プライベート接続のトラブルシューティング

ホストアドレスが VPC 内でのみ解決されるかどうかを確認します。同じ VPC 内の Amazon EC2 インスタンスまたは AWS CloudShell セッションから、 を実行しますnslookup <your-host-address>。パブリック DNS からではなくそこで解決され、プライベート接続が を使用する場合dnsResolution: PUBLIC、DNS 解決が原因です。

名前の代わりに IP アドレスを使用してテストします。DNS 名の代わりにホストアドレスにターゲットのプライベート IP アドレス (またはロードバランサー IP) を使用するプライベート接続を一時的に作成します。接続がサービスに到達した場合、以前の障害はネットワークパスやサービス自体ではなく DNS 解決でした。

ホスト名が VPC 内でのみ解決される場合は、接続の作成時に DNS 解決モードを VPC 内 (IN_VPC) に設定します。このモードでは、ホストアドレスは VPC コンテキスト内から解決されるため、プライベート専用ホスト名は正しく解決されます。「プライベート接続を作成する」を参照してください。

DNS 解決モードは作成時に選択され、指定したホストアドレスに適用されます。作成後にサービスマネージドリソースゲートウェイが DNS を解決する方法を変更することはできないため、事前に正しいモードを選択してください。間違ったモードを選択した場合は、接続を削除し、正しいモードで再作成します。

ホストアドレスに (DNS 名ではなく) IP アドレスを指定した場合、DNS 解決モードは効果がなく、トラフィックはその IP に直接送信されます。

セットアップIN_VPCに を使用できない場合は、代わりにホストアドレスをターゲットのプライベート IP アドレス、またはパブリックに解決可能だがプライベート IP に転送されるロードバランサーの DNS 名にポイントできます。

The MCP server at '<endpoint>' timed out while initializing the session. (類似バリアントはリソースの一覧表示を指します)

Unable to connect to the MCP server at <endpoint>. The connection was interrupted. Verify the server is running and accessible, then try again.

Unable to access tools from the MCP server at '<endpoint>' ...

Could not complete request to provider. ( として表示される場合もありますAPI error: 504)

タイムアウトメッセージは、接続がリッスンサービスに到達しなかったことを意味します。ほとんどの場合、接続のポート範囲にエンドポイントのポートが含まれていないか、ホストアドレスまたは DNS 解決が正しくないか、セキュリティグループがトラフィックをブロックしています。

接続が中断されたメッセージは、通常、TLS ハンドシェイクの失敗またはサービスが接続を閉じることによって、接続がリセットまたは削除されたことを意味します。

ツールにアクセスできないメッセージは、エンドポイントがリクエストに応答したが拒否したことを意味します。これは通常、ネットワークの問題ではなく、認可またはプロバイダー側のエラーです。

プロバイダーメッセージへのリクエストを完了できませんでした。これは、プライベート接続を介してエンドポイントへのリクエストを完了できなかった一般的な障害です。以下の解決手順を確認します。

接続のポート範囲にエンドポイントのポートが含まれていることを確認します。プライベート接続は、作成時に設定したポート範囲のトラフィックのみを転送します。ポート範囲を指定しなかった場合、接続ではポート のみが許可されます443。接続は、説明的なエラーなしでトラフィックを他のポートにドロップします。ドロップされたトラフィックは、タイムアウト、Unable to access toolsエラー、またはCould not complete request to provider.エラーとして表示されます。これは通常、非標準ポート ( などhttps://tools.example.com:8089/mcp) のエンドポイントに影響します。同じ VPC 内の EC2 インスタンスcurlから成功しても、これは除外されません。このテストでは、プライベート接続を完全にバイパスします。作成後にポート範囲を変更することはできません。プライベート接続を削除し、エンドポイント URL のすべてのポートを含むポート範囲を使用して再作成し、機能プロバイダーを再度登録します。

リソースゲートウェイがターゲットに到達できることを確認します。これは、ターゲットが別の AWS アカウントまたはオンプレミスで実行される場合に除外する最初のものです。サービスマネージドモードでは、リソースゲートウェイは、VPC がターゲットへのルートを必要とするように、プライベート接続と同じアカウントで、指定した VPC とサブネットに作成されます。アクティブに到達する接続は、ゲートウェイのネットワークインターフェイスが作成され、正常であることを意味します。サービスに到達できるわけではありません。接続のモードとゲートウェイの VPC を確認し、ルートを確認します。

タスクやインスタンスの IP ではなく、ロードバランサーの DNS をポイントします。頻繁な原因は、設定したポート ( など8100) で TLS を終了するロードバランサーではなく、アプリケーションポート ( など) のコンテナタスクまたはインスタンス IP に解決される DNS レコードまたはホストアドレスです443。ホストアドレスが、ターゲットポートで実際に HTTPS を提供するエンドポイントに解決されることを確認します。

サービスが設定されたポートで HTTPS を提供していることを確認します。ターゲットは、接続のポート範囲に含まれるポートで、最小 TLS バージョン 1.2 の HTTPS を提供する必要があります。

セキュリティグループのルールを双方向で確認します。リソースゲートウェイ ENIs にアタッチされたセキュリティグループがターゲットポートでアウトバウンドトラフィックを許可し、サービスのセキュリティグループがそのポートでインバウンドトラフィックを許可していることを確認します。VPC CIDR 範囲内の Amazon VPC Lattice データプレーン IPs からトラフィックが到着します。セキュリティグループ参照 (ENI セキュリティグループをソースとして許可) を使用するか、VPC CIDR からのインバウンドを許可できます。「プライベート接続のファイアウォールルールの設定」を参照してください。

プライベート CA の証明書チェーン全体を検証します。プライベート認証機関がサービスの TLS 証明書を発行した場合は、接続の作成時に PEM エンコードされた証明書チェーン全体を指定します。リーフ証明書を最初に配置し、次に中間、次にルートを配置します。チェーンが不完全な場合、ネットワークパスが上であっても TLS ハンドシェイクは失敗します。が生成するエラーメッセージについては、「プロバイダーの TLS 証明書が信頼されていません」を参照してください。

ターゲットが実行されていることを確認します。登録を完了する前に、サービスが稼働していて、予想されるポートで接続を受け入れていることを確認してください。

Could not establish a trusted TLS connection to the provider host: its certificate could not be validated against a publicly trusted certificate authority.

The server is using a self-signed TLS certificate. Use a certificate from a publicly trusted certificate authority.

The server's TLS certificate could not be verified. Ensure the full certificate chain is served and issued by a publicly trusted certificate authority.

The server's TLS certificate has expired. Renew the certificate.

The server's TLS certificate does not match the endpoint hostname. Ensure the certificate covers the endpoint's domain.

プライベート CA からの証明書の場合は、プライベート接続でチェーン全体を指定します。コンソールの証明書パブリックキー、または の certificateフィールドをcreate-private-connection、PEM エンコードされたチェーン全体に設定します。最初にリーフ証明書、次にすべての中間 CA 証明書、次にルートです。「プライベート接続を作成する」を参照してください。

パブリック CA からの証明書の場合は、完全なチェーンを送信します。リーフのみではなく、リーフ証明書とすべての中間証明書を送信するようにサービスを設定します。

チェーン内の期限切れ証明書を置き換えます。

証明書がエンドポイント URL のホスト名をカバーしていることを確認します。

両方のエンドポイントが同じパス経由で到達可能な場合は、プライベート接続のホストアドレスが MCP サーバーまたはリモートエージェントエンドポイントとトークン交換エンドポイントの両方にルーティングできることを確認します。

エンドポイントで異なるネットワークパスが必要な場合は、単一の ではなくエンドポイントごとのフィールドを使用しますprivateConnectionName。targetUrlPrivateConnectionName MCP サーバーまたはリモートエージェントエンドポイントとトークン交換エンドポイントexchangeUrlPrivateConnectionNameに を設定します。1 つだけ設定した場合、もう 1 つのエンドポイントはパブリックインターネット経由で到達し、他のプライベート接続にはフォールバックしません。エンドポイントごとの名前を同じリクエストprivateConnectionNameで と組み合わせることはできません。「Routing the endpoint and the OAuth token exchange through different private connections」を参照してください。

AWS DevOps エージェントを介して接続を削除します。コンソール (キャパシティープロバイダー > プライベート接続 > アクション > 削除) または CLI を使用します。

削除に失敗した場合は、AWSAIDevOpsManagedタグがまだ存在することを確認します。タグがリソースゲートウェイまたはその ENIs から削除された場合は、そのタグをそれらのリソースに再適用し、削除を再度実行します。

マネージドリソースゲートウェイを直接削除しないでください。リソースゲートウェイはアカウント内で読み取り専用であり、 AWS DevOps Agent によって完全に管理されるため、Amazon VPC Lattice から自分で削除することはできません。プライベート接続を削除すると、削除がトリガーされます。

プライベート接続を削除し、 タグが存在し、削除が完了した後もリソースゲートウェイまたは ENIsが残っている場合は、 AWS サポートに連絡してリソースを調整します。

プライベートにホストされたツールへの接続

プライベート接続のファイアウォールルールの設定

VPC エンドポイント (AWS PrivateLink)

MCP サーバーの接続

AWS DevOps エージェントセキュリティ