Connect a risorse private nel tuo VPC usando VPC Lattice

Amazon Bedrock AgentCore supporta la connettività privata alle risorse ospitate all'interno del tuo AWS VPC o in ambienti locali collegati al tuo VPC, come server MCP privati, API REST interne o database, senza esporre tali servizi alla rete Internet pubblica.

La connettività privata viene stabilita utilizzando i gateway di risorse Amazon VPC Lattice e le configurazioni delle risorse. Per i dettagli sulle due modalità supportate (Lattice gestita e autogestita), consulta Modalità di uscita VPC supportate.

Concetti chiave

Servizi Amazon Bedrock AgentCore supportati

I seguenti AgentCore servizi Amazon Bedrock supportano l'uscita VPC con VPC Lattice:

Modalità di uscita VPC supportate

Amazon Bedrock AgentCore supporta due modalità per configurare la connettività VPC Lattice:

La tabella seguente riassume le differenze principali:

Per i dettagli sui prezzi di VPC Lattice, consulta i prezzi di Amazon VPC Lattice.

Opzione 1: risorse VPC gestite

Con le risorse VPC gestite, fornisci informazioni su VPC, sottorete e gruppi di sicurezza opzionali. AgentCore gestisce la creazione e la gestione del ciclo di vita del gateway di risorse VPC Lattice e la configurazione delle risorse per tuo conto. Il Managed Resource Gateway è un involucro di eNI nel tuo VPC. Non è possibile modificarlo, configurarlo o interagire con esso. AgentCore possiede l'intero ciclo di vita, inclusa la creazione, il riutilizzo e l'eliminazione.

AgentCore utilizza il ruolo AWSServiceRoleForBedrockAgentCoreGatewayNetwork collegato al servizio per creare e gestire i gateway di risorse VPC Lattice nel tuo account. Questo ruolo viene creato automaticamente la prima volta che crei un target gateway con un endpoint privato gestito. Per ulteriori informazioni su questo ruolo, vedi Ruolo collegato al servizio Gateway.

Prerequisiti

Prima di creare un target gateway con un endpoint privato gestito, verifica quanto segue:

Crea un target con un endpoint privato gestito

Per creare una risorsa con un endpoint privato gestito, includi il privateEndpoint.managedVpcResource blocco nella tua richiesta di creazione.

{
  ...
  "privateEndpoint": {
    "managedVpcResource": {
      "vpcIdentifier": "vpc-0abc123def456",
      "subnetIds": ["subnet-0abc123", "subnet-0def456"],
      "endpointIpAddressType": "IPV4",
      "securityGroupIds": ["sg-0abc123def"]
    }
  },
  ...
}

Il managedVpcResource blocco accetta i seguenti campi:

Visualizza le risorse gestite

Dopo aver creato la risorsa, chiama l'API Get pertinente (ad esempioGetGatewayTarget) per visualizzare le risorse VPC Lattice gestite AgentCore create per tuo conto. Queste vengono restituite nel privateEndpointManagedResources campo della risposta:

{
  ...
  "status": "READY",
  "privateEndpoint": {
    "managedVpcResource": {
      "vpcIdentifier": "vpc-0abc123def456",
      "subnetIds": ["subnet-0abc123", "subnet-0def456"],
      "endpointIpAddressType": "IPV4",
      "securityGroupIds": ["sg-0abc123def"]
    }
  },
  "privateEndpointManagedResources": [
    {
      "domain": "my-server.internal.example.com",
      "resourceGatewayArn": "arn:aws:vpc-lattice:us-east-1:123456789012:resourcegateway/rgw-abc123"
    }
  ]
}

resourceGatewayArnÈ l'ARN del gateway di risorse VPC Lattice creato nel tuo account. AgentCore AgentCore gestisce l'intero ciclo di vita di questa risorsa: riutilizza lo stesso gateway di risorse per le destinazioni con configurazioni VPC e subnet corrispondenti e lo elimina quando non è più utilizzato da nessuna destinazione.

Self-managed Opzione 2: risorse Lattice

Con Lattice autogestito, crei e gestisci tu stesso il gateway di risorse VPC Lattice e la configurazione delle risorse, quindi fornisci l'identificatore di configurazione della risorsa a. AgentCore Utilizza questa opzione se hai già configurato le risorse VPC Lattice, devi condividere una configurazione di risorse tra più servizi o hai bisogno del controllo sul ciclo di vita delle risorse Lattice.

Prerequisiti

Prima di creare un target gateway con un endpoint privato autogestito, completa i seguenti passaggi:

Configura le risorse VPC Lattice per la connettività autogestita

Il tuo responsabile IAM necessita inoltre delle seguenti autorizzazioni AgentCore per consentire di associare la configurazione delle risorse alla rete AgentCore di servizi per tuo conto:

{
"Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "vpc-lattice:GetResourceConfiguration",
        "vpc-lattice:CreateServiceNetworkResourceAssociation",
        "vpc-lattice:GetServiceNetworkResourceAssociation",
        "vpc-lattice:ListServiceNetworkResourceAssociations",
        "vpc-lattice:AssociateViaAWSService"
      ],
      "Resource": "*"
    }
  ]
}

Crea un target con un endpoint privato autogestito

Per creare una risorsa con un endpoint privato autogestito, includi il privateEndpoint.selfManagedLatticeResource blocco nella tua richiesta di creazione:

{
  ...
  "privateEndpoint": {
    "selfManagedLatticeResource": {
      "resourceConfigurationIdentifier": "arn:aws:vpc-lattice:us-east-1:123456789012:resourceconfiguration/rcfg-abc123"
    }
  },
  ...
}

resourceConfigurationIdentifierPuò essere l'ARN o l'ID della configurazione delle risorse VPC Lattice. AgentCore utilizza le tue credenziali (tramite Forward Access Sessions) per associare la configurazione delle risorse alla rete di servizi. AgentCore

Dopo la creazione della risorsa, la risposta Get API include resourceAssociationArn nel privateEndpointManagedResources campo. Se si creano più risorse che puntano alla stessa configurazione di risorse, riutilizza AgentCore automaticamente l'associazione di risorse di rete di servizio esistente.

Cross-account risorse private

È possibile connettersi AgentCore a risorse private con un AWS account diverso da quello proprietario del gateway. Questo è un modello comune per i team di piattaforma che gestiscono gateway centralizzati mentre i singoli team di assistenza possiedono le risorse private.

L'account del proprietario della risorsa deve condividere la configurazione delle risorse VPC Lattice con l'account del proprietario del gateway tramite RAM. AWS L'account del proprietario del gateway fornisce quindi l'identificatore di configurazione delle risorse condivise durante la creazione della destinazione del gateway.

I passaggi seguenti riassumono la configurazione tra account:

Configura la connettività privata tra account

Indirizza il traffico attraverso un dominio intermedio

Puoi utilizzare il routingDomain campo per indirizzare il traffico attraverso un componente intermedio, come un endpoint VPC, un Application Load Balancer interno o un Network Load Balancer, anziché direttamente al dominio di destinazione. Ciò è utile quando si desidera consolidare più risorse private dietro un unico punto di ingresso (ad esempio, instradando più gateway API privati attraverso un singolo endpoint VPC per ridurre il numero di configurazioni di risorse e i costi associati).

Quando si utilizza un dominio di routing, il dominio specificato per la destinazione (nell'URL dell'endpoint MCP o nell'URL del server OpenAPI) deve essere il nome DNS effettivo della risorsa. routingDomainÈ un dominio separato che viene AgentCore utilizzato per configurare la configurazione delle risorse VPC Lattice. Al momento della chiamata, AgentCore indirizza il traffico attraverso il dominio di routing ma invia le richieste con il dominio di destinazione effettivo come nome host TLS SNI, in modo che la risorsa riceva le richieste indirizzate al suo dominio effettivo.

Il dominio di routing può essere qualsiasi dominio che indirizza verso la tua risorsa privata all'interno del VPC. Le opzioni più comuni includono:

I passaggi seguenti descrivono il flusso di traffico quando viene utilizzato un dominio di routing:

Esempio: Gateway API privato con dominio di routing VPCE

L'esempio seguente mostra come creare una destinazione gateway per un gateway API privato utilizzando il relativo dominio VPCE come dominio di routing. L'URL di destinazione è il nome host privato dell'API Gateway e il routingDomain nome DNS VPCE:

{
  "name": "my-private-apigw-target",
  "privateEndpoint": {
    "managedVpcResource": {
      "vpcIdentifier": "vpc-0123456789abcdef0",
      "subnetIds": ["subnet-0123456789abcdef0", "subnet-0abcdef1234567890"],
      "endpointIpAddressType": "IPV4",
      "routingDomain": "<vpce-id>.execute-api.us-east-1.vpce.amazonaws.com"
    }
  },
  "targetConfiguration": {
    "mcp": {
      "openApiSchema": {
        "inlinePayload": "<OpenAPI spec JSON with server URL matching the public certificate domain, for example https://<api-id>.execute-api.<region>.amazonaws.com>"
      }
    }
  }
}

Soluzione alternativa per i certificati privati: ALB

L'uscita del VPC richiede che l'endpoint di destinazione disponga di un certificato TLS pubblicamente affidabile. Se la tua risorsa privata utilizza un certificato emesso da un'autorità di certificazione (CA) privata, la soluzione alternativa consigliata consiste nel posizionare un Application Load Balancer (ALB) interno davanti alla risorsa.

I passaggi seguenti descrivono il flusso di traffico:

Fase 1: Richiedi un certificato ACM pubblico

Richiedi un certificato pubblico ad ACM per un dominio di tua proprietà. Questo dominio verrà utilizzato come URL di destinazione. Per istruzioni, consulta Richiedere un certificato pubblico nella Guida per l'utente di AWS Certificate Manager.

Fase 2: Creare un ALB interno

Crea un Application Load Balancer interno nello stesso VPC della tua risorsa privata. Per istruzioni, consulta Create an Application Load Balancer nella Elastic Load Balancing User Guide. Assicurati di aver impostato lo schema su. internal

Fase 3: Creare un gruppo IP-based target

Crea un gruppo target con un tipo di destinazione ip che punti all'indirizzo IP della tua risorsa privata sulla porta 443 (HTTPS) e registra la tua risorsa privata come destinazione. Per istruzioni, consulta Creare un gruppo target nella Elastic Load Balancing User Guide.

Fase 4: Creare un listener HTTPS con host header transform

Crea un listener HTTPS sulla porta 443 utilizzando il certificato ACM pubblico. Aggiungi una regola listener che trasformi l'intestazione Host dal dominio pubblico al dominio della risorsa privata prima dell'inoltro.

aws elbv2 create-listener \
  --load-balancer-arn <alb-arn> \
  --protocol HTTPS \
  --port 443 \
  --certificates CertificateArn=<acm-certificate-arn> \
  --default-actions '[{
    "Type": "forward",
    "TargetGroupArn": "<target-group-arn>",
    "ForwardConfig": {
      "TargetGroups": [{"TargetGroupArn": "<target-group-arn>", "Weight": 1}]
    }
  }]'

Quindi modifica la regola del listener per aggiungere la trasformazione dell'intestazione dell'host:

aws elbv2 modify-rule \
  --rule-arn <default-rule-arn> \
  --actions '[{
    "Type": "forward",
    "TargetGroupArn": "<target-group-arn>",
    "ForwardConfig": {
      "TargetGroups": [{"TargetGroupArn": "<target-group-arn>", "Weight": 1}]
    }
  }]' \
  --transforms '[{
    "Type": "host-header",
    "HostHeaderConfig": {
      "Values": ["my-server.my-company.internal"]
    }
  }]'

Fase 5: Configurare l'endpoint privato

Usa il nome DNS ALB come routingDomain e il dominio del certificato pubblico come URL di destinazione.

{
  ...
  "privateEndpoint": {
    "managedVpcResource": {
      "vpcIdentifier": "<vpc-id>",
      "subnetIds": ["<subnet-id-1>", "<subnet-id-2>"],
      "endpointIpAddressType": "IPV4",
      "routingDomain": "internal-my-alb-1234567890.us-west-2.elb.amazonaws.com"
    }
  },
  ...
}

L'URL di destinazione nella configurazione di destinazione deve utilizzare https://my-server.my-company.com (il dominio certificato pubblico), non il dominio privato.

Service-linked ruolo per l'uscita del VPC

Quando crei un target gateway con un endpoint privato gestito (managedVpcResource), AgentCore utilizza il ruolo AWSServiceRoleForBedrockAgentCoreGatewayNetwork collegato al servizio per creare e gestire i gateway di risorse VPC Lattice nel tuo account. Questo ruolo viene creato automaticamente la prima volta che crei un target di endpoint privato gestito, a condizione che il responsabile IAM disponga dell'autorizzazione richiesta. iam:CreateServiceLinkedRole

Il ruolo collegato al servizio presenta le seguenti caratteristiche chiave:

Per il documento completo sulla policy e le istruzioni per la creazione, la modifica e l'eliminazione di questo ruolo, consulta Gateway service-linked role.

Stato dell'obiettivo e risoluzione dei problemi

Dopo aver creato una risorsa con un endpoint privato, la risorsa passa attraverso uno CREATING stato mentre AgentCore configura le risorse VPC Lattice e stabilisce l'associazione della rete di servizi. È possibile monitorare lo stato chiamando l'API Get pertinente (ad esempioGetGatewayTarget) e controllando i campi and. status statusReasons

La tabella seguente descrive i valori di stato comuni e il loro significato:

La tabella seguente descrive i problemi più comuni e le relative soluzioni:

Considerazioni e limitazioni

Tieni presente le seguenti limitazioni quando utilizzi VPC egress per: AgentCore