View a markdown version of this page

Funktionsweise - Amazon Grundgestein AgentCore
Zentrale KomponentenAuthentifizierung und SicherheitWeitere FeaturesÜberblick über die Implementierung

Funktionsweise

Die Amazon Bedrock AgentCore Runtime kümmert sich um Skalierung, Sitzungsmanagement, Sicherheitsisolierung und Infrastrukturmanagement, sodass Sie sich auf die Entwicklung intelligenter Agentenerlebnisse statt auf die betriebliche Komplexität konzentrieren können. Durch die Nutzung der hier beschriebenen Funktionen und Fähigkeiten können Sie hochentwickelte KI-Agenten erstellen, bereitstellen und verwalten, die Ihren Benutzern einen Mehrwert bieten und gleichzeitig dazu beitragen, Sicherheit und Zuverlässigkeit auf Unternehmensebene aufrechtzuerhalten.

Zentrale Komponenten

AgentCore Laufzeit

Eine AgentCore Runtime ist die grundlegende Komponente, die Ihren AI-Agenten- oder Toolcode hostet. Sie stellt eine containerisierte Anwendung dar, die Benutzereingaben verarbeitet, den Kontext beibehält und Aktionen mithilfe von KI-Funktionen ausführt. Wenn Sie einen Agenten erstellen, definieren Sie sein Verhalten, seine Funktionen und die Tools, auf die er zugreifen kann. Ein Kundenbetreuer kann beispielsweise Fragen zu Produkten beantworten, Rücksendungen bearbeiten und komplexe Probleme an menschliche Vertreter weiterleiten.

Sie können Agenten mithilfe der AgentCore CLI, des AgentCore Python-SDK oder direkt über AWS SDKs erstellen und für AgentCore Runtime bereitstellen. Mit dem AgentCore Python-SDK können Sie Ihren Agenten mithilfe gängiger Frameworks wie LangGraph CrewAI oder Strands Agents definieren. Das SDK bewältigt die Komplexität der Infrastruktur, sodass Sie sich auf die Logik und die Funktionen des Agenten konzentrieren können.

Jede Laufzeit AgentCore :

  • Hat eine einzigartige Identität

  • Ist versioniert, um eine kontrollierte Bereitstellung und Updates zu unterstützen

Versionen

Jede AgentCore Runtime verwaltet unveränderliche Versionen, die einen vollständigen Snapshot der Konfiguration zu einem bestimmten Zeitpunkt erfassen:

  • Wenn Sie eine AgentCore Runtime erstellen, wird Version 1 (V1) automatisch erstellt

  • Bei jeder Aktualisierung der Konfiguration (Container-Image, Protokolleinstellungen, Netzwerkeinstellungen) wird eine neue Version erstellt

  • Jede Version enthält alle für die Ausführung erforderlichen Konfigurationen

Dieses Versionssystem bietet einen zuverlässigen Bereitstellungsverlauf und Rollback-Funktionen.

Endpunkte

Endpunkte bieten adressierbare Zugriffspunkte für bestimmte Versionen Ihrer Runtime. AgentCore Jeder Endpunkt:

  • Hat einen eindeutigen ARN für den Aufruf

  • Verweist auf eine bestimmte Version Ihrer Agent-Runtime

  • Bietet stabilen Zugriff auf Ihren Agenten, auch wenn Sie Implementierungen aktualisieren

Die wichtigsten Endpunktdetails:

  • Der „DEFAULT“ -Endpunkt wird automatisch erstellt, wenn Sie CreateAgentRuntimeihn aufrufen und verweist auf die neueste Version

  • Wenn Sie Ihre AgentCore Runtime aktualisieren, wird eine neue Version erstellt, aber der DEFAULT Endpunkt wird automatisch aktualisiert, um darauf zu verweisen

  • Sie können benutzerdefinierte Endpoints mit der CreateAgentRuntimeEndpointOperation für verschiedene Umgebungen (Dev, Test, Prod) erstellen

  • Wenn ein Benutzer eine Anfrage an einen Endpunkt stellt, wird die Anfrage in die spezifische Agentenversion aufgelöst, auf die dieser Endpunkt verweist

Endgeräte haben unterschiedliche Lebenszyklusstatus:

  • CREATING- Anfangszustand während der Endpunkterstellung

  • CREATE_FAILED- Weist auf einen Fehler bei der Erstellung aufgrund von Berechtigungen oder anderen Problemen hin

  • READY- Der Endpunkt ist betriebsbereit und akzeptiert Anfragen

  • UPDATING- Der Endpunkt wird so geändert, dass er auf eine neue Version verweist

  • UPDATE_FAILED- Zeigt an, dass der Aktualisierungsvorgang fehlgeschlagen ist

Sie können Endgeräte ohne Ausfallzeiten aktualisieren, was reibungslose Versionsübergänge und Rollbacks ermöglicht.

Sitzungen

Sessions stellen individuelle Interaktionskontexte zwischen Benutzern und Ihrer AgentCore Runtime dar. Jede Sitzung:

  • Wird durch ein von Ihrer Anwendung runtimeSessionId bereitgestelltes Unikat identifiziert, oder durch die Runtime selbst beim ersten Aufruf, falls das Feld leer gelassen runtimeSessionId wird

  • Läuft auf einer dedizierten MicroVM mit vollständig isolierten CPU-, Speicher- und Dateisystemressourcen

  • Behält den Kontext mehrerer Interaktionen innerhalb derselben Konversation bei

  • Kann für eine Gesamtlaufzeit von bis zu 8 Stunden bestehen

Zu den Sitzungszuständen gehören:

  • Aktiv — Verarbeitet derzeit eine Anfrage oder führt Hintergrundaufgaben aus

  • Inaktiv — Es werden keine Anfragen bearbeitet, aber der Kontext wird beibehalten, während auf die nächste Interaktion gewartet wird

  • Beendet — Die Sitzung wurde aufgrund von Inaktivität (15 Minuten) beendet, die maximale Lebensdauer erreicht (8 Stunden) oder weil sie als fehlerhaft eingestuft wurde

Wichtige Sitzungsmerkmale:

  • Nach Beendigung der Sitzung wird die gesamte MicroVM beendet und der Speicher bereinigt

  • Eine nachfolgende Anfrage mit derselben runtimeSessionId nach der Beendigung erzeugt eine neue Ausführungsumgebung

  • Die Sitzungsisolierung verhindert eine sitzungsübergreifende Datenkontamination und gewährleistet die Sicherheit

  • Der Sitzungsstatus ist kurzlebig und sollte nicht aus Gründen der Langzeitbeständigkeit verwendet werden (verwenden Sie AgentCore Speicher für die Beständigkeit des Kontextes)

Diese vollständige Isolierung zwischen den Sitzungen ist für die Unternehmenssicherheit von entscheidender Bedeutung, insbesondere wenn es sich um nichtdeterministische KI-Prozesse handelt.

Authentifizierung und Sicherheit

Die eingehende Authentifizierung steuert, wer über AWS Identity and Access Management oder OAuth 2.0 auf Ihre Agenten zugreifen kann. Dabei werden Inhabertoken von Identitätsanbietern validiert, bevor Anfragen bearbeitet werden können. Mit der ausgehenden Authentifizierung können Ihre Agenten mithilfe von OAuth- oder API-Schlüsseln sicher auf Dienste von Drittanbietern zugreifen, wobei die Anmeldeinformationen entweder vom Benutzer delegiert oder autonom AgentCore verwaltet werden. Weitere Informationen finden Sie unter Authentifizieren und Autorisieren mit Inbound Auth und Outbound Auth.

Authentifizierung bei eingehendem Datenverkehr

Inbound Auth, unterstützt von AgentCore Identity, steuert, wer in Runtime auf Ihre Agenten oder Tools zugreifen und diese aufrufen kann. AgentCore

Authentifizierungsmethoden

  • AWS IAM (SigV4): Verwendet Anmeldeinformationen für die Identitätsprüfung AWS

  • OAuth 2.0: Lässt sich in externe Identitätsanbieter integrieren

OAuth-Konfigurationsoptionen

  • Discovery-URL: Der OpenID Connect-Discovery-Endpunkt Ihres Identitätsanbieters

  • Zulässige Zielgruppen: Liste der gültigen Zielgruppenwerte, die Ihre Token enthalten sollten

  • Zulässige Clients: Liste der Client-IDs, die auf diesen Agenten zugreifen können

Authentifizierungsfluss

  1. Endbenutzer authentifizieren sich bei Ihrem Identitätsanbieter (Amazon Cognito, Okta, Microsoft Entra ID)

  2. Ihre Client-Anwendung erhält nach erfolgreicher Authentifizierung ein Bearer-Token

  3. Der Client übergibt dieses Token im Autorisierungsheader, wenn er den Agenten aufruft

  4. AgentCore Runtime validiert das Token mit dem Autorisierungsserver

  5. Wenn sie gültig ist, wird die Anfrage bearbeitet; wenn sie ungültig ist, wird sie abgelehnt

Dadurch wird sichergestellt, dass nur authentifizierte Benutzer mit entsprechender Autorisierung auf Ihre Agenten zugreifen können.

Ausgehende Authentifizierung

Outbound Auth, unterstützt von Amazon Bedrock AgentCore Identity, ermöglicht es Ihren auf AgentCore Runtime gehosteten Agenten, sicher auf Dienste von Drittanbietern zuzugreifen:

Authentifizierungsmethoden

  • OAuth: Für Dienste, die OAuth-Flows unterstützen

  • API-Schlüssel: Für Dienste, die eine schlüsselbasierte Authentifizierung verwenden

Authentifizierungsmodi

  • User-delegated: Handelt im Namen des Endbenutzers mit seinen Anmeldeinformationen

  • Autonom: Unabhängiges Handeln mit Zugangsdaten auf Service-Ebene

Unterstützte Services

  • Unternehmenssysteme wie Slack, Zoom und GitHub

  • AWS Dienstleistungen

  • Benutzerdefinierte APIs und Datenquellen

AgentCore Identity verwaltet diese Anmeldeinformationen sicher und verhindert so, dass Anmeldeinformationen in Ihrem Agentencode oder Ihren Protokollen offengelegt werden.

Weitere Features

Asynchrone Verarbeitung

AgentCore Runtime unterstützt Workloads mit langer Laufzeit durch:

  • Bearbeitung von Hintergrundaufgaben bei Vorgängen, die Zyklen überschreiten request/response

  • Automatische Statusverfolgung über den /ping Endpunkt

  • Support für Operationen mit einer Dauer von bis zu 8 Stunden

Weitere Informationen finden Sie unter Umgang mit asynchronen und lang laufenden Agenten mit Amazon Bedrock AgentCore Runtime.

Streaming-Antworten

Agenten können Teilergebnisse streamen, sobald sie verfügbar sind, anstatt auf die vollständige Verarbeitung zu warten. Auf diese Weise können Sie eine reaktionsschnellere Benutzererfahrung bereitstellen, insbesondere bei Vorgängen, die große Mengen an Inhalten generieren oder deren Ausführung viel Zeit in Anspruch nimmt. Weitere Informationen finden Sie unter Antworten von Stream-Agenten.

WebSocket API

Die AgentCore Runtime bietet WebSocketUnterstützung für bidirektionale Streaming-Verbindungen in Echtzeit für die interaktive Agentenkommunikation. Dies ermöglicht ein reaktionsschnelleres und interaktiveres Agentenerlebnis. Weitere Informationen finden Sie unter Erste Schritte mit bidirektionalem Streaming mithilfe von WebSocket.

Protokollunterstützung

AgentCore Runtime unterstützt mehrere Kommunikationsprotokolle:

Überblick über die Implementierung

Hier erfahren Sie, wie Sie mit der AgentCore Runtime beginnen können. Das vollständige Beispiel finden Sie unter Erste Schritte mit der AgentCore CLI.

Bereiten Sie Ihren Agenten- oder Toolcode vor

  • Definieren Sie Ihre Agentenlogik mithilfe eines beliebigen KI-Frameworks oder benutzerdefinierten Codes

  • Fügen Sie die erforderlichen HTTP-Endpunkte mithilfe des AgentCore SDK oder einer benutzerdefinierten Implementierung hinzu

  • Paketabhängigkeiten in einer Datei requirements.txt

Stellen Sie Ihren Agenten oder Ihr Tool bereit

  • Erstellen Sie ein Container-Image und übertragen Sie es direkt oder über das AgentCore SDK an Amazon ECR

  • Erstellen Sie eine AgentCore Runtime mithilfe des Container-Images

  • Die ursprüngliche Version (V1) und der DEFAULT-Endpunkt werden automatisch erstellt

Rufen Sie Ihren Agenten oder Ihr Tool auf

Verwalten und beobachten Sie Sitzungen und nehmen Sie Aktualisierungen vor

  • Verwenden Sie dieselbe Sitzungs-ID für nachfolgende Interaktionen, um den Kontext aufrechtzuerhalten

  • Überprüfen Sie Logs, Traces und Messwerte zur Beobachtbarkeit

  • Stellen Sie Updates bereit, indem Sie Ihre AgentCore Runtime ändern (erstellt neue Versionen)

  • Steuern Sie den Rollout, indem Sie die Endgeräte so aktualisieren, dass sie auf neue Versionen verweisen