本文属于机器翻译版本。若本译文内容与英语原文存在差异，则一律以英文原文为准。

使用 VPC Lattice 连接您的 VPC 中的私有资源

Amazon Bedrock AgentCore 支持与您的 AWS VPC 内托管的资源或连接到您的 VPC 的本地环境中的资源进行私有连接，例如私有 MCP 服务器、内部 REST API 或数据库，而不会将这些服务暴露给公共互联网。

私有连接是使用亚马逊 VPC 莱迪思资源网关和资源配置建立的。有关两种支持的模式（莱迪思托管模式和自管理模式）的详细信息，请参阅支持的 VPC 出口模式。

重要概念

支持的亚马逊 Bedrock 服务 AgentCore

以下亚马逊 Bedrock AgentCore 服务支持使用 VPC Lattice 进行 VPC 出口：

支持的 VPC 出口模式

Amazon Bedrock AgentCore 支持两种配置 VPC 莱迪思连接的模式：

下表总结了主要区别：

有关 VPC 莱迪思定价的详细信息，请参阅亚马逊 VPC 莱迪思定价。

选项 1：托管 VPC 资源

使用托管 VPC 资源，您可以提供 VPC、子网和可选的安全组信息。 AgentCore 代表您处理 VPC Lattice 资源网关和资源配置的创建和生命周期管理。托管资源网关是您的 VPC 中 ENI 的封装器。您无法修改、配置它或与之交互。 AgentCore 拥有其完整的生命周期，包括创建、重复使用和删除。

AgentCore 使用AWSServiceRoleForBedrockAgentCoreGatewayNetwork服务相关角色在您的账户中创建和管理 VPC Lattice 资源网关。此角色是在您首次使用托管私有终端节点创建网关目标时自动创建的。有关此角色的更多信息，请参阅网关服务相关角色。

先决条件

在使用托管私有终端节点创建网关目标之前，请确保满足以下条件：

使用托管私有端点创建目标

要使用托管私有终端节点创建资源，请在创建请求中包含该privateEndpoint.managedVpcResource区块。

{
  ...
  "privateEndpoint": {
    "managedVpcResource": {
      "vpcIdentifier": "vpc-0abc123def456",
      "subnetIds": ["subnet-0abc123", "subnet-0def456"],
      "endpointIpAddressType": "IPV4",
      "securityGroupIds": ["sg-0abc123def"]
    }
  },
  ...
}

该managedVpcResource区块接受以下字段：

查看托管资源

创建资源后，调用相关的 Get API（例如GetGatewayTarget）以查看代表您 AgentCore 创建的托管 VPC Lattice 资源。这些将在响应privateEndpointManagedResources字段中返回：

{
  ...
  "status": "READY",
  "privateEndpoint": {
    "managedVpcResource": {
      "vpcIdentifier": "vpc-0abc123def456",
      "subnetIds": ["subnet-0abc123", "subnet-0def456"],
      "endpointIpAddressType": "IPV4",
      "securityGroupIds": ["sg-0abc123def"]
    }
  },
  "privateEndpointManagedResources": [
    {
      "domain": "my-server.internal.example.com",
      "resourceGatewayArn": "arn:aws:vpc-lattice:us-east-1:123456789012:resourcegateway/rgw-abc123"
    }
  ]
}

resourceGatewayArn是在您的账户中 AgentCore 创建的 VPC 莱迪思资源网关的 ARN。 AgentCore 管理此资源的整个生命周期：它对具有匹配的 VPC 和子网配置的目标重复使用相同的资源网关，并在任何目标不再使用时将其删除。

选项 2： Self-managed 莱迪思资源

使用自我管理的莱迪思，您可以自己创建和管理 VPC Lattice 资源网关和资源配置，然后将资源配置标识符提供给。 AgentCore如果您已经配置了 VPC Lattice 资源，需要在多个服务之间共享资源配置，或者需要控制莱迪思资源生命周期，请使用此选项。

先决条件

在使用自管理的私有端点创建网关目标之前，请完成以下步骤：

为自我管理的连接设置 VPC Lattice 资源

您的 IAM 委托人还需要以下权限 AgentCore 才能代表您将资源配置与 AgentCore 服务网络关联起来：

{
"Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "vpc-lattice:GetResourceConfiguration",
        "vpc-lattice:CreateServiceNetworkResourceAssociation",
        "vpc-lattice:GetServiceNetworkResourceAssociation",
        "vpc-lattice:ListServiceNetworkResourceAssociations",
        "vpc-lattice:AssociateViaAWSService"
      ],
      "Resource": "*"
    }
  ]
}

使用自管理的私有端点创建目标

要使用自我管理的私有终端节点创建资源，请在创建请求中包含该privateEndpoint.selfManagedLatticeResource区块：

{
  ...
  "privateEndpoint": {
    "selfManagedLatticeResource": {
      "resourceConfigurationIdentifier": "arn:aws:vpc-lattice:us-east-1:123456789012:resourceconfiguration/rcfg-abc123"
    }
  },
  ...
}

resourceConfigurationIdentifier可以是 VPC 莱迪思资源配置的 ARN 或 ID。 AgentCore 使用您的证书（通过前向访问会话）将资源配置与 AgentCore 服务网络关联起来。

创建资源后，Get API 响应会在privateEndpointManagedResources字段resourceAssociationArn中包含。如果您创建多个指向同一个资源配置的资源，则 AgentCore 会自动重复使用现有的服务网络资源关联。

Cross-account 私人资源

您可以使用 AgentCore 与拥有网关的 AWS 账户不同的账户连接到私有资源。对于管理集中式网关而个人服务团队拥有私有资源的平台团队来说，这是一种常见的模式。

资源所有者账户必须使用 AWS RAM 与网关所有者账户共享 VPC Lattice 资源配置。然后，网关所有者账户在创建网关目标时提供共享资源配置标识符。

以下步骤总结了跨账户设置：

设置跨账户私有连接

通过中间域路由流量

您可以使用该routingDomain字段通过中间组件（例如 VPC 终端节点、内部应用程序负载均衡器或网络负载均衡器）路由流量，而不是直接路由到您的目标域。当您想要将多个私有资源整合到一个入口点后面（例如，通过单个 VPC 终端节点路由多个私有 API 网关以减少资源配置数量和相关成本）时，这很有用。

使用路由域时，您为目标指定的域（在 MCP 端点 URL 或 OpenAPI 服务器 URL 中）应是资源的实际 DNS 名称。routingDomain是一个 AgentCore 用于设置 VPC Lattice 资源配置的独立域。在调用时， AgentCore 通过路由域路由流量，但使用实际目标域作为 TLS SNI 主机名发送请求，因此您的资源接收发往其实际域的请求。

路由域可以是在 VPC 内路由到您的私有资源的任何域。常见选项包括：

以下步骤描述了使用路由域时的流量：

示例：带有 VPCE 路由域的私有 API 网关

以下示例显示如何使用私有 API 网关的 VPCE 域作为路由域为私有 API 网关创建网关目标。目标 URL 是私有 API 网关主机名，routingDomain是 VPCE DNS 名称：

{
  "name": "my-private-apigw-target",
  "privateEndpoint": {
    "managedVpcResource": {
      "vpcIdentifier": "vpc-0123456789abcdef0",
      "subnetIds": ["subnet-0123456789abcdef0", "subnet-0abcdef1234567890"],
      "endpointIpAddressType": "IPV4",
      "routingDomain": "<vpce-id>.execute-api.us-east-1.vpce.amazonaws.com"
    }
  },
  "targetConfiguration": {
    "mcp": {
      "openApiSchema": {
        "inlinePayload": "<OpenAPI spec JSON with server URL matching the public certificate domain, for example https://<api-id>.execute-api.<region>.amazonaws.com>"
      }
    }
  }
}

私有证书的解决方法：ALB

VPC 出口要求您的目标终端节点拥有公开信任的 TLS 证书。如果您的私有资源使用私有证书颁发机构 (CA) 颁发的证书，则推荐的解决方法是在您的资源前面放置一个内部应用程序负载均衡器 (ALB)。

以下步骤描述了交通流量：

第 1 步：申请公共 ACM 证书

向 ACM 申请您拥有的域名的公共证书。该域名将用作目标 URL。有关说明，请参阅《证书管理器用户指南》中的申请公共 AWS 证书。

步骤 2：创建内部 ALB

在与您的私有资源相同的 VPC 中创建内部应用程序负载均衡器。有关说明，请参阅《弹性负载均衡用户指南》中的创建应用程序负载均衡器。确保将方案设置为internal。

步骤 3：创建 IP-based 目标组

在端口 443 (HTTPS) 上创建目标类型ip指向私有资源的 IP 地址的目标组，并将您的私有资源注册为目标。有关说明，请参阅《弹性负载平衡用户指南》中的创建目标组。

第 4 步：使用主机标头转换创建 HTTPS 侦听器

使用公共 ACM 证书在端口 443 上创建 HTTPS 侦听器。添加监听器规则，在转发之前将主机标头从公共域转换为私有资源的域。

aws elbv2 create-listener \
  --load-balancer-arn <alb-arn> \
  --protocol HTTPS \
  --port 443 \
  --certificates CertificateArn=<acm-certificate-arn> \
  --default-actions '[{
    "Type": "forward",
    "TargetGroupArn": "<target-group-arn>",
    "ForwardConfig": {
      "TargetGroups": [{"TargetGroupArn": "<target-group-arn>", "Weight": 1}]
    }
  }]'

然后修改监听器规则以添加主机标头转换：

aws elbv2 modify-rule \
  --rule-arn <default-rule-arn> \
  --actions '[{
    "Type": "forward",
    "TargetGroupArn": "<target-group-arn>",
    "ForwardConfig": {
      "TargetGroups": [{"TargetGroupArn": "<target-group-arn>", "Weight": 1}]
    }
  }]' \
  --transforms '[{
    "Type": "host-header",
    "HostHeaderConfig": {
      "Values": ["my-server.my-company.internal"]
    }
  }]'

第 5 步：配置私有端点

使用 ALB DNS 名称作为目标 UR routingDomain L，使用公共证书域作为目标 URL。

{
  ...
  "privateEndpoint": {
    "managedVpcResource": {
      "vpcIdentifier": "<vpc-id>",
      "subnetIds": ["<subnet-id-1>", "<subnet-id-2>"],
      "endpointIpAddressType": "IPV4",
      "routingDomain": "internal-my-alb-1234567890.us-west-2.elb.amazonaws.com"
    }
  },
  ...
}

目标配置中的目标 URL 应使用https://my-server.my-company.com（公共证书域），而不是私有域。

Service-linked VPC 出口的角色

当您使用托管私有终端节点 (managedVpcResource) 创建网关目标时， AgentCore 使用AWSServiceRoleForBedrockAgentCoreGatewayNetwork服务相关角色在您的账户中创建和管理 VPC Lattice 资源网关。此角色是在您首次创建托管私有终端节点目标时自动创建的，前提是您的 IAM 委托人具有所需的iam:CreateServiceLinkedRole权限。

服务相关角色具有以下关键特征：

有关创建、编辑和删除此角色的完整策略文档和说明，请参阅 Gateway 服务相关角色。

目标状态和故障排除

使用私有终端节点创建资源后，该资源在 AgentCore 设置 VPC Lattice 资源和建立服务网络关联时会进入CREATING状态。您可以通过调用相关的 Get API（例如GetGatewayTarget）并检查status和statusReasons字段来监控状态。

下表描述了常见的状态值及其含义：

下表描述了常见问题及其解决方案：

限制和注意事项

使用 VPC 出口时，请注意以下限制： AgentCore