本文為英文版的機器翻譯版本，如內容有任何歧義或不一致之處，概以英文版為準。

連線至私有託管工具

私有連線概觀

AWS DevOps 代理程式可以使用自訂模型內容通訊協定 (MCP) 工具和其他整合進行擴充，這些工具可讓代理程式存取內部系統，例如私有套件登錄檔、自我託管可觀測性平台、內部文件 APIs 和來源控制執行個體 （請參閱：設定整合和知識)。這些服務通常在 Amazon Virtual Private Cloud (Amazon VPC) 內執行，但有限制或沒有公有網際網路存取，這表示預設情況下， AWS DevOps 代理程式無法連線這些服務。

適用於 AWS DevOps Agent 的私有連線可讓您安全地將 Agent Space 連線至 VPC 中執行的服務，而不會將其公開至公有網際網路。私有連線可與需要連線到私有端點的任何整合搭配使用，包括 MCP 伺服器、自我託管 Grafana 或 Splunk 執行個體，以及 GitHub Enterprise Server 和 GitLab 自我管理等來源控制系統。

私有連線的運作方式

私有連線會在 AWS DevOps Agent 與 VPC 中的目標資源之間建立安全的網路路徑。在幕後， AWS DevOps 代理程式會使用 Amazon VPC Lattice 來建立此安全的私有連線路徑。VPC Lattice 是一種應用程式聯網服務，可讓您跨 VPCs、帳戶和運算類型連線、保護和監控應用程式之間的通訊，而無需管理基礎網路基礎設施。

當您建立私有連線時，會發生下列情況：

資源閘道由 AWS DevOps Agent 完全管理，並顯示為帳戶中的唯讀資源 （名為 aidevops-{your-private-connection-name})。您不需要設定或維護它。在您的 VPC 中建立的唯一資源是您指定的子網路中的 ENIs。這些 ENIs做為私有流量的進入點，完全由 服務管理。他們不接受來自網際網路的傳入連線，而且您可以透過自己的安全群組保留對流量的完全控制。

安全

私有連線的設計具有多層安全性：

Architecture

下圖顯示私有連線的網路路徑。

在此架構中：

設定私有連線的防火牆規則

透過私有連線，從 AWS DevOps Agent 到私有託管工具的流量來自您在私有連線建立期間指定的子網路中的 Resource Gateway ENIs。這與公開託管的工具連線不同，其使用安全頁面上列出的靜態 IP 地址。

若要允許 AWS DevOps 代理程式流量到達您的私有託管工具：

若要尋找子網路 CIDR 區塊，請使用您在私有連線建立期間指定的子網路 IDs執行下列命令：

aws ec2 describe-subnets \
    --subnet-ids subnet-0123456789abcdef0 subnet-0123456789abcdef1 \
    --query 'Subnets[*].[SubnetId,CidrBlock]' \
    --output table

建立私有連線

您可以使用 AWS 管理主控台或 CLI AWS 建立私有連線。

先決條件

建立私有連線之前，請確認您有下列項目：

私有連線是帳戶層級的資源。建立私有連線後，您可以在需要連接相同主機的多個整合和客服人員空間中重複使用該連線。

使用主控台建立私有連線

連線狀態會變更為建立進行中。此程序最多可能需要 10 分鐘。當狀態變更為作用中時，表示網路路徑已就緒。

如果狀態變更為建立失敗，請確認下列事項：

使用 CLI AWS 建立私有連線

執行下列命令來建立私有連線。將預留位置值取代為您自己的值。

aws devops-agent create-private-connection \
    --name my-mcp-tool-connection \
    --mode '{
        "serviceManaged": {
            "hostAddress": "mcp.internal.example.com",
            "vpcId": "vpc-0123456789abcdef0",
            "subnetIds": [
                "subnet-0123456789abcdef0",
                "subnet-0123456789abcdef1"
            ],
            "securityGroupIds": [
                "sg-0123456789abcdef0"
            ],
            "portRanges": ["443"],
            "dnsResolution": "PUBLIC"
        }
    }'

dnsResolution 欄位控制 hostAddress DNS 名稱的解析方式。有效值為 PUBLIC（省略時為預設值） 和 IN_VPC。IN_VPC 當您的主機地址僅在 VPC 內解析時 （例如，私有託管區域中的名稱），請使用 。如果您指定 的 IP 地址hostAddress，此欄位不會有任何影響。

回應包含連線名稱和 的狀態CREATE_IN_PROGRESS：

{
    "name": "my-mcp-tool-connection",
    "status": "CREATE_IN_PROGRESS",
    "resourceGatewayId": "rgw-0123456789abcdef0",
    "hostAddress": "mcp.internal.example.com",
    "vpcId": "vpc-0123456789abcdef0"
}

若要檢查連線狀態，請使用 describe-private-connection命令：

aws devops-agent describe-private-connection \
    --name my-mcp-tool-connection

當狀態為 時ACTIVE，您的私有連線即可使用。

使用與功能提供者的私有連線

若要使用私有連線，您可以在功能提供者註冊期間連結至該連線。可搭配私有連線使用的支援功能包括：GitHub、Remote Agent、、 GitLab MCP Server和 Grafana。您可以使用 AWS 管理主控台或 CLI AWS 執行此步驟。

使用主控台與功能提供者使用私有連線

在 AWS DevOps 代理程式主控台中，可透過選取「使用私有連線連線至端點」選項，在註冊期間將私有連線連結至功能。

主機地址和端點 URL

私有連線和功能提供者各會取得一個地址。兩者不可互換：

這兩個值不必相同，因此只有在 VPC 內解析的主機名稱不必出現在主機地址中。如果您服務的主機名稱是 VPC 的私有主機名稱，您有兩個選項：

您可以在建立連線時選擇 DNS 解析模式，因此請先決定要哪個選項。如需有關這兩個值之間產生不相符之症狀的資訊，請參閱 DNS 主機地址無法解析，或流量到達錯誤的位置。

透過不同的私有連線路由端點和 OAuth 字符交換

對於以 OAuth 為基礎的 MCP 伺服器和遠端代理程式功能提供者，代理程式會向兩個不同的端點提出請求：目標 URL （您註冊的 MCP 伺服器或遠端代理程式端點） 和交換 URL (OAuth 字符交換端點）。根據預設，兩者都會privateConnectionName使用單一 。如果這兩個端點可透過不同的私有網路路徑存取，您可以使用 targetUrlPrivateConnectionName和 exchangeUrlPrivateConnectionName 改為透過自己的私有連線路由每個端點：

您可以指定 或兩者。如果您只設定一個端點，則會透過公有網際網路到達另一個端點 （它不會回復到另一個私有連線）。

下列範例會註冊透過兩個不同的私有連線到達其端點及其字符交換端點的 OAuth 用戶端登入資料 MCP 伺服器：

aws devops-agent register-service \
    --service mcpserver \
    --target-url-private-connection-name my-target-connection \
    --exchange-url-private-connection-name my-exchange-connection \
    --service-details '{
        "mcpserver": {
            "name": "my-mcp-tool",
            "endpoint": "https://mcp.internal.example.com",
            "authorizationConfig": {
                "oAuthClientCredentials": {
                    "clientName": "MyOAuthClient",
                    "clientId": "client-id",
                    "clientSecret": "secret-value",
                    "exchangeUrl": "https://auth.internal.example.com/token"
                }
            }
        }
    }' \
    --region us-east-1

使用 AWS CLI 搭配功能提供者使用私有連線

您可以透過包含 private-connection-name引數，向私有連線註冊 功能。以下是使用my-mcp-tool-connection私有連線向 API 金鑰授權註冊 MCP 伺服器的範例。將預留位置值取代為您自己的值。

aws devops-agent register-service \
    --service mcpserver \
    --private-connection-name my-mcp-tool-connection \
    --service-details '{
        "mcpserver": {
            "name": "my-mcp-tool",
            "endpoint": "https://mcp.internal.example.com",
            "authorizationConfig": {
                "apiKey": {
                    "apiKeyName": "api-key",
                    "apiKeyValue": "secret-value",
                    "apiKeyHeader": "x-api-key"
                }
            }
        }
    }' \
    --region us-east-1

驗證私有連線

私有連線達到作用中狀態且功能提供者已使用後，請確認 AWS DevOps 代理程式可以到達您的目標服務：

如果連線失敗，請檢查下列項目：

刪除私有連線

您可以使用 AWS 管理主控台或 CLI AWS 刪除未使用的私有連線。

使用主控台刪除私有連線

私有連線的狀態將顯示為「移除連線」，而 AWS DevOps 代理程式會從 VPC 中移除受管資源閘道和 ENIs。刪除完成後，連線不會再出現在私有連線清單中。

使用 CLI AWS 刪除私有連線

aws devops-agent delete-private-connection \
    --name my-mcp-tool-connection

回應會傳回 DELETE_IN_PROGRESS. AWS DevOps 代理程式的狀態，將受管資源閘道和 ENIs 從 VPC 中移除。刪除完成後，連線不會再出現在私有連線清單中。

使用現有 VPC Lattice 資源的進階設定

如果您的組織已使用 Amazon VPC Lattice 並管理您自己的資源組態，您可以在自我管理模式中建立私有連線。您可以提供指向目標服務的現有資源組態的 Amazon Resource Name (ARN)，而不是讓 AWS DevOps Agent 為您建立資源閘道。

當您：

若要使用 CLI AWS 建立自我管理的私有連線：

aws devops-agent create-private-connection \
    --name my-advanced-connection \
    --mode '{
        "selfManaged": {
            "resourceConfigurationId": "arn:aws:vpc-lattice:us-east-1:123456789012:resourceconfiguration/rcfg-0123456789abcdef0"
        }
    }'

如需設定 VPC Lattice 資源閘道和資源組態的詳細資訊，請參閱 Amazon VPC Lattice 使用者指南。

跨區域連線

私有連線必須在 AWS 與客服人員空間相同的區域中建立。如果您的目標服務在不同區域中執行，請使用自我管理模式搭配區域間 VPC 對等互連或 Transit Gateway 對等互連來彌補差距。

模式為：

例如，如果您的代理程式空間位於 ，us-east-1而您的 MCP 伺服器位於 ap-southeast-2：

aws devops-agent create-private-connection \
    --name cross-region-connection \
    --mode '{
        "selfManaged": {
            "resourceConfigurationId": "arn:aws:vpc-lattice:us-east-1:123456789012:resourceconfiguration/rcfg-0123456789abcdef0"
        }
    }' \
    --region us-east-1

相關主題