east-1.vpce.amazonaws.com"
    }
  },
  "targetConfiguration": {
    "mcp": {
      "openApiSchema": {
        "inlinePayload": "<OpenAPI spec JSON with server URL matching the public certificate domain, for example https://<api-id>.execute-api.<region>.amazonaws.com>"
      }
    }
  }
}

Solusi untuk sertifikat pribadi: ALB

Egress VPC mengharuskan titik akhir target Anda memiliki sertifikat TLS yang tepercaya secara publik. Jika sumber daya pribadi Anda menggunakan sertifikat yang dikeluarkan oleh otoritas sertifikat pribadi (CA), solusi yang disarankan adalah menempatkan Penyeimbang Beban Aplikasi (ALB) internal di depan sumber daya Anda.

Langkah-langkah berikut menjelaskan arus lalu lintas:

Langkah 1: Minta sertifikat ACM publik

Minta sertifikat publik dari ACM untuk domain yang Anda miliki. Domain ini akan digunakan sebagai URL target. Untuk petunjuk, lihat Meminta sertifikat publik di Panduan Pengguna Manajer AWS Sertifikat.

Langkah 2: Buat ALB internal

Buat Penyeimbang Beban Aplikasi internal di VPC yang sama dengan sumber daya pribadi Anda. Untuk petunjuk, lihat Membuat Penyeimbang Beban Aplikasi di Panduan Pengguna Elastic Load Balancing. Pastikan Anda mengatur skema keinternal.

Langkah 3: Buat kelompok IP-based sasaran

Buat grup target dengan tipe target ip yang menunjuk ke alamat IP sumber daya pribadi Anda di port 443 (HTTPS), dan daftarkan sumber daya pribadi Anda sebagai target. Untuk petunjuk, lihat Membuat grup target di Panduan Pengguna Elastic Load Balancing.

Langkah 4: Buat pendengar HTTPS dengan transformasi header host

Buat pendengar HTTPS pada port 443 menggunakan sertifikat ACM publik. Tambahkan aturan pendengar yang mengubah header Host dari domain publik ke domain sumber daya pribadi sebelum meneruskan.

aws elbv2 create-listener \
  --load-balancer-arn <alb-arn> \
  --protocol HTTPS \
  --port 443 \
  --certificates CertificateArn=<acm-certificate-arn> \
  --default-actions '[{
    "Type": "forward",
    "TargetGroupArn": "<target-group-arn>",
    "ForwardConfig": {
      "TargetGroups": [{"TargetGroupArn": "<target-group-arn>", "Weight": 1}]
    }
  }]'

Kemudian ubah aturan pendengar untuk menambahkan transformasi header host:

aws elbv2 modify-rule \
  --rule-arn <default-rule-arn> \
  --actions '[{
    "Type": "forward",
    "TargetGroupArn": "<target-group-arn>",
    "ForwardConfig": {
      "TargetGroups": [{"TargetGroupArn": "<target-group-arn>", "Weight": 1}]
    }
  }]' \
  --transforms '[{
    "Type": "host-header",
    "HostHeaderConfig": {
      "Values": ["my-server.my-company.internal"]
    }
  }]'

Langkah 5: Konfigurasikan titik akhir pribadi

Gunakan nama DNS ALB sebagai routingDomain dan domain sertifikat publik sebagai URL target.

{
  ...
  "privateEndpoint": {
    "managedVpcResource": {
      "vpcIdentifier": "<vpc-id>",
      "subnetIds": ["<subnet-id-1>", "<subnet-id-2>"],
      "endpointIpAddressType": "IPV4",
      "routingDomain": "internal-my-alb-1234567890.us-west-2.elb.amazonaws.com"
    }
  },
  ...
}

URL target dalam konfigurasi target Anda harus menggunakan https://my-server.my-company.com (domain sertifikat publik), bukan domain pribadi.

Service-linked peran untuk keluar VPC

Saat Anda membuat target gateway dengan titik akhir pribadi terkelola (managedVpcResource), gunakan AgentCore peran AWSServiceRoleForBedrockAgentCoreGatewayNetwork terkait layanan untuk membuat dan mengelola gateway sumber daya VPC Lattice di akun Anda. Peran ini dibuat secara otomatis saat pertama kali Anda membuat target titik akhir pribadi terkelola, asalkan prinsipal IAM Anda memiliki iam:CreateServiceLinkedRole izin yang diperlukan.

Peran terkait layanan memiliki karakteristik utama berikut:

Untuk dokumen kebijakan lengkap dan instruksi untuk membuat, mengedit, dan menghapus peran ini, lihat Peran terta ut layanan Gateway.

Status target dan pemecahan masalah

Setelah Anda membuat sumber daya dengan titik akhir pribadi, sumber daya melewati CREATING status saat AgentCore menyiapkan sumber daya VPC Lattice dan menetapkan asosiasi jaringan layanan. Anda dapat memantau status dengan memanggil Get API yang relevan (misalnya,GetGatewayTarget) dan memeriksa statusReasons bidang status dan.

Tabel berikut menjelaskan nilai status umum dan artinya:

Tabel berikut menjelaskan masalah umum dan solusinya:

Pertimbangan dan batasan

Ketahuilah batasan berikut saat menggunakan keluar VPC untuk: AgentCore