Les traductions sont fournies par des outils de traduction automatique. En cas de conflit entre le contenu d'une traduction et celui de la version originale en anglais, la version anglaise prévaudra.

Connexion à des outils hébergés en privé

Vue d'ensemble des connexions privées

AWS DevOps L'agent peut être étendu à l'aide d'outils MCP (Model Context Protocol) personnalisés et d'autres intégrations qui permettent à l'agent d'accéder à des systèmes internes tels que des registres de packages privés, des plateformes d'observabilité auto-hébergées, de la documentation APIs interne et des instances de contrôle de source (voir :). Configuration des fonctionnalités de AWS DevOps l'agent Ces services s'exécutent souvent au sein d'un Amazon Virtual Private Cloud (Amazon VPC) avec un accès Internet public restreint ou inexistant, ce qui signifie que AWS DevOps l'agent ne peut pas les atteindre par défaut.

Les connexions privées pour AWS DevOps Agent vous permettent de connecter en toute sécurité votre espace agent aux services exécutés dans votre VPC sans les exposer à l'Internet public. Les connexions privées fonctionnent avec toute intégration qui doit atteindre un point de terminaison privé, y compris les serveurs MCP, les instances Grafana ou Splunk auto-hébergées et les systèmes de contrôle de source tels que GitHub Enterprise Server et Self-Managed. GitLab

Comment fonctionnent les connexions privées

Une connexion privée crée un chemin réseau sécurisé entre AWS DevOps l'agent et une ressource cible dans votre VPC. En arrière-plan, l' AWS DevOps agent utilise Amazon VPC Lattice pour établir ce chemin de connectivité privé sécurisé. VPC Lattice est un service de mise en réseau d'applications qui vous permet de connecter, de sécuriser et de surveiller les communications entre les applications VPCs, les comptes et les types de calcul, sans gérer l'infrastructure réseau sous-jacente.

Lorsque vous créez une connexion privée, les événements suivants se produisent :

La passerelle de ressources est entièrement gérée par AWS DevOps l'Agent et apparaît sous forme de ressource en lecture seule dans votre compte (nomméeaidevops-{your-private-connection-name}). Vous n'avez pas besoin de le configurer ou de le maintenir. Les seules ressources créées dans votre VPC se trouvent ENIs dans les sous-réseaux que vous spécifiez. Ils ENIs servent de point d'entrée au trafic privé et sont entièrement gérés par le service. Ils n'acceptent pas les connexions entrantes en provenance d'Internet, et vous conservez le contrôle total de leur trafic par le biais de vos propres groupes de sécurité.

Sécurité

Les connexions privées sont conçues avec plusieurs niveaux de sécurité :

Architecture

Le schéma suivant montre le chemin réseau pour une connexion privée.

Dans cette architecture :

Création d'une connexion privée

Vous pouvez créer une connexion privée à l'aide de la console AWS de gestion ou de la AWS CLI.

Conditions préalables

Avant de créer une connexion privée, vérifiez que vous disposez des éléments suivants :

Les connexions privées sont des ressources au niveau du compte. Après avoir créé une connexion privée, vous pouvez la réutiliser dans plusieurs intégrations et espaces d'agent qui doivent atteindre le même hôte.

Création d'une connexion privée à l'aide de la console

L'état de la connexion passe à Créer en cours. Ce processus peut prendre jusqu'à 10 minutes. Lorsque le statut passe à Actif, le chemin réseau est prêt.

Si le statut passe à l'état « échec de la création », vérifiez les points suivants :

Création d'une connexion privée à l'aide de la AWS CLI

Exécutez la commande suivante pour créer une connexion privée. Remplacez les valeurs de l'espace réservé par les vôtres.

aws devops-agent create-private-connection \
    --name my-mcp-tool-connection \
    --mode '{
        "serviceManaged": {
            "hostAddress": "mcp.internal.example.com",
            "vpcId": "vpc-0123456789abcdef0",
            "subnetIds": [
                "subnet-0123456789abcdef0",
                "subnet-0123456789abcdef1"
            ],
            "securityGroupIds": [
                "sg-0123456789abcdef0"
            ],
            "portRanges": ["443"]
        }
    }'

La réponse inclut le nom de la connexion et le statut suivant CREATE_IN_PROGRESS :

{
    "name": "my-mcp-tool-connection",
    "status": "CREATE_IN_PROGRESS",
    "resourceGatewayId": "rgw-0123456789abcdef0",
    "hostAddress": "mcp.internal.example.com",
    "vpcId": "vpc-0123456789abcdef0"
}

Pour vérifier l'état de la connexion, utilisez la describe-private-connection commande suivante :

aws devops-agent describe-private-connection \
    --name my-mcp-tool-connection

Lorsque le statut est définiACTIVE, votre connexion privée est prête à être utilisée.

Utiliser une connexion privée avec un fournisseur de fonctionnalités

Pour utiliser une connexion privée, vous pouvez créer un lien vers celle-ci lors de l'enregistrement d'un fournisseur de fonctionnalités. Les fonctionnalités prises en charge qui peuvent être utilisées avec des connexions privées sont les suivantes : GitHub GitLabMCP Server,, etGrafana. Vous pouvez effectuer cette étape à l'aide de la console AWS de gestion ou de la AWS CLI.

Utiliser une connexion privée avec un fournisseur de fonctionnalités à l'aide de la console

Dans la console de l' AWS DevOps agent, les connexions privées peuvent être liées à une fonctionnalité lors de l'enregistrement en sélectionnant l'option « Se connecter au point de terminaison à l'aide d'une connexion privée ».

Utiliser une connexion privée avec un fournisseur de capacités à l'aide de la AWS CLI

Vous pouvez enregistrer des fonctionnalités avec une connexion privée en incluant l'private-connection-nameargument. Vous trouverez ci-dessous un exemple d'enregistrement d'un serveur MCP avec une autorisation par clé d'API à l'aide de la connexion my-mcp-tool-connection privée. Remplacez les valeurs de l'espace réservé par les vôtres.

aws devops-agent register-service \
    --service mcpserver \
    --private-connection-name my-mcp-tool-connection \
    --service-details '{
        "mcpserver": {
            "name": "my-mcp-tool",
            "endpoint": "https://mcp.internal.example.com",
            "authorizationConfig": {
                "apiKey": {
                    "apiKeyName": "api-key",
                    "apiKeyValue": "secret-value",
                    "apiKeyHeader": "x-api-key"
                }
            }
        }
    }' \
    --region us-east-1

Vérifier une connexion privée

Une fois que la connexion privée a atteint l'état Active et a été utilisée par un fournisseur de fonctionnalités, vérifiez que AWS DevOps l'agent peut atteindre votre service cible :

Si la connexion échoue, vérifiez les points suivants :

Supprimer une connexion privée

Vous pouvez supprimer les connexions privées non utilisées à l'aide de la console AWS de gestion ou de la AWS CLI.

Supprimer une connexion privée à l'aide de la console

La connexion privée sera affichée avec le statut « Suppression de la connexion » pendant que l' AWS DevOps agent supprime la passerelle de ressources gérées et ENIs de votre VPC. Une fois la suppression terminée, la connexion n'apparaît plus dans votre liste de connexions privées.

Supprimer une connexion privée à l'aide de la AWS CLI

aws devops-agent delete-private-connection \
    --name my-mcp-tool-connection

La réponse renvoie un statut deDELETE_IN_PROGRESS. AWS DevOps L'agent supprime la passerelle de ressources gérées et la supprime ENIs de votre VPC. Une fois la suppression terminée, la connexion n'apparaît plus dans votre liste de connexions privées.

Configuration avancée à l'aide des ressources VPC Lattice existantes

Si votre organisation utilise déjà Amazon VPC Lattice et gère ses propres configurations de ressources, vous pouvez créer une connexion privée en mode autogéré. Au lieu de demander à AWS DevOps l'agent de créer une passerelle de ressources pour vous, vous fournissez le nom de ressource Amazon (ARN) d'une configuration de ressources existante qui pointe vers votre service cible.

Cette approche est utile lorsque vous :

Pour créer une connexion privée autogérée avec la AWS CLI :

aws devops-agent create-private-connection \
    --name my-advanced-connection \
    --mode '{
        "selfManaged": {
            "resourceConfigurationId": "arn:aws:vpc-lattice:us-east-1:123456789012:resourceconfiguration/rcfg-0123456789abcdef0"
        }
    }'

Pour plus de détails sur la configuration des passerelles de ressources VPC Lattice et des configurations de ressources, consultez le guide de l'utilisateur Amazon VPC Lattice.

Rubriques en relation