Conéctese a los recursos privados de su VPC mediante VPC Lattice

Amazon Bedrock AgentCore admite la conectividad privada a los recursos alojados en su AWS VPC o a entornos locales conectados a su VPC, como servidores MCP privados, API REST internas o bases de datos, sin exponer esos servicios a la Internet pública.

La conectividad privada se establece mediante pasarelas de recursos y configuraciones de recursos de Amazon VPC Lattice. Para obtener más información sobre los dos modos compatibles (Lattice gestionado y autogestionado), consulte Modos de salida de VPC compatibles.

Conceptos clave

Servicios de Amazon Bedrock AgentCore compatibles

Los siguientes AgentCore servicios de Amazon Bedrock admiten la salida de VPC con VPC Lattice:

Modos de salida de VPC compatibles

Amazon Bedrock AgentCore admite dos modos de configuración de la conectividad de VPC Lattice:

En la siguiente tabla se resumen las principales diferencias:

Para obtener información detallada sobre los precios de VPC Lattice, consulte los precios de Amazon VPC Lattice.

Opción 1: recursos de VPC gestionados

Con los recursos de VPC gestionados, usted proporciona la información de su VPC, subred y grupo de seguridad opcional. AgentCore gestiona la creación y la gestión del ciclo de vida de la puerta de enlace de recursos de VPC Lattice y la configuración de los recursos en su nombre. La puerta de enlace de recursos gestionados es un envoltorio que rodea a los ENI de su VPC. No puede modificarla, configurarla ni interactuar con ella. AgentCore posee todo su ciclo de vida, incluidas la creación, la reutilización y la eliminación.

AgentCore usa la función AWSServiceRoleForBedrockAgentCoreGatewayNetwork vinculada al servicio para crear y administrar las pasarelas de recursos de VPC Lattice en su cuenta. Este rol se crea automáticamente la primera vez que se crea un destino de puerta de enlace con un punto final privado administrado. Para obtener más información sobre esta función, consulte Función vinculada al servicio de Gateway.

Requisitos previos

Antes de crear un destino de puerta de enlace con un punto final privado gestionado, asegúrese de lo siguiente:

Cree un objetivo con un punto final privado gestionado

Para crear un recurso con un punto final privado gestionado, incluye el privateEndpoint.managedVpcResource bloque en tu solicitud de creación.

{
  ...
  "privateEndpoint": {
    "managedVpcResource": {
      "vpcIdentifier": "vpc-0abc123def456",
      "subnetIds": ["subnet-0abc123", "subnet-0def456"],
      "endpointIpAddressType": "IPV4",
      "securityGroupIds": ["sg-0abc123def"]
    }
  },
  ...
}

El managedVpcResource bloque acepta los siguientes campos:

Ver los recursos gestionados

Una vez creado el recurso, llama a la API Get correspondiente (por ejemploGetGatewayTarget) para ver los recursos de VPC Lattice gestionados que se AgentCore crearon en tu nombre. Se muestran en el privateEndpointManagedResources campo de la respuesta:

{
  ...
  "status": "READY",
  "privateEndpoint": {
    "managedVpcResource": {
      "vpcIdentifier": "vpc-0abc123def456",
      "subnetIds": ["subnet-0abc123", "subnet-0def456"],
      "endpointIpAddressType": "IPV4",
      "securityGroupIds": ["sg-0abc123def"]
    }
  },
  "privateEndpointManagedResources": [
    {
      "domain": "my-server.internal.example.com",
      "resourceGatewayArn": "arn:aws:vpc-lattice:us-east-1:123456789012:resourcegateway/rgw-abc123"
    }
  ]
}

resourceGatewayArnEs el ARN de la puerta de enlace de recursos de VPC Lattice que AgentCore se creó en su cuenta. AgentCore administra el ciclo de vida completo de este recurso: reutiliza la misma puerta de enlace de recursos para los destinos con configuraciones de VPC y subred coincidentes, y la elimina cuando ningún destino ya no la utiliza.

Opción 2: recursos de Lattice Self-managed

Con Lattice autogestionado, usted mismo crea y administra la puerta de enlace de recursos y la configuración de recursos de VPC Lattice y, a continuación, proporciona el identificador de configuración de recursos a. AgentCore Utilice esta opción si ya tiene configurados los recursos de VPC Lattice, si necesita compartir una configuración de recursos entre varios servicios o si necesita controlar el ciclo de vida de los recursos de Lattice.

Requisitos previos

Antes de crear un destino de puerta de enlace con un terminal privado autogestionado, complete los siguientes pasos:

Configure los recursos de VPC Lattice para una conectividad autogestionada

Su director de IAM también necesita los siguientes permisos AgentCore para poder asociar la configuración de recursos a la red de AgentCore servicios en su nombre:

{
"Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "vpc-lattice:GetResourceConfiguration",
        "vpc-lattice:CreateServiceNetworkResourceAssociation",
        "vpc-lattice:GetServiceNetworkResourceAssociation",
        "vpc-lattice:ListServiceNetworkResourceAssociations",
        "vpc-lattice:AssociateViaAWSService"
      ],
      "Resource": "*"
    }
  ]
}

Cree un objetivo con un punto final privado autogestionado

Para crear un recurso con un punto final privado autogestionado, incluye el privateEndpoint.selfManagedLatticeResource bloque en tu solicitud de creación:

{
  ...
  "privateEndpoint": {
    "selfManagedLatticeResource": {
      "resourceConfigurationIdentifier": "arn:aws:vpc-lattice:us-east-1:123456789012:resourceconfiguration/rcfg-abc123"
    }
  },
  ...
}

resourceConfigurationIdentifierPuede ser el ARN o el ID de la configuración de recursos de VPC Lattice. AgentCore utiliza sus credenciales (mediante sesiones de acceso directo) para asociar la configuración de recursos a la red de servicios. AgentCore

Una vez creado el recurso, la respuesta de Get API la incluye resourceAssociationArn en el privateEndpointManagedResources campo. Si crea varios recursos que apuntan a la misma configuración de recursos, reutiliza AgentCore automáticamente la asociación de recursos de la red de servicios existente.

Cross-account recursos privados

Puede conectarse AgentCore a los recursos privados en una AWS cuenta diferente a la cuenta propietaria de la puerta de enlace. Este es un patrón común entre los equipos de plataformas que administran pasarelas centralizadas, mientras que los equipos de servicios individuales son propietarios de los recursos privados.

La cuenta del propietario del recurso debe compartir la configuración de recursos de VPC Lattice con la cuenta del propietario de la puerta de enlace mediante RAM. AWS A continuación, la cuenta del propietario de la puerta de enlace proporciona el identificador de configuración del recurso compartido al crear el destino de la puerta de enlace.

Los siguientes pasos resumen la configuración de varias cuentas:

Configura la conectividad privada entre cuentas

Dirija el tráfico a través de un dominio intermedio

Puedes usar el routingDomain campo para enrutar el tráfico a través de un componente intermedio, como un punto final de VPC, un Application Load Balancer interno o un Network Load Balancer, en lugar de dirigirlo directamente a tu dominio de destino. Esto resulta útil cuando desea consolidar varios recursos privados en un único punto de entrada (por ejemplo, enrutar varias puertas de enlace de API privadas a través de un único punto final de VPC para reducir la cantidad de configuraciones de recursos y los costos asociados).

Cuando utilice un dominio de enrutamiento, el dominio que especifique para su destino (en la URL del punto final del MCP o la URL del servidor OpenAPI) debe ser el nombre DNS real de su recurso. routingDomainEs un dominio independiente que se AgentCore utiliza para configurar la configuración de recursos de VPC Lattice. En el momento de la invocación, AgentCore enruta el tráfico a través del dominio de enrutamiento, pero envía las solicitudes con el dominio de destino real como nombre de host del SNI de TLS, de modo que el recurso reciba las solicitudes dirigidas a su dominio real.

El dominio de enrutamiento puede ser cualquier dominio que se dirija a su recurso privado dentro de la VPC. Entre las opciones habituales se incluyen las siguientes:

Los siguientes pasos describen el flujo de tráfico cuando se utiliza un dominio de enrutamiento:

Ejemplo: API Gateway privada con dominio de enrutamiento VPCE

El siguiente ejemplo muestra cómo crear un destino de puerta de enlace para una API Gateway privada utilizando su dominio VPCE como dominio de enrutamiento. La URL de destino es el nombre de host privado de API Gateway y routingDomain es el nombre DNS de VPCE:

{
  "name": "my-private-apigw-target",
  "privateEndpoint": {
    "managedVpcResource": {
      "vpcIdentifier": "vpc-0123456789abcdef0",
      "subnetIds": ["subnet-0123456789abcdef0", "subnet-0abcdef1234567890"],
      "endpointIpAddressType": "IPV4",
      "routingDomain": "<vpce-id>.execute-api.us-east-1.vpce.amazonaws.com"
    }
  },
  "targetConfiguration": {
    "mcp": {
      "openApiSchema": {
        "inlinePayload": "<OpenAPI spec JSON with server URL matching the public certificate domain, for example https://<api-id>.execute-api.<region>.amazonaws.com>"
      }
    }
  }
}

Solución alternativa para los certificados privados: ALB

La salida de la VPC requiere que el punto final de destino tenga un certificado TLS de confianza pública. Si su recurso privado utiliza un certificado emitido por una entidad de certificación (CA) privada, la solución alternativa recomendada es colocar un Application Load Balancer (ALB) interno delante del recurso.

Los siguientes pasos describen el flujo de tráfico:

Paso 1: solicite un certificado ACM público

Solicita un certificado público de ACM para un dominio de tu propiedad. Este dominio se utilizará como URL de destino. Para obtener instrucciones, consulte Solicitar un certificado público en la Guía del usuario de AWS Certificate Manager.

Paso 2: Crear un ALB interno

Cree un Application Load Balancer interno en la misma VPC que su recurso privado. Para obtener instrucciones, consulte Crear un balanceador de carga de aplicaciones en la Guía del usuario de Elastic Load Balancing. Asegúrese de configurar el esquema en. internal

Paso 3: Crear un grupo IP-based objetivo

Cree un grupo objetivo con un tipo de destino ip que apunte a la dirección IP de su recurso privado en el puerto 443 (HTTPS) y registre su recurso privado como objetivo. Para obtener instrucciones, consulte Crear un grupo objetivo en la Guía del usuario de Elastic Load Balancing.

Paso 4: Cree un agente de escucha HTTPS con la transformación del encabezado del host

Cree un agente de escucha HTTPS en el puerto 443 mediante el certificado ACM público. Agregue una regla de escucha que transforme el encabezado del host del dominio público al dominio del recurso privado antes de reenviarlo.

aws elbv2 create-listener \
  --load-balancer-arn <alb-arn> \
  --protocol HTTPS \
  --port 443 \
  --certificates CertificateArn=<acm-certificate-arn> \
  --default-actions '[{
    "Type": "forward",
    "TargetGroupArn": "<target-group-arn>",
    "ForwardConfig": {
      "TargetGroups": [{"TargetGroupArn": "<target-group-arn>", "Weight": 1}]
    }
  }]'

A continuación, modifique la regla de escucha para añadir la transformación del encabezado del host:

aws elbv2 modify-rule \
  --rule-arn <default-rule-arn> \
  --actions '[{
    "Type": "forward",
    "TargetGroupArn": "<target-group-arn>",
    "ForwardConfig": {
      "TargetGroups": [{"TargetGroupArn": "<target-group-arn>", "Weight": 1}]
    }
  }]' \
  --transforms '[{
    "Type": "host-header",
    "HostHeaderConfig": {
      "Values": ["my-server.my-company.internal"]
    }
  }]'

Paso 5: Configure el punto final privado

Utilice el nombre DNS de ALB como URL routingDomain y el dominio de certificado público como URL de destino.

{
  ...
  "privateEndpoint": {
    "managedVpcResource": {
      "vpcIdentifier": "<vpc-id>",
      "subnetIds": ["<subnet-id-1>", "<subnet-id-2>"],
      "endpointIpAddressType": "IPV4",
      "routingDomain": "internal-my-alb-1234567890.us-west-2.elb.amazonaws.com"
    }
  },
  ...
}

La URL de destino de su configuración de destino debe usar https://my-server.my-company.com (el dominio de certificado público), no el dominio privado.

Service-linked función para la salida de VPC

Cuando crea un destino de puerta de enlace con un punto de enlace privado administrado (managedVpcResource), AgentCore utiliza la función AWSServiceRoleForBedrockAgentCoreGatewayNetwork vinculada al servicio para crear y administrar las puertas de enlace de recursos de VPC Lattice en su cuenta. Esta función se crea automáticamente la primera vez que se crea un destino de punto final privado gestionado, siempre que el director de IAM cuente con el permiso necesario. iam:CreateServiceLinkedRole

El rol vinculado al servicio tiene las siguientes características clave:

Para ver el documento de política completo y las instrucciones para crear, editar y eliminar este rol, consulte el rol vinculado a un servicio de Gateway.

Estado de Target y solución de problemas

Tras crear un recurso con un punto final privado, el recurso pasa por un CREATING estado mientras AgentCore se configuran los recursos de VPC Lattice y se establece la asociación de la red de servicios. Puede supervisar el estado llamando a la API Get correspondiente (por ejemploGetGatewayTarget) y comprobando los campos status ystatusReasons.

En la siguiente tabla se describen los valores de estado más comunes y sus significados:

En la siguiente tabla se describen los problemas más comunes y sus soluciones:

Limitaciones y consideraciones

Tenga en cuenta las siguientes limitaciones al utilizar la salida de VPC para: AgentCore