Las traducciones son generadas a través de traducción automática. En caso de conflicto entre la traducción y la version original de inglés, prevalecerá la version en inglés.

Conexión a herramientas alojadas de forma privada

Descripción general de las conexiones privadas

AWS DevOps El agente se puede ampliar con herramientas personalizadas del Model Context Protocol (MCP) y otras integraciones que permiten al agente acceder a los sistemas internos, como los registros de paquetes privados, las plataformas de observabilidad autohospedadas, la documentación APIs interna y las instancias de control de código fuente (consulte:). Configuración de las capacidades del AWS DevOps agente Estos servicios suelen ejecutarse dentro de una Amazon Virtual Private Cloud (Amazon VPC) con acceso a Internet público o restringido, lo que significa que el AWS DevOps agente no puede acceder a ellos de forma predeterminada.

Las conexiones privadas para AWS DevOps Agent le permiten conectar de forma segura su Agent Space a los servicios que se ejecutan en su VPC sin exponerlos a la Internet pública. Las conexiones privadas funcionan con cualquier integración que necesite llegar a un punto final privado, incluidos los servidores MCP, las instancias de Grafana o Splunk autohospedadas y los sistemas de control de código fuente como GitHub Enterprise Server y Self-Managed. GitLab

Cómo funcionan las conexiones privadas

Una conexión privada crea una ruta de red segura entre el AWS DevOps agente y un recurso de destino en la VPC. De manera clandestina, AWS DevOps Agent utiliza Amazon VPC Lattice para establecer esta ruta de conectividad privada segura. VPC Lattice es un servicio de redes de aplicaciones que le permite conectar, proteger y supervisar la comunicación entre aplicaciones VPCs, cuentas y tipos de procesamiento, sin administrar la infraestructura de red subyacente.

Al crear una conexión privada, ocurre lo siguiente:

El AWS DevOps agente administra completamente la puerta de enlace de recursos y aparece como un recurso de solo lectura en su cuenta (nombreaidevops-{your-private-connection-name}). No necesita configurarlo ni mantenerlo. Los únicos recursos que se crean en la VPC se encuentran ENIs en las subredes que especifique. ENIs Sirven como punto de entrada para el tráfico privado y el servicio los administra en su totalidad. No aceptan conexiones entrantes de Internet y tú conservas el control total sobre su tráfico a través de tus propios grupos de seguridad.

Seguridad

Las conexiones privadas están diseñadas con varios niveles de seguridad:

Arquitectura

El siguiente diagrama muestra la ruta de red de una conexión privada.

En esta arquitectura:

Cree una conexión privada

Puede crear una conexión privada mediante la consola AWS de administración o la AWS CLI.

Requisitos previos

Antes de crear una conexión privada, compruebe que dispone de lo siguiente:

Las conexiones privadas son recursos a nivel de cuenta. Después de crear una conexión privada, puede reutilizarla en varias integraciones y espacios de agentes que necesiten llegar al mismo anfitrión.

Crea una conexión privada mediante la consola

El estado de la conexión cambia a Crear en curso. Este proceso puede tardar hasta 10 minutos. Cuando el estado cambia a Activo, la ruta de red está lista.

Si el estado cambia a Error al crear, compruebe lo siguiente:

Cree una conexión privada mediante la AWS CLI

Ejecute el siguiente comando para crear una conexión privada. Sustituya los valores de los marcadores de posición por los suyos propios.

aws devops-agent create-private-connection \
    --name my-mcp-tool-connection \
    --mode '{
        "serviceManaged": {
            "hostAddress": "mcp.internal.example.com",
            "vpcId": "vpc-0123456789abcdef0",
            "subnetIds": [
                "subnet-0123456789abcdef0",
                "subnet-0123456789abcdef1"
            ],
            "securityGroupIds": [
                "sg-0123456789abcdef0"
            ],
            "portRanges": ["443"]
        }
    }'

La respuesta incluye el nombre de la conexión y un estado deCREATE_IN_PROGRESS:

{
    "name": "my-mcp-tool-connection",
    "status": "CREATE_IN_PROGRESS",
    "resourceGatewayId": "rgw-0123456789abcdef0",
    "hostAddress": "mcp.internal.example.com",
    "vpcId": "vpc-0123456789abcdef0"
}

Para comprobar el estado de la conexión, utilice el describe-private-connection comando:

aws devops-agent describe-private-connection \
    --name my-mcp-tool-connection

Cuando el estado esACTIVE, tu conexión privada está lista para usarse.

Use una conexión privada con un proveedor de capacidades

Para usar una conexión privada, puede vincularse a ella durante el registro de un proveedor de capacidades. Las capacidades compatibles que se pueden usar con conexiones privadas incluyen: GitHubGitLab,MCP Server, yGrafana. Puede realizar este paso mediante la consola AWS de administración o la AWS CLI.

Utilice una conexión privada con un proveedor de servicios mediante la consola

En la consola del AWS DevOps agente, las conexiones privadas se pueden vincular a una capacidad durante el registro seleccionando la opción «Conectar al punto final mediante una conexión privada».

Utilice una conexión privada con un proveedor de capacidades mediante la AWS CLI

Puede registrar las capacidades con una conexión privada si incluye el private-connection-name argumento. A continuación, se muestra un ejemplo de cómo registrar un servidor MCP con la autorización de clave API mediante la conexión my-mcp-tool-connection privada. Sustituya los valores de los marcadores de posición por los suyos propios.

aws devops-agent register-service \
    --service mcpserver \
    --private-connection-name my-mcp-tool-connection \
    --service-details '{
        "mcpserver": {
            "name": "my-mcp-tool",
            "endpoint": "https://mcp.internal.example.com",
            "authorizationConfig": {
                "apiKey": {
                    "apiKeyName": "api-key",
                    "apiKeyValue": "secret-value",
                    "apiKeyHeader": "x-api-key"
                }
            }
        }
    }' \
    --region us-east-1

Verifica una conexión privada

Cuando la conexión privada alcance el estado Activo y la haya utilizado un proveedor de capacidades, compruebe que el AWS DevOps agente pueda acceder al servicio de destino:

Si se produce un error en la conexión, compruebe lo siguiente:

Elimine una conexión privada

Puede eliminar las conexiones privadas no utilizadas mediante la consola AWS de administración o la AWS CLI.

Elimine una conexión privada mediante la consola

La conexión privada se mostrará con el estado «Eliminando la conexión» mientras el AWS DevOps agente elimina la puerta de enlace de recursos gestionados y la elimina ENIs de su VPC. Una vez completada la eliminación, la conexión dejará de aparecer en la lista de conexiones privadas.

Eliminar una conexión privada mediante la AWS CLI

aws devops-agent delete-private-connection \
    --name my-mcp-tool-connection

La respuesta devuelve un estado deDELETE_IN_PROGRESS. AWS DevOps El agente elimina la puerta de enlace de recursos gestionados y ENIs la elimina de la VPC. Una vez completada la eliminación, la conexión ya no aparece en la lista de conexiones privadas.

Configuración avanzada con los recursos de VPC Lattice existentes

Si su organización ya utiliza Amazon VPC Lattice y administra sus propias configuraciones de recursos, puede crear una conexión privada en modo autogestionado. En lugar de que el AWS DevOps agente cree una puerta de enlace de recursos para usted, usted proporciona el nombre de recurso de Amazon (ARN) de una configuración de recursos existente que apunta a su servicio de destino.

Este enfoque resulta útil cuando:

Para crear una conexión privada autogestionada con la AWS CLI:

aws devops-agent create-private-connection \
    --name my-advanced-connection \
    --mode '{
        "selfManaged": {
            "resourceConfigurationId": "arn:aws:vpc-lattice:us-east-1:123456789012:resourceconfiguration/rcfg-0123456789abcdef0"
        }
    }'

Para obtener más información sobre la configuración de las pasarelas de recursos y las configuraciones de recursos de VPC Lattice, consulte la Guía del usuario de Amazon VPC Lattice.

Temas relacionados