本文属于机器翻译版本。若本译文内容与英语原文存在差异，则一律以英文原文为准。

# VPC 终端节点 (AWS PrivateLink)
<a name="aws-devops-agent-security-vpc-endpoints-aws-privatelink"></a>

您可以使用 AWS PrivateLink 在您的 VPC 和 AWS DevOps 代理之间创建私有连接。您可以像访问您的 VPC 一样访问 AWS DevOps 代理，无需使用互联网网关、NAT 设备、VPN 连接或 Direct Connect 连接。您的 VPC 中的实例不需要公有 IP 地址即可访问 AWS DevOps 代理。

您可以通过创建由提供支持的接口端点来建立此私有连接 AWS PrivateLink。我们将在您为接口端点启用的每个子网中创建一个端点网络接口。这些是请求者管理的网络接口，用作发往代理的流量的入口点。 AWS DevOps 

有关更多信息，请参阅 \_AWS PrivateLink Guide\_ AWS PrivateLink 中的[通过访问 AWS 服务](https://docs.aws.amazon.com/vpc/latest/privatelink/privatelink-access-aws-services.html)。

## AWS DevOps 代理 VPC 终端节点的注意事项
<a name="considerations-for-aws-devops-agent-vpc-endpoints"></a>

在为 AWS DevOps 代理设置接口终端节点之前，请查看\_AWS PrivateLink Guide\_ 中的[注意事项](https://docs.aws.amazon.com/vpc/latest/privatelink/create-interface-endpoint.html#considerations-interface-endpoints)。

AWS DevOps 代理支持通过以下 VPC 终端节点进行 API 调用。


| 类别 | 端点后缀 | 
| --- | --- | 
| AWS DevOps 代理控制平面 API 操作 | aidevops | 
| AWS DevOps 代理运行时操作 | aidevops-dataplane | 
| AWS DevOps 代理 Webhook 事件 | event-ai | 

## 为 AWS DevOps 代理创建接口终端节点
<a name="create-an-interface-endpoint-for-aws-devops-agent"></a>

您可以使用 Amazon VPC 控制台或 AWS 命令行界面 (AWS CLI) 为 AWS DevOps 代理创建接口终端节点。有关更多信息，请参阅 \_AWS PrivateLink Guid [e\_ 中的创建接口终端节点](https://docs.aws.amazon.com/vpc/latest/privatelink/create-interface-endpoint.html)。

使用以下服务名称为 AWS DevOps Agent 创建接口终端节点：
+ com.amazonaws。 {region} .aidevops
+ com.amazonaws。 {region} .aidevops-dataplane
+ com.amazonaws。 {region} .event-ai

在创建端点后，您可以选择启用私有 DNS 主机名。在创建 VPC 端点时，通过在 VPC 控制台中选择**启用私有 DNS 名称**，可启用此设置。

如果您为接口终端节点启用私有 DNS，则可以使用代理的默认区域 DNS 名称向 AWS DevOps 代理发出 API 请求。以下示例显示了默认区域 DNS 名称的格式。
+ cp.aidevops。 {region} .api.aws
+ dp.aidevops。 {region} .api.aws
+ event-ai。 {region} .api.aws

## 为接口端点创建端点策略
<a name="create-an-endpoint-policy-for-your-interface-endpoint"></a>

端点策略是一种 IAM 资源，您可以将其附加到接口端点。默认端点策略允许通过接口端点对 AWS DevOps 代理进行完全访问权限。要控制允许 AWS DevOps 代理从您的 VPC 访问权限，请将自定义终端节点策略附加到接口终端节点。

端点策略指定以下信息：
+ 可以执行操作的委托人（AWS 账户、IAM 用户和 IAM 角色）。
+ 可执行的操作。
+ 可对其执行操作的资源。

有关更多信息，请参阅 \_AWS PrivateLink Guide\_ 中的[使用终端节点策略控制对服务的访问权限](https://docs.aws.amazon.com/vpc/latest/privatelink/vpc-endpoints-access.html)。