As traduções são geradas por tradução automática. Em caso de conflito entre o conteúdo da tradução e da versão original em inglês, a versão em inglês prevalecerá.

Configurar a conectividade VPC para uma fonte de dados

Algumas fontes de dados são executadas em recursos privados que não podem ser acessados pela Internet pública, como uma instância local do Confluence Data Center que você gerencia com um balanceador de carga interno em sua VPC. Para rastrear essas fontes de dados, você cria uma configuração de VPC. O Amazon Bedrock usa a configuração para provisionar um caminho de rede privada em sua VPC e acessar o recurso.

Uma configuração de VPC é um recurso reutilizável em sua base de conhecimento. Você o cria uma vez e, em seguida, faz referência a ele por ID de uma ou mais fontes de dados. Ao criar uma fonte de dados que precisa de conectividade privada, você seleciona uma configuração de VPC existente ou cria uma nova.

O que você fornece

Para criar uma configuração de VPC, você fornece o seguinte:

Você não fornece grupos de segurança. O Amazon Bedrock usa o grupo de segurança padrão da sua VPC para o gateway. Certifique-se de que as regras de saída (saída) do grupo de segurança padrão permitam alcançar seu alvo na porta solicitada. Consulte Saída do grupo de segurança padrão.

Requisitos de rede

O Amazon Bedrock alcança seu recurso por meio de um gateway privado criado somente com interfaces de rede privadas (sem endereço IP público). O gateway atinge seu alvo pela rede privada (local) da sua VPC e não pode acessar endereços IP públicos. Seu destino de recursos deve ser acessível de forma privada de dentro da sua VPC:

Não há suporte para um balanceador de carga voltado para a Internet. Um balanceador de carga voltado para a Internet retorna seus endereços IP públicos até mesmo para consultas de DNS na VPC, e o gateway privado não pode acessar esses endereços. Se seu recurso estiver atualmente exposto somente por meio de um balanceador de carga voltado para a Internet, crie (ou aponte para) um balanceador de carga interno na mesma VPC e use seu nome DNS como destino do recurso.

Crie uma configuração de VPC

Console

Para adicionar uma configuração de VPC

1. Na configuração da fonte de dados, em Configuração da VPC, escolha Adicionar configuração da VPC. Se já existir uma configuração adequada, selecione-a para reutilizá-la nas fontes de dados.

2. (Opcional) Insira um nome e uma descrição para a configuração.

3. Para VPC ID, selecione a VPC a ser usada para conectividade.

4. Para IDs de sub-rede, selecione uma ou mais sub-redes da VPC escolhida.

5. Em Destino do recurso, insira o nome do host ou o endereço IP do seu recurso (por exemplo, 10.0.1.50 ouconfluence.internal.example.com).

6. Em Porta, insira o número da porta na qual se conectar (por exemplo, 443 ou8090).

7. Em Protocolo, escolha HTTP ou HTTPS.

8. No modo Resolução, escolha como o endereço de destino do recurso é resolvido:

   • Público — O destino do recurso é um nome de host ou endereço IP que pode ser resolvido publicamente.

   • Na VPC — A meta do recurso só pode ser resolvida dentro da sua VPC. Esse é o caso comum de recursos internos.

9. (Opcional) Em Cabeçalho do host, insira o valor do Host cabeçalho a ser enviado com as solicitações. Defina isso somente se seu recurso (ou um roteador upstream) for roteado pelo Host cabeçalho HTTP.

10. (Obrigatório para HTTPS) Em nome do servidor TLS, insira a identidade esperada do certificado TLS (Nome alternativo do assunto) para o recurso. Um único curinga mais à esquerda é permitido (por exemplo,). *.example.com

11. Escolha Criar.

API

Para criar uma configuração de VPC, envie uma CreateVpcConfiguration solicitação. Todas as operações têm como escopo uma base de conhecimento por meio do parâmetro knowledgeBaseId path; o corpo da solicitação não inclui um ID de conta ou ARN de função, porque o Amazon Bedrock resolve as operações da base de conhecimento.

POST /knowledgebases/knowledgeBaseId/vpcconfigurations/

O corpo da solicitação usa os seguintes campos.

CreateVpcConfiguration campos

Campo	Obrigatório	Descrição
vpcId	Sim	O ID da VPC. Correspondências^vpc-[a-zA-Z0-9]+$, até 64 caracteres.
subnetIds	Sim	De 1 a 6 IDs de sub-rede da VPC especificada. Cada partida^subnet-[a-zA-Z0-9]+$.
resourceTarget	Sim	O endereço IPv4 ou nome DNS do recurso (1—255 caracteres). Consulte Restrições de metas de recursos.
port	Sim	A porta na qual se conectar (1—65535).
protocol	Sim	HTTP ou HTTPS.
resolutionMode	Sim	PUBLIC ou IN_VPC. Use IN_VPC quando o alvo for resolvido somente dentro da sua VPC.
tlsServerName	Condicional	Obrigatório quando protocol éHTTPS. O nome do host correspondeu ao certificado TLS do recurso (até 253 caracteres). Um único curinga mais à esquerda é permitido. Não deve incluir uma porta.
hostHeader	Não	O valor do Host cabeçalho HTTP a ser enviado (até 255 caracteres). Defina somente se seu recurso for roteado pelo Host cabeçalho.
name	Não	Um nome legível por humanos (1—128 caracteres).
description	Não	Uma descrição (até 512 caracteres).
clientToken	Não	Um símbolo de idempotência.

A criação é assíncrona. CreateVpcConfigurationretorna uma 202 resposta com um vpcConfigurationId e um status deCREATING. Faça uma pesquisa GetVpcConfiguration até que o status seja CREATED (ouCREATE_FAILED, nesse caso, statusMessage nomeie a causa). Use ListVpcConfigurations para listar configurações e DeleteVpcConfiguration remover uma.

nota

Se você criar várias configurações na mesma VPC com o mesmo conjunto de sub-redes, elas compartilharão um gateway. Um conjunto diferente de sub-redes fornece um gateway separado.

Protocolo, nome do servidor TLS e cabeçalho do host

Essas três configurações são as mais comumente configuradas incorretamente. Use as orientações a seguir para escolher os valores corretos.

Restrições de metas de recursos

O Amazon Bedrock valida resourceTarget quando você cria a configuração para evitar que o serviço seja direcionado para si mesmo ou para a infraestrutura interna. As seguintes metas são rejeitadas:

Os nomes DNS são permitidos. A validação não os resolve, portanto, o destino ainda deve estar acessível a partir das sub-redes do gateway.

Saída do grupo de segurança padrão

Como o Amazon Bedrock usa o grupo de segurança padrão da sua VPC para o gateway, as regras de saída desse grupo de segurança devem permitir o acesso. resourceTarget port Se o grupo de segurança padrão estiver bloqueado, a criação falhará rapidamente com uma mensagem clara, em vez de expirar mais tarde. Antes de criar a configuração, certifique-se de que uma regra de saída permita o tráfego das sub-redes do gateway para o destino e a porta.

Permissões de função IAM da base de conhecimento

O Amazon Bedrock assume a função do IAM associada à sua base de conhecimento para provisionar e, posteriormente, eliminar os recursos de rede em sua conta. A função deve conceder as permissões de criação e exclusão abaixo, bem como as permissões de leitura que tornam idempotentes as repetidas exclusões. Cada recurso que o Amazon Bedrock cria é marcado ManagedBy=VPCProxyService e as permissões destrutivas estão bloqueadas nessa tag, portanto, a função pode atuar somente nos recursos criados por esse recurso.

O exemplo de política a seguir concede as permissões necessárias. Substitua region e accountId pelos seus valores.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "VpcProxyCreateTagged",
            "Effect": "Allow",
            "Action": [
                "vpc-lattice:CreateResourceGateway",
                "vpc-lattice:CreateResourceConfiguration",
                "vpc-lattice:TagResource"
            ],
            "Resource": [
                "arn:aws:vpc-lattice:region:accountId:resourcegateway/*",
                "arn:aws:vpc-lattice:region:accountId:resourceconfiguration/*"
            ],
            "Condition": {
                "StringEquals": {
                    "aws:RequestTag/ManagedBy": "VPCProxyService",
                    "aws:ResourceTag/ManagedBy": "VPCProxyService"
                },
                "ForAllValues:StringEquals": { "aws:TagKeys": ["ManagedBy"] }
            }
        },
        {
            "Sid": "VpcProxyPutResourcePolicy",
            "Effect": "Allow",
            "Action": "vpc-lattice:PutResourcePolicy",
            "Resource": [
                "arn:aws:vpc-lattice:region:accountId:resourceconfiguration/*"
            ],
            "Condition": {
                "StringEquals": { "aws:ResourceTag/ManagedBy": "VPCProxyService" }
            }
        },
        {
            "Sid": "VpcProxyRamCreate",
            "Effect": "Allow",
            "Action": "ram:CreateResourceShare",
            "Resource": "*",
            "Condition": {
                "StringEquals": { "aws:RequestTag/ManagedBy": "VPCProxyService" },
                "StringEqualsIfExists": {
                    "ram:RequestedResourceType": "vpc-lattice:ResourceConfiguration"
                }
            }
        },
        {
            "Sid": "VpcProxyRamAssociate",
            "Effect": "Allow",
            "Action": "ram:AssociateResourceShare",
            "Resource": "*",
            "Condition": {
                "StringEquals": { "aws:ResourceTag/ManagedBy": "VPCProxyService" }
            }
        },
        {
            "Sid": "VpcProxyRamTagOnCreate",
            "Effect": "Allow",
            "Action": "ram:TagResource",
            "Resource": [
                "arn:aws:ram:region:accountId:resource-share/*"
            ],
            "Condition": {
                "StringEquals": {
                    "aws:RequestTag/ManagedBy": "VPCProxyService",
                    "aws:ResourceTag/ManagedBy": "VPCProxyService"
                },
                "ForAllValues:StringEquals": { "aws:TagKeys": ["ManagedBy"] }
            }
        },
        {
            "Sid": "VpcProxyDeleteTagged",
            "Effect": "Allow",
            "Action": [
                "vpc-lattice:DeleteResourceConfiguration",
                "vpc-lattice:DeleteResourceGateway"
            ],
            "Resource": [
                "arn:aws:vpc-lattice:region:accountId:resourcegateway/*",
                "arn:aws:vpc-lattice:region:accountId:resourceconfiguration/*"
            ],
            "Condition": {
                "StringEquals": { "aws:ResourceTag/ManagedBy": "VPCProxyService" }
            }
        },
        {
            "Sid": "VpcProxyRamDeleteTagged",
            "Effect": "Allow",
            "Action": "ram:DeleteResourceShare",
            "Resource": [
                "arn:aws:ram:region:accountId:resource-share/*"
            ],
            "Condition": {
                "StringEquals": { "aws:ResourceTag/ManagedBy": "VPCProxyService" },
                "StringLike": { "ram:ResourceShareName": "vpc-proxy-share-*" }
            }
        },
        {
            "Sid": "VpcProxyGetResource",
            "Effect": "Allow",
            "Action": [
                "vpc-lattice:GetResourceConfiguration",
                "vpc-lattice:GetResourceGateway"
            ],
            "Resource": [
                "arn:aws:vpc-lattice:region:accountId:resourcegateway/*",
                "arn:aws:vpc-lattice:region:accountId:resourceconfiguration/*"
            ]
        },
        {
            "Sid": "VpcProxyRamGetResourceShares",
            "Effect": "Allow",
            "Action": "ram:GetResourceShares",
            "Resource": "*"
        },
        {
            "Sid": "VpcProxyEc2Describe",
            "Effect": "Allow",
            "Action": [
                "ec2:DescribeSubnets",
                "ec2:DescribeSecurityGroups",
                "ec2:DescribeVpcs"
            ],
            "Resource": "*"
        },
        {
            "Sid": "VpcProxyLatticeServiceLinkedRole",
            "Effect": "Allow",
            "Action": "iam:CreateServiceLinkedRole",
            "Resource": [
                "arn:aws:iam::accountId:role/aws-service-role/vpc-lattice.amazonaws.com/*"
            ],
            "Condition": {
                "StringEquals": { "iam:AWSServiceName": "vpc-lattice.amazonaws.com" }
            }
        }
    ]
}

Ciclo de vida