Connectez-vous aux ressources privées de votre VPC à l'aide de VPC Lattice

Amazon Bedrock AgentCore prend en charge la connectivité privée aux ressources hébergées dans votre AWS VPC ou aux environnements sur site connectés à votre VPC, tels que les serveurs MCP privés, les API REST internes ou les bases de données, sans exposer ces services à l'Internet public.

La connectivité privée est établie à l'aide des passerelles de ressources Amazon VPC Lattice et des configurations de ressources. Pour plus de détails sur les deux modes pris en charge (Lattice géré et autogéré), consultez la section Modes de sortie VPC pris en charge.

Concepts clés

Services Amazon Bedrock AgentCore pris en charge

Les AgentCore services Amazon Bedrock suivants prennent en charge la sortie VPC avec VPC Lattice :

Modes de sortie VPC pris en charge

Amazon Bedrock AgentCore prend en charge deux modes pour configurer la connectivité VPC Lattice :

Le tableau suivant récapitule les principales différences :

Pour en savoir plus sur les tarifs de VPC Lattice, consultez les tarifs d'Amazon VPC Lattice.

Option 1 : ressources VPC gérées

Avec les ressources VPC gérées, vous fournissez des informations sur votre VPC, votre sous-réseau et les groupes de sécurité facultatifs. AgentCore gère la création et la gestion du cycle de vie de la passerelle de ressources VPC Lattice et de la configuration des ressources en votre nom. La passerelle de ressources gérées enveloppe les ENI de votre VPC. Vous ne pouvez ni le modifier, ni le configurer, ni interagir avec lui. AgentCore possède son cycle de vie complet, y compris la création, la réutilisation et la suppression.

AgentCore utilise le rôle AWSServiceRoleForBedrockAgentCoreGatewayNetwork lié au service pour créer et gérer les passerelles de ressources VPC Lattice dans votre compte. Ce rôle est créé automatiquement la première fois que vous créez une cible de passerelle avec un point de terminaison privé géré. Pour plus d'informations sur ce rôle, consultez la section Rôle lié au service Gateway.

Conditions préalables

Avant de créer une cible de passerelle avec un point de terminaison privé géré, assurez-vous de ce qui suit :

Création d'une cible avec un point de terminaison privé géré

Pour créer une ressource avec un point de terminaison privé géré, incluez le privateEndpoint.managedVpcResource bloc dans votre demande de création.

{
  ...
  "privateEndpoint": {
    "managedVpcResource": {
      "vpcIdentifier": "vpc-0abc123def456",
      "subnetIds": ["subnet-0abc123", "subnet-0def456"],
      "endpointIpAddressType": "IPV4",
      "securityGroupIds": ["sg-0abc123def"]
    }
  },
  ...
}

Le managedVpcResource bloc accepte les champs suivants :

Afficher les ressources gérées

Une fois la ressource créée, appelez l'API Get appropriée (par exemple,GetGatewayTarget) pour afficher les ressources VPC Lattice gérées AgentCore créées en votre nom. Ils sont renvoyés dans le privateEndpointManagedResources champ de la réponse :

{
  ...
  "status": "READY",
  "privateEndpoint": {
    "managedVpcResource": {
      "vpcIdentifier": "vpc-0abc123def456",
      "subnetIds": ["subnet-0abc123", "subnet-0def456"],
      "endpointIpAddressType": "IPV4",
      "securityGroupIds": ["sg-0abc123def"]
    }
  },
  "privateEndpointManagedResources": [
    {
      "domain": "my-server.internal.example.com",
      "resourceGatewayArn": "arn:aws:vpc-lattice:us-east-1:123456789012:resourcegateway/rgw-abc123"
    }
  ]
}

resourceGatewayArnIl s'agit de l'ARN de la passerelle de ressources VPC Lattice AgentCore créée dans votre compte. AgentCore gère le cycle de vie complet de cette ressource : il réutilise la même passerelle de ressources pour les cibles dont les configurations de VPC et de sous-réseau correspondent, et la supprime lorsqu'elle n'est plus utilisée par aucune cible.

Option 2 : ressources en Self-managed treillis

Avec Lattice autogéré, vous créez et gérez vous-même la passerelle de ressources VPC Lattice et la configuration des ressources, puis vous fournissez l'identifiant de configuration des ressources à. AgentCore Utilisez cette option si vous avez déjà configuré des ressources VPC Lattice, si vous devez partager une configuration de ressources entre plusieurs services ou si vous avez besoin de contrôler le cycle de vie des ressources Lattice.

Conditions préalables

Avant de créer une cible de passerelle avec un point de terminaison privé autogéré, effectuez les étapes suivantes :

Configuration des ressources VPC Lattice pour une connectivité autogérée

Votre principal IAM a également besoin des autorisations suivantes AgentCore pour associer la configuration des ressources au réseau de AgentCore service en votre nom :

{
"Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "vpc-lattice:GetResourceConfiguration",
        "vpc-lattice:CreateServiceNetworkResourceAssociation",
        "vpc-lattice:GetServiceNetworkResourceAssociation",
        "vpc-lattice:ListServiceNetworkResourceAssociations",
        "vpc-lattice:AssociateViaAWSService"
      ],
      "Resource": "*"
    }
  ]
}

Créez une cible avec un point de terminaison privé autogéré

Pour créer une ressource avec un point de terminaison privé autogéré, incluez le privateEndpoint.selfManagedLatticeResource bloc dans votre demande de création :

{
  ...
  "privateEndpoint": {
    "selfManagedLatticeResource": {
      "resourceConfigurationIdentifier": "arn:aws:vpc-lattice:us-east-1:123456789012:resourceconfiguration/rcfg-abc123"
    }
  },
  ...
}

Il resourceConfigurationIdentifier peut s'agir de l'ARN ou de l'ID de la configuration des ressources VPC Lattice. AgentCore utilise vos informations d'identification (via des sessions d'accès direct) pour associer la configuration des ressources au réseau AgentCore de service.

Une fois la ressource créée, la réponse Get API l'inclut resourceAssociationArn dans le privateEndpointManagedResources champ. Si vous créez plusieurs ressources pointant vers la même configuration de ressources, réutilisez AgentCore automatiquement l'association de ressources du réseau de service existante.

Cross-account ressources privées

Vous pouvez vous connecter AgentCore à des ressources privées dans un AWS compte différent de celui qui possède la passerelle. Il s'agit d'un schéma courant pour les équipes de plateforme qui gèrent des passerelles centralisées tandis que les équipes de service individuelles possèdent les ressources privées.

Le compte du propriétaire de la ressource doit partager la configuration des ressources VPC Lattice avec le compte du propriétaire de la passerelle à l'aide de la RAM. AWS Le compte propriétaire de la passerelle fournit ensuite l'identifiant de configuration des ressources partagées lors de la création de la cible de passerelle.

Les étapes suivantes résument la configuration entre comptes :

Configurer une connectivité privée entre comptes

Acheminer le trafic via un domaine intermédiaire

Vous pouvez utiliser le routingDomain champ pour acheminer le trafic via un composant intermédiaire, tel qu'un point de terminaison VPC, un Application Load Balancer interne ou un Network Load Balancer, plutôt que directement vers votre domaine cible. Cela est utile lorsque vous souhaitez consolider plusieurs ressources privées derrière un point d'entrée unique (par exemple, en acheminant plusieurs passerelles d'API privées via un seul point de terminaison VPC afin de réduire le nombre de configurations de ressources et les coûts associés).

Lorsque vous utilisez un domaine de routage, le domaine que vous spécifiez pour votre cible (dans l'URL du point de terminaison MCP ou dans l'URL du serveur OpenAPI) doit être le nom DNS réel de votre ressource. routingDomainIl s'agit d'un domaine distinct AgentCore utilisé pour configurer la configuration des ressources VPC Lattice. Au moment de l'invocation, AgentCore achemine le trafic via le domaine de routage mais envoie des demandes avec le domaine cible réel comme nom d'hôte TLS SNI, afin que votre ressource reçoive les demandes adressées à son domaine réel.

Le domaine de routage peut être n'importe quel domaine qui achemine vers votre ressource privée au sein du VPC. Les options les plus courantes sont les suivantes :

Les étapes suivantes décrivent le flux de trafic lorsqu'un domaine de routage est utilisé :

Exemple : passerelle API privée avec domaine de routage VPCE

L'exemple suivant montre comment créer une cible de passerelle pour une API Gateway privée en utilisant son domaine VPCE comme domaine de routage. L'URL cible est le nom d'hôte privé de l'API Gateway et routingDomain le nom DNS VPCE :

{
  "name": "my-private-apigw-target",
  "privateEndpoint": {
    "managedVpcResource": {
      "vpcIdentifier": "vpc-0123456789abcdef0",
      "subnetIds": ["subnet-0123456789abcdef0", "subnet-0abcdef1234567890"],
      "endpointIpAddressType": "IPV4",
      "routingDomain": "<vpce-id>.execute-api.us-east-1.vpce.amazonaws.com"
    }
  },
  "targetConfiguration": {
    "mcp": {
      "openApiSchema": {
        "inlinePayload": "<OpenAPI spec JSON with server URL matching the public certificate domain, for example https://<api-id>.execute-api.<region>.amazonaws.com>"
      }
    }
  }
}

Solution pour les certificats privés : ALB

La sortie VPC nécessite que votre point de terminaison cible dispose d'un certificat TLS approuvé publiquement. Si votre ressource privée utilise un certificat émis par une autorité de certification privée (CA), la solution recommandée consiste à placer un Application Load Balancer (ALB) interne devant votre ressource.

Les étapes suivantes décrivent le flux de trafic :

Étape 1 : demander un certificat ACM public

Demandez un certificat public à ACM pour un domaine que vous possédez. Ce domaine sera utilisé comme URL cible. Pour obtenir des instructions, consultez la section Request a public certificate dans le guide de l'utilisateur de AWS Certificate Manager.

Étape 2 : Création d'un ALB interne

Créez un Application Load Balancer interne dans le même VPC que votre ressource privée. Pour obtenir des instructions, consultez Create an Application Load Balancer dans le guide de l'utilisateur d'Elastic Load Balancing. Assurez-vous de définir le schéma surinternal.

Étape 3 : Création d'un groupe IP-based cible

Créez un groupe cible ip dont le type de cible pointe vers l'adresse IP de votre ressource privée sur le port 443 (HTTPS) et enregistrez votre ressource privée en tant que cible. Pour obtenir des instructions, consultez la section Création d'un groupe cible dans le guide de l'utilisateur d'Elastic Load Balancing.

Étape 4 : Création d'un écouteur HTTPS avec transformation de l'en-tête de l'hôte

Créez un écouteur HTTPS sur le port 443 à l'aide du certificat ACM public. Ajoutez une règle d'écoute qui transforme l'en-tête Host du domaine public au domaine de la ressource privée avant le transfert.

aws elbv2 create-listener \
  --load-balancer-arn <alb-arn> \
  --protocol HTTPS \
  --port 443 \
  --certificates CertificateArn=<acm-certificate-arn> \
  --default-actions '[{
    "Type": "forward",
    "TargetGroupArn": "<target-group-arn>",
    "ForwardConfig": {
      "TargetGroups": [{"TargetGroupArn": "<target-group-arn>", "Weight": 1}]
    }
  }]'

Modifiez ensuite la règle de l'écouteur pour ajouter la transformation de l'en-tête de l'hôte :

aws elbv2 modify-rule \
  --rule-arn <default-rule-arn> \
  --actions '[{
    "Type": "forward",
    "TargetGroupArn": "<target-group-arn>",
    "ForwardConfig": {
      "TargetGroups": [{"TargetGroupArn": "<target-group-arn>", "Weight": 1}]
    }
  }]' \
  --transforms '[{
    "Type": "host-header",
    "HostHeaderConfig": {
      "Values": ["my-server.my-company.internal"]
    }
  }]'

Étape 5 : Configuration du point de terminaison privé

Utilisez le nom DNS ALB comme URL cible routingDomain et le domaine public de certification comme URL cible.

{
  ...
  "privateEndpoint": {
    "managedVpcResource": {
      "vpcIdentifier": "<vpc-id>",
      "subnetIds": ["<subnet-id-1>", "<subnet-id-2>"],
      "endpointIpAddressType": "IPV4",
      "routingDomain": "internal-my-alb-1234567890.us-west-2.elb.amazonaws.com"
    }
  },
  ...
}

L'URL cible de votre configuration cible doit utiliser https://my-server.my-company.com (le domaine de certification public), et non le domaine privé.

Service-linked rôle pour la sortie du VPC

Lorsque vous créez une cible de passerelle avec un point de terminaison privé géré (managedVpcResource), AgentCore utilise le rôle AWSServiceRoleForBedrockAgentCoreGatewayNetwork lié au service pour créer et gérer des passerelles de ressources VPC Lattice dans votre compte. Ce rôle est créé automatiquement la première fois que vous créez une cible de point de terminaison privée gérée, à condition que votre principal IAM dispose des iam:CreateServiceLinkedRole autorisations requises.

Le rôle lié à un service présente les principales caractéristiques suivantes :

Pour le document de politique complet et les instructions relatives à la création, à la modification et à la suppression de ce rôle, voir Rôle lié au service Gateway.

État de la cible et résolution des problèmes

Une fois que vous avez créé une ressource avec un point de terminaison privé, la ressource passe par un CREATING état lors de la configuration AgentCore des ressources VPC Lattice et de l'établissement de l'association du réseau de services. Vous pouvez surveiller le statut en appelant l'API Get appropriée (par exemple,GetGatewayTarget) et en vérifiant les statusReasons champs status et.

Le tableau suivant décrit les valeurs d'état courantes et leur signification :

Le tableau suivant décrit les problèmes courants et leurs solutions :

Limites et considérations

Tenez compte des limites suivantes lorsque vous utilisez la sortie VPC pour : AgentCore