本文為英文版的機器翻譯版本，如內容有任何歧義或不一致之處，概以英文版為準。

連線至私有託管工具

私有連線概觀

AWS DevOps 代理程式可以使用自訂模型內容通訊協定 (MCP) 工具和其他整合進行擴充，這些工具可讓代理程式存取內部系統，例如私有套件登錄檔、自我託管可觀測性平台、內部文件 APIs 和來源控制執行個體 （請參閱：設定適用於 AWS DevOps 代理程式的功能)。這些服務通常在 Amazon Virtual Private Cloud (Amazon VPC) 內部執行，但有限制或沒有公有網際網路存取，這表示預設情況下， AWS DevOps 代理程式無法與其連線。

適用於 AWS DevOps Agent 的私有連線可讓您安全地將 Agent Space 連線至 VPC 中執行的服務，而不會將其公開至公有網際網路。私有連線可與需要連線到私有端點的任何整合搭配使用，包括 MCP 伺服器、自我託管 Grafana 或 Splunk 執行個體，以及 GitHub Enterprise Server 和 GitLab 自我管理等來源控制系統。

私有連線的運作方式

私有連線會在 AWS DevOps Agent 與 VPC 中的目標資源之間建立安全的網路路徑。在幕後， AWS DevOps 代理程式會使用 Amazon VPC Lattice 來建立此安全的私有連線路徑。VPC Lattice 是一種應用程式聯網服務，可讓您跨 VPCs、帳戶和運算類型連線、保護和監控應用程式之間的通訊，而無需管理基礎網路基礎設施。

當您建立私有連線時，會發生下列情況：

資源閘道由 AWS DevOps Agent 完全管理，並顯示為帳戶中的唯讀資源 （名為 aidevops-{your-private-connection-name})。您不需要設定或維護它。在您的 VPC 中建立的唯一資源是您指定的子網路中的 ENIs。這些 ENIs做為私有流量的進入點，完全由 服務管理。他們不接受來自網際網路的傳入連線，而且您可以透過自己的安全群組保留對流量的完全控制。

安全

私有連線的設計具有多層安全性：

Architecture

下圖顯示私有連線的網路路徑。

在此架構中：

建立私有連線

您可以使用 AWS 管理主控台或 CLI AWS 建立私有連線。

先決條件

建立私有連線之前，請確認您有下列項目：

私有連線是帳戶層級的資源。建立私有連線後，您可以在需要連接相同主機的多個整合和客服人員空間中重複使用該連線。

使用主控台建立私有連線

連線狀態會變更為建立進行中。此程序最多可能需要 10 分鐘。當狀態變更為作用中時，表示網路路徑已就緒。

如果狀態變更為建立失敗，請確認下列事項：

使用 CLI AWS 建立私有連線

執行下列命令來建立私有連線。將預留位置值取代為您自己的值。

aws devops-agent create-private-connection \
    --name my-mcp-tool-connection \
    --mode '{
        "serviceManaged": {
            "hostAddress": "mcp.internal.example.com",
            "vpcId": "vpc-0123456789abcdef0",
            "subnetIds": [
                "subnet-0123456789abcdef0",
                "subnet-0123456789abcdef1"
            ],
            "securityGroupIds": [
                "sg-0123456789abcdef0"
            ],
            "portRanges": ["443"]
        }
    }'

回應包含連線名稱和 的狀態CREATE_IN_PROGRESS：

{
    "name": "my-mcp-tool-connection",
    "status": "CREATE_IN_PROGRESS",
    "resourceGatewayId": "rgw-0123456789abcdef0",
    "hostAddress": "mcp.internal.example.com",
    "vpcId": "vpc-0123456789abcdef0"
}

若要檢查連線狀態，請使用 describe-private-connection命令：

aws devops-agent describe-private-connection \
    --name my-mcp-tool-connection

當狀態為 時ACTIVE，您的私有連線即可使用。

搭配功能提供者使用私有連線

若要使用私有連線，您可以在功能提供者註冊期間連結至該連線。可搭配私有連線使用的支援功能包括：GitHub、MCP Server、 GitLab和 Grafana。您可以使用 AWS 管理主控台或 CLI AWS 執行此步驟。

使用主控台與功能提供者使用私有連線

在 AWS DevOps 代理程式主控台中，可透過選取「使用私有連線連線至端點」選項，在註冊期間將私有連線連結至功能。

使用 AWS CLI 搭配功能提供者使用私有連線

您可以透過包含 private-connection-name引數，向私有連線註冊 功能。以下是使用my-mcp-tool-connection私有連線向 API 金鑰授權註冊 MCP 伺服器的範例。將預留位置值取代為您自己的值。

aws devops-agent register-service \
    --service mcpserver \
    --private-connection-name my-mcp-tool-connection \
    --service-details '{
        "mcpserver": {
            "name": "my-mcp-tool",
            "endpoint": "https://mcp.internal.example.com",
            "authorizationConfig": {
                "apiKey": {
                    "apiKeyName": "api-key",
                    "apiKeyValue": "secret-value",
                    "apiKeyHeader": "x-api-key"
                }
            }
        }
    }' \
    --region us-east-1

驗證私有連線

私有連線達到作用中狀態且功能提供者已使用後，請確認 AWS DevOps 代理程式可以到達您的目標服務：

如果連線失敗，請檢查下列項目：

刪除私有連線

您可以使用 AWS 管理主控台或 CLI AWS 刪除未使用的私有連線。

使用主控台刪除私有連線

私有連線的狀態將顯示為「移除連線」，而 AWS DevOps 代理程式會從 VPC 中移除受管資源閘道和 ENIs。刪除完成後，連線不會再出現在私有連線清單中。

使用 CLI AWS 刪除私有連線

aws devops-agent delete-private-connection \
    --name my-mcp-tool-connection

回應會傳回 DELETE_IN_PROGRESS. AWS DevOps 代理程式的狀態，將受管資源閘道和 ENIs 從 VPC 中移除。刪除完成後，連線不會再出現在私有連線清單中。

使用現有 VPC Lattice 資源的進階設定

如果您的組織已使用 Amazon VPC Lattice 並管理您自己的資源組態，您可以在自我管理模式中建立私有連線。您可以提供指向目標服務的現有資源組態的 Amazon Resource Name (ARN)，而不是讓 AWS DevOps 代理程式為您建立資源閘道。

當您：

若要使用 CLI AWS 建立自我管理的私有連線：

aws devops-agent create-private-connection \
    --name my-advanced-connection \
    --mode '{
        "selfManaged": {
            "resourceConfigurationId": "arn:aws:vpc-lattice:us-east-1:123456789012:resourceconfiguration/rcfg-0123456789abcdef0"
        }
    }'

如需設定 VPC Lattice 資源閘道和資源組態的詳細資訊，請參閱 Amazon VPC Lattice 使用者指南。

相關主題