Terjemahan disediakan oleh mesin penerjemah. Jika konten terjemahan yang diberikan bertentangan dengan versi bahasa Inggris aslinya, utamakan versi bahasa Inggris.

Mengkonfigurasi konektivitas VPC untuk sumber data

Beberapa sumber data berjalan pada sumber daya pribadi yang tidak dapat dijangkau melalui internet publik, seperti instance Confluence Data Center lokal yang Anda tampilkan dengan penyeimbang beban internal di VPC Anda. Untuk merayapi sumber data ini, Anda membuat konfigurasi VPC. Amazon Bedrock menggunakan konfigurasi untuk menyediakan jalur jaringan pribadi ke VPC Anda dan menjangkau sumber daya.

Konfigurasi VPC adalah sumber daya yang dapat digunakan kembali pada basis pengetahuan Anda. Anda membuatnya sekali, lalu mereferensikannya dengan ID dari satu atau lebih sumber data. Saat Anda membuat sumber data yang membutuhkan konektivitas pribadi, Anda memilih konfigurasi VPC yang ada atau membuat yang baru.

Apa yang Anda berikan

Untuk membuat konfigurasi VPC, Anda menyediakan yang berikut:

Anda tidak menyediakan grup keamanan. Amazon Bedrock menggunakan grup keamanan default VPC Anda untuk gateway. Pastikan aturan outbound (egress) grup keamanan default memungkinkan mencapai target Anda pada port yang diminta. Lihat Keluar dari grup keamanan default.

Persyaratan jaringan

Amazon Bedrock menjangkau sumber daya Anda melalui gateway pribadi yang dibuat dengan antarmuka jaringan pribadi saja (tidak ada alamat IP publik). Gateway mencapai target Anda melalui jaringan pribadi (lokal) VPC Anda dan tidak dapat mencapai alamat IP publik. Target sumber daya Anda harus dapat dijangkau secara pribadi dari dalam VPC Anda:

Penyeimbang beban yang menghadap ke internet tidak didukung. Penyeimbang beban yang menghadap ke internet mengembalikan alamat IP publiknya bahkan ke kueri DNS in-VPC, dan gateway pribadi tidak dapat mencapai alamat tersebut. Jika sumber daya Anda saat ini hanya diekspos melalui penyeimbang beban yang menghadap ke internet, buat (atau arahkan pada) penyeimbang beban internal di VPC yang sama dan gunakan nama DNS-nya sebagai target sumber daya.

Buat konfigurasi VPC

Console

Untuk menambahkan konfigurasi VPC

1. Di konfigurasi sumber data, di bawah konfigurasi VPC, pilih Tambahkan konfigurasi VPC. Jika konfigurasi yang sesuai sudah ada, pilih sebagai gantinya untuk menggunakannya kembali di seluruh sumber data.

2. (Opsional) Masukkan Nama dan Deskripsi untuk konfigurasi.

3. Untuk ID VPC, pilih VPC yang akan digunakan untuk konektivitas.

4. Untuk ID Subnet, pilih satu atau lebih subnet dari VPC yang dipilih.

5. Untuk target sumber daya, masukkan nama host atau alamat IP sumber daya Anda (misalnya, 10.0.1.50 atauconfluence.internal.example.com).

6. Untuk Port, masukkan nomor port untuk terhubung (misalnya, 443 atau8090).

7. Untuk Protokol, pilih HTTPS atau HTTP.

8. Untuk mode Resolusi, pilih cara alamat target sumber daya diselesaikan:

   • Publik — Target sumber daya adalah nama host atau alamat IP yang dapat diselesaikan secara publik.

   • Di VPC — Target sumber daya hanya dapat diselesaikan dalam VPC Anda. Ini adalah kasus umum untuk sumber daya internal.

9. (Opsional) Untuk header Host, masukkan nilai Host header untuk dikirim dengan permintaan. Setel ini hanya jika sumber daya Anda (atau router hulu) merutekan dengan Host header HTTP.

10. (Diperlukan untuk HTTPS) Untuk nama server TLS, masukkan identitas sertifikat TLS yang diharapkan (Nama Alternatif Subjek) untuk sumber daya. Satu wildcard paling kiri diperbolehkan (misalnya,). *.example.com

11. Pilih Buat.

API

Untuk membuat konfigurasi VPC, kirim CreateVpcConfiguration permintaan. Semua operasi dicakup ke basis pengetahuan melalui parameter knowledgeBaseId jalur; badan permintaan tidak menyertakan ID akun atau ARN peran, karena Amazon Bedrock menyelesaikannya dari basis pengetahuan.

POST /knowledgebases/knowledgeBaseId/vpcconfigurations/

Badan permintaan menggunakan bidang berikut.

CreateVpcConfiguration bidang

Bidang	Diperlukan	Deskripsi
vpcId	Ya	ID VPC. Co ^vpc-[a-zA-Z0-9]+$ cokkan, hingga 64 karakter.
subnetIds	Ya	1—6 ID subnet dari VPC yang ditentukan. Setiap pertandingan^subnet-[a-zA-Z0-9]+$.
resourceTarget	Ya	Alamat IPv4 atau nama DNS sumber daya (1—255 karakter). Lihat Pembatasan target sumber daya.
port	Ya	Port untuk terhubung (1—65535).
protocol	Ya	HTTP atau HTTPS.
resolutionMode	Ya	PUBLIC atau IN_VPC. Gunakan IN_VPC saat target diselesaikan hanya di dalam VPC Anda.
tlsServerName	Bersyarat	Diper protocol lukan kapanHTTPS. Nama host cocok dengan sertifikat TLS sumber daya (hingga 253 karakter). Satu wildcard paling kiri diperbolehkan. Tidak harus menyertakan port.
hostHeader	Tidak	Nilai Host header HTTP untuk dikirim (hingga 255 karakter). Tetapkan hanya jika rute sumber daya Anda dengan Host header.
name	Tidak	Nama yang dapat dibaca manusia (1-128 karakter).
description	Tidak	Deskripsi (hingga 512 karakter).
clientToken	Tidak	Token idempotensi.

Penciptaan tidak sinkron. CreateVpcConfigurationmengembalikan 202 respons dengan vpcConfigurationId a dan statusCREATING. Jajak pendapat GetVpcConfiguration sampai stat CREATED usnya (atauCREATE_FAILED, dalam hal statusMessage ini menyebutkan penyebabnya). Gunakan ListVpcConfigurations untuk membuat daftar konfigurasi dan DeleteVpcConfiguration untuk menghapusnya.

catatan

Jika Anda membuat beberapa konfigurasi di VPC yang sama dengan kumpulan subnet yang sama, mereka berbagi satu gateway. Satu set subnet yang berbeda menyediakan gateway terpisah.

Protokol, nama server TLS, dan header host

Ketiga pengaturan ini adalah yang paling sering salah konfigurasi. Gunakan panduan berikut untuk memilih nilai yang tepat.

Pembatasan target sumber daya

Amazon Bedrock memvalid resourceTarget asi saat Anda membuat konfigurasi untuk mencegah layanan diarahkan pada dirinya sendiri atau pada infrastruktur internal. Target berikut ditolak:

Nama DNS diperbolehkan. Validasi tidak menyelesaikannya, jadi target harus tetap dapat dijangkau dari subnet gateway Anda.

Keluar dari grup keamanan default

Karena Amazon Bedrock menggunakan grup keamanan default VPC Anda untuk gateway, aturan keluar grup keamanan tersebut harus mengizinkan pencapaian. resourceTarget port Jika grup keamanan default dikunci, pembuatan gagal dengan cepat dengan pesan yang jelas daripada waktu habis nanti. Sebelum Anda membuat konfigurasi, pastikan aturan keluar memungkinkan lalu lintas dari subnet gateway ke target dan port.

Izin peran IAM basis pengetahuan

Amazon Bedrock mengambil peran IAM yang terkait dengan basis pengetahuan Anda untuk menyediakan dan kemudian menghancurkan sumber daya jaringan di akun Anda. Peran harus memberikan izin buat dan hapus di bawah ini, serta izin baca yang membuat idempotent menghapus yang dicoba ulang. Setiap sumber daya yang dibuat Amazon Bedrock diberi tagManagedBy=VPCProxyService, dan izin destruktif dilindungi pada tag itu, sehingga peran hanya dapat bertindak pada sumber daya yang dibuat oleh fitur ini.

Kebijakan contoh berikut memberikan izin yang diperlukan. Ganti region dan accountId dengan nilai-nilai Anda.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "VpcProxyCreateTagged",
            "Effect": "Allow",
            "Action": [
                "vpc-lattice:CreateResourceGateway",
                "vpc-lattice:CreateResourceConfiguration",
                "vpc-lattice:TagResource"
            ],
            "Resource": [
                "arn:aws:vpc-lattice:region:accountId:resourcegateway/*",
                "arn:aws:vpc-lattice:region:accountId:resourceconfiguration/*"
            ],
            "Condition": {
                "StringEquals": {
                    "aws:RequestTag/ManagedBy": "VPCProxyService",
                    "aws:ResourceTag/ManagedBy": "VPCProxyService"
                },
                "ForAllValues:StringEquals": { "aws:TagKeys": ["ManagedBy"] }
            }
        },
        {
            "Sid": "VpcProxyPutResourcePolicy",
            "Effect": "Allow",
            "Action": "vpc-lattice:PutResourcePolicy",
            "Resource": [
                "arn:aws:vpc-lattice:region:accountId:resourceconfiguration/*"
            ],
            "Condition": {
                "StringEquals": { "aws:ResourceTag/ManagedBy": "VPCProxyService" }
            }
        },
        {
            "Sid": "VpcProxyRamCreate",
            "Effect": "Allow",
            "Action": "ram:CreateResourceShare",
            "Resource": "*",
            "Condition": {
                "StringEquals": { "aws:RequestTag/ManagedBy": "VPCProxyService" },
                "StringEqualsIfExists": {
                    "ram:RequestedResourceType": "vpc-lattice:ResourceConfiguration"
                }
            }
        },
        {
            "Sid": "VpcProxyRamAssociate",
            "Effect": "Allow",
            "Action": "ram:AssociateResourceShare",
            "Resource": "*",
            "Condition": {
                "StringEquals": { "aws:ResourceTag/ManagedBy": "VPCProxyService" }
            }
        },
        {
            "Sid": "VpcProxyRamTagOnCreate",
            "Effect": "Allow",
            "Action": "ram:TagResource",
            "Resource": [
                "arn:aws:ram:region:accountId:resource-share/*"
            ],
            "Condition": {
                "StringEquals": {
                    "aws:RequestTag/ManagedBy": "VPCProxyService",
                    "aws:ResourceTag/ManagedBy": "VPCProxyService"
                },
                "ForAllValues:StringEquals": { "aws:TagKeys": ["ManagedBy"] }
            }
        },
        {
            "Sid": "VpcProxyDeleteTagged",
            "Effect": "Allow",
            "Action": [
                "vpc-lattice:DeleteResourceConfiguration",
                "vpc-lattice:DeleteResourceGateway"
            ],
            "Resource": [
                "arn:aws:vpc-lattice:region:accountId:resourcegateway/*",
                "arn:aws:vpc-lattice:region:accountId:resourceconfiguration/*"
            ],
            "Condition": {
                "StringEquals": { "aws:ResourceTag/ManagedBy": "VPCProxyService" }
            }
        },
        {
            "Sid": "VpcProxyRamDeleteTagged",
            "Effect": "Allow",
            "Action": "ram:DeleteResourceShare",
            "Resource": [
                "arn:aws:ram:region:accountId:resource-share/*"
            ],
            "Condition": {
                "StringEquals": { "aws:ResourceTag/ManagedBy": "VPCProxyService" },
                "StringLike": { "ram:ResourceShareName": "vpc-proxy-share-*" }
            }
        },
        {
            "Sid": "VpcProxyGetResource",
            "Effect": "Allow",
            "Action": [
                "vpc-lattice:GetResourceConfiguration",
                "vpc-lattice:GetResourceGateway"
            ],
            "Resource": [
                "arn:aws:vpc-lattice:region:accountId:resourcegateway/*",
                "arn:aws:vpc-lattice:region:accountId:resourceconfiguration/*"
            ]
        },
        {
            "Sid": "VpcProxyRamGetResourceShares",
            "Effect": "Allow",
            "Action": "ram:GetResourceShares",
            "Resource": "*"
        },
        {
            "Sid": "VpcProxyEc2Describe",
            "Effect": "Allow",
            "Action": [
                "ec2:DescribeSubnets",
                "ec2:DescribeSecurityGroups",
                "ec2:DescribeVpcs"
            ],
            "Resource": "*"
        },
        {
            "Sid": "VpcProxyLatticeServiceLinkedRole",
            "Effect": "Allow",
            "Action": "iam:CreateServiceLinkedRole",
            "Resource": [
                "arn:aws:iam::accountId:role/aws-service-role/vpc-lattice.amazonaws.com/*"
            ],
            "Condition": {
                "StringEquals": { "iam:AWSServiceName": "vpc-lattice.amazonaws.com" }
            }
        }
    ]
}

Siklus hidup