Connect ke sumber daya pribadi di VPC Anda menggunakan VPC Lattice

Amazon Bedrock AgentCore mendukung konektivitas pribadi ke sumber daya yang dihosting di dalam AWS VPC atau lingkungan lokal yang terhubung ke VPC Anda, seperti server MCP pribadi, REST API internal, atau database, tanpa mengekspos layanan tersebut ke internet publik.

Konektivitas pribadi dibuat menggunakan gateway sumber daya Amazon VPC Lattice dan konfigurasi sumber daya. Untuk detail tentang dua mode yang didukung (Kisi terkelola dan dikelola sendiri), lihat Mode keluar VPC yang didukung.

Konsep Utama

Layanan Amazon Bedrock AgentCore yang didukung

AgentCore Layanan Amazon Bedrock berikut mendukung jalan keluar VPC dengan VPC Lattice:

Mode keluar VPC yang didukung

Amazon Bedrock AgentCore mendukung dua mode untuk mengonfigurasi konektivitas VPC Lattice:

Tabel berikut merangkum perbedaan utama:

Untuk detail harga VPC Lattice, lihat harga Amazon VPC Lattice.

Opsi 1: Sumber daya VPC yang dikelola

Dengan sumber daya VPC terkelola, Anda memberikan informasi VPC, subnet, dan grup keamanan opsional Anda. AgentCore menangani pembuatan dan manajemen siklus hidup gateway sumber daya VPC Lattice dan konfigurasi sumber daya atas nama Anda. Gateway sumber daya terkelola adalah pembungkus di sekitar ENI di VPC Anda. Anda tidak dapat memodifikasi, mengonfigurasi, atau berinteraksi dengannya. AgentCore memiliki siklus hidup penuhnya, termasuk pembuatan, penggunaan kembali, dan penghapusan.

AgentCore menggunakan peran AWSServiceRoleForBedrockAgentCoreGatewayNetwork terkait layanan untuk membuat dan mengelola gateway sumber daya VPC Lattice di akun Anda. Peran ini dibuat secara otomatis saat pertama kali Anda membuat target gateway dengan titik akhir pribadi terkelola. Untuk informasi selengkapnya tentang peran ini, lihat Peran terkait layanan Gateway.

Prasyarat

Sebelum membuat target gateway dengan endpoint pribadi terkelola, pastikan hal berikut:

Buat target dengan endpoint pribadi terkelola

Untuk membuat sumber daya dengan titik akhir pribadi terkelola, sertakan privateEndpoint.managedVpcResource blok dalam permintaan buat Anda.

{
  ...
  "privateEndpoint": {
    "managedVpcResource": {
      "vpcIdentifier": "vpc-0abc123def456",
      "subnetIds": ["subnet-0abc123", "subnet-0def456"],
      "endpointIpAddressType": "IPV4",
      "securityGroupIds": ["sg-0abc123def"]
    }
  },
  ...
}

managedVpcResourceBlok menerima bidang berikut:

Lihat sumber daya terkelola

Setelah resource dibuat, panggil Get API yang relevan (misalnya,GetGatewayTarget) untuk melihat resource VPC Lattice terkelola yang AgentCore dibuat atas nama Anda. Ini dikembalikan di privateEndpointManagedResources bidang respons:

{
  ...
  "status": "READY",
  "privateEndpoint": {
    "managedVpcResource": {
      "vpcIdentifier": "vpc-0abc123def456",
      "subnetIds": ["subnet-0abc123", "subnet-0def456"],
      "endpointIpAddressType": "IPV4",
      "securityGroupIds": ["sg-0abc123def"]
    }
  },
  "privateEndpointManagedResources": [
    {
      "domain": "my-server.internal.example.com",
      "resourceGatewayArn": "arn:aws:vpc-lattice:us-east-1:123456789012:resourcegateway/rgw-abc123"
    }
  ]
}

resourceGatewayArnIni adalah ARN dari gateway sumber daya VPC Lattice yang AgentCore dibuat di akun Anda. AgentCore mengelola siklus hidup penuh sumber daya ini: ia menggunakan kembali gateway sumber daya yang sama untuk target dengan konfigurasi VPC dan subnet yang cocok, dan menghapusnya ketika tidak lagi digunakan oleh target apa pun.

Opsi 2: Sumber Self-managed daya kisi

Dengan Lattice yang dikelola sendiri, Anda membuat dan mengelola sendiri gateway sumber daya VPC Lattice dan konfigurasi sumber daya, lalu berikan pengidentifikasi konfigurasi sumber daya ke. AgentCore Gunakan opsi ini jika Anda sudah memiliki sumber daya VPC Lattice yang dikonfigurasi, perlu berbagi konfigurasi sumber daya di beberapa layanan, atau memerlukan kontrol atas siklus hidup sumber daya Lattice.

Prasyarat

Sebelum membuat target gateway dengan endpoint pribadi yang dikelola sendiri, selesaikan langkah-langkah berikut:

Siapkan sumber daya VPC Lattice untuk konektivitas yang dikelola sendiri

Prinsipal IAM Anda juga memerlukan izin berikut untuk memungkinkan AgentCore mengaitkan konfigurasi sumber daya dengan jaringan AgentCore layanan atas nama Anda:

{
"Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "vpc-lattice:GetResourceConfiguration",
        "vpc-lattice:CreateServiceNetworkResourceAssociation",
        "vpc-lattice:GetServiceNetworkResourceAssociation",
        "vpc-lattice:ListServiceNetworkResourceAssociations",
        "vpc-lattice:AssociateViaAWSService"
      ],
      "Resource": "*"
    }
  ]
}

Buat target dengan endpoint pribadi yang dikelola sendiri

Untuk membuat sumber daya dengan titik akhir pribadi yang dikelola sendiri, sertakan privateEndpoint.selfManagedLatticeResource blok dalam permintaan pembuatan Anda:

{
  ...
  "privateEndpoint": {
    "selfManagedLatticeResource": {
      "resourceConfigurationIdentifier": "arn:aws:vpc-lattice:us-east-1:123456789012:resourceconfiguration/rcfg-abc123"
    }
  },
  ...
}

resourceConfigurationIdentifierDapat berupa ARN atau ID konfigurasi sumber daya VPC Lattice. AgentCore menggunakan kredensyal Anda (melalui Sesi Akses Teruskan) untuk mengaitkan konfigurasi sumber daya dengan jaringan AgentCore layanan.

Setelah resource dibuat, respons Get API menyertakan resourceAssociationArn in the privateEndpointManagedResources field. Jika Anda membuat beberapa sumber daya yang menunjuk ke konfigurasi sumber daya yang sama, AgentCore secara otomatis menggunakan kembali asosiasi sumber daya jaringan layanan yang ada.

Cross-account sumber daya pribadi

Anda dapat terhubung AgentCore ke sumber daya pribadi di AWS akun yang berbeda dari akun yang memiliki gateway. Ini adalah pola umum untuk tim platform yang mengelola gateway terpusat sementara tim layanan individu memiliki sumber daya pribadi.

Akun pemilik sumber daya harus membagikan konfigurasi sumber daya VPC Lattice dengan akun pemilik gateway menggunakan RAM. AWS Akun pemilik gateway kemudian menyediakan pengidentifikasi konfigurasi sumber daya bersama saat membuat target gateway.

Langkah-langkah berikut merangkum pengaturan lintas akun:

Siapkan konektivitas pribadi lintas akun

Rutekan lalu lintas melalui domain perantara

Anda dapat menggunakan routingDomain bidang untuk merutekan lalu lintas melalui komponen perantara — seperti titik akhir VPC, Application Load Balancer internal, atau Network Load Balancer — alih-alih langsung ke domain target Anda. Ini berguna ketika Anda ingin mengkonsolidasikan beberapa sumber daya pribadi di belakang satu titik masuk (misalnya, merutekan beberapa Gateway API pribadi melalui satu titik akhir VPC untuk mengurangi jumlah konfigurasi sumber daya dan biaya terkait).

Saat menggunakan domain perutean, domain yang Anda tentukan untuk target Anda (di URL endpoint MCP atau URL server OpenAPI) harus menjadi nama DNS sebenarnya dari sumber daya Anda. routingDomainIni adalah domain terpisah yang AgentCore digunakan untuk mengatur konfigurasi sumber daya VPC Lattice. Pada saat pemanggilan, AgentCore rute lalu lintas melalui domain routing tetapi mengirimkan permintaan dengan domain target aktual sebagai nama host TLS SNI, sehingga sumber daya Anda menerima permintaan yang ditujukan ke domain sebenarnya.

Domain perutean dapat berupa domain apa pun yang merutekan ke sumber daya pribadi Anda dalam VPC. Opsi umum meliputi:

Langkah-langkah berikut menjelaskan arus lalu lintas ketika domain routing digunakan:

Contoh: API Gateway Pribadi dengan domain perutean VPCE

Contoh berikut menunjukkan cara membuat target gateway untuk API Gateway pribadi menggunakan domain VPCE sebagai domain routing. URL target adalah nama host API Gateway pribadi, dan nama routingDomain DNS VPCE:

{
  "name": "my-private-apigw-target",
  "privateEndpoint": {
    "managedVpcResource": {
      "vpcIdentifier": "vpc-0123456789abcdef0",
      "subnetIds": ["subnet-0123456789abcdef0", "subnet-0abcdef1234567890"],
      "endpointIpAddressType": "IPV4",
      "routingDomain": "<vpce-id>.execute-api.us-east-1.vpce.amazonaws.com"
    }
  },
  "targetConfiguration": {
    "mcp": {
      "openApiSchema": {
        "inlinePayload": "<OpenAPI spec JSON with server URL matching the public certificate domain, for example https://<api-id>.execute-api.<region>.amazonaws.com>"
      }
    }
  }
}

Solusi untuk sertifikat pribadi: ALB

Jalan keluar VPC mengharuskan titik akhir target Anda memiliki sertifikat TLS tepercaya publik. Jika sumber daya pribadi Anda menggunakan sertifikat yang dikeluarkan oleh otoritas sertifikat pribadi (CA), solusi yang disarankan adalah menempatkan Application Load Balancer (ALB) internal di depan sumber daya Anda.

Langkah-langkah berikut menjelaskan arus lalu lintas:

Langkah 1: Minta sertifikat ACM publik

Minta sertifikat publik dari ACM untuk domain yang Anda miliki. Domain ini akan digunakan sebagai URL target. Untuk petunjuk, lihat Meminta sertifikat publik di Panduan Pengguna AWS Certificate Manager.

Langkah 2: Buat ALB internal

Buat Application Load Balancer internal di VPC yang sama dengan sumber daya pribadi Anda. Untuk petunjuk, lihat Membuat Application Load Balancer di Panduan Pengguna Elastic Load Balancing. Pastikan Anda mengatur skema keinternal.

Langkah 3: Buat grup IP-based target

Buat grup target dengan tipe target ip yang mengarah ke alamat IP sumber daya pribadi Anda di port 443 (HTTPS), dan daftarkan sumber daya pribadi Anda sebagai target. Untuk petunjuk, lihat Membuat grup target di Panduan Pengguna Elastic Load Balancing.

Langkah 4: Buat pendengar HTTPS dengan transformasi header host

Buat pendengar HTTPS di port 443 menggunakan sertifikat ACM publik. Tambahkan aturan listener yang mengubah header Host dari domain publik ke domain sumber daya pribadi sebelum meneruskan.

aws elbv2 create-listener \
  --load-balancer-arn <alb-arn> \
  --protocol HTTPS \
  --port 443 \
  --certificates CertificateArn=<acm-certificate-arn> \
  --default-actions '[{
    "Type": "forward",
    "TargetGroupArn": "<target-group-arn>",
    "ForwardConfig": {
      "TargetGroups": [{"TargetGroupArn": "<target-group-arn>", "Weight": 1}]
    }
  }]'

Kemudian ubah aturan listener untuk menambahkan transformasi header host:

aws elbv2 modify-rule \
  --rule-arn <default-rule-arn> \
  --actions '[{
    "Type": "forward",
    "TargetGroupArn": "<target-group-arn>",
    "ForwardConfig": {
      "TargetGroups": [{"TargetGroupArn": "<target-group-arn>", "Weight": 1}]
    }
  }]' \
  --transforms '[{
    "Type": "host-header",
    "HostHeaderConfig": {
      "Values": ["my-server.my-company.internal"]
    }
  }]'

Langkah 5: Konfigurasikan titik akhir pribadi

Gunakan nama DNS ALB sebagai routingDomain dan domain sertifikat publik sebagai URL target.

{
  ...
  "privateEndpoint": {
    "managedVpcResource": {
      "vpcIdentifier": "<vpc-id>",
      "subnetIds": ["<subnet-id-1>", "<subnet-id-2>"],
      "endpointIpAddressType": "IPV4",
      "routingDomain": "internal-my-alb-1234567890.us-west-2.elb.amazonaws.com"
    }
  },
  ...
}

URL target dalam konfigurasi target Anda harus menggunakan https://my-server.my-company.com (domain sertifikat publik), bukan domain pribadi.

Service-linked peran untuk jalan keluar VPC

Saat Anda membuat target gateway dengan endpoint pribadi terkelola (managedVpcResource), AgentCore gunakan peran AWSServiceRoleForBedrockAgentCoreGatewayNetwork terkait layanan untuk membuat dan mengelola gateway sumber daya VPC Lattice di akun Anda. Peran ini dibuat secara otomatis saat pertama kali Anda membuat target endpoint pribadi terkelola, asalkan kepala IAM Anda memiliki izin yang diperlukaniam:CreateServiceLinkedRole.

Peran terkait layanan memiliki karakteristik kunci berikut:

Untuk dokumen kebijakan lengkap dan instruksi untuk membuat, mengedit, dan menghapus peran ini, lihat Peran terkait layanan Gateway.

Status target dan pemecahan masalah

Setelah Anda membuat sumber daya dengan titik akhir pribadi, sumber daya akan melewati CREATING status saat AgentCore menyiapkan sumber daya VPC Lattice dan menetapkan asosiasi jaringan layanan. Anda dapat memantau status dengan memanggil Get API yang relevan (misalnya,GetGatewayTarget) dan memeriksa status dan statusReasons bidang.

Tabel berikut menjelaskan nilai status umum dan artinya:

Tabel berikut menjelaskan masalah umum dan solusinya:

Pertimbangan dan batasan

Waspadai batasan berikut saat menggunakan jalan keluar VPC untuk: AgentCore