Les traductions sont fournies par des outils de traduction automatique. En cas de conflit entre le contenu d'une traduction et celui de la version originale en anglais, la version anglaise prévaudra.

Connexion à des outils hébergés en privé

Vue d'ensemble des connexions privées

AWS DevOps L'agent peut être étendu à l'aide d'outils MCP (Model Context Protocol) personnalisés et d'autres intégrations qui permettent à l'agent d'accéder à des systèmes internes tels que des registres de packages privés, des plateformes d'observabilité auto-hébergées, des API de documentation internes et des instances de contrôle de code source (voir :). Configuration des intégrations et des connaissances Ces services sont souvent exécutés dans un Amazon Virtual Private Cloud (Amazon VPC) avec un accès Internet public restreint ou inexistant, ce qui signifie que AWS DevOps l'agent ne peut pas les atteindre par défaut.

Les connexions privées pour AWS DevOps Agent vous permettent de connecter en toute sécurité votre espace d'agent aux services exécutés sur votre VPC sans les exposer à l'Internet public. Les connexions privées fonctionnent avec toutes les intégrations qui doivent atteindre un point de terminaison privé, y compris les serveurs MCP, les instances Grafana ou Splunk auto-hébergées et les systèmes de contrôle de source tels que GitHub Enterprise Server et. GitLab Self-Managed

Comment fonctionnent les connexions privées

Une connexion privée crée un chemin réseau sécurisé entre AWS DevOps l'agent et une ressource cible dans votre VPC. Sous le capot, l' AWS DevOps agent utilise Amazon VPC Lattice pour établir ce chemin de connectivité privé sécurisé. VPC Lattice est un service de réseau d'applications qui vous permet de connecter, de sécuriser et de surveiller les communications entre les applications sur l'ensemble des VPC, des comptes et des types de calcul, sans gérer l'infrastructure réseau sous-jacente.

Lorsque vous créez une connexion privée, les événements suivants se produisent :

La passerelle de ressources est entièrement gérée par AWS DevOps l'agent et apparaît en tant que ressource en lecture seule dans votre compte (nomméeaidevops-{your-private-connection-name}). Vous n'avez pas besoin de le configurer ni de le gérer. Les seules ressources créées dans votre VPC sont les ENI des sous-réseaux que vous spécifiez. Ces ENI servent de point d'entrée pour le trafic privé et sont entièrement gérés par le service. Ils n'acceptent pas les connexions entrantes depuis Internet et vous conservez le contrôle total de leur trafic via vos propres groupes de sécurité.

Sécurité

Les connexions privées sont conçues avec plusieurs niveaux de sécurité :

Architecture

Le schéma suivant montre le chemin réseau pour une connexion privée.

Dans cette architecture :

Configuration des règles de pare-feu pour les connexions privées

Dans le cas des connexions privées, le trafic de AWS DevOps l'agent vers votre outil hébergé en privé provient des ENI Resource Gateway des sous-réseaux que vous avez spécifiés lors de la création de la connexion privée. Cela diffère des connexions aux outils hébergés publiquement, qui utilisent les adresses IP statiques répertoriées sur la page Sécurité.

Pour autoriser le trafic des AWS DevOps agents à atteindre votre outil hébergé en privé, procédez comme suit :

Pour trouver les blocs d'adresse CIDR de votre sous-réseau, exécutez la commande suivante avec les ID de sous-réseau que vous avez spécifiés lors de la création de la connexion privée :

aws ec2 describe-subnets \
    --subnet-ids subnet-0123456789abcdef0 subnet-0123456789abcdef1 \
    --query 'Subnets[*].[SubnetId,CidrBlock]' \
    --output table

Créez une connexion privée

Vous pouvez créer une connexion privée à l'aide de la console de AWS gestion ou de l' AWS interface de ligne de commande.

Conditions préalables

Avant de créer une connexion privée, vérifiez que vous disposez des éléments suivants :

Les connexions privées sont des ressources au niveau du compte. Une fois que vous avez créé une connexion privée, vous pouvez la réutiliser dans plusieurs intégrations et espaces d'agent qui doivent atteindre le même hôte.

Création d'une connexion privée à l'aide de la console

L'état de la connexion passe à Création en cours. Ce processus peut prendre jusqu'à 10 minutes. Lorsque l'état passe à Actif, le chemin réseau est prêt.

Si le statut passe à Create failed, vérifiez les points suivants :

Créez une connexion privée à l'aide du AWS INTERFACE DE LIGNE DE COMMANDE (CLI)

Exécutez la commande suivante pour créer une connexion privée. Remplacez les valeurs des espaces réservés par les vôtres.

aws devops-agent create-private-connection \
    --name my-mcp-tool-connection \
    --mode '{
        "serviceManaged": {
            "hostAddress": "mcp.internal.example.com",
            "vpcId": "vpc-0123456789abcdef0",
            "subnetIds": [
                "subnet-0123456789abcdef0",
                "subnet-0123456789abcdef1"
            ],
            "securityGroupIds": [
                "sg-0123456789abcdef0"
            ],
            "portRanges": ["443"],
            "dnsResolution": "PUBLIC"
        }
    }'

Le dnsResolution champ contrôle la manière dont le nom hostAddress DNS est résolu. Les valeurs valides sont PUBLIC (valeur par défaut en cas d'omission) etIN_VPC. À utiliser IN_VPC lorsque votre adresse d'hôte est résolue uniquement dans votre VPC (par exemple, un nom dans une zone hébergée privée). Si vous spécifiez une adresse IP pourhostAddress, ce champ n'a aucun effet.

La réponse inclut le nom de la connexion et l'état suivant CREATE_IN_PROGRESS :

{
    "name": "my-mcp-tool-connection",
    "status": "CREATE_IN_PROGRESS",
    "resourceGatewayId": "rgw-0123456789abcdef0",
    "hostAddress": "mcp.internal.example.com",
    "vpcId": "vpc-0123456789abcdef0"
}

Pour vérifier l'état de la connexion, utilisez la describe-private-connection commande suivante :

aws devops-agent describe-private-connection \
    --name my-mcp-tool-connection

Lorsque le statut est définiACTIVE, votre connexion privée est prête à être utilisée.

Utiliser une connexion privée avec un fournisseur de fonctionnalités

Pour utiliser une connexion privée, vous pouvez créer un lien vers celle-ci lors de l'enregistrement d'un fournisseur de fonctionnalités. Les fonctionnalités prises en charge qui peuvent être utilisées avec des connexions privées incluent : GitHub GitLabMCP Server,Remote Agent, etGrafana. Vous pouvez effectuer cette étape à l'aide de la console de AWS gestion ou de l' AWS interface de ligne de commande.

Utiliser une connexion privée avec un fournisseur de fonctionnalités à l'aide de la console

Dans la console de l' AWS DevOps agent, les connexions privées peuvent être liées à une fonctionnalité lors de l'enregistrement en sélectionnant l'option « Se connecter au terminal à l'aide d'une connexion privée ».

Adresse de l'hôte et URL du point de terminaison

Une connexion privée et un fournisseur de fonctionnalités utilisent chacun une adresse. Les deux ne sont pas interchangeables :

Les deux valeurs ne doivent pas nécessairement être identiques, de sorte qu'un nom d'hôte qui se résout uniquement à l'intérieur de votre VPC ne doit pas nécessairement apparaître dans l'adresse de l'hôte. Si le nom d'hôte de votre service est privé pour votre VPC, deux options s'offrent à vous :

Vous choisissez le mode de résolution DNS lorsque vous créez la connexion. Choisissez donc l'option que vous souhaitez en premier. Pour plus d'informations sur les symptômes provoqués par une incompatibilité entre ces deux valeurs, consultez la section Une adresse d'hôte DNS ne se résout pas ou le trafic atteint le mauvais endroit.

Routage du terminal et échange de jetons OAuth via différentes connexions privées

Pour les fournisseurs de fonctionnalités de serveur OAuth-based MCP et d'agent distant, l'agent envoie des requêtes à deux points de terminaison différents : l'URL cible (le point de terminaison du serveur MCP ou de l'agent distant que vous enregistrez) et l'URL d'échange (le point de terminaison d'échange de jetons OAuth). Par défaut, un seul privateConnectionName est utilisé pour les deux. Si ces deux points de terminaison sont accessibles via différents chemins de réseau privé, vous pouvez acheminer chacun d'eux via sa propre connexion privée en utilisant targetUrlPrivateConnectionName et à la exchangeUrlPrivateConnectionName place :

Vous pouvez spécifier l'un ou l'autre ou les deux. Si vous n'en définissez qu'un, l'autre point de terminaison est atteint via l'Internet public (il ne revient pas à l'autre connexion privée).

L'exemple suivant enregistre un serveur MCP d'identification du client OAuth qui atteint son point de terminaison et son point de terminaison d'échange de jetons via deux connexions privées distinctes :

aws devops-agent register-service \
    --service mcpserver \
    --target-url-private-connection-name my-target-connection \
    --exchange-url-private-connection-name my-exchange-connection \
    --service-details '{
        "mcpserver": {
            "name": "my-mcp-tool",
            "endpoint": "https://mcp.internal.example.com",
            "authorizationConfig": {
                "oAuthClientCredentials": {
                    "clientName": "MyOAuthClient",
                    "clientId": "client-id",
                    "clientSecret": "secret-value",
                    "exchangeUrl": "https://auth.internal.example.com/token"
                }
            }
        }
    }' \
    --region us-east-1

Utilisez une connexion privée avec un fournisseur de fonctionnalités à l'aide du AWS INTERFACE DE LIGNE DE COMMANDE (CLI)

Vous pouvez enregistrer des fonctionnalités à l'aide d'une connexion privée en incluant l'private-connection-nameargument. Vous trouverez ci-dessous un exemple d'enregistrement d'un serveur MCP avec une autorisation par clé API à l'aide de la connexion my-mcp-tool-connection privée. Remplacez les valeurs des espaces réservés par les vôtres.

aws devops-agent register-service \
    --service mcpserver \
    --private-connection-name my-mcp-tool-connection \
    --service-details '{
        "mcpserver": {
            "name": "my-mcp-tool",
            "endpoint": "https://mcp.internal.example.com",
            "authorizationConfig": {
                "apiKey": {
                    "apiKeyName": "api-key",
                    "apiKeyValue": "secret-value",
                    "apiKeyHeader": "x-api-key"
                }
            }
        }
    }' \
    --region us-east-1

Vérifier une connexion privée

Une fois que la connexion privée a atteint l'état actif et a été utilisée par un fournisseur de fonctionnalités, vérifiez que AWS DevOps l'agent peut atteindre votre service cible :

Si la connexion échoue, vérifiez les points suivants :

Supprimer une connexion privée

Vous pouvez supprimer les connexions privées non utilisées à l'aide de la console AWS de gestion ou de l' AWS interface de ligne de commande.

Supprimer une connexion privée à l'aide de la console

La connexion privée sera affichée avec le statut « Suppression de la connexion » pendant que l' AWS DevOps agent supprime la passerelle de ressources gérées et les ENI de votre VPC. Une fois la suppression terminée, la connexion n'apparaît plus dans votre liste de connexions privées.

Supprimez une connexion privée à l'aide du AWS INTERFACE DE LIGNE DE COMMANDE (CLI)

aws devops-agent delete-private-connection \
    --name my-mcp-tool-connection

La réponse renvoie un statut deDELETE_IN_PROGRESS. AWS DevOps L'agent supprime la passerelle de ressources gérées et les ENI de votre VPC. Une fois la suppression terminée, la connexion n'apparaît plus dans votre liste de connexions privées.

Configuration avancée à l'aide des ressources VPC Lattice existantes

Si votre organisation utilise déjà Amazon VPC Lattice et gère vos propres configurations de ressources, vous pouvez créer une connexion privée en mode autogéré. Au lieu de demander à AWS DevOps l'agent de créer une passerelle de ressources pour vous, vous devez fournir le nom de ressource Amazon (ARN) d'une configuration de ressources existante qui pointe vers votre service cible.

Cette approche est utile lorsque vous :

Pour créer une connexion privée autogérée à l'aide de l' AWS interface de ligne de commande :

aws devops-agent create-private-connection \
    --name my-advanced-connection \
    --mode '{
        "selfManaged": {
            "resourceConfigurationId": "arn:aws:vpc-lattice:us-east-1:123456789012:resourceconfiguration/rcfg-0123456789abcdef0"
        }
    }'

Pour plus de détails sur la configuration des passerelles de ressources VPC Lattice et des configurations de ressources, consultez le guide de l'utilisateur Amazon VPC Lattice.

Cross-region connectivité

Les connexions privées doivent être créées dans la même AWS région que votre espace agent. Si votre service cible s'exécute dans une autre région, utilisez le mode autogéré avec un peering VPC interrégional ou un peering Transit Gateway pour combler le fossé.

Le schéma est le suivant :

Par exemple, si votre espace agent us-east-1 et votre serveur MCP se trouvent dans ap-southeast-2 :

aws devops-agent create-private-connection \
    --name cross-region-connection \
    --mode '{
        "selfManaged": {
            "resourceConfigurationId": "arn:aws:vpc-lattice:us-east-1:123456789012:resourceconfiguration/rcfg-0123456789abcdef0"
        }
    }' \
    --region us-east-1

Rubriques associées