本文属于机器翻译版本。若本译文内容与英语原文存在差异，则一律以英文原文为准。

连接到私有托管的工具

私有连接概述

AWS DevOps 可以使用自定义模型上下文协议 (MCP) 工具和其他集成来扩展代理，使代理可以访问内部系统，例如私有包注册表、自托管可观测性平台、内部文档 API 和源代码控制实例（参见：）。配置集成和知识这些服务通常在亚马逊虚拟私有云 (Amazon VPC) 内运行，公共互联网访问受限或没有访问权限，这意味着 AWS DevOps 代理在默认情况下无法访问它们。

AWS DevOps 代理的私有连接使您可以安全地将代理空间连接到在 VPC 中运行的服务，而无需将其暴露在公共互联网上。私有连接适用于需要到达私有端点的任何集成，包括 MCP 服务器、自托管 Grafana 或 Splunk 实例，以及企业服务器和等 GitHub 源代码控制系统。 GitLab Self-Managed

私有连接的工作原理

私有连接会在 AWS DevOps 代理和您的 VPC 中的目标资源之间创建安全的网络路径。在幕后， AWS DevOps 代理使用亚马逊 VPC Lattice 来建立这种安全的私有连接路径。VPC Lattice 是一项应用程序网络服务，可让您连接、保护和监控应用程序之间跨 VPC、账户和计算类型的通信，而无需管理底层网络基础设施。

创建私有连接时，会发生以下情况：

资源网关完全由 AWS DevOps 代理管理，在您的账户（已命名aidevops-{your-private-connection-name}）中显示为只读资源。您无需对其进行配置或维护。在您的 VPC 中创建的唯一资源是您指定子网中的 ENI。这些 ENI 充当私人流量的入口点，完全由该服务管理。他们不接受来自互联网的入站连接，您可以通过自己的安全组完全控制他们的流量。

安全性

私有连接的设计具有多层安全性：

架构

下图显示了私有连接的网络路径。

在此架构中：

为私有连接配置防火墙规则

使用私有连接，从 AWS DevOps 代理到您的私有托管工具的流量来自您在创建私有连接期间指定的子网中的资源网关 ENI。这与公共托管的工具连接不同，后者使用安全页面上列出的静态 IP 地址。

要允许 AWS DevOps 代理流量访问您的私人托管工具，请执行以下操作：

要查找您的子网 CIDR 块，请使用您在创建私有连接期间指定的子网 ID 运行以下命令：

aws ec2 describe-subnets \
    --subnet-ids subnet-0123456789abcdef0 subnet-0123456789abcdef1 \
    --query 'Subnets[*].[SubnetId,CidrBlock]' \
    --output table

创建私有连接

您可以使用 AWS 管理控制台或 AWS CLI 创建私有连接。

先决条件

在创建私有连接之前，请确认您具备以下条件：

私有连接是账户级别的资源。创建私有连接后，可以在需要连接到同一台主机的多个集成和代理空间中重复使用该连接。

使用控制台创建私有连接

连接状态更改为 “正在创建” 。此过程最多可能需要 10 分钟。当状态更改为 “活动” 时，网络路径已准备就绪。

如果状态更改为 “创建失败”，请验证以下内容：

使用创建私有连接 AWS CLI

运行以下命令创建私有连接。请将占位符值替换为您自己的值。

aws devops-agent create-private-connection \
    --name my-mcp-tool-connection \
    --mode '{
        "serviceManaged": {
            "hostAddress": "mcp.internal.example.com",
            "vpcId": "vpc-0123456789abcdef0",
            "subnetIds": [
                "subnet-0123456789abcdef0",
                "subnet-0123456789abcdef1"
            ],
            "securityGroupIds": [
                "sg-0123456789abcdef0"
            ],
            "portRanges": ["443"],
            "dnsResolution": "PUBLIC"
        }
    }'

该dnsResolution字段控制 hostAddress DNS 名称的解析方式。有效值为PUBLIC（省略时的默认值）和IN_VPC。IN_VPC当您的主机地址仅在 VPC 内部解析（例如，私有托管区域中的名称）时使用。如果您为指定 IP 地址hostAddress，则此字段无效。

响应包括连接名称和状态CREATE_IN_PROGRESS：

{
    "name": "my-mcp-tool-connection",
    "status": "CREATE_IN_PROGRESS",
    "resourceGatewayId": "rgw-0123456789abcdef0",
    "hostAddress": "mcp.internal.example.com",
    "vpcId": "vpc-0123456789abcdef0"
}

要检查连接状态，请使用以下describe-private-connection命令：

aws devops-agent describe-private-connection \
    --name my-mcp-tool-connection

当状态为时ACTIVE，您的私有连接已准备就绪，可供使用。

使用与能力提供者的私有连接

要使用私有连接，可以在能力提供者注册期间链接到该连接。可用于私有连接的支持功能包括：GitHub、GitLab、MCP ServerRemote Agent、和Grafana。您可以使用 AWS 管理控制台或 AWS CLI 执行此步骤。

使用控制台与能力提供者进行私有连接

在 AWS DevOps 代理控制台中，通过选择 “使用私有连接连接到端点” 选项，可以在注册期间将私有连接链接到某个功能。

主机地址和端点 URL

私有连接和能力提供者各取一个地址。两者不可互换：

这两个值不必相同，因此仅在您的 VPC 内部解析的主机名不必出现在主机地址中。如果您的服务的主机名是您的 VPC 私有的，则有两种选择：

您在创建连接时选择 DNS 解析模式，因此请先决定要使用哪个选项。有关这两个值不匹配所产生的症状的信息，请参阅 DNS 主机地址无法解析或流量到达错误的地方。

通过不同的私有连接路由端点和 OAuth 令牌交换

对于 OAuth-based MCP 服务器和远程代理功能提供商，代理向两个不同的端点发出请求：目标 URL（您注册的 MCP 服务器或远程代理端点）和交换 URL（OAuth 令牌交换端点）。默认情况下，两者privateConnectionName都使用单个。如果可以通过不同的私有网络路径访问这两个端点，则可以使用targetUrlPrivateConnectionName和exchangeUrlPrivateConnectionName通过其自己的私有连接来路由每个端点：

您可以指定其中一个或两者。如果您仅设置一个，则可以通过公共互联网访问另一个端点（它不会回退到另一个私有连接）。

以下示例注册了一个 OAuth 客户端凭证 MCP 服务器，该服务器通过两个独立的私有连接到达其端点和令牌交换端点：

aws devops-agent register-service \
    --service mcpserver \
    --target-url-private-connection-name my-target-connection \
    --exchange-url-private-connection-name my-exchange-connection \
    --service-details '{
        "mcpserver": {
            "name": "my-mcp-tool",
            "endpoint": "https://mcp.internal.example.com",
            "authorizationConfig": {
                "oAuthClientCredentials": {
                    "clientName": "MyOAuthClient",
                    "clientId": "client-id",
                    "clientSecret": "secret-value",
                    "exchangeUrl": "https://auth.internal.example.com/token"
                }
            }
        }
    }' \
    --region us-east-1

使用与能力提供商的私有连接 AWS CLI

您可以通过添加private-connection-name参数来使用私有连接注册功能。以下是使用my-mcp-tool-connection私有连接注册具有 API 密钥授权的 MCP 服务器的示例。请将占位符值替换为您自己的值。

aws devops-agent register-service \
    --service mcpserver \
    --private-connection-name my-mcp-tool-connection \
    --service-details '{
        "mcpserver": {
            "name": "my-mcp-tool",
            "endpoint": "https://mcp.internal.example.com",
            "authorizationConfig": {
                "apiKey": {
                    "apiKeyName": "api-key",
                    "apiKeyValue": "secret-value",
                    "apiKeyHeader": "x-api-key"
                }
            }
        }
    }' \
    --region us-east-1

验证私有连接

在私有连接进入活动状态并已被能力提供者使用后，验证 AWS DevOps 代理是否可以访问您的目标服务：

如果连接失败，请检查以下内容：

删除私有连接

您可以使用 AWS 管理控制台或 AWS CLI 删除未使用的私有连接。

使用控制台删除私有连接

私有连接将显示为 “正在删除连接” 的状态，而 AWS DevOps 代理将从您的 VPC 中移除托管资源网关和 ENI。删除完成后，该连接将不再出现在您的私有连接列表中。

使用删除私有连接 AWS CLI

aws devops-agent delete-private-connection \
    --name my-mcp-tool-connection

响应返回的状态为DELETE_IN_PROGRESS。 AWS DevOps 代理将托管资源网关和 ENI 从您的 VPC 中移除。删除完成后，该连接将不再出现在您的私有连接列表中。

使用现有 VPC Lattice 资源进行高级设置

如果您的组织已经使用 Amazon VPC Lattice 并管理自己的资源配置，则可以在自管理模式下创建私有连接。您无需让 AWS DevOps 代理为您创建资源网关，而是提供指向目标服务的现有资源配置的亚马逊资源名称 (ARN)。

这种方法在以下情况下很有用：

要使用 AWS CLI 创建自我管理的私有连接，请执行以下操作：

aws devops-agent create-private-connection \
    --name my-advanced-connection \
    --mode '{
        "selfManaged": {
            "resourceConfigurationId": "arn:aws:vpc-lattice:us-east-1:123456789012:resourceconfiguration/rcfg-0123456789abcdef0"
        }
    }'

有关设置 VPC 莱迪思资源网关和资源配置的更多详细信息，请参阅亚马逊 VPC 莱迪思用户指南。

Cross-region 连接

私有连接必须在与代理空间相同的 AWS 区域中创建。如果您的目标服务在其他区域运行，请使用自我管理模式和区域间 VPC 对等互连或 Transit Gateway 对等互连来弥合差距。

模式是：

例如，如果您的代理空间已进入us-east-1且您的 MCP 服务器在ap-southeast-2：

aws devops-agent create-private-connection \
    --name cross-region-connection \
    --mode '{
        "selfManaged": {
            "resourceConfigurationId": "arn:aws:vpc-lattice:us-east-1:123456789012:resourceconfiguration/rcfg-0123456789abcdef0"
        }
    }' \
    --region us-east-1

相关主题