本文属于机器翻译版本。若本译文内容与英语原文存在差异，则一律以英文原文为准。

连接到私人托管的工具

私有连接概述

AWS DevOps 可以使用自定义模型上下文协议 (MCP) 工具和其他集成来扩展代理，这些工具允许代理访问内部系统，例如私有包注册表、自托管可观测性平台、内部文档 APIs和源代码管理实例（参见:）。为 AWS DevOps 代理配置功能这些服务通常在 Amazon Virtual Private Cloud（Amazon VPC）内运行，公共互联网访问受限或没有公共访问权限，这意味着默认情况下， AWS DevOps 代理无法访问它们。

通过 AWS DevOps 代理的私有连接，您可以将代理空间安全地连接到 VPC 中运行的服务，而无需将其暴露在公共互联网上。私有连接适用于需要访问私有端点的任何集成，包括 MCP 服务器、自托管 Grafana 或 Splunk 实例，以及源代码控制系统，例如企业服务器和自我管理。 GitHub GitLab

私有连接的工作原理

私有连接可在 AWS DevOps 代理和您的 VPC 中的目标资源之间创建安全的网络路径。在幕后， AWS DevOps 代理使用 Amazon VPC Lattice 来建立这条安全的私有连接路径。VPC Lattice 是一项应用网络服务，可让您连接、保护和监控跨 VPCs账户和计算类型的应用程序之间的通信，而无需管理底层网络基础设施。

创建私有连接时，会发生以下情况：

资源网关完全由 AWS DevOps 代理管理，并在您的账户（名为aidevops-{your-private-connection-name}）中显示为只读资源。您无需对其进行配置或维护。在您的 VPC 中创建的唯一资源 ENIs 位于您指定的子网中。 ENIs 它们是私人流量的入口点，完全由该服务管理。他们不接受来自互联网的入站连接，您可以通过自己的安全组完全控制他们的流量。

安全性

私有连接的设计具有多层安全性：

架构

下图显示了专用连接的网络路径。

在此架构中：

创建私有连接

您可以使用 AWS 管理控制台或 AWS CLI 创建私有连接。

先决条件

在创建私有连接之前，请确认您已具备以下条件：

私有连接是账户级别的资源。创建私有连接后，可以在需要访问同一主机的多个集成和代理空间中重复使用该连接。

使用控制台创建私有连接

连接状态更改为 “正在创建”。此过程最多可能需要 10 分钟。当状态更改为 “活动” 时，网络路径已准备就绪。

如果状态更改为 “创建失败”，请验证以下内容：

使用 AWS CLI 创建私有连接

运行以下命令创建私有连接。用自己的占位符值替换占位符值。

aws devops-agent create-private-connection \
    --name my-mcp-tool-connection \
    --mode '{
        "serviceManaged": {
            "hostAddress": "mcp.internal.example.com",
            "vpcId": "vpc-0123456789abcdef0",
            "subnetIds": [
                "subnet-0123456789abcdef0",
                "subnet-0123456789abcdef1"
            ],
            "securityGroupIds": [
                "sg-0123456789abcdef0"
            ],
            "portRanges": ["443"]
        }
    }'

响应包括连接名称和状态CREATE_IN_PROGRESS：

{
    "name": "my-mcp-tool-connection",
    "status": "CREATE_IN_PROGRESS",
    "resourceGatewayId": "rgw-0123456789abcdef0",
    "hostAddress": "mcp.internal.example.com",
    "vpcId": "vpc-0123456789abcdef0"
}

要检查连接状态，请使用以下describe-private-connection命令：

aws devops-agent describe-private-connection \
    --name my-mcp-tool-connection

当状态为时ACTIVE，您的私人连接已准备就绪，可以使用。

使用与功能提供商的私有连接

要使用私有连接，可以在注册功能提供商的过程中链接到该私有连接。可用于私有连接的支持功能包括：GitHub、GitLabMCP Server、和Grafana。您可以使用 AWS 管理控制台或 AWS CLI 执行此步骤。

使用控制台与能力提供者建立私有连接

在 AWS DevOps 代理控制台中，通过选择 “使用专用连接连接到端点” 选项，可以在注册期间将私有连接链接到功能。

使用 C AWS LI 与功能提供者建立私有连接

您可以通过包含private-connection-name参数向私有连接注册权能。以下是使用my-mcp-tool-connection私有连接注册具有 API 密钥授权的 MCP 服务器的示例。用自己的占位符值替换占位符值。

aws devops-agent register-service \
    --service mcpserver \
    --private-connection-name my-mcp-tool-connection \
    --service-details '{
        "mcpserver": {
            "name": "my-mcp-tool",
            "endpoint": "https://mcp.internal.example.com",
            "authorizationConfig": {
                "apiKey": {
                    "apiKeyName": "api-key",
                    "apiKeyValue": "secret-value",
                    "apiKeyHeader": "x-api-key"
                }
            }
        }
    }' \
    --region us-east-1

验证私有连接

在专用连接达到 “活动” 状态并已被功能提供商使用后，请验证 AWS DevOps 代理是否可以访问您的目标服务：

如果连接失败，请检查以下内容：

删除私有连接

您可以使用 AWS 管理控制台或 AWS CLI 删除未使用的私有连接。

使用控制台删除私有连接

当 AWS DevOps 代理 ENIs 从您的 VPC 中移除托管资源网关时，私有连接的状态将显示为 “正在删除连接”。删除完成后，该连接将不再出现在您的专用连接列表中。

使用 AWS CLI 删除私有连接

aws devops-agent delete-private-connection \
    --name my-mcp-tool-connection

响应返回的状态为DELETE_IN_PROGRESS。 AWS DevOps 代理会 ENIs 从您的 VPC 中移除托管资源网关。删除完成后，该连接将不再出现在您的专用连接列表中。

使用现有 VPC 莱迪思资源进行高级设置

如果您的组织已经在使用 Amazon VPC Lattice 并管理自己的资源配置，则可以在自我管理模式下创建私有连接。您无需让 AWS DevOps 代理为您创建资源网关，而是提供指向您的目标服务的现有资源配置的 Amazon 资源名称 (ARN)。

这种方法在以下情况下很有用：

要使用 AWS CLI 创建自行管理的私有连接，请执行以下操作：

aws devops-agent create-private-connection \
    --name my-advanced-connection \
    --mode '{
        "selfManaged": {
            "resourceConfigurationId": "arn:aws:vpc-lattice:us-east-1:123456789012:resourceconfiguration/rcfg-0123456789abcdef0"
        }
    }'

有关设置 VPC 莱迪思资源网关和资源配置的更多详细信息，请参阅 Amazon VPC 莱迪思用户指南。

相关主题