本文為英文版的機器翻譯版本，如內容有任何歧義或不一致之處，概以英文版為準。

設定資料來源的 VPC 連線

有些資料來源會在無法透過公有網際網路連線的私有資源上執行，例如您在 VPC 中使用內部負載平衡器前置的現場部署 Confluence 資料中心執行個體。若要編目這些資料來源，您可以建立 VPC 組態。Amazon Bedrock 使用 組態將私有網路路徑佈建到您的 VPC 並連接 資源。

VPC 組態是知識庫上的可重複使用資源。您建立一次，然後透過來自一或多個資料來源的 ID 來參考它。當您建立需要私有連線的資料來源時，您可以選取現有的 VPC 組態或建立新的組態。

您提供的內容

若要建立 VPC 組態，請提供下列項目：

您不提供安全群組。Amazon Bedrock 會將 VPC 的預設安全群組用於閘道。請確定預設安全群組的傳出 （輸出） 規則允許在請求的連接埠上到達您的目標。請參閱 從預設安全群組輸出。

網路需求

Amazon Bedrock 透過僅使用私有網路介面建立的私有閘道 （無公有 IP 地址） 來到達您的資源。閘道會透過 VPC 的私有 （本機） 網路到達您的目標，且無法連線到公有 IP 地址。您的資源目標必須可從 VPC 內部私下連線：

不支援面向網際網路的負載平衡器。面向網際網路的負載平衡器會將其公有 IP 地址傳回至 VPC 內 DNS 查詢，而私有閘道無法連線到這些地址。如果您的資源目前僅透過面向網際網路的負載平衡器公開，請在相同的 VPC 中建立 （或指向） 內部負載平衡器，並使用其 DNS 名稱做為資源目標。

建立 VPC 組態

Console

新增 VPC 組態

1. 在資料來源組態中，在 VPC 組態下，選擇新增 VPC 組態。如果適當的組態已存在，請選取它，以在資料來源之間重複使用它。

2. （選用） 輸入組態的名稱和描述。

3. 針對 VPC ID，選取要用於連線的 VPC。

4. 針對子網路 IDs，從選擇的 VPC 選取一或多個子網路。

5. 針對資源目標，輸入資源的主機名稱或 IP 地址 （例如 10.0.1.50或 confluence.internal.example.com)。

6. 針對連接埠，輸入要連線的連接埠號碼 （例如， 443或 8090)。

7. 針對通訊協定，選擇 HTTPS 或 HTTP。

8. 針對解析模式，選擇資源目標地址的解析方式：

   • 公有 – 資源目標為可公開解析的主機名稱或 IP 地址。

   • 在 VPC 中 – 資源目標只能在 VPC 內解析。這是內部資源的常見案例。

9. （選用） 對於主機標頭，輸入要與請求一起傳送的Host標頭值。只有當您的資源 （或上游路由器） 依 HTTP Host標頭路由時，才設定此選項。

10. (HTTPS 必要） 針對 TLS 伺服器名稱，輸入資源的預期 TLS 憑證身分 （主體別名）。允許單一最左邊萬用字元 （例如 *.example.com)。

11. 選擇建立。

API

若要建立 VPC 組態，請傳送CreateVpcConfiguration請求。透過knowledgeBaseId路徑參數將所有操作範圍限定為知識庫；請求內文不包含帳戶 ID 或角色 ARN，因為 Amazon Bedrock 從知識庫解析這些操作。

POST /knowledgebases/knowledgeBaseId/vpcconfigurations/

請求內文使用下列欄位。

CreateVpcConfiguration 欄位

欄位	必要	描述
vpcId	是	VPC 的 ID。符合 ^vpc-[a-zA-Z0-9]+$，最多 64 個字元。
subnetIds	是	來自指定 VPC 的 1–6 IDs。每個 都符合 ^subnet-[a-zA-Z0-9]+$。
resourceTarget	是	資源的 IPv4 地址或 DNS 名稱 (1-255 個字元）。請參閱 資源目標限制。
port	是	要連線的連接埠 (1–65535)。
protocol	是	HTTP 或 HTTPS
resolutionMode	是	PUBLIC 或 IN_VPC 當目標僅在 VPC 內解析IN_VPC時，請使用 。
tlsServerName	有條件	當 protocol為 時為必要HTTPS。主機名稱符合資源的 TLS 憑證 （最多 253 個字元）。允許單一最左邊萬用字元。不得包含連接埠。
hostHeader	否	要傳送的 HTTP Host標頭值 （最多 255 個字元）。只有在您的資源依 Host標頭路由時才設定 。
name	否	人類可讀的名稱 (1-128 個字元）。
description	否	描述 （最多 512 個字元）。
clientToken	否	等冪符記。

建立是非同步的。 會CreateVpcConfiguration傳回狀態為 vpcConfigurationId且為 的202回應CREATING。輪詢GetVpcConfiguration直到狀態為 CREATED（或 CREATE_FAILED，在此情況下為原因statusMessage命名）。使用 ListVpcConfigurations 列出組態，並使用 DeleteVpcConfiguration 移除組態。

注意

如果您在具有相同子網路集的相同 VPC 中建立多個組態，它們會共用一個閘道。一組不同的子網路會佈建個別的閘道。

通訊協定、TLS 伺服器名稱和主機標頭

這三個設定是最常見的設定錯誤。使用下列指引來選擇正確的值。

資源目標限制

Amazon Bedrock 會在您建立組態resourceTarget時驗證，以防止服務被導向至本身或內部基礎設施。下列目標會遭到拒絕：

允許 DNS 名稱。驗證不會解析它們，因此目標仍必須可從閘道子網路連線。

從預設安全群組輸出

由於 Amazon Bedrock 會將 VPC 的預設安全群組用於閘道，因此該安全群組的輸出規則必須允許在 resourceTarget上到達 port。如果預設安全群組被鎖定，則建立會快速失敗，並顯示明確訊息，而不是稍後逾時。建立組態之前，請確定輸出規則允許從閘道子網路到目標和連接埠的流量。

知識庫 IAM 角色許可

Amazon Bedrock 會擔任與您知識庫相關聯的 IAM 角色，以佈建和縮減您帳戶中的網路資源。角色必須授予以下建立和刪除許可，以及讓 重試刪除等冪的讀取許可。Amazon Bedrock 建立的每個資源都會加上標籤 ManagedBy=VPCProxyService，而破壞性許可會鎖定在該標籤上，因此角色只能對此功能建立的資源採取行動。

下列範例政策會授予所需的許可。將 region 和 accountId 取代為您的值。

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "VpcProxyCreateTagged",
            "Effect": "Allow",
            "Action": [
                "vpc-lattice:CreateResourceGateway",
                "vpc-lattice:CreateResourceConfiguration",
                "vpc-lattice:TagResource"
            ],
            "Resource": [
                "arn:aws:vpc-lattice:region:accountId:resourcegateway/*",
                "arn:aws:vpc-lattice:region:accountId:resourceconfiguration/*"
            ],
            "Condition": {
                "StringEquals": {
                    "aws:RequestTag/ManagedBy": "VPCProxyService",
                    "aws:ResourceTag/ManagedBy": "VPCProxyService"
                },
                "ForAllValues:StringEquals": { "aws:TagKeys": ["ManagedBy"] }
            }
        },
        {
            "Sid": "VpcProxyPutResourcePolicy",
            "Effect": "Allow",
            "Action": "vpc-lattice:PutResourcePolicy",
            "Resource": [
                "arn:aws:vpc-lattice:region:accountId:resourceconfiguration/*"
            ],
            "Condition": {
                "StringEquals": { "aws:ResourceTag/ManagedBy": "VPCProxyService" }
            }
        },
        {
            "Sid": "VpcProxyRamCreate",
            "Effect": "Allow",
            "Action": "ram:CreateResourceShare",
            "Resource": "*",
            "Condition": {
                "StringEquals": { "aws:RequestTag/ManagedBy": "VPCProxyService" },
                "StringEqualsIfExists": {
                    "ram:RequestedResourceType": "vpc-lattice:ResourceConfiguration"
                }
            }
        },
        {
            "Sid": "VpcProxyRamAssociate",
            "Effect": "Allow",
            "Action": "ram:AssociateResourceShare",
            "Resource": "*",
            "Condition": {
                "StringEquals": { "aws:ResourceTag/ManagedBy": "VPCProxyService" }
            }
        },
        {
            "Sid": "VpcProxyRamTagOnCreate",
            "Effect": "Allow",
            "Action": "ram:TagResource",
            "Resource": [
                "arn:aws:ram:region:accountId:resource-share/*"
            ],
            "Condition": {
                "StringEquals": {
                    "aws:RequestTag/ManagedBy": "VPCProxyService",
                    "aws:ResourceTag/ManagedBy": "VPCProxyService"
                },
                "ForAllValues:StringEquals": { "aws:TagKeys": ["ManagedBy"] }
            }
        },
        {
            "Sid": "VpcProxyDeleteTagged",
            "Effect": "Allow",
            "Action": [
                "vpc-lattice:DeleteResourceConfiguration",
                "vpc-lattice:DeleteResourceGateway"
            ],
            "Resource": [
                "arn:aws:vpc-lattice:region:accountId:resourcegateway/*",
                "arn:aws:vpc-lattice:region:accountId:resourceconfiguration/*"
            ],
            "Condition": {
                "StringEquals": { "aws:ResourceTag/ManagedBy": "VPCProxyService" }
            }
        },
        {
            "Sid": "VpcProxyRamDeleteTagged",
            "Effect": "Allow",
            "Action": "ram:DeleteResourceShare",
            "Resource": [
                "arn:aws:ram:region:accountId:resource-share/*"
            ],
            "Condition": {
                "StringEquals": { "aws:ResourceTag/ManagedBy": "VPCProxyService" },
                "StringLike": { "ram:ResourceShareName": "vpc-proxy-share-*" }
            }
        },
        {
            "Sid": "VpcProxyGetResource",
            "Effect": "Allow",
            "Action": [
                "vpc-lattice:GetResourceConfiguration",
                "vpc-lattice:GetResourceGateway"
            ],
            "Resource": [
                "arn:aws:vpc-lattice:region:accountId:resourcegateway/*",
                "arn:aws:vpc-lattice:region:accountId:resourceconfiguration/*"
            ]
        },
        {
            "Sid": "VpcProxyRamGetResourceShares",
            "Effect": "Allow",
            "Action": "ram:GetResourceShares",
            "Resource": "*"
        },
        {
            "Sid": "VpcProxyEc2Describe",
            "Effect": "Allow",
            "Action": [
                "ec2:DescribeSubnets",
                "ec2:DescribeSecurityGroups",
                "ec2:DescribeVpcs"
            ],
            "Resource": "*"
        },
        {
            "Sid": "VpcProxyLatticeServiceLinkedRole",
            "Effect": "Allow",
            "Action": "iam:CreateServiceLinkedRole",
            "Resource": [
                "arn:aws:iam::accountId:role/aws-service-role/vpc-lattice.amazonaws.com/*"
            ],
            "Condition": {
                "StringEquals": { "iam:AWSServiceName": "vpc-lattice.amazonaws.com" }
            }
        }
    ]
}

生命週期