VPC Lattice를 사용하여 VPC의 프라이빗 리소스에 연결

Amazon Bedrock AgentCore는 AWS VPC 내에서 호스팅되는 리소스 또는 프라이빗 MCP 서버, 내부 REST APIs 또는 데이터베이스와 같이 VPC에 연결된 온프레미스 환경에 대한 프라이빗 연결을 지원하며, 이러한 서비스는 퍼블릭 인터넷에 노출되지 않습니다.

프라이빗 연결은 Amazon VPC Lattice 리소스 게이트웨이 및 리소스 구성을 사용하여 설정됩니다. 지원되는 두 가지 모드(관리형 및 자체 관리형 Lattice)에 대한 자세한 내용은 지원되는 VPC 송신 모드를 참조하세요.

주요 개념

지원되는 Amazon Bedrock AgentCore 서비스

다음 Amazon Bedrock AgentCore 서비스는 VPC Lattice에서 VPC 송신을 지원합니다.

지원되는 VPC 송신 모드

Amazon Bedrock AgentCore는 VPC Lattice 연결을 구성하기 위한 두 가지 모드를 지원합니다.

다음 표에는 주요 차이점이 요약되어 있습니다.

VPC Lattice 요금 세부 정보는 Amazon VPC Lattice 요금을 참조하세요.

옵션 1: 관리형 VPC 리소스

관리형 VPC 리소스를 사용하면 VPC, 서브넷 및 선택적 보안 그룹 정보를 제공할 수 있습니다. AgentCore는 사용자를 대신하여 VPC Lattice 리소스 게이트웨이 및 리소스 구성의 생성 및 수명 주기 관리를 처리합니다. 관리형 리소스 게이트웨이는 VPC의 ENIs를 둘러싼 래퍼입니다. 수정, 구성 또는 상호 작용할 수 없습니다. AgentCore는 생성, 재사용 및 삭제를 포함한 전체 수명 주기를 소유합니다.

AgentCore는 AWSServiceRoleForBedrockAgentCoreGatewayNetwork 서비스 연결 역할을 사용하여 계정에서 VPC Lattice 리소스 게이트웨이를 생성하고 관리합니다. 이 역할은 관리형 프라이빗 엔드포인트를 사용하여 게이트웨이 대상을 처음 생성할 때 자동으로 생성됩니다. 이 역할에 대한 자세한 내용은 게이트웨이 서비스 연결 역할을 참조하세요.

사전 조건

관리형 프라이빗 엔드포인트를 사용하여 게이트웨이 대상을 생성하기 전에 다음을 확인하세요.

관리형 프라이빗 엔드포인트를 사용하여 대상 생성

관리형 프라이빗 엔드포인트를 사용하여 리소스를 생성하려면 생성 요청에 privateEndpoint.managedVpcResource 블록을 포함합니다.

{
  ...
  "privateEndpoint": {
    "managedVpcResource": {
      "vpcIdentifier": "vpc-0abc123def456",
      "subnetIds": ["subnet-0abc123", "subnet-0def456"],
      "endpointIpAddressType": "IPV4",
      "securityGroupIds": ["sg-0abc123def"]
    }
  },
  ...
}

managedVpcResource 블록은 다음 필드를 허용합니다.

관리형 리소스 보기

리소스가 생성된 후 관련 Get API(예: GetGatewayTarget )를 호출하여 AgentCore가 사용자를 대신하여 생성한 관리형 VPC Lattice 리소스를 확인합니다. 이는 응답의 privateEndpointManagedResources 필드에 반환됩니다.

{
  ...
  "status": "READY",
  "privateEndpoint": {
    "managedVpcResource": {
      "vpcIdentifier": "vpc-0abc123def456",
      "subnetIds": ["subnet-0abc123", "subnet-0def456"],
      "endpointIpAddressType": "IPV4",
      "securityGroupIds": ["sg-0abc123def"]
    }
  },
  "privateEndpointManagedResources": [
    {
      "domain": "my-server.internal.example.com",
      "resourceGatewayArn": "arn:aws:vpc-lattice:us-east-1:123456789012:resourcegateway/rgw-abc123"
    }
  ]
}

resourceGatewayArn는 AgentCore가 계정에서 생성한 VPC Lattice 리소스 게이트웨이의 ARN입니다. AgentCore는이 리소스의 전체 수명 주기를 관리합니다. 즉, VPC 및 서브넷 구성이 일치하는 대상에 동일한 리소스 게이트웨이를 재사용하고 대상에서 더 이상 사용하지 않을 때 삭제합니다.

옵션 2: 자체 관리형 Lattice 리소스

자체 관리형 Lattice를 사용하면 VPC Lattice 리소스 게이트웨이 및 리소스 구성을 직접 생성 및 관리하고 리소스 구성 식별자를 AgentCore에 제공합니다. 이미 VPC Lattice 리소스가 구성되어 있거나, 여러 서비스에서 리소스 구성을 공유해야 하거나, Lattice 리소스 수명 주기를 제어해야 하는 경우이 옵션을 사용합니다.

사전 조건

자체 관리형 프라이빗 엔드포인트로 게이트웨이 대상을 생성하기 전에 다음 단계를 완료하세요.

자체 관리형 연결을 위한 VPC Lattice 리소스 설정

또한 IAM 보안 주체는 AgentCore가 사용자를 대신하여 리소스 구성을 AgentCore 서비스 네트워크와 연결할 수 있도록 허용하는 다음 권한이 필요합니다.

{
"Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "vpc-lattice:GetResourceConfiguration",
        "vpc-lattice:CreateServiceNetworkResourceAssociation",
        "vpc-lattice:GetServiceNetworkResourceAssociation",
        "vpc-lattice:ListServiceNetworkResourceAssociations",
        "vpc-lattice:AssociateViaAWSService"
      ],
      "Resource": "*"
    }
  ]
}

자체 관리형 프라이빗 엔드포인트를 사용하여 대상 생성

자체 관리형 프라이빗 엔드포인트로 리소스를 생성하려면 생성 요청에 privateEndpoint.selfManagedLatticeResource 블록을 포함합니다.

{
  ...
  "privateEndpoint": {
    "selfManagedLatticeResource": {
      "resourceConfigurationIdentifier": "arn:aws:vpc-lattice:us-east-1:123456789012:resourceconfiguration/rcfg-abc123"
    }
  },
  ...
}

는 VPC Lattice 리소스 구성의 ARN 또는 ID일 resourceConfigurationIdentifier 수 있습니다. AgentCore는 자격 증명(전달 액세스 세션 를 통해)을 사용하여 리소스 구성을 AgentCore 서비스 네트워크와 연결합니다.

리소스가 생성된 후 API 가져오기 응답은 privateEndpointManagedResources 필드에 resourceAssociationArn를 포함합니다. 동일한 리소스 구성을 가리키는 여러 리소스를 생성하는 경우 AgentCore는 기존 서비스 네트워크 리소스 연결을 자동으로 재사용합니다.

교차 계정 프라이빗 리소스

게이트웨이를 소유한 AWS 계정과 다른 계정의 프라이빗 리소스에 AgentCore를 연결할 수 있습니다. 이는 개별 서비스 팀이 프라이빗 리소스를 소유하는 동안 중앙 집중식 게이트웨이를 관리하는 플랫폼 팀의 일반적인 패턴입니다.

리소스 소유자 계정은 AWS RAM을 사용하여 VPC Lattice 리소스 구성을 게이트웨이 소유자 계정과 공유해야 합니다. 그런 다음 게이트웨이 소유자 계정은 게이트웨이 대상을 생성할 때 공유 리소스 구성 식별자를 제공합니다.

다음 단계에서는 교차 계정 설정을 요약합니다.

교차 계정 프라이빗 연결 설정

중간 도메인을 통해 트래픽 라우팅

routingDomain 필드를 사용하여 대상 도메인으로 직접 라우팅하는 대신 VPC 엔드포인트, 내부 Application Load Balancer 또는 Network Load Balancer와 같은 중간 구성 요소를 통해 트래픽을 라우팅할 수 있습니다. 이는 단일 진입점 뒤에 여러 프라이빗 리소스를 통합하려는 경우(예: 리소스 구성 수 및 관련 비용을 줄이기 위해 단일 VPC 엔드포인트를 통해 여러 프라이빗 API Gateway 라우팅) 유용합니다.

라우팅 도메인을 사용할 때 대상에 지정하는 도메인(MCP 엔드포인트 URL 또는 OpenAPI 서버 URL)은 리소스의 실제 DNS 이름이어야 합니다. 는 AgentCore가 VPC Lattice 리소스 구성을 설정하는 데 사용하는 별도의 도메인routingDomain입니다. 호출 시 AgentCore는 라우팅 도메인을 통해 트래픽을 라우팅하지만 실제 대상 도메인이 TLS SNI 호스트 이름으로 포함된 요청을 전송하므로 리소스는 실제 도메인으로 전달된 요청을 수신합니다.

라우팅 도메인은 VPC 내의 프라이빗 리소스로 라우팅되는 모든 도메인일 수 있습니다. 일반적인 옵션은 다음과 같습니다.

다음 단계에서는 라우팅 도메인 사용 시 트래픽 흐름을 설명합니다.

예: VPCE 라우팅 도메인이 있는 프라이빗 API Gateway

다음 예제에서는 VPCE 도메인을 라우팅 도메인으로 사용하여 프라이빗 API Gateway의 게이트웨이 대상을 생성하는 방법을 보여줍니다. 대상 URL은 프라이빗 API Gateway 호스트 이름이고 routingDomain는 VPCE DNS 이름입니다.

{
  "name": "my-private-apigw-target",
  "privateEndpoint": {
    "managedVpcResource": {
      "vpcIdentifier": "vpc-0123456789abcdef0",
      "subnetIds": ["subnet-0123456789abcdef0", "subnet-0abcdef1234567890"],
      "endpointIpAddressType": "IPV4",
      "routingDomain": "<vpce-id>.execute-api.us-east-1.vpce.amazonaws.com"
    }
  },
  "targetConfiguration": {
    "mcp": {
      "openApiSchema": {
        "inlinePayload": "<OpenAPI spec JSON with server URL matching the public certificate domain, for example https://<api-id>.execute-api.<region>.amazonaws.com>"
      }
    }
  }
}

프라이빗 인증서에 대한 해결 방법: ALB

VPC 송신을 사용하려면 대상 엔드포인트에 공개적으로 신뢰할 수 있는 TLS 인증서가 있어야 합니다. 프라이빗 리소스가 프라이빗 인증 기관(CA)에서 발급한 인증서를 사용하는 경우 권장되는 해결 방법은 리소스 앞에 내부 Application Load Balancer(ALB)를 배치하는 것입니다.

다음 단계에서는 트래픽 흐름을 설명합니다.

1단계: 퍼블릭 ACM 인증서 요청

소유한 도메인에 대해 ACM에 퍼블릭 인증서를 요청합니다. 이 도메인은 대상 URL로 사용됩니다. 지침은 Certificate Manager 사용 설명서의 퍼블릭 인증서 요청을 참조하세요. AWS

2단계: 내부 ALB 생성

프라이빗 리소스와 동일한 VPC에 내부 Application Load Balancer를 생성합니다. 지침은 Elastic Load Balancing Load Balancing 사용 설명서의 Application Load Balancer 생성을 참조하세요. 스키마를 로 설정해야 합니다internal.

3단계: IP 기반 대상 그룹 생성

포트 443(HTTPS)에서 프라이빗 리소스의 IP 주소를 가리키ip는 대상 유형으로 대상 그룹을 생성하고 프라이빗 리소스를 대상으로 등록합니다. 지침은 Elastic Load Balancing 사용 설명서의 대상 그룹 생성을 참조하세요.

4단계: 호스트 헤더 변환을 사용하여 HTTPS 리스너 생성

퍼블릭 ACM 인증서를 사용하여 포트 443에서 HTTPS 리스너를 생성합니다. 전달하기 전에 호스트 헤더를 퍼블릭 도메인에서 프라이빗 리소스의 도메인으로 변환하는 리스너 규칙을 추가합니다.

aws elbv2 create-listener \
  --load-balancer-arn <alb-arn> \
  --protocol HTTPS \
  --port 443 \
  --certificates CertificateArn=<acm-certificate-arn> \
  --default-actions '[{
    "Type": "forward",
    "TargetGroupArn": "<target-group-arn>",
    "ForwardConfig": {
      "TargetGroups": [{"TargetGroupArn": "<target-group-arn>", "Weight": 1}]
    }
  }]'

그런 다음 리스너 규칙을 수정하여 호스트 헤더 변환을 추가합니다.

aws elbv2 modify-rule \
  --rule-arn <default-rule-arn> \
  --actions '[{
    "Type": "forward",
    "TargetGroupArn": "<target-group-arn>",
    "ForwardConfig": {
      "TargetGroups": [{"TargetGroupArn": "<target-group-arn>", "Weight": 1}]
    }
  }]' \
  --transforms '[{
    "Type": "host-header",
    "HostHeaderConfig": {
      "Values": ["my-server.my-company.internal"]
    }
  }]'

5단계: 프라이빗 엔드포인트 구성

ALB DNS 이름을 로 routingDomain 사용하고 퍼블릭 인증서 도메인을 대상 URL로 사용합니다.

{
  ...
  "privateEndpoint": {
    "managedVpcResource": {
      "vpcIdentifier": "<vpc-id>",
      "subnetIds": ["<subnet-id-1>", "<subnet-id-2>"],
      "endpointIpAddressType": "IPV4",
      "routingDomain": "internal-my-alb-1234567890.us-west-2.elb.amazonaws.com"
    }
  },
  ...
}

대상 구성의 대상 URL은 프라이빗 도메인이 아닌 https://my-server.my-company.com (퍼블릭 인증서 도메인)을 사용해야 합니다.

VPC 송신을 위한 서비스 연결 역할

관리형 프라이빗 엔드포인트(managedVpcResource)를 사용하여 게이트웨이 대상을 생성하면 AgentCore는 AWSServiceRoleForBedrockAgentCoreGatewayNetwork 서비스 연결 역할을 사용하여 계정에서 VPC Lattice 리소스 게이트웨이를 생성하고 관리합니다. 이 역할은 IAM 보안 주체에 필요한 iam:CreateServiceLinkedRole 권한이 있는 경우 관리형 프라이빗 엔드포인트 대상을 처음 생성할 때 자동으로 생성됩니다.

서비스 연결 역할에는 다음과 같은 주요 특성이 있습니다.

이 역할 생성, 편집 및 삭제에 대한 전체 정책 문서 및 지침은 게이트웨이 서비스 연결 역할을 참조하세요.

대상 상태 및 문제 해결

프라이빗 엔드포인트로 리소스를 생성하면 AgentCore가 VPC Lattice 리소스를 설정하고 서비스 네트워크 연결을 설정하는 동안 리소스가 CREATING 상태를 거칩니다. 관련 Get API(예: GetGatewayTarget )를 호출하고 status 및 statusReasons 필드를 확인하여 상태를 모니터링할 수 있습니다.

다음 표에서는 일반적인 상태 값과 그 의미를 설명합니다.

다음 표에서는 일반적인 문제와 해결 방법을 설명합니다.

제한 사항 및 고려 사항

AgentCore에 VPC 송신을 사용할 때 다음 제한 사항에 유의하세요.