Amazon Bedrock AgentCore Gateway がプライベート TLS 証明書をサポート

Amazon Bedrock AgentCore Gateway において、プライベート認証局 (CA) によって署名された TLS 証明書が利用可能になりました。MCP、OpenAPI、および HTTP プロキシターゲットにおいて、Amazon S3 または AWS Secrets Manager から取得した PEM 形式の CA 証明書を信頼の起点として使用できます。これにより、Amazon VPC Lattice を介したプライベートエンドポイントへの接続において、中間層としての Application Load Balancer (ALB) を介さずに、ネイティブかつセキュアな接続を確立できます。

💡 技術的なポイント：ALB なしでのセキュアな VPC 接続を実現

🛠 解決される課題

これまで、AgentCore Gateway から自社管理のプライベート CA を使用している VPC 内のエンドポイントへ接続する場合、TLS の検証を通すために Application Load Balancer (ALB) を中間に挟んで証明書を終端させる 必要がありました。これは構成の複雑化と、ALB の運用コスト・管理負荷という課題を生んでいました。

今回のアップデートにより、AgentCore Gateway が直接 S3 や Secrets Manager から CA 証明書を読み込めるようになったため、ALB を介さずに VPC Lattice 経由でプライベートエンドポイントへ直接、安全に接続できる ようになります。構成がシンプルになり、ネットワーク設計の自由度が大きく向上します。

🇯🇵 日本国内での利用状況

最新のリージョン状況を確認したところ、東京リージョン (ap-northeast-1) および 大阪リージョン (ap-northeast-3) の両方で利用可能 です。Amazon Bedrock と Amazon VPC Lattice が提供されているため、国内のプロジェクトでもすぐに導入検討が可能です。

🚀 実務へのアドバイス

• セキュリティと運用: 証明書の管理には、ライフサイクル管理が容易な AWS Secrets Manager の利用を推奨します。PEM 形式で正しく格納されているか、権限設定（IAM）が適切かを確認してください。
• コスト最適化: 中間層の ALB が不要になるため、通信量が多い環境ではインフラコストの削減効果が期待できます。

✅ 次のアクション

まずは、現在 ALB を介して通信している既存の AgentCore Gateway 構成がある場合、VPC Lattice と Secrets Manager を組み合わせた構成へ移行できるか、PoC（概念実証）を実施してみるのが良いでしょう。

参照ドキュメント: AgentCore Developer Guide https://docs.aws.amazon.com/bedrock-agentcore/latest/devguide/gateway-vpc-egress.html#gateway-private-certificate