翻訳は機械翻訳により提供されています。提供された翻訳内容と英語版の間で齟齬、不一致または矛盾がある場合、英語版が優先します。

データソースの VPC 接続を設定する

一部のデータソースは、VPC 内の内部ロードバランサーでフロントするオンプレミスの Confluence データセンターインスタンスなど、パブリックインターネット経由で到達できないプライベートリソースで実行されます。これらのデータソースをクロールするには、VPC 設定を作成します。Amazon Bedrock は、 設定を使用して VPC へのプライベートネットワークパスをプロビジョニングし、 リソースに到達します。

VPC 設定は、ナレッジベースの再利用可能なリソースです。一度作成し、1 つ以上のデータソースから ID で参照します。プライベート接続を必要とするデータソースを作成するときは、既存の VPC 設定を選択するか、新しい VPC 設定を作成します。

提供内容

VPC 設定を作成するには、以下を指定します。

セキュリティグループは指定しません。Amazon Bedrock は、ゲートウェイに VPC のデフォルトのセキュリティグループを使用します。デフォルトのセキュリティグループのアウトバウンド (出力) ルールで、リクエストされたポートのターゲットに到達できることを確認します。「デフォルトのセキュリティグループからの出力」を参照してください。

ネットワークの要件

Amazon Bedrock は、プライベートネットワークインターフェイスのみで作成されたプライベートゲートウェイ (パブリック IP アドレスなし) を介してリソースに到達します。ゲートウェイは VPC のプライベート (ローカル) ネットワーク経由でターゲットに到達し、パブリック IP アドレスに到達できません。リソースターゲットは、VPC 内からプライベートにアクセスできる必要があります。

インターネット向けロードバランサーはサポートされていません。インターネット向けロードバランサーは、VPC 内の DNS クエリであってもパブリック IP アドレスを返し、プライベートゲートウェイはそれらのアドレスに到達できません。現在、リソースがインターネット向けロードバランサーを介してのみ公開されている場合は、同じ VPC 内に内部ロードバランサーを作成 (またはポイント) し、その DNS 名をリソースターゲットとして使用します。

VPC 設定を作成する

Console

VPC 設定を追加するには

1. データソース設定の VPC 設定で、VPC 設定の追加を選択します。適切な設定が既に存在する場合は、代わりにそれを選択してデータソース間で再利用します。

2. (オプション) 設定の名前と説明を入力します。

3. VPC ID で、接続に使用する VPC を選択します。

4. サブネット IDs、選択した VPC から 1 つ以上のサブネットを選択します。

5. リソースターゲットには、リソースのホスト名または IP アドレス ( 10.0.1.50や などconfluence.internal.example.com) を入力します。

6. ポートには、接続するポート番号を入力します (例: 443または 8090)。

7. [プロトコル] で、[HTTP] または [HTTPS] を選択します。

8. 解決モードでは、リソースターゲットアドレスの解決方法を選択します。

   • パブリック – リソースターゲットは、パブリックに解決可能なホスト名または IP アドレスです。

   • VPC の場合 – リソースターゲットは VPC 内でのみ解決できます。これは、内部リソースの一般的なケースです。

9. (オプション) Host ヘッダーには、リクエストとともに送信するHostヘッダー値を入力します。これは、リソース (またはアップストリームルーター) が HTTP Hostヘッダーでルーティングされる場合にのみ設定します。

10. (HTTPS に必須) TLS サーバー名には、リソースに期待される TLS 証明書 ID (サブジェクト代替名) を入力します。左端の 1 つのワイルドカードを使用できます (例: *.example.com)。

11. [作成] を選択します。

API

VPC 設定を作成するには、 CreateVpcConfiguration リクエストを送信します。Amazon Bedrock はナレッジベースからそれらを解決するため、すべてのオペレーションはknowledgeBaseIdパスパラメータを通じてナレッジベースにスコープされます。リクエスト本文にはアカウント ID またはロール ARN は含まれません。

POST /knowledgebases/knowledgeBaseId/vpcconfigurations/

リクエスト本文では、次のフィールドを使用します。

CreateVpcConfiguration フィールド

フィールド	必要	説明
vpcId	はい	VPC の ID。最大 64 文字^vpc-[a-zA-Z0-9]+$の に一致します。
subnetIds	はい	指定された VPC の 1～6 個のサブネット IDs。各 は に一致します^subnet-[a-zA-Z0-9]+$。
resourceTarget	はい	リソースの IPv4 アドレスまたは DNS 名 (1～255 文字）。「リソースターゲットの制限」を参照してください。
port	はい	接続するポート (1～65535)。
protocol	はい	HTTP または HTTPS
resolutionMode	はい	PUBLIC または IN_VPC ターゲットが VPC 内でのみ解決IN_VPCされる場合に使用します。
tlsServerName	条件付き	protocol が の場合は必須ですHTTPS。リソースの TLS 証明書に一致するホスト名 (最大 253 文字）。1 つの左端のワイルドカードを使用できます。ポートを含めることはできません。
hostHeader	いいえ	送信する HTTP Hostヘッダー値 (最大 255 文字）。リソースが Hostヘッダーでルーティングされる場合にのみ を設定します。
name	いいえ	人間が読める名前 (1～128 文字）。
description	いいえ	説明 (最大 512 文字）。
clientToken	いいえ	べき等性トークン。

作成は非同期です。 は、 vpcConfigurationIdステータスが の202レスポンスCreateVpcConfigurationを返しますCREATING。ステータスが CREATED (または の場合CREATE_FAILED、原因にstatusMessage名前を付けます) GetVpcConfigurationになるまでポーリングします。を使用して設定ListVpcConfigurationsを一覧表示し、 DeleteVpcConfigurationを使用して設定を削除します。

注記

同じサブネットセットを持つ同じ VPC に複数の設定を作成すると、1 つのゲートウェイを共有します。サブネットの異なるセットは、別のゲートウェイをプロビジョニングします。

プロトコル、TLS サーバー名、ホストヘッダー

これら 3 つの設定は、最も一般的な設定ミスです。次のガイダンスを使用して、適切な値を選択します。

リソースターゲットの制限

Amazon Bedrock は、設定の作成resourceTarget時に を検証し、サービス自体または内部インフラストラクチャにサービスが誘導されないようにします。次のターゲットは拒否されます。

DNS 名は許可されます。検証では解決されないため、ゲートウェイサブネットからターゲットに到達できる必要があります。

デフォルトのセキュリティグループからの出力

Amazon Bedrock はゲートウェイに VPC のデフォルトのセキュリティグループを使用するため、そのセキュリティグループの Egress ルールでは resourceTargetへの到達を許可する必要がありますport。デフォルトのセキュリティグループがロックダウンされている場合、作成はすぐに失敗し、後でタイムアウトするのではなく明確なメッセージが表示されます。設定を作成する前に、エグレスルールでゲートウェイサブネットからターゲットとポートへのトラフィックが許可されていることを確認してください。

ナレッジベースの IAM ロールのアクセス許可

Amazon Bedrock は、ナレッジベースに関連付けられた IAM ロールを引き受けて、アカウントのネットワークリソースをプロビジョニングし、後で削除します。ロールは、以下の作成と削除のアクセス許可と、再試行された削除をべき等にする読み取りアクセス許可を付与する必要があります。Amazon Bedrock が作成するすべてのリソースには というタグが付けられManagedBy=VPCProxyService、破壊的なアクセス許可はそのタグでゲートされるため、ロールはこの機能が作成したリソースに対してのみ動作できます。

次のポリシー例では、必要なアクセス許可を付与します。region と accountId を自分の値に置き換えます。

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "VpcProxyCreateTagged",
            "Effect": "Allow",
            "Action": [
                "vpc-lattice:CreateResourceGateway",
                "vpc-lattice:CreateResourceConfiguration",
                "vpc-lattice:TagResource"
            ],
            "Resource": [
                "arn:aws:vpc-lattice:region:accountId:resourcegateway/*",
                "arn:aws:vpc-lattice:region:accountId:resourceconfiguration/*"
            ],
            "Condition": {
                "StringEquals": {
                    "aws:RequestTag/ManagedBy": "VPCProxyService",
                    "aws:ResourceTag/ManagedBy": "VPCProxyService"
                },
                "ForAllValues:StringEquals": { "aws:TagKeys": ["ManagedBy"] }
            }
        },
        {
            "Sid": "VpcProxyPutResourcePolicy",
            "Effect": "Allow",
            "Action": "vpc-lattice:PutResourcePolicy",
            "Resource": [
                "arn:aws:vpc-lattice:region:accountId:resourceconfiguration/*"
            ],
            "Condition": {
                "StringEquals": { "aws:ResourceTag/ManagedBy": "VPCProxyService" }
            }
        },
        {
            "Sid": "VpcProxyRamCreate",
            "Effect": "Allow",
            "Action": "ram:CreateResourceShare",
            "Resource": "*",
            "Condition": {
                "StringEquals": { "aws:RequestTag/ManagedBy": "VPCProxyService" },
                "StringEqualsIfExists": {
                    "ram:RequestedResourceType": "vpc-lattice:ResourceConfiguration"
                }
            }
        },
        {
            "Sid": "VpcProxyRamAssociate",
            "Effect": "Allow",
            "Action": "ram:AssociateResourceShare",
            "Resource": "*",
            "Condition": {
                "StringEquals": { "aws:ResourceTag/ManagedBy": "VPCProxyService" }
            }
        },
        {
            "Sid": "VpcProxyRamTagOnCreate",
            "Effect": "Allow",
            "Action": "ram:TagResource",
            "Resource": [
                "arn:aws:ram:region:accountId:resource-share/*"
            ],
            "Condition": {
                "StringEquals": {
                    "aws:RequestTag/ManagedBy": "VPCProxyService",
                    "aws:ResourceTag/ManagedBy": "VPCProxyService"
                },
                "ForAllValues:StringEquals": { "aws:TagKeys": ["ManagedBy"] }
            }
        },
        {
            "Sid": "VpcProxyDeleteTagged",
            "Effect": "Allow",
            "Action": [
                "vpc-lattice:DeleteResourceConfiguration",
                "vpc-lattice:DeleteResourceGateway"
            ],
            "Resource": [
                "arn:aws:vpc-lattice:region:accountId:resourcegateway/*",
                "arn:aws:vpc-lattice:region:accountId:resourceconfiguration/*"
            ],
            "Condition": {
                "StringEquals": { "aws:ResourceTag/ManagedBy": "VPCProxyService" }
            }
        },
        {
            "Sid": "VpcProxyRamDeleteTagged",
            "Effect": "Allow",
            "Action": "ram:DeleteResourceShare",
            "Resource": [
                "arn:aws:ram:region:accountId:resource-share/*"
            ],
            "Condition": {
                "StringEquals": { "aws:ResourceTag/ManagedBy": "VPCProxyService" },
                "StringLike": { "ram:ResourceShareName": "vpc-proxy-share-*" }
            }
        },
        {
            "Sid": "VpcProxyGetResource",
            "Effect": "Allow",
            "Action": [
                "vpc-lattice:GetResourceConfiguration",
                "vpc-lattice:GetResourceGateway"
            ],
            "Resource": [
                "arn:aws:vpc-lattice:region:accountId:resourcegateway/*",
                "arn:aws:vpc-lattice:region:accountId:resourceconfiguration/*"
            ]
        },
        {
            "Sid": "VpcProxyRamGetResourceShares",
            "Effect": "Allow",
            "Action": "ram:GetResourceShares",
            "Resource": "*"
        },
        {
            "Sid": "VpcProxyEc2Describe",
            "Effect": "Allow",
            "Action": [
                "ec2:DescribeSubnets",
                "ec2:DescribeSecurityGroups",
                "ec2:DescribeVpcs"
            ],
            "Resource": "*"
        },
        {
            "Sid": "VpcProxyLatticeServiceLinkedRole",
            "Effect": "Allow",
            "Action": "iam:CreateServiceLinkedRole",
            "Resource": [
                "arn:aws:iam::accountId:role/aws-service-role/vpc-lattice.amazonaws.com/*"
            ],
            "Condition": {
                "StringEquals": { "iam:AWSServiceName": "vpc-lattice.amazonaws.com" }
            }
        }
    ]
}

Lifecycle