翻訳は機械翻訳により提供されています。提供された翻訳内容と英語版の間で齟齬、不一致または矛盾がある場合、英語版が優先します。

プライベートにホストされたツールへの接続

プライベート接続の概要

AWS DevOps エージェントは、カスタムモデルコンテキストプロトコル (MCP) ツールやその他の統合を使用して拡張できます。これにより、エージェントはプライベートパッケージレジストリ、セルフホスト型オブザーバビリティプラットフォーム、内部ドキュメント APIs「」を参照AWS DevOps Agent の機能の設定)。これらのサービスは、多くの場合、パブリックインターネットアクセスが制限されているか、パブリックインターネットアクセスがない Amazon Virtual Private Cloud (Amazon VPC) 内で実行されます。つまり、 AWS DevOps Agent はデフォルトでそれらにアクセスできません。

AWS DevOps Agent のプライベート接続を使用すると、パブリックインターネットに公開することなく、VPC で実行されているサービスにエージェントスペースを安全に接続できます。プライベート接続は、MCP サーバー、セルフホスト型の Grafana または Splunk インスタンス、GitHub Enterprise Server や GitLab Self-Managed などのソース管理システムなど、プライベートエンドポイントに到達する必要がある統合と連携します。

プライベート接続の仕組み

プライベート接続は、 AWS DevOps エージェントと VPC 内のターゲットリソースとの間に安全なネットワークパスを作成します。 AWS DevOps Agent は、Amazon VPC Lattice を使用して、この安全なプライベート接続パスを確立します。VPC Lattice は、基盤となるネットワークインフラストラクチャを管理することなく、VPCs、アカウント、コンピューティングタイプ間のアプリケーション間の通信を接続、保護、モニタリングできるアプリケーションネットワークサービスです。

プライベート接続を作成すると、次のようになります。

リソースゲートウェイは AWS DevOps エージェントによって完全に管理され、 アカウント ( という名前) の読み取り専用リソースとして表示されますaidevops-{your-private-connection-name}。設定または保守する必要はありません。VPC で作成されるリソースはENIs のみです。これらの ENIs はプライベートトラフィックのエントリポイントとして機能し、 サービスによって完全に管理されます。インターネットからのインバウンド接続は受け付けず、独自のセキュリティグループを介してトラフィックを完全に制御できます。

セキュリティ

プライベート接続は、複数のセキュリティレイヤーで設計されています。

アーキテクチャ

次の図は、プライベート接続のネットワークパスを示しています。

このアーキテクチャの詳細は以下のとおりです。

プライベート接続を作成する

プライベート接続は、 AWS マネジメントコンソールまたは CLI AWS を使用して作成できます。

前提条件

プライベート接続を作成する前に、以下があることを確認します。

プライベート接続はアカウントレベルのリソースです。プライベート接続を作成したら、同じホストに到達する必要がある複数の統合とエージェントスペースで再利用できます。

コンソールを使用してプライベート接続を作成する

接続ステータスが「進行中の作成」に変わります。このプロセスには最大 10 分かかる場合があります。ステータスがアクティブに変わると、ネットワークパスの準備が整います。

ステータスが Create failed に変わった場合は、以下を確認します。

CLI AWS を使用してプライベート接続を作成する

プライベート接続を作成するには、次のコマンドを実行します。プレースホルダの値を、独自の値に置き換えてください。

aws devops-agent create-private-connection \
    --name my-mcp-tool-connection \
    --mode '{
        "serviceManaged": {
            "hostAddress": "mcp.internal.example.com",
            "vpcId": "vpc-0123456789abcdef0",
            "subnetIds": [
                "subnet-0123456789abcdef0",
                "subnet-0123456789abcdef1"
            ],
            "securityGroupIds": [
                "sg-0123456789abcdef0"
            ],
            "portRanges": ["443"]
        }
    }'

レスポンスには、接続名と のステータスが含まれますCREATE_IN_PROGRESS。

{
    "name": "my-mcp-tool-connection",
    "status": "CREATE_IN_PROGRESS",
    "resourceGatewayId": "rgw-0123456789abcdef0",
    "hostAddress": "mcp.internal.example.com",
    "vpcId": "vpc-0123456789abcdef0"
}

接続ステータスを確認するには、 describe-private-connection コマンドを使用します。

aws devops-agent describe-private-connection \
    --name my-mcp-tool-connection

ステータスが の場合ACTIVE、プライベート接続を使用する準備が整います。

機能プロバイダーとのプライベート接続を使用する

プライベート接続を使用するには、機能プロバイダーの登録中にプライベート接続にリンクできます。プライベート接続で使用できるサポート対象の機能には、GitHub、、GitLabMCP Server、 などがありますGrafana。このステップは、 AWS マネジメントコンソールまたは CLI AWS を使用して実行できます。

コンソールを使用して機能プロバイダーとのプライベート接続を使用する

AWS DevOps エージェントコンソールでは、「プライベート接続を使用してエンドポイントに接続する」オプションを選択して、登録中にプライベート接続を機能にリンクできます。

AWS CLI を使用して機能プロバイダーとのプライベート接続を使用する

引private-connection-name数を含めることで、プライベート接続に機能を登録できます。以下は、my-mcp-tool-connectionプライベート接続を使用して API キー認可で MCP サーバーを登録する例です。プレースホルダの値を、独自の値に置き換えてください。

aws devops-agent register-service \
    --service mcpserver \
    --private-connection-name my-mcp-tool-connection \
    --service-details '{
        "mcpserver": {
            "name": "my-mcp-tool",
            "endpoint": "https://mcp.internal.example.com",
            "authorizationConfig": {
                "apiKey": {
                    "apiKeyName": "api-key",
                    "apiKeyValue": "secret-value",
                    "apiKeyHeader": "x-api-key"
                }
            }
        }
    }' \
    --region us-east-1

プライベート接続を検証する

プライベート接続がアクティブ状態になり、機能プロバイダーによって利用されたら、 AWS DevOps Agent がターゲットサービスに到達できることを確認します。

接続が失敗した場合は、以下を確認してください。

プライベート接続を削除する

未使用のプライベート接続は、 AWS マネジメントコンソールまたは CLI AWS を使用して削除できます。

コンソールを使用してプライベート接続を削除する

プライベート接続のステータスは「接続の削除」と表示され、 AWS DevOps Agent は VPC からマネージドリソースゲートウェイと ENI を削除します。 ENIs 削除が完了すると、接続はプライベート接続のリストに表示されなくなります。

CLI AWS を使用してプライベート接続を削除する

aws devops-agent delete-private-connection \
    --name my-mcp-tool-connection

レスポンスは ステータスを返しますDELETE_IN_PROGRESS。 AWS DevOps Agent は VPC からマネージドリソースゲートウェイと ENIs を削除します。削除が完了すると、接続はプライベート接続のリストに表示されなくなります。

既存の VPC Lattice リソースを使用した高度なセットアップ

組織がすでに Amazon VPC Lattice を使用していて、独自のリソース設定を管理している場合は、セルフマネージドモードでプライベート接続を作成できます。 AWS DevOps エージェントがリソースゲートウェイを作成する代わりに、ターゲットサービスを指す既存のリソース設定の Amazon リソースネーム (ARN) を指定します。

このアプローチは、次の場合に便利です。

AWS CLI を使用してセルフマネージドプライベート接続を作成するには:

aws devops-agent create-private-connection \
    --name my-advanced-connection \
    --mode '{
        "selfManaged": {
            "resourceConfigurationId": "arn:aws:vpc-lattice:us-east-1:123456789012:resourceconfiguration/rcfg-0123456789abcdef0"
        }
    }'

VPC Lattice リソースゲートウェイとリソース設定の設定の詳細については、「Amazon VPC Lattice ユーザーガイド」を参照してください。

関連トピック