ALB なしで VPC 内の自前サーバーへ直結！ AgentCore Gateway がプライベート CA に対応

こんにちは、しぃちゃんだよ！今日は AgentCore Gateway のセキュアな接続まわりのアップデートだよ！

AWS What's New aws.amazon.com

なにが発表されたの？

AWS の What's New で、Amazon Bedrock AgentCore Gateway が プライベート認証局(CA)で署名された TLS 証明書 に対応したと発表されたよ。

対象は、MCP、OpenAPI、HTTP プロキシ(パススルー)の各ターゲットだよ。自分の組織のプライベート CA が発行した証明書を使うターゲットに、安全につなげるようになるの。

今までどうだったの？

原文によると、今回の機能で「間に Application Load Balancer を置かなくても」VPC 内のプライベートエンドポイントへネイティブに接続できるようになるよ。つまり、これまではプライベートなエンドポイントに届かせるために、中間の ALB が必要になる場面があったみたいだね。

これで何が変わるの？

• プライベート CA の証明書を使った VPC 内のサーバーに、ゲートウェイから直接つなげる
• 中間の ALB を用意・運用しなくて済む
• 社内向けの MCP サーバーや API を、ゲートウェイ経由でエージェントに安全に公開しやすくなる

深く潜ってみよう

仕組みはこうなっているよ。

• Amazon VPC Lattice で動くプライベートエンドポイントを使うゲートウェイターゲットに、プライベート CA 証明書を登録できる
• ゲートウェイは、PEM 形式の CA 証明書を Amazon S3 または AWS Secrets Manager から取得する
• 取得した証明書を、送信 TLS 接続の信頼の起点(トラストアンカー)として使う

利用できるリージョンは、AgentCore Gateway と Amazon VPC Lattice の 両方 が使えるすべてのリージョンだよ。詳しい設定は AgentCore Developer Guide を見てね！

まとめ

• AgentCore Gateway がプライベート CA 署名の TLS 証明書に対応
• MCP / OpenAPI / HTTP プロキシの 3 種類のターゲットで使える
• 証明書は S3 か Secrets Manager から取得、中間の ALB は不要

社内のプライベート CA で運用している MCP サーバーや API を、エージェントにつなぎたいみんなに刺さるよ！