使用AgentCore Gateway和MCP构建多账户AI代理
aws ·
本文详细介绍了使用 Amazon Bedrock AgentCore Gateway 和模型上下文协议(MCP)构建多账户 AI 代理的参考架构。该方案旨在解决在不集中或复制数据的情况下,使代理能够跨多个业务线账户进行数据推理的挑战。解决方案采用中心辐射型模型,其中中央平台账户托管代理和大语言模型(LLM)推理,而各个业务线账户则将其数据作为 MCP 服务器暴露出来。AgentCore Gateway 作为单一入口点,负责工具发现、语义搜索以及通过 OAuth 2.0 机器对机器凭据实现跨账户身份验证。安全性通过 AgentCore 中的策略强制执行,该策略利用 Cedar 规则,根据从 Okta 传播的用户身份声明应用细粒度的授权。该架构还包括持续评估、安全的版本部署以及全面的可观测性,以确保生产就绪状态。最后,文章概述了关于成本归属、审计日志记录以及使用 VPC 端点的网络安全的治理策略。
aws