Terjemahan disediakan oleh mesin penerjemah. Jika konten terjemahan yang diberikan bertentangan dengan versi bahasa Inggris aslinya, utamakan versi bahasa Inggris.

Menghubungkan ke alat yang dihosting secara pribadi

Ikhtisar koneksi pribadi

AWS DevOps Agen dapat diperluas dengan alat Protokol Konteks Model (MCP) khusus dan integrasi lain yang memberikan agen akses ke sistem internal seperti registri paket pribadi, platform pengamatan yang di-host sendiri, API dokumentasi internal, dan instans kontrol sumber (lihat:). Mengkonfigurasi integrasi dan pengetahuan Layanan ini sering berjalan di dalam Amazon Virtual Private Cloud (Amazon VPC) dengan akses internet publik terbatas atau tidak ada, yang berarti AWS DevOps Agen tidak dapat menjangkau mereka secara default.

Koneksi pribadi untuk AWS DevOps Agen memungkinkan Anda menghubungkan Ruang Agen dengan aman ke layanan yang berjalan di VPC Anda tanpa mengeksposnya ke internet publik. Koneksi pribadi bekerja dengan integrasi apa pun yang perlu mencapai titik akhir pribadi, termasuk server MCP, instans Grafana atau Splunk yang di-host sendiri, dan sistem kontrol sumber seperti GitHub Enterprise Server dan. GitLab Self-Managed

Cara kerja koneksi pribadi

Koneksi pribadi membuat jalur jaringan aman antara AWS DevOps Agen dan sumber daya target di VPC Anda. Di bawah tenda, AWS DevOps Agen menggunakan Amazon VPC Lattice untuk membangun jalur konektivitas pribadi yang aman ini. VPC Lattice adalah layanan jaringan aplikasi yang memungkinkan Anda menghubungkan, mengamankan, dan memantau komunikasi antara aplikasi di seluruh VPC, akun, dan tipe komputasi, tanpa mengelola infrastruktur jaringan yang mendasarinya.

Saat Anda membuat koneksi pribadi, hal berikut terjadi:

Gerbang sumber daya sepenuhnya dikelola oleh AWS DevOps Agen dan muncul sebagai sumber daya baca-saja di akun Anda (bernamaaidevops-{your-private-connection-name}). Anda tidak perlu mengkonfigurasi atau memeliharanya. Satu-satunya sumber daya yang dibuat di VPC Anda adalah ENI di subnet yang Anda tentukan. ENI ini berfungsi sebagai titik masuk untuk lalu lintas pribadi dan dikelola sepenuhnya oleh layanan. Mereka tidak menerima koneksi masuk dari internet, dan Anda mempertahankan kontrol penuh atas lalu lintas mereka melalui grup keamanan Anda sendiri.

Keamanan

Koneksi pribadi dirancang dengan beberapa lapisan keamanan:

Arsitektur

Diagram berikut menunjukkan jalur jaringan untuk koneksi pribadi.

Dalam arsitektur ini:

Mengkonfigurasi aturan firewall untuk koneksi pribadi

Dengan koneksi pribadi, lalu lintas dari AWS DevOps Agen ke alat yang dihosting secara pribadi berasal dari ENI Gerbang Sumber Daya di subnet yang Anda tentukan selama pembuatan koneksi pribadi. Ini berbeda dengan koneksi alat yang dihosting publik, yang menggunakan alamat IP statis yang tercantum di halaman Keamanan.

Untuk mengizinkan lalu lintas AWS DevOps Agen mencapai alat yang dihosting secara pribadi:

Untuk menemukan blok CIDR subnet Anda, jalankan perintah berikut dengan ID subnet yang Anda tentukan selama pembuatan koneksi pribadi:

aws ec2 describe-subnets \
    --subnet-ids subnet-0123456789abcdef0 subnet-0123456789abcdef1 \
    --query 'Subnets[*].[SubnetId,CidrBlock]' \
    --output table

Buat koneksi pribadi

Anda dapat membuat koneksi pribadi menggunakan AWS Management Console atau AWS CLI.

Prasyarat

Sebelum membuat koneksi pribadi, verifikasi bahwa Anda memiliki yang berikut:

Koneksi pribadi adalah sumber daya tingkat akun. Setelah membuat koneksi pribadi, Anda dapat menggunakannya kembali di beberapa integrasi dan Ruang Agen yang perlu menjangkau host yang sama.

Buat koneksi pribadi menggunakan konsol

Status koneksi berubah menjadi Create in progress. Proses ini bisa memakan waktu hingga 10 menit. Ketika status berubah menjadi Aktif, jalur jaringan siap.

Jika status berubah menjadi Buat gagal, verifikasi hal berikut:

Buat koneksi pribadi menggunakan AWS CLI

Jalankan perintah berikut untuk membuat koneksi pribadi. Ganti nilai placeholder dengan milik Anda sendiri.

aws devops-agent create-private-connection \
    --name my-mcp-tool-connection \
    --mode '{
        "serviceManaged": {
            "hostAddress": "mcp.internal.example.com",
            "vpcId": "vpc-0123456789abcdef0",
            "subnetIds": [
                "subnet-0123456789abcdef0",
                "subnet-0123456789abcdef1"
            ],
            "securityGroupIds": [
                "sg-0123456789abcdef0"
            ],
            "portRanges": ["443"],
            "dnsResolution": "PUBLIC"
        }
    }'

Bid dnsResolution ang mengontrol bagaimana nama hostAddress DNS diselesaikan. Nilai yang valid adalah PUBLIC (default saat dihilangkan) danIN_VPC. Gunakan IN_VPC ketika alamat host Anda hanya diselesaikan di dalam VPC Anda (misalnya, nama di zona yang dihosting pribadi). Jika Anda menentukan alamat IP untukhostAddress, bidang ini tidak berpengaruh.

Tanggapan mencakup nama koneksi dan statusCREATE_IN_PROGRESS:

{
    "name": "my-mcp-tool-connection",
    "status": "CREATE_IN_PROGRESS",
    "resourceGatewayId": "rgw-0123456789abcdef0",
    "hostAddress": "mcp.internal.example.com",
    "vpcId": "vpc-0123456789abcdef0"
}

Untuk memeriksa status koneksi, gunakan describe-private-connection perintah:

aws devops-agent describe-private-connection \
    --name my-mcp-tool-connection

Ketika statusnyaACTIVE, koneksi pribadi Anda siap digunakan.

Menggunakan koneksi pribadi dengan penyedia kemampuan

Untuk menggunakan koneksi pribadi, Anda dapat menautkannya selama pendaftaran penyedia kemampuan. Kemampuan yang didukung yang dapat digunakan dengan koneksi pribadi meliputi:GitHub,GitLab,MCP Server,Remote Agent, danGrafana. Anda dapat melakukan langkah ini menggunakan AWS Management Console atau AWS CLI.

Menggunakan koneksi pribadi dengan penyedia kemampuan menggunakan konsol

Di konsol AWS DevOps Agen, koneksi pribadi dapat ditautkan ke kemampuan selama pendaftaran dengan memilih opsi “Hubungkan ke titik akhir menggunakan koneksi pribadi”.

Alamat host dan URL titik akhir

Koneksi pribadi dan penyedia kemampuan masing-masing mengambil alamat. Keduanya tidak dapat dipertukarkan:

Kedua nilai tidak harus identik, jadi nama host yang diselesaikan hanya di dalam VPC Anda tidak harus muncul di alamat host. Jika nama host layanan Anda bersifat pribadi untuk VPC Anda, Anda memiliki dua opsi:

Anda memilih mode resolusi DNS saat membuat koneksi, jadi tentukan opsi mana yang Anda inginkan terlebih dahulu. Untuk informasi tentang gejala yang dihasilkan ketidakcocokan antara kedua nilai ini, lihat Alamat host DNS tidak teratasi, atau lalu lintas mencapai tempat yang salah.

Merutekan titik akhir dan pertukaran token OAuth melalui koneksi pribadi yang berbeda

Untuk server OAuth-based MCP dan penyedia kemampuan agen jarak jauh, agen membuat permintaan ke dua titik akhir yang berbeda: URL target (server MCP atau titik akhir agen jarak jauh yang Anda daftarkan) dan URL pertukaran (titik akhir pertukaran token OAuth). Secara default, satu privateConnectionName digunakan untuk keduanya. Jika kedua titik akhir ini dapat dijangkau melalui jalur jaringan pribadi yang berbeda, Anda dapat merutekan masing-masing melalui koneksi pribadinya sendiri dengan menggunakan targetUrlPrivateConnectionName dan exchangeUrlPrivateConnectionName sebagai gantinya:

Anda dapat menentukan salah satu atau keduanya. Jika Anda menetapkan hanya satu, titik akhir lainnya dicapai melalui internet publik (tidak kembali ke koneksi pribadi lainnya).

Contoh berikut mendaftarkan Server MCP Kredensi Klien OAuth yang mencapai titik akhir dan titik akhir pertukaran tokennya melalui dua koneksi pribadi terpisah:

aws devops-agent register-service \
    --service mcpserver \
    --target-url-private-connection-name my-target-connection \
    --exchange-url-private-connection-name my-exchange-connection \
    --service-details '{
        "mcpserver": {
            "name": "my-mcp-tool",
            "endpoint": "https://mcp.internal.example.com",
            "authorizationConfig": {
                "oAuthClientCredentials": {
                    "clientName": "MyOAuthClient",
                    "clientId": "client-id",
                    "clientSecret": "secret-value",
                    "exchangeUrl": "https://auth.internal.example.com/token"
                }
            }
        }
    }' \
    --region us-east-1

Gunakan koneksi pribadi dengan penyedia kemampuan menggunakan AWS CLI

Anda dapat mendaftarkan kemampuan dengan koneksi pribadi dengan menyertakan private-connection-name argumen. Di bawah ini adalah contoh mendaftarkan Server MCP dengan otorisasi Kunci API menggunakan koneksi my-mcp-tool-connection pribadi. Ganti nilai placeholder dengan milik Anda sendiri.

aws devops-agent register-service \
    --service mcpserver \
    --private-connection-name my-mcp-tool-connection \
    --service-details '{
        "mcpserver": {
            "name": "my-mcp-tool",
            "endpoint": "https://mcp.internal.example.com",
            "authorizationConfig": {
                "apiKey": {
                    "apiKeyName": "api-key",
                    "apiKeyValue": "secret-value",
                    "apiKeyHeader": "x-api-key"
                }
            }
        }
    }' \
    --region us-east-1

Verifikasi koneksi pribadi

Setelah koneksi pribadi mencapai status Aktif dan telah digunakan oleh penyedia kemampuan, verifikasi bahwa AWS DevOps Agen dapat mencapai layanan target Anda:

Jika koneksi gagal, periksa hal berikut:

Menghapus koneksi pribadi

Anda dapat menghapus koneksi pribadi yang tidak digunakan menggunakan AWS Management Console atau AWS CLI.

Hapus koneksi pribadi menggunakan konsol

Koneksi pribadi akan ditampilkan dengan status “Menghapus koneksi” sementara AWS DevOps Agen menghapus gateway sumber daya terkelola dan ENI dari VPC Anda. Setelah penghapusan selesai, koneksi tidak lagi muncul dalam daftar koneksi pribadi Anda.

Menghapus koneksi pribadi menggunakan AWS CLI

aws devops-agent delete-private-connection \
    --name my-mcp-tool-connection

Respons mengembalikan statusDELETE_IN_PROGRESS. AWS DevOps Agen menghapus gateway sumber daya terkelola dan ENI dari VPC Anda. Setelah penghapusan selesai, koneksi tidak lagi muncul dalam daftar koneksi pribadi Anda.

Pengaturan lanjutan menggunakan sumber daya VPC Lattice yang ada

Jika organisasi Anda sudah menggunakan Amazon VPC Lattice dan mengelola konfigurasi sumber daya Anda sendiri, Anda dapat membuat koneksi pribadi dalam mode yang dikelola sendiri. Alih-alih meminta AWS DevOps Agen membuat gateway sumber daya untuk Anda, Anda memberikan Nama Sumber Daya Amazon (ARN) dari konfigurasi sumber daya yang ada yang menunjuk ke layanan target Anda.

Pendekatan ini berguna ketika Anda:

Untuk membuat koneksi pribadi yang dikelola sendiri dengan AWS CLI:

aws devops-agent create-private-connection \
    --name my-advanced-connection \
    --mode '{
        "selfManaged": {
            "resourceConfigurationId": "arn:aws:vpc-lattice:us-east-1:123456789012:resourceconfiguration/rcfg-0123456789abcdef0"
        }
    }'

Untuk detail selengkapnya tentang menyiapkan gateway sumber daya VPC Lattice dan konfigurasi sumber daya, lihat Panduan Pengguna Amazon VPC Lattice.

Cross-region konektivitas

Koneksi pribadi harus dibuat di Wilayah yang sama AWS dengan Ruang Agen Anda. Jika layanan target Anda berjalan di Wilayah yang berbeda, gunakan mode yang dikelola sendiri dengan peering VPC antar-wilayah atau peering Transit Gateway untuk menjembatani kesenjangan.

Polanya adalah:

Misalnya, jika ruang agen Anda masuk us-east-1 dan server MCP Anda berada di: ap-southeast-2

aws devops-agent create-private-connection \
    --name cross-region-connection \
    --mode '{
        "selfManaged": {
            "resourceConfigurationId": "arn:aws:vpc-lattice:us-east-1:123456789012:resourceconfiguration/rcfg-0123456789abcdef0"
        }
    }' \
    --region us-east-1

Topik terkait