As traduções são geradas por tradução automática. Em caso de conflito entre o conteúdo da tradução e da versão original em inglês, a versão em inglês prevalecerá.

Conectando-se a ferramentas hospedadas de forma privada

Visão geral das conexões privadas

AWS DevOps O agente pode ser estendido com ferramentas personalizadas do Model Context Protocol (MCP) e outras integrações que dão ao agente acesso a sistemas internos, como registros de pacotes privados, plataformas de observabilidade auto-hospedadas APIs, documentação interna e instâncias de controle de origem (consulte:). Configurando recursos para AWS DevOps o Agent Esses serviços geralmente são executados dentro de uma Amazon Virtual Private Cloud (Amazon VPC) com acesso restrito ou nenhum acesso público à Internet, o que significa que o AWS DevOps Agente não pode acessá-los por padrão.

As conexões privadas do AWS DevOps Agent permitem que você conecte com segurança seu Espaço do Agente aos serviços em execução na sua VPC sem expô-los à Internet pública. As conexões privadas funcionam com qualquer integração que precise alcançar um endpoint privado, incluindo servidores MCP, instâncias Grafana ou Splunk auto-hospedadas e sistemas GitHub de controle de origem, como Enterprise Server e Self-Managed. GitLab

Como as conexões privadas funcionam

Uma conexão privada cria um caminho de rede seguro entre o AWS DevOps Agente e um recurso de destino em sua VPC. Nos bastidores, o AWS DevOps Agent usa o Amazon VPC Lattice para estabelecer esse caminho seguro de conectividade privada. O VPC Lattice é um serviço de rede de aplicativos que permite conectar, proteger e monitorar a comunicação entre aplicativos VPCs, contas e tipos de computação, sem gerenciar a infraestrutura de rede subjacente.

Quando você cria uma conexão privada, ocorre o seguinte:

O gateway de recursos é totalmente gerenciado pelo AWS DevOps Agente e aparece como um recurso somente para leitura em sua conta (nomeadoaidevops-{your-private-connection-name}). Você não precisa configurá-lo ou mantê-lo. Os únicos recursos criados em sua VPC estão ENIs nas sub-redes que você especifica. Eles ENIs servem como ponto de entrada para o tráfego privado e são gerenciados inteiramente pelo serviço. Eles não aceitam conexões de entrada da Internet e você mantém controle total sobre o tráfego deles por meio de seus próprios grupos de segurança.

Segurança

As conexões privadas são projetadas com várias camadas de segurança:

Arquitetura

O diagrama a seguir mostra o caminho de rede para uma conexão privada.

Nesta arquitetura:

Crie uma conexão privada

Você pode criar uma conexão privada usando o AWS Management Console ou a AWS CLI.

Pré-requisitos

Antes de criar uma conexão privada, verifique se você tem o seguinte:

Conexões privadas são recursos em nível de conta. Depois de criar uma conexão privada, você pode reutilizá-la em várias integrações e espaços de agentes que precisam alcançar o mesmo host.

Crie uma conexão privada usando o console

O status da conexão muda para Criar em andamento. Esse processo pode levar até 10 minutos. Quando o status muda para Ativo, o caminho da rede está pronto.

Se o status mudar para Falha na criação, verifique o seguinte:

Crie uma conexão privada usando a AWS CLI

Execute o comando a seguir para criar uma conexão privada. Substitua os valores dos espaços reservados pelos seus próprios.

aws devops-agent create-private-connection \
    --name my-mcp-tool-connection \
    --mode '{
        "serviceManaged": {
            "hostAddress": "mcp.internal.example.com",
            "vpcId": "vpc-0123456789abcdef0",
            "subnetIds": [
                "subnet-0123456789abcdef0",
                "subnet-0123456789abcdef1"
            ],
            "securityGroupIds": [
                "sg-0123456789abcdef0"
            ],
            "portRanges": ["443"]
        }
    }'

A resposta inclui o nome da conexão e um status deCREATE_IN_PROGRESS:

{
    "name": "my-mcp-tool-connection",
    "status": "CREATE_IN_PROGRESS",
    "resourceGatewayId": "rgw-0123456789abcdef0",
    "hostAddress": "mcp.internal.example.com",
    "vpcId": "vpc-0123456789abcdef0"
}

Para verificar o status da conexão, use o describe-private-connection comando:

aws devops-agent describe-private-connection \
    --name my-mcp-tool-connection

Quando o status forACTIVE, sua conexão privada estará pronta para uso.

Use uma conexão privada com um provedor de recursos

Para usar uma conexão privada, você pode vinculá-la durante o registro de um provedor de recursos. Os recursos compatíveis que podem ser usados com conexões privadas incluem: GitHub GitLabMCP Server,, Grafana e. Você pode executar essa etapa usando o console AWS de gerenciamento ou a AWS CLI.

Use uma conexão privada com um provedor de recursos usando o console

No console do AWS DevOps agente, as conexões privadas podem ser vinculadas a um recurso durante o registro, selecionando a opção “Conectar-se ao endpoint usando uma conexão privada”.

Use uma conexão privada com um provedor de recursos usando a AWS CLI

Você pode registrar recursos com uma conexão privada incluindo o private-connection-name argumento. Abaixo está um exemplo de registro de um servidor MCP com autorização de chave de API usando a conexão my-mcp-tool-connection privada. Substitua os valores dos espaços reservados pelos seus próprios.

aws devops-agent register-service \
    --service mcpserver \
    --private-connection-name my-mcp-tool-connection \
    --service-details '{
        "mcpserver": {
            "name": "my-mcp-tool",
            "endpoint": "https://mcp.internal.example.com",
            "authorizationConfig": {
                "apiKey": {
                    "apiKeyName": "api-key",
                    "apiKeyValue": "secret-value",
                    "apiKeyHeader": "x-api-key"
                }
            }
        }
    }' \
    --region us-east-1

Verifique uma conexão privada

Depois que a conexão privada atingir o estado Ativo e for utilizada por um provedor de recursos, verifique se o AWS DevOps Agente pode acessar seu serviço de destino:

Se a conexão falhar, verifique o seguinte:

Excluir uma conexão privada

Você pode excluir conexões privadas não utilizadas usando o AWS Management Console ou a AWS CLI.

Excluir uma conexão privada usando o console

A conexão privada será exibida com o status “Removendo conexão” enquanto o AWS DevOps Agente remove o gateway de recursos gerenciados e ENIs da sua VPC. Depois que a exclusão for concluída, a conexão não aparecerá mais na sua lista de conexões privadas.

Excluir uma conexão privada usando a AWS CLI

aws devops-agent delete-private-connection \
    --name my-mcp-tool-connection

A resposta retorna um status deDELETE_IN_PROGRESS. AWS DevOps O agente remove o gateway de recursos gerenciados e ENIs da sua VPC. Depois que a exclusão for concluída, a conexão não aparecerá mais na sua lista de conexões privadas.

Configuração avançada usando os recursos existentes do VPC Lattice

Se sua organização já usa o Amazon VPC Lattice e gerencia suas próprias configurações de recursos, você pode criar uma conexão privada no modo autogerenciado. Em vez de fazer com que o AWS DevOps Agente crie um gateway de recursos para você, você fornece o Amazon Resource Name (ARN) de uma configuração de recurso existente que aponta para seu serviço de destino.

Essa abordagem é útil quando você:

Para criar uma conexão privada autogerenciada com a AWS CLI:

aws devops-agent create-private-connection \
    --name my-advanced-connection \
    --mode '{
        "selfManaged": {
            "resourceConfigurationId": "arn:aws:vpc-lattice:us-east-1:123456789012:resourceconfiguration/rcfg-0123456789abcdef0"
        }
    }'

Para obter mais detalhes sobre como configurar gateways de recursos e configurações de recursos do VPC Lattice, consulte o Guia do usuário do Amazon VPC Lattice.

Tópicos relacionados