使用 VPC Lattice 連接到 VPC 中的私有資源

Amazon Bedrock AgentCore 支援私有連線至 AWS VPC 內部託管的資源，或連接至 VPC 的內部部署環境，例如私有 MCP 伺服器、內部 REST APIs 或資料庫，而無需將這些服務公開至公有網際網路。

使用 Amazon VPC Lattice 資源閘道和資源組態建立私有連線。如需兩種支援模式 （受管和自我管理 Lattice) 的詳細資訊，請參閱支援的 VPC 輸出模式。

重要概念

支援的 Amazon Bedrock AgentCore 服務

下列 Amazon Bedrock AgentCore 服務支援 VPC Lattice 輸出：

支援的 VPC 輸出模式

Amazon Bedrock AgentCore 支援兩種模式來設定 VPC Lattice 連線：

下表摘要說明主要差異：

如需 VPC Lattice 定價詳細資訊，請參閱 Amazon VPC Lattice 定價。

選項 1：受管 VPC 資源

透過受管 VPC 資源，您可以提供 VPC、子網路和選用的安全群組資訊。AgentCore 會代表您處理 VPC Lattice 資源閘道和資源組態的建立和生命週期管理。受管資源閘道是 VPC 中 ENIs的包裝函式。您無法修改、設定或與之互動。AgentCore 擁有其完整生命週期，包括建立、重複使用和刪除。

AgentCore 使用AWSServiceRoleForBedrockAgentCoreGatewayNetwork服務連結角色來建立和管理您帳戶中的 VPC Lattice 資源閘道。當您第一次使用受管私有端點建立閘道目標時，系統會自動建立此角色。如需此角色的詳細資訊，請參閱閘道服務連結角色。

先決條件

使用受管私有端點建立閘道目標之前，請確定下列事項：

使用受管私有端點建立目標

若要使用受管私有端點建立資源，請在建立請求中包含 privateEndpoint.managedVpcResource區塊。

{
  ...
  "privateEndpoint": {
    "managedVpcResource": {
      "vpcIdentifier": "vpc-0abc123def456",
      "subnetIds": ["subnet-0abc123", "subnet-0def456"],
      "endpointIpAddressType": "IPV4",
      "securityGroupIds": ["sg-0abc123def"]
    }
  },
  ...
}

managedVpcResource 區塊接受下列欄位：

檢視受管資源

建立資源後，請呼叫相關的 Get API （例如 GetGatewayTarget )，以檢視 AgentCore 代表您建立的受管 VPC Lattice 資源。這些會在回應的 privateEndpointManagedResources 欄位中傳回：

{
  ...
  "status": "READY",
  "privateEndpoint": {
    "managedVpcResource": {
      "vpcIdentifier": "vpc-0abc123def456",
      "subnetIds": ["subnet-0abc123", "subnet-0def456"],
      "endpointIpAddressType": "IPV4",
      "securityGroupIds": ["sg-0abc123def"]
    }
  },
  "privateEndpointManagedResources": [
    {
      "domain": "my-server.internal.example.com",
      "resourceGatewayArn": "arn:aws:vpc-lattice:us-east-1:123456789012:resourcegateway/rgw-abc123"
    }
  ]
}

resourceGatewayArn 是 AgentCore 在您帳戶中建立之 VPC Lattice 資源閘道的 ARN。AgentCore 會管理此資源的完整生命週期：它會針對具有相符 VPC 和子網路組態的目標重複使用相同的資源閘道，並在不再由任何目標使用時將其刪除。

選項 2：自我管理的 Lattice 資源

使用自我管理的 Lattice，您可以自行建立和管理 VPC Lattice 資源閘道和資源組態，然後將資源組態識別符提供給 AgentCore。如果您已設定 VPC Lattice 資源、需要跨多個服務共用資源組態，或需要控制 Lattice 資源生命週期，請使用此選項。

先決條件

使用自我管理私有端點建立閘道目標之前，請完成下列步驟：

為自我管理連線設定 VPC Lattice 資源

您的 IAM 主體還需要下列許可，以允許 AgentCore 代表您將資源組態與 AgentCore 服務網路建立關聯：

{
"Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "vpc-lattice:GetResourceConfiguration",
        "vpc-lattice:CreateServiceNetworkResourceAssociation",
        "vpc-lattice:GetServiceNetworkResourceAssociation",
        "vpc-lattice:ListServiceNetworkResourceAssociations",
        "vpc-lattice:AssociateViaAWSService"
      ],
      "Resource": "*"
    }
  ]
}

使用自我管理的私有端點建立目標

若要使用自我管理私有端點建立資源，請在建立請求中包含 privateEndpoint.selfManagedLatticeResource區塊：

{
  ...
  "privateEndpoint": {
    "selfManagedLatticeResource": {
      "resourceConfigurationIdentifier": "arn:aws:vpc-lattice:us-east-1:123456789012:resourceconfiguration/rcfg-abc123"
    }
  },
  ...
}

resourceConfigurationIdentifier 可以是 ARN 或 VPC Lattice 資源組態的 ID。AgentCore 使用您的登入資料 （透過轉送存取工作階段 )，將資源組態與 AgentCore 服務網路建立關聯。

建立資源後，取得 API 回應會在 privateEndpointManagedResources resourceAssociationArn欄位中包含 。如果您建立指向相同資源組態的多個資源，AgentCore 會自動重複使用現有的服務網路資源關聯。

跨帳戶私有資源

您可以將 AgentCore 連線到與擁有閘道的帳戶不同的 AWS 帳戶中的私有資源。這是平台團隊管理集中式閘道的常見模式，而個別服務團隊擁有私有資源。

資源擁有者帳戶必須使用 AWS RAM 與閘道擁有者帳戶共用 VPC Lattice 資源組態。閘道擁有者帳戶接著會在建立閘道目標時提供共用資源組態識別符。

下列步驟摘要說明跨帳戶設定：

設定跨帳戶私有連線

透過中繼網域路由流量

您可以使用 routingDomain 欄位，透過 VPC 端點、內部 Application Load Balancer 或 Network Load Balancer 等中繼元件路由流量，而不是直接路由到您的目標網域。當您想要在單一進入點後方合併多個私有資源時，這會很有用 （例如，透過單一 VPC 端點路由多個私有 API Gateway，以減少資源組態的數量和相關聯的成本）。

使用路由網域時，您為目標指定的網域 （在 MCP 端點 URL 或 OpenAPI 伺服器 URL 中） 應該是資源的實際 DNS 名稱。routingDomain 是 AgentCore 用來設定 VPC Lattice 資源組態的個別網域。在調用時間，AgentCore 會透過路由網域路由流量，但以實際目標網域做為 TLS SNI 主機名稱傳送請求，因此您的資源會收到傳送到其實際網域的請求。

路由網域可以是路由至 VPC 內私有資源的任何網域。常見選項包括：

下列步驟說明使用路由網域時的流量流程：

範例：具有 VPCE 路由網域的私有 API Gateway

下列範例說明如何使用私有 API Gateway 的 VPCE 網域做為路由網域來建立閘道目標。目標 URL 是私有 API Gateway 主機名稱，而 routingDomain是 VPCE DNS 名稱：

{
  "name": "my-private-apigw-target",
  "privateEndpoint": {
    "managedVpcResource": {
      "vpcIdentifier": "vpc-0123456789abcdef0",
      "subnetIds": ["subnet-0123456789abcdef0", "subnet-0abcdef1234567890"],
      "endpointIpAddressType": "IPV4",
      "routingDomain": "<vpce-id>.execute-api.us-east-1.vpce.amazonaws.com"
    }
  },
  "targetConfiguration": {
    "mcp": {
      "openApiSchema": {
        "inlinePayload": "<OpenAPI spec JSON with server URL matching the public certificate domain, for example https://<api-id>.execute-api.<region>.amazonaws.com>"
      }
    }
  }
}

私有憑證的解決方法：ALB

VPC 輸出需要您的目標端點擁有公開信任的 TLS 憑證。如果您的私有資源使用私有憑證授權機構 (CA) 發行的憑證，建議的解決方法是在資源前面放置內部 Application Load Balancer (ALB)。

下列步驟說明流量流程：

步驟 1：請求公有 ACM 憑證

針對您擁有的網域向 ACM 請求公有憑證。此網域將用作目標 URL。如需說明，請參閱 AWS Certificate Manager 使用者指南中的請求公有憑證。

步驟 2：建立內部 ALB

在與私有資源相同的 VPC 中建立內部 Application Load Balancer。如需說明，請參閱 Elastic Load Balancing Load Balancing 使用者指南中的建立 Application Load Balancer。請確定您將配置設定為 internal。

步驟 3：建立以 IP 為基礎的目標群組

建立目標群組，其目標類型ip指向連接埠 443 (HTTPS) 上的私有資源 IP 地址，並將私有資源註冊為目標。如需說明，請參閱 Elastic Load Balancing 使用者指南中的建立目標群組。

步驟 4：使用主機標頭轉換建立 HTTPS 接聽程式

使用公有 ACM 憑證在連接埠 443 上建立 HTTPS 接聽程式。新增接聽程式規則，在轉送之前將主機標頭從公有網域轉換為私有資源的網域。

aws elbv2 create-listener \
  --load-balancer-arn <alb-arn> \
  --protocol HTTPS \
  --port 443 \
  --certificates CertificateArn=<acm-certificate-arn> \
  --default-actions '[{
    "Type": "forward",
    "TargetGroupArn": "<target-group-arn>",
    "ForwardConfig": {
      "TargetGroups": [{"TargetGroupArn": "<target-group-arn>", "Weight": 1}]
    }
  }]'

然後修改接聽程式規則以新增主機標頭轉換：

aws elbv2 modify-rule \
  --rule-arn <default-rule-arn> \
  --actions '[{
    "Type": "forward",
    "TargetGroupArn": "<target-group-arn>",
    "ForwardConfig": {
      "TargetGroups": [{"TargetGroupArn": "<target-group-arn>", "Weight": 1}]
    }
  }]' \
  --transforms '[{
    "Type": "host-header",
    "HostHeaderConfig": {
      "Values": ["my-server.my-company.internal"]
    }
  }]'

步驟 5：設定私有端點

使用 ALB DNS 名稱做為 routingDomain，並使用公有憑證網域做為目標 URL。

{
  ...
  "privateEndpoint": {
    "managedVpcResource": {
      "vpcIdentifier": "<vpc-id>",
      "subnetIds": ["<subnet-id-1>", "<subnet-id-2>"],
      "endpointIpAddressType": "IPV4",
      "routingDomain": "internal-my-alb-1234567890.us-west-2.elb.amazonaws.com"
    }
  },
  ...
}

目標組態中的目標 URL 應使用 https://my-server.my-company.com（公有憑證網域），而非私有網域。

VPC 輸出的服務連結角色

當您使用受管私有端點 () managedVpcResource 建立閘道目標時，AgentCore 會使用AWSServiceRoleForBedrockAgentCoreGatewayNetwork服務連結角色來建立和管理您帳戶中的 VPC Lattice 資源閘道。此角色會在您第一次建立受管私有端點目標時自動建立，前提是您的 IAM 主體具有必要的iam:CreateServiceLinkedRole許可。

服務連結角色具有下列關鍵特性：

如需建立、編輯和刪除此角色的完整政策文件和說明，請參閱閘道服務連結角色。

目標狀態和故障診斷

使用私有端點建立資源之後，資源會經歷 CREATING 狀態，而 AgentCore 會設定 VPC Lattice 資源並建立服務網路關聯。您可以透過呼叫相關的 Get API （例如，) GetGatewayTarget 並檢查 status 和 statusReasons 欄位來監控狀態。

下表說明常見的狀態值及其意義：

下表說明常見問題及其解決方案：

限制及考量

使用適用於 AgentCore 的 VPC 輸出時，請注意下列限制：