Terjemahan disediakan oleh mesin penerjemah. Jika konten terjemahan yang diberikan bertentangan dengan versi bahasa Inggris aslinya, utamakan versi bahasa Inggris.

Menghubungkan ke alat yang dihosting secara pribadi

Ikhtisar koneksi pribadi

AWS DevOps Agen dapat diperluas dengan alat Model Context Protocol (MCP) kustom dan integrasi lain yang memberikan agen akses ke sistem internal seperti registrasi paket pribadi, platform observabilitas yang dihosting sendiri, API dokumentasi internal, dan instance kontrol sumber (lihat:). Mengkonfigurasi integrasi dan pengetahuan Layanan ini sering berjalan di dalam Amazon Virtual Private Cloud (Amazon VPC) dengan akses internet publik terbatas atau tidak ada, yang berarti AWS DevOps Agen tidak dapat menjangkau mereka secara default.

Koneksi pribadi untuk AWS DevOps Agen memungkinkan Anda menghubungkan Ruang Agen Anda dengan aman ke layanan yang berjalan di VPC Anda tanpa memaparkannya ke internet publik. Koneksi pribadi bekerja dengan integrasi apa pun yang perlu mencapai titik akhir pribadi, termasuk server MCP, instans Grafana atau Splunk yang dihosting sendiri, dan sistem kontrol sumber seperti Server Perusahaan dan. GitHub GitLab Self-Managed

Cara kerja koneksi pribadi

Koneksi pribadi menciptakan jalur jaringan yang aman antara AWS DevOps Agen dan sumber daya target di VPC Anda. Di bawah tenda, AWS DevOps Agen menggunakan Amazon VPC Lattice untuk membuat jalur konektivitas pribadi yang aman ini. VPC Lattice adalah layanan jaringan aplikasi yang memungkinkan Anda terhubung, mengamankan, dan memantau komunikasi antara aplikasi di seluruh VPC, akun, dan jenis komputasi, tanpa mengelola infrastruktur jaringan yang mendasarinya.

Saat Anda membuat koneksi pribadi, hal berikut terjadi:

Gateway sumber daya sepenuhnya dikelola oleh AWS DevOps Agen dan muncul sebagai sumber daya hanya-baca di akun Anda (bernamaaidevops-{your-private-connection-name}). Anda tidak perlu mengkonfigurasi atau memeliharanya. Satu-satunya sumber daya yang dibuat di VPC Anda adalah ENI di subnet yang Anda tentukan. ENI ini berfungsi sebagai titik masuk untuk lalu lintas pribadi dan dikelola sepenuhnya oleh layanan. Mereka tidak menerima koneksi masuk dari internet, dan Anda mempertahankan kontrol penuh atas lalu lintas mereka melalui grup keamanan Anda sendiri.

Keamanan

Koneksi pribadi dirancang dengan beberapa lapisan keamanan:

Arsitektur

Diagram berikut menunjukkan jalur jaringan untuk koneksi pribadi.

Dalam arsitektur ini:

Mengkonfigurasi aturan firewall untuk koneksi pribadi

Dengan koneksi pribadi, lalu lintas dari AWS DevOps Agen ke alat yang dihosting secara pribadi berasal dari ENIS Resource Gateway di subnet yang Anda tentukan selama pembuatan koneksi pribadi. Ini berbeda dari koneksi alat yang dihosting publik, yang menggunakan alamat IP statis yang tercantum di halaman Keamanan.

Untuk memungkinkan lalu lintas AWS DevOps Agen mencapai alat yang dihosting secara pribadi:

Untuk menemukan blok CIDR subnet Anda, jalankan perintah berikut dengan ID subnet yang Anda tentukan selama pembuatan koneksi pribadi:

aws ec2 describe-subnets \
    --subnet-ids subnet-0123456789abcdef0 subnet-0123456789abcdef1 \
    --query 'Subnets[*].[SubnetId,CidrBlock]' \
    --output table

Buat koneksi pribadi

Anda dapat membuat koneksi pribadi menggunakan Konsol AWS Manajemen atau AWS CLI.

Prasyarat

Sebelum membuat koneksi pribadi, verifikasi bahwa Anda memiliki yang berikut:

Koneksi pribadi adalah sumber daya tingkat akun. Setelah membuat koneksi pribadi, Anda dapat menggunakannya kembali di beberapa integrasi dan Ruang Agen yang perlu menjangkau host yang sama.

Buat koneksi pribadi menggunakan konsol

Status koneksi berubah menjadi Create in progress. Proses ini bisa memakan waktu hingga 10 menit. Ketika status berubah menjadi Aktif, jalur jaringan siap.

Jika status berubah menjadi Create gagal, verifikasi hal berikut:

Buat koneksi pribadi menggunakan AWS CLI

Jalankan perintah berikut untuk membuat koneksi pribadi. Ganti nilai placeholder dengan milik Anda sendiri.

aws devops-agent create-private-connection \
    --name my-mcp-tool-connection \
    --mode '{
        "serviceManaged": {
            "hostAddress": "mcp.internal.example.com",
            "vpcId": "vpc-0123456789abcdef0",
            "subnetIds": [
                "subnet-0123456789abcdef0",
                "subnet-0123456789abcdef1"
            ],
            "securityGroupIds": [
                "sg-0123456789abcdef0"
            ],
            "portRanges": ["443"],
            "dnsResolution": "PUBLIC"
        }
    }'

dnsResolutionBidang mengontrol bagaimana nama hostAddress DNS diselesaikan. Nilai yang valid adalah PUBLIC (default ketika dihilangkan) dan. IN_VPC Gunakan IN_VPC ketika alamat host Anda hanya diselesaikan di dalam VPC Anda (misalnya, nama di zona host pribadi). Jika Anda menentukan alamat IP untukhostAddress, bidang ini tidak berpengaruh.

Tanggapan tersebut mencakup nama koneksi dan statusCREATE_IN_PROGRESS:

{
    "name": "my-mcp-tool-connection",
    "status": "CREATE_IN_PROGRESS",
    "resourceGatewayId": "rgw-0123456789abcdef0",
    "hostAddress": "mcp.internal.example.com",
    "vpcId": "vpc-0123456789abcdef0"
}

Untuk memeriksa status koneksi, gunakan describe-private-connection perintah:

aws devops-agent describe-private-connection \
    --name my-mcp-tool-connection

Ketika statusnyaACTIVE, koneksi pribadi Anda siap digunakan.

Gunakan koneksi pribadi dengan penyedia kemampuan

Untuk menggunakan koneksi pribadi, Anda dapat menautkannya selama pendaftaran penyedia kemampuan. Kemampuan yang didukung yang dapat digunakan dengan koneksi pribadi meliputi:GitHub,GitLab,MCP Server, danGrafana. Anda dapat melakukan langkah ini menggunakan AWS Management Console atau AWS CLI.

Gunakan koneksi pribadi dengan penyedia kemampuan menggunakan konsol

Di konsol AWS DevOps Agen, koneksi pribadi dapat ditautkan ke kemampuan saat pendaftaran dengan memilih opsi “Connect to endpoint using a private connection”.

Merutekan titik akhir dan pertukaran token OAuth melalui koneksi pribadi yang berbeda

Untuk penyedia kemampuan server OAuth-based MCP, agen membuat permintaan ke dua titik akhir yang berbeda: URL target (titik akhir server MCP yang Anda daftarkan) dan URL pertukaran (titik akhir pertukaran token OAuth). Secara default, satu privateConnectionName digunakan untuk keduanya. Jika kedua titik akhir ini dapat dijangkau melalui jalur jaringan pribadi yang berbeda, Anda dapat merutekan masing-masing melalui koneksi pribadinya sendiri dengan menggunakan targetUrlPrivateConnectionName dan sebagai gantinya: exchangeUrlPrivateConnectionName

Anda dapat menentukan salah satu atau keduanya. Jika Anda menetapkan hanya satu, titik akhir lainnya dicapai melalui internet publik (tidak kembali ke koneksi pribadi lainnya).

Contoh berikut mendaftarkan OAuth Client Credentials MCP Server yang mencapai titik akhir dan titik akhir pertukaran tokennya melalui dua koneksi pribadi yang terpisah:

aws devops-agent register-service \
    --service mcpserver \
    --target-url-private-connection-name my-target-connection \
    --exchange-url-private-connection-name my-exchange-connection \
    --service-details '{
        "mcpserver": {
            "name": "my-mcp-tool",
            "endpoint": "https://mcp.internal.example.com",
            "authorizationConfig": {
                "oAuthClientCredentials": {
                    "clientName": "MyOAuthClient",
                    "clientId": "client-id",
                    "clientSecret": "secret-value",
                    "exchangeUrl": "https://auth.internal.example.com/token"
                }
            }
        }
    }' \
    --region us-east-1

Gunakan koneksi pribadi dengan penyedia kemampuan menggunakan AWS CLI

Anda dapat mendaftarkan kemampuan dengan koneksi pribadi dengan memasukkan private-connection-name argumen. Di bawah ini adalah contoh mendaftarkan Server MCP dengan otorisasi API Key menggunakan koneksi my-mcp-tool-connection pribadi. Ganti nilai placeholder dengan milik Anda sendiri.

aws devops-agent register-service \
    --service mcpserver \
    --private-connection-name my-mcp-tool-connection \
    --service-details '{
        "mcpserver": {
            "name": "my-mcp-tool",
            "endpoint": "https://mcp.internal.example.com",
            "authorizationConfig": {
                "apiKey": {
                    "apiKeyName": "api-key",
                    "apiKeyValue": "secret-value",
                    "apiKeyHeader": "x-api-key"
                }
            }
        }
    }' \
    --region us-east-1

Verifikasi koneksi pribadi

Setelah koneksi pribadi mencapai status Aktif dan telah digunakan oleh penyedia kemampuan, verifikasi bahwa AWS DevOps Agen dapat mencapai layanan target Anda:

Jika koneksi gagal, periksa yang berikut ini:

Hapus koneksi pribadi

Anda dapat menghapus koneksi pribadi yang tidak digunakan menggunakan Konsol AWS Manajemen atau AWS CLI.

Hapus koneksi pribadi menggunakan konsol

Koneksi pribadi akan ditampilkan dengan status “Menghapus koneksi” sementara AWS DevOps Agen menghapus gateway sumber daya terkelola dan ENI dari VPC Anda. Setelah penghapusan selesai, koneksi tidak lagi muncul di daftar koneksi pribadi Anda.

Hapus koneksi pribadi menggunakan AWS CLI

aws devops-agent delete-private-connection \
    --name my-mcp-tool-connection

Respons mengembalikan statusDELETE_IN_PROGRESS. AWS DevOps Agen menghapus gateway sumber daya terkelola dan ENI dari VPC Anda. Setelah penghapusan selesai, koneksi tidak lagi muncul di daftar koneksi pribadi Anda.

Pengaturan lanjutan menggunakan sumber daya VPC Lattice yang ada

Jika organisasi Anda sudah menggunakan Amazon VPC Lattice dan mengelola konfigurasi sumber daya Anda sendiri, Anda dapat membuat sambungan pribadi dalam mode yang dikelola sendiri. Alih-alih meminta AWS DevOps Agen membuat gateway sumber daya untuk Anda, Anda memberikan Nama Sumber Daya Amazon (ARN) dari konfigurasi sumber daya yang ada yang mengarah ke layanan target Anda.

Pendekatan ini berguna ketika Anda:

Untuk membuat koneksi pribadi yang dikelola sendiri dengan AWS CLI:

aws devops-agent create-private-connection \
    --name my-advanced-connection \
    --mode '{
        "selfManaged": {
            "resourceConfigurationId": "arn:aws:vpc-lattice:us-east-1:123456789012:resourceconfiguration/rcfg-0123456789abcdef0"
        }
    }'

Untuk detail selengkapnya tentang menyiapkan gateway sumber daya VPC Lattice dan konfigurasi sumber daya, lihat Panduan Pengguna Amazon VPC Lattice.

Cross-region konektivitas

Koneksi pribadi harus dibuat di AWS Wilayah yang sama dengan Ruang Agen Anda. Jika layanan target Anda berjalan di Wilayah yang berbeda, gunakan mode yang dikelola sendiri dengan pengintipan VPC antar wilayah atau mengintip Transit Gateway untuk menjembatani kesenjangan.

Polanya adalah:

Misalnya, jika ruang agen Anda masuk us-east-1 dan server MCP Anda berada diap-southeast-2:

aws devops-agent create-private-connection \
    --name cross-region-connection \
    --mode '{
        "selfManaged": {
            "resourceConfigurationId": "arn:aws:vpc-lattice:us-east-1:123456789012:resourceconfiguration/rcfg-0123456789abcdef0"
        }
    }' \
    --region us-east-1

Topik terkait