Le traduzioni sono generate tramite traduzione automatica. In caso di conflitto tra il contenuto di una traduzione e la versione originale in Inglese, quest'ultima prevarrà.

Connettiti a risorse private nel tuo VPC utilizzando VPC Lattice

Amazon Bedrock AgentCore supporta la connettività privata alle risorse ospitate all'interno del tuo AWS VPC o agli ambienti locali connessi al tuo VPC, come server MCP privati, API REST interne o database, senza esporre tali servizi alla rete Internet pubblica.

La connettività privata viene stabilita utilizzando i gateway di risorse e le configurazioni delle risorse di Amazon VPC Lattice. Per dettagli sulle due modalità supportate (Lattice gestita e autogestita), consulta Modalità di uscita VPC supportate. Modalità di uscita VPC supportate

Concetti chiave

Servizi Amazon Bedrock AgentCore supportati

I seguenti AgentCore servizi Amazon Bedrock supportano l'uscita VPC con VPC Lattice:

Modalità di uscita VPC supportate

Amazon Bedrock AgentCore supporta due modalità per configurare la connettività VPC Lattice:

La tabella seguente riassume le principali differenze:

Per informazioni dettagliate sui prezzi di VPC Lattice, consulta i prezzi di Amazon VPC Lattice. https://aws.amazon.com/vpc/lattice/pricing/

Opzione 1: risorse VPC gestite

Con le risorse VPC gestite, fornisci le informazioni sul tuo VPC, sulla sottorete e sul gruppo di sicurezza opzionale. AgentCore gestisce la creazione e la gestione del ciclo di vita del gateway di risorse VPC Lattice e la configurazione delle risorse per tuo conto. Il gateway di risorse gestite è un involucro che racchiude gli ENI nel tuo VPC. Non è possibile modificarlo, configurarlo o interagire con esso. AgentCore ne possiede l'intero ciclo di vita, inclusi creazione, riutilizzo ed eliminazione.

AgentCore utilizza il ruolo collegato al AWSServiceRoleForBedrockAgentCoreGatewayNetwork servizio per creare e gestire i gateway di risorse VPC Lattice nel tuo account. Questo ruolo viene creato automaticamente la prima volta che si crea un gateway target con un endpoint privato gestito. Per ulteriori informazioni su questo ruolo, vedere Ruolo collegato al servizio Gateway.

Prerequisiti

Prima di creare un gateway target con un endpoint privato gestito, assicurati quanto segue:

Crea una destinazione con un endpoint privato gestito

Per creare una risorsa con un endpoint privato gestito, includi il privateEndpoint.managedVpcResource blocco nella richiesta di creazione.

{
  ...
  "privateEndpoint": {
    "managedVpcResource": {
      "vpcIdentifier": "vpc-0abc123def456",
      "subnetIds": ["subnet-0abc123", "subnet-0def456"],
      "endpointIpAddressType": "IPV4",
      "securityGroupIds": ["sg-0abc123def"]
    }
  },
  ...
}

Il managedVpcResource blocco accetta i seguenti campi:

Visualizza le risorse gestite

Dopo aver creato la risorsa, chiama l'API Get pertinente (ad esempioGetGatewayTarget) per visualizzare le risorse VPC Lattice gestite AgentCore create per tuo conto. Queste vengono restituite nel privateEndpointManagedResources campo della risposta:

{
  ...
  "status": "READY",
  "privateEndpoint": {
    "managedVpcResource": {
      "vpcIdentifier": "vpc-0abc123def456",
      "subnetIds": ["subnet-0abc123", "subnet-0def456"],
      "endpointIpAddressType": "IPV4",
      "securityGroupIds": ["sg-0abc123def"]
    }
  },
  "privateEndpointManagedResources": [
    {
      "domain": "my-server.internal.example.com",
      "resourceGatewayArn": "arn:aws:vpc-lattice:us-east-1:123456789012:resourcegateway/rgw-abc123"
    }
  ]
}

resourceGatewayArnÈ l'ARN del gateway di risorse VPC Lattice AgentCore creato nel tuo account. AgentCore gestisce l'intero ciclo di vita di questa risorsa: riutilizza lo stesso gateway di risorse per destinazioni con configurazioni VPC e sottorete corrispondenti e lo elimina quando non viene più utilizzato da alcuna destinazione.

Self-managed Opzione 2: risorse Lattice

Con Lattice autogestito, crei e gestisci tu stesso il gateway di risorse VPC Lattice e la configurazione delle risorse, quindi fornisci l'identificatore di configurazione della risorsa a. AgentCore Usa questa opzione se hai già configurato le risorse VPC Lattice, devi condividere una configurazione delle risorse tra più servizi o richiedi il controllo sul ciclo di vita delle risorse Lattice.

Prerequisiti

Prima di creare un gateway target con un endpoint privato autogestito, completa i seguenti passaggi:

Configura le risorse VPC Lattice per la connettività autogestita

Il responsabile IAM necessita inoltre delle seguenti autorizzazioni per consentire di associare la configurazione delle risorse AgentCore alla rete di AgentCore servizi per conto dell'utente:

{
"Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "vpc-lattice:GetResourceConfiguration",
        "vpc-lattice:CreateServiceNetworkResourceAssociation",
        "vpc-lattice:GetServiceNetworkResourceAssociation",
        "vpc-lattice:ListServiceNetworkResourceAssociations",
        "vpc-lattice:AssociateViaAWSService"
      ],
      "Resource": "*"
    }
  ]
}

Crea un target con un endpoint privato autogestito

Per creare una risorsa con un endpoint privato autogestito, includi il privateEndpoint.selfManagedLatticeResource blocco nella richiesta di creazione:

{
  ...
  "privateEndpoint": {
    "selfManagedLatticeResource": {
      "resourceConfigurationIdentifier": "arn:aws:vpc-lattice:us-east-1:123456789012:resourceconfiguration/rcfg-abc123"
    }
  },
  ...
}

resourceConfigurationIdentifierPuò essere l'ARN o l'ID della configurazione della risorsa VPC Lattice. AgentCore utilizza le tue credenziali (tramite Forward Access Sessions) per associare la configurazione delle risorse alla rete di servizi. AgentCore

Dopo la creazione della risorsa, la risposta Get API include il privateEndpointManagedResources campo resourceAssociationArn in the. Se si creano più risorse che puntano alla stessa configurazione di risorse, riutilizza AgentCore automaticamente l'associazione esistente tra le risorse della rete di servizio.

Cross-account risorse private

È possibile connettersi AgentCore a risorse private in un AWS account diverso da quello proprietario del gateway. Questo è uno schema comune per i team della piattaforma che gestiscono i gateway centralizzati mentre i singoli team di assistenza sono proprietari delle risorse private.

L'account del proprietario della risorsa deve condividere la configurazione delle risorse VPC Lattice con l'account del proprietario del gateway utilizzando la RAM. AWS L'account proprietario del gateway fornisce quindi l'identificatore di configurazione della risorsa condivisa durante la creazione della destinazione del gateway.

I passaggi seguenti riassumono la configurazione tra più account:

Configura la connettività privata tra account

Instrada il traffico attraverso un dominio intermedio

Puoi utilizzare il routingDomain campo per indirizzare il traffico attraverso un componente intermedio, ad esempio un endpoint VPC, un Application Load Balancer interno o un Network Load Balancer, anziché direttamente al dominio di destinazione. Ciò è utile quando desideri consolidare più risorse private dietro un unico punto di ingresso (ad esempio, instradando più gateway API privati attraverso un singolo endpoint VPC per ridurre il numero di configurazioni delle risorse e i costi associati).

Quando si utilizza un dominio di routing, il dominio specificato per la destinazione (nell'URL dell'endpoint MCP o nell'URL del server OpenAPI) deve essere il nome DNS effettivo della risorsa. routingDomainÈ un dominio separato che viene AgentCore utilizzato per impostare la configurazione delle risorse VPC Lattice. Al momento della chiamata, AgentCore indirizza il traffico attraverso il dominio di routing ma invia le richieste con il dominio di destinazione effettivo come nome host TLS SNI, in modo che la risorsa riceva le richieste indirizzate al suo dominio effettivo.

Il dominio di routing può essere qualsiasi dominio indirizzato alla risorsa privata all'interno del VPC. Le opzioni più comuni includono:

I passaggi seguenti descrivono il flusso di traffico quando viene utilizzato un dominio di routing:

Esempio: Private API Gateway con dominio di routing VPCE

L'esempio seguente mostra come creare una destinazione gateway per un API Gateway privato utilizzando il relativo dominio VPCE come dominio di routing. L'URL di destinazione è il nome host privato di API Gateway e il nome routingDomain DNS VPCE:

{
  "name": "my-private-apigw-target",
  "privateEndpoint": {
    "managedVpcResource": {
      "vpcIdentifier": "vpc-0123456789abcdef0",
      "subnetIds": ["subnet-0123456789abcdef0", "subnet-0abcdef1234567890"],
      "endpointIpAddressType": "IPV4",
      "routingDomain": "<vpce-id>.execute-api.us-east-1.vpce.amazonaws.com"
    }
  },
  "targetConfiguration": {
    "mcp": {
      "openApiSchema": {
        "inlinePayload": "<OpenAPI spec JSON with server URL matching the public certificate domain, for example https://<api-id>.execute-api.<region>.amazonaws.com>"
      }
    }
  }
}

Soluzione alternativa per i certificati privati: ALB

L'uscita da VPC richiede che l'endpoint di destinazione disponga di un certificato TLS pubblicamente attendibile. Se la tua risorsa privata utilizza un certificato emesso da un'autorità di certificazione (CA) privata, la soluzione consigliata è inserire un Application Load Balancer (ALB) interno davanti alla tua risorsa.

I passaggi seguenti descrivono il flusso di traffico:

Passaggio 1: richiedi un certificato ACM pubblico

Richiedi un certificato pubblico da ACM per un dominio di tua proprietà. Questo dominio verrà utilizzato come URL di destinazione. Per istruzioni, consulta Richiedere un certificato pubblico nella Guida per l'utente di AWS Certificate Manager.

Fase 2: Creare un ALB interno

Crea un Application Load Balancer interno nello stesso VPC della tua risorsa privata. Per istruzioni, consulta Create an Application Load Balancer nella Guida per l'utente di Elastic Load Balancing. Assicurati di impostare lo schema su. internal

Fase 3: Creare un gruppo IP-based target

Crea un gruppo target con un tipo di destinazione ip che punti all'indirizzo IP della tua risorsa privata sulla porta 443 (HTTPS) e registra la tua risorsa privata come destinazione. Per istruzioni, consulta Creare un gruppo target nella Guida per l'utente di Elastic Load Balancing.

Fase 4: Creare un listener HTTPS con host header transform

Crea un listener HTTPS sulla porta 443 utilizzando il certificato ACM pubblico. Aggiungi una regola di ascolto che trasformi l'intestazione Host dal dominio pubblico al dominio della risorsa privata prima dell'inoltro.

aws elbv2 create-listener \
  --load-balancer-arn <alb-arn> \
  --protocol HTTPS \
  --port 443 \
  --certificates CertificateArn=<acm-certificate-arn> \
  --default-actions '[{
    "Type": "forward",
    "TargetGroupArn": "<target-group-arn>",
    "ForwardConfig": {
      "TargetGroups": [{"TargetGroupArn": "<target-group-arn>", "Weight": 1}]
    }
  }]'

Quindi modifica la regola del listener per aggiungere l'host header transform:

aws elbv2 modify-rule \
  --rule-arn <default-rule-arn> \
  --actions '[{
    "Type": "forward",
    "TargetGroupArn": "<target-group-arn>",
    "ForwardConfig": {
      "TargetGroups": [{"TargetGroupArn": "<target-group-arn>", "Weight": 1}]
    }
  }]' \
  --transforms '[{
    "Type": "host-header",
    "HostHeaderConfig": {
      "Values": ["my-server.my-company.internal"]
    }
  }]'

Passaggio 5: configura l'endpoint privato

Usa il nome DNS ALB come routingDomain e il dominio del certificato pubblico come URL di destinazione.

{
  ...
  "privateEndpoint": {
    "managedVpcResource": {
      "vpcIdentifier": "<vpc-id>",
      "subnetIds": ["<subnet-id-1>", "<subnet-id-2>"],
      "endpointIpAddressType": "IPV4",
      "routingDomain": "internal-my-alb-1234567890.us-west-2.elb.amazonaws.com"
    }
  },
  ...
}

L'URL di destinazione nella configurazione di destinazione dovrebbe utilizzare https://my-server.my-company.com (il dominio pubblico del certificato), non il dominio privato.

Service-linked ruolo per l'uscita da VPC

Quando crei un gateway target con un endpoint privato gestito (managedVpcResource), AgentCore utilizza il ruolo AWSServiceRoleForBedrockAgentCoreGatewayNetwork collegato al servizio per creare e gestire i gateway di risorse VPC Lattice nel tuo account. Questo ruolo viene creato automaticamente la prima volta che crei un endpoint target privato gestito, a condizione che il responsabile IAM disponga dell'autorizzazione richiesta. iam:CreateServiceLinkedRole

Il ruolo collegato ai servizi presenta le seguenti caratteristiche chiave:

Per il documento completo sulla policy e le istruzioni per creare, modificare ed eliminare questo ruolo, consulta Ruolo collegato al servizio Gateway.

Stato di Target e risoluzione dei problemi

Dopo aver creato una risorsa con un endpoint privato, la risorsa passa attraverso uno CREATING stato mentre AgentCore configura le risorse VPC Lattice e stabilisce l'associazione alla rete di servizi. È possibile monitorare lo stato chiamando l'API Get pertinente (ad esempioGetGatewayTarget) e controllando i campi and. status statusReasons

La tabella seguente descrive i valori di stato più comuni e il loro significato:

La tabella seguente descrive i problemi più comuni e le relative soluzioni:

Considerazioni e limitazioni

Tieni presente le seguenti limitazioni quando utilizzi VPC egress per: AgentCore