As traduções são geradas por tradução automática. Em caso de conflito entre o conteúdo da tradução e da versão original em inglês, a versão em inglês prevalecerá.

Conectando-se a ferramentas hospedadas de forma privada

Visão geral das conexões privadas

AWS DevOps O agente pode ser estendido com ferramentas personalizadas do Model Context Protocol (MCP) e outras integrações que dão ao agente acesso a sistemas internos, como registros de pacotes privados, plataformas de observabilidade auto-hospedadas, APIs de documentação interna e instâncias de controle de origem (consulte:). Configurando integrações e conhecimento Esses serviços geralmente são executados dentro de uma Amazon Virtual Private Cloud (Amazon VPC) com acesso restrito ou sem acesso público à Internet, o que significa que o AWS DevOps agente não pode acessá-los por padrão.

As conexões privadas do AWS DevOps Agent permitem que você conecte com segurança seu Espaço do Agente aos serviços em execução na sua VPC sem expô-los à Internet pública. As conexões privadas funcionam com qualquer integração que precise alcançar um endpoint privado, incluindo servidores MCP, instâncias Grafana ou Splunk auto-hospedadas e sistemas de controle de origem, como Enterprise Server e. GitHub GitLab Self-Managed

Como funcionam as conexões privadas

Uma conexão privada cria um caminho de rede seguro entre o AWS DevOps agente e um recurso de destino na sua VPC. Nos bastidores, o AWS DevOps agente usa o Amazon VPC Lattice para estabelecer esse caminho seguro de conectividade privada. O VPC Lattice é um serviço de rede de aplicativos que permite conectar, proteger e monitorar a comunicação entre aplicativos em VPCs, contas e tipos de computação, sem gerenciar a infraestrutura de rede subjacente.

Quando você cria uma conexão privada, ocorre o seguinte:

O gateway de recursos é totalmente gerenciado pelo AWS DevOps Agente e aparece como um recurso somente para leitura em sua conta (nomeadaaidevops-{your-private-connection-name}). Você não precisa configurá-lo nem mantê-lo. Os únicos recursos criados em sua VPC são ENIs nas sub-redes que você especificar. Esses ENIs servem como ponto de entrada para o tráfego privado e são gerenciados inteiramente pelo serviço. Eles não aceitam conexões de entrada da Internet e você mantém controle total sobre o tráfego deles por meio de seus próprios grupos de segurança.

Segurança

As conexões privadas são projetadas com várias camadas de segurança:

Arquitetura

O diagrama a seguir mostra o caminho da rede para uma conexão privada.

Nesta arquitetura:

Configurando regras de firewall para conexões privadas

Com conexões privadas, o tráfego do AWS DevOps Agente para sua ferramenta hospedada de forma privada se origina dos ENIs do Resource Gateway nas sub-redes que você especificou durante a criação da conexão privada. Isso é diferente das conexões de ferramentas hospedadas publicamente, que usam os endereços IP estáticos listados na página Segurança.

Para permitir que o tráfego AWS DevOps do agente chegue à sua ferramenta hospedada de forma privada:

Para encontrar seus blocos CIDR de sub-rede, execute o seguinte comando com os IDs de sub-rede que você especificou durante a criação da conexão privada:

aws ec2 describe-subnets \
    --subnet-ids subnet-0123456789abcdef0 subnet-0123456789abcdef1 \
    --query 'Subnets[*].[SubnetId,CidrBlock]' \
    --output table

Crie uma conexão privada

Você pode criar uma conexão privada usando o AWS Management Console ou a AWS CLI.

Pré-requisitos

Antes de criar uma conexão privada, verifique se você tem o seguinte:

As conexões privadas são recursos no nível da conta. Depois de criar uma conexão privada, você pode reutilizá-la em várias integrações e espaços de agentes que precisam acessar o mesmo host.

Crie uma conexão privada usando o console

O status da conexão muda para Criar em andamento. Esse processo pode levar até 10 minutos. Quando o status muda para Ativo, o caminho da rede está pronto.

Se o status mudar para Criar falhou, verifique o seguinte:

Crie uma conexão privada usando o AWS CLI

Execute o comando a seguir para criar uma conexão privada. Substitua os valores dos espaços reservados pelos seus próprios.

aws devops-agent create-private-connection \
    --name my-mcp-tool-connection \
    --mode '{
        "serviceManaged": {
            "hostAddress": "mcp.internal.example.com",
            "vpcId": "vpc-0123456789abcdef0",
            "subnetIds": [
                "subnet-0123456789abcdef0",
                "subnet-0123456789abcdef1"
            ],
            "securityGroupIds": [
                "sg-0123456789abcdef0"
            ],
            "portRanges": ["443"],
            "dnsResolution": "PUBLIC"
        }
    }'

O dnsResolution campo controla como o nome hostAddress DNS é resolvido. Os valores válidos são PUBLIC (o padrão quando omitidos) e. IN_VPC Use IN_VPC quando seu endereço de host só for resolvido dentro de sua VPC (por exemplo, um nome em uma zona hospedada privada). Se você especificar um endereço IP parahostAddress, esse campo não terá efeito.

A resposta inclui o nome da conexão e um status deCREATE_IN_PROGRESS:

{
    "name": "my-mcp-tool-connection",
    "status": "CREATE_IN_PROGRESS",
    "resourceGatewayId": "rgw-0123456789abcdef0",
    "hostAddress": "mcp.internal.example.com",
    "vpcId": "vpc-0123456789abcdef0"
}

Para verificar o status da conexão, use o describe-private-connection comando:

aws devops-agent describe-private-connection \
    --name my-mcp-tool-connection

Quando o status forACTIVE, sua conexão privada estará pronta para uso.

Use uma conexão privada com um provedor de recursos

Para usar uma conexão privada, você pode se vincular a ela durante o registro de um provedor de recursos. Os recursos compatíveis que podem ser usados com conexões privadas incluem: GitHub GitLab MCP ServerRemote Agent,, Grafana e. Você pode executar essa etapa usando o AWS Management Console ou a AWS CLI.

Use uma conexão privada com um provedor de recursos usando o console

No console do AWS DevOps agente, as conexões privadas podem ser vinculadas a um recurso durante o registro selecionando a opção “Conectar ao endpoint usando uma conexão privada”.

Endereço do host e URL do endpoint

Cada um de uma conexão privada e um provedor de recursos usam um endereço. Os dois não são intercambiáveis:

Os dois valores não precisam ser idênticos, portanto, um nome de host que é resolvido somente dentro da sua VPC não precisa aparecer no endereço do host. Se o nome do host do seu serviço for privado para sua VPC, você tem duas opções:

Você escolhe o modo de resolução de DNS ao criar a conexão, então decida qual opção deseja primeiro. Para obter informações sobre os sintomas que uma incompatibilidade entre esses dois valores produz, consulte Um endereço de host DNS não é resolvido ou o tráfego chega ao lugar errado.

Roteamento do endpoint e da troca de tokens OAuth por meio de diferentes conexões privadas

Para provedores de recursos de servidor OAuth-based MCP e agente remoto, o agente faz solicitações para dois endpoints diferentes: o URL de destino (o servidor MCP ou o endpoint do agente remoto que você registra) e o URL de troca (o endpoint de troca de tokens OAuth). Por padrão, um único privateConnectionName é usado para ambos. Se esses dois endpoints puderem ser acessados por meio de caminhos de rede privada diferentes, você poderá rotear cada um por meio de sua própria conexão privada usando targetUrlPrivateConnectionName e, em vez disso: exchangeUrlPrivateConnectionName

Você pode especificar um ou ambos. Se você definir apenas um, o outro endpoint será acessado pela Internet pública (ele não retornará à outra conexão privada).

O exemplo a seguir registra um servidor MCP de credenciais do cliente OAuth que atinge seu endpoint e seu endpoint de troca de token por meio de duas conexões privadas separadas:

aws devops-agent register-service \
    --service mcpserver \
    --target-url-private-connection-name my-target-connection \
    --exchange-url-private-connection-name my-exchange-connection \
    --service-details '{
        "mcpserver": {
            "name": "my-mcp-tool",
            "endpoint": "https://mcp.internal.example.com",
            "authorizationConfig": {
                "oAuthClientCredentials": {
                    "clientName": "MyOAuthClient",
                    "clientId": "client-id",
                    "clientSecret": "secret-value",
                    "exchangeUrl": "https://auth.internal.example.com/token"
                }
            }
        }
    }' \
    --region us-east-1

Use uma conexão privada com um provedor de recursos usando o AWS CLI

Você pode registrar recursos com uma conexão privada incluindo o private-connection-name argumento. Abaixo está um exemplo de registro de um servidor MCP com autorização de chave de API usando a conexão my-mcp-tool-connection privada. Substitua os valores dos espaços reservados pelos seus próprios.

aws devops-agent register-service \
    --service mcpserver \
    --private-connection-name my-mcp-tool-connection \
    --service-details '{
        "mcpserver": {
            "name": "my-mcp-tool",
            "endpoint": "https://mcp.internal.example.com",
            "authorizationConfig": {
                "apiKey": {
                    "apiKeyName": "api-key",
                    "apiKeyValue": "secret-value",
                    "apiKeyHeader": "x-api-key"
                }
            }
        }
    }' \
    --region us-east-1

Verificar uma conexão privada

Depois que a conexão privada atingir o estado Ativo e tiver sido utilizada por um provedor de recursos, verifique se o AWS DevOps agente pode acessar seu serviço de destino:

Se a conexão falhar, verifique o seguinte:

Excluir uma conexão privada

Você pode excluir conexões privadas não utilizadas usando o AWS Management Console ou a AWS CLI.

Excluir uma conexão privada usando o console

A conexão privada será exibida com o status “Removendo conexão”, enquanto o AWS DevOps agente remove o gateway de recursos gerenciados e os ENIs da sua VPC. Depois que a exclusão for concluída, a conexão não aparecerá mais na sua lista de conexões privadas.

Exclua uma conexão privada usando o AWS CLI

aws devops-agent delete-private-connection \
    --name my-mcp-tool-connection

A resposta retorna um status deDELETE_IN_PROGRESS. AWS DevOps O agente remove o gateway de recursos gerenciados e os ENIs da sua VPC. Depois que a exclusão for concluída, a conexão não aparecerá mais na sua lista de conexões privadas.

Configuração avançada usando recursos existentes do VPC Lattice

Se sua organização já usa o Amazon VPC Lattice e gerencia suas próprias configurações de recursos, você pode criar uma conexão privada no modo autogerenciado. Em vez de fazer com que o AWS DevOps Agente crie um gateway de recursos para você, você fornece o Nome de recurso da Amazon (ARN) de uma configuração de recursos existente que aponta para seu serviço de destino.

Essa abordagem é útil quando você:

Para criar uma conexão privada autogerenciada com a AWS CLI:

aws devops-agent create-private-connection \
    --name my-advanced-connection \
    --mode '{
        "selfManaged": {
            "resourceConfigurationId": "arn:aws:vpc-lattice:us-east-1:123456789012:resourceconfiguration/rcfg-0123456789abcdef0"
        }
    }'

Para obter mais detalhes sobre como configurar gateways de recursos e configurações de recursos do VPC Lattice, consulte o Guia do usuário do Amazon VPC Lattice.

Cross-region conectividade

As conexões privadas devem ser criadas na mesma AWS região do seu Agent Space. Se o serviço de destino for executado em uma região diferente, use o modo autogerenciado com emparelhamento de VPC entre regiões ou emparelhamento do Transit Gateway para preencher a lacuna.

O padrão é:

Por exemplo, se seu espaço de agente estiver ocupado us-east-1 e seu servidor MCP estiver em: ap-southeast-2

aws devops-agent create-private-connection \
    --name cross-region-connection \
    --mode '{
        "selfManaged": {
            "resourceConfigurationId": "arn:aws:vpc-lattice:us-east-1:123456789012:resourceconfiguration/rcfg-0123456789abcdef0"
        }
    }' \
    --region us-east-1

Tópicos relacionados