プライベート接続のトラブルシューティング

ホストアドレスが VPC 内でのみ解決されるかどうかを確認します。同じ VPC 内の Amazon EC2 インスタンスまたは AWS CloudShell セッションから、 を実行しますnslookup <your-host-address>。パブリック DNS からではなくそこで解決され、プライベート接続が を使用する場合dnsResolution: PUBLIC、DNS 解決が原因です。

名前の代わりに IP アドレスを使用してテストします。DNS 名の代わりにホストアドレスにターゲットのプライベート IP アドレス (またはロードバランサー IP) を使用するプライベート接続を一時的に作成します。接続がサービスに到達した場合、以前の障害はネットワークパスやサービス自体ではなく DNS 解決でした。

ホスト名が VPC 内でのみ解決される場合は、接続の作成時に DNS 解決モードを VPC 内 (IN_VPC) に設定します。このモードでは、ホストアドレスは VPC コンテキスト内から解決されるため、プライベート専用ホスト名は正しく解決されます。「プライベート接続を作成する」を参照してください。

DNS 解決モードは作成時に選択され、指定したホストアドレスに適用されます。作成後にサービスマネージドリソースゲートウェイが DNS を解決する方法を変更することはできないため、事前に正しいモードを選択してください。間違ったモードを選択した場合は、接続を削除し、正しいモードで再作成します。

ホストアドレスに (DNS 名ではなく) IP アドレスを指定した場合、DNS 解決モードは効果がなく、トラフィックはその IP に直接送信されます。

セットアップIN_VPCに を使用できない場合は、代わりにホストアドレスをターゲットのプライベート IP アドレス、またはパブリックに解決可能だがプライベート IP に転送されるロードバランサーの DNS 名にポイントできます。

The MCP server at '<endpoint>' timed out while initializing the session. (同様のバリアントはリソースの一覧表示を指します)

Unable to connect to the MCP server at <endpoint>. The connection was interrupted. Verify the server is running and accessible, then try again.

Unable to access tools from the MCP server at '<endpoint>' ...

Could not complete request to provider. ( として表示される場合もありますAPI error: 504)

タイムアウトメッセージは、接続がリッスンサービスに到達しなかったことを意味します。ほとんどの場合、ホストアドレス、ポート、または DNS 解決が正しくないか、セキュリティグループがトラフィックをブロックしています。

接続が中断されたメッセージは、通常、TLS ハンドシェイクの失敗またはサービスが接続を閉じることによって、接続がリセットまたは削除されたことを意味します。

ツールにアクセスできないメッセージは、エンドポイントがリクエストに応答したが拒否したことを意味します。これは通常、ネットワークの問題ではなく、認可またはプロバイダー側のエラーです。

プロバイダーメッセージへのリクエストを完了できませんでした。これは、プライベート接続を介してエンドポイントへのリクエストを完了できなかった一般的な問題です。以下の解決ステップを確認します。

タスクやインスタンスの IP ではなく、ロードバランサーの DNS をポイントします。頻繁な原因は、設定したポート ( など8100) で TLS を終了するロードバランサーではなく、アプリケーションポート ( など) のコンテナタスクまたはインスタンス IP に解決される DNS レコードまたはホストアドレスです443。ホストアドレスが、ターゲットポートで実際に HTTPS を提供するエンドポイントに解決されることを確認します。

サービスが設定されたポートで HTTPS を提供していることを確認します。ターゲットは、接続のポート範囲に含まれるポートで、最小 TLS バージョン 1.2 の HTTPS を提供する必要があります。

セキュリティグループのルールを双方向で確認します。リソースゲートウェイ ENIs にアタッチされたセキュリティグループがターゲットポートでのアウトバウンドトラフィックを許可し、サービスのセキュリティグループがそのポートでのインバウンドトラフィックを許可していることを確認します。VPC CIDR 範囲内の Amazon VPC Lattice データプレーン IPs からトラフィックが到着します。セキュリティグループ参照 (ENI セキュリティグループをソースとして許可) を使用するか、VPC CIDR からのインバウンドを許可できます。「プライベート接続のファイアウォールルールの設定」を参照してください。

プライベート CA の証明書チェーン全体を検証します。プライベート認証機関がサービスの TLS 証明書を発行した場合は、接続の作成時に PEM エンコードされた証明書チェーン全体を指定します。リーフ証明書を最初に配置し、次に中間、次にルートを配置します。チェーンが不完全な場合、ネットワークパスが上であっても TLS ハンドシェイクは失敗します。

ターゲットが実行されていることを確認します。登録を完了する前に、サービスが稼働していて、予想されるポートで接続を受け入れていることを確認してください。

両方のエンドポイントが同じパス経由で到達可能な場合は、プライベート接続のホストアドレスが MCP サーバーエンドポイントとトークン交換エンドポイントの両方にルーティングできることを確認します。

エンドポイントで異なるネットワークパスが必要な場合は、単一の ではなくエンドポイントごとのフィールドを使用しますprivateConnectionName。targetUrlPrivateConnectionName MCP サーバーエンドポイントとトークン交換エンドポイントexchangeUrlPrivateConnectionNameに を設定します。1 つだけ設定した場合、もう 1 つのエンドポイントはパブリックインターネット経由で到達し、他のプライベート接続にはフォールバックしません。エンドポイントごとの名前を同じリクエストprivateConnectionNameで と組み合わせることはできません。「Routing the endpoint and the OAuth token exchange through different private connections」を参照してください。

AWS DevOps エージェントを介して接続を削除します。コンソール (機能プロバイダー > プライベート接続 > アクション > 削除) または CLI を使用します。

削除に失敗した場合は、AWSAIDevOpsManagedタグがまだ存在することを確認します。タグがリソースゲートウェイまたはその ENIs から削除された場合は、そのタグをそれらのリソースに再適用し、削除を再度実行します。

マネージドリソースゲートウェイを直接削除しないでください。リソースゲートウェイはアカウント内で読み取り専用であり、 AWS DevOps Agent によって完全に管理されているため、Amazon VPC Lattice を通じて自分で削除することはできません。プライベート接続を削除すると、削除がトリガーされます。

プライベート接続を削除し、 タグが存在し、削除が完了した後もリソースゲートウェイまたは ENIs がまだ残っている場合は、 AWS サポートに連絡してリソースを調整します。

プライベートにホストされたツールへの接続

プライベート接続のファイアウォールルールの設定

VPC エンドポイント (AWS PrivateLink)

MCP サーバーの接続

AWS DevOps エージェントセキュリティ