기계 번역으로 제공되는 번역입니다. 제공된 번역과 원본 영어의 내용이 상충하는 경우에는 영어 버전이 우선합니다.

지시된 작업 작업

AWS DevOps 에이전트는 운영자가 명시적으로 요청할 때 연결된 서비스 및 AWS 계정에 대해 조치를 취할 수 있습니다. 예를 들어 인시던트를 조사하는 운영자는 에이전트에게 리소스의 상태를 설명하도록 요청할 수 있습니다. 적절한 권한과 승인을 통해 운영자는 에이전트에게 문제를 직접 해결하도록 요청할 수도 있습니다.

에이전트는 두 가지 종류의 작업을 구분합니다.

지시된 작업에 대한 안전 모델은 심층 방어입니다. 기능은 기본적으로 비활성화되어 있습니다. 독립 계층을 통해 옵트인합니다. 즉, 에이전트 공간에서 지시된 작업을 활성화하고, 계정별 IAM 역할을 등록하고, 각 도구를 분류합니다. 모든 지시된 작업에는 실행 시 운영자 승인이 필요합니다. 모든 승인 및 결과 작업은 승인 연산자 in AWS CloudTrail에 기인합니다.

AWS 리소스에 대한 작업의 경우 에이전트는 사용자가 부여하는 권한과 관계없이 호출하는 AWS SDK 작업에 자체 가드레일을 적용합니다. 이러한 가드레일에 대한 자세한 내용은 에이전트가 수행하지 않는 작업을 참조하세요.

예: 조사에서 완화 계획 실행

이 예제는 일반적인 시나리오에 대한 end-to-end 경험을 보여줍니다. 운영자는 조사의 완화 계획 또는 개선 권장 사항을 검토합니다. 운영자는 에이전트에게 대화에서 나가지 않고 수행하도록 요청합니다.

사이트 신뢰성 엔지니어(SRE)는 채팅 중인 에이전트에게에서 SSH 액세스를 허용하는 모든 계정을 찾도록 요청합니다0.0.0.0/0. 에이전트가 열린 수신 규칙이 있는 보안 그룹을 찾습니다. 완화: 규칙을 내부 네트워크 범위로 제한할 것을 권장합니다. 연산자는 에이전트에게 이를 적용하라고 지시합니다.

조사 완화 계획 또는 개선 권장 사항을 검사하고 에이전트에게 단계를 실행하도록 요청할 때도 동일한 흐름이 적용됩니다. 에이전트는 단계를 제안된 특정 작업으로 전환하고 조치를 취하기 전에 승인을 요청합니다.

타사 도구에도 동일한 흐름이 적용됩니다. 알림 노이즈를 분류하는 운영자는 Grafana 알림 규칙의 임계값을 높일 것을 에이전트에게 요청합니다. AWS DevOps 에이전트는이 도구를 변경으로 분류하고 팀은 통합에 대한 승격된 액세스를 활성화했습니다. 에이전트가 도구 및 파라미터를 보여주는 승인 요청을 표시합니다. 승인 후 에이전트는 통합을 통해 도구를 호출합니다. AWS DevOps 에이전트는 승인 연산자에게 작업을 속성으로 지정합니다.

지시된 작업이 활성화되거나 등록된 승격된 역할이 없는 경우에도 에이전트는 읽기 전용 작업으로 계속 조사합니다. 실행 가능한 변경 대신 수동 수정 단계를 제공합니다.

사전 조건

지시된 작업을 사용하려면 먼저 다음이 필요합니다.

에이전트 공간에서 지시된 작업 활성화

다른 승격된 구성을 적용하려면 먼저 에이전트 공간에서 지시된 작업을 활성화해야 합니다. 이는 지시된 작업에 대한 기본 제어입니다. 비활성화된 경우 승격된 역할 등록 및 승격된 도구 옵트인은 영향을 미치지 않습니다. 승격된 구성을 등록하려는 시도는 거부될 수 있습니다.

콘솔에서 활성화

API를 통해 활성화

에이전트 공간의를 통해 지시된 작업을 활성화합니다preferences. 이 필드는 기본 설정 키를 부울 값에 입력하는 맵입니다. CreateAgentSpace 및에서 설정합니다UpdateAgentSpace.

다음 예시에서는 AWS CLI를 사용하여 지시된 작업을 활성화합니다.

aws devops-agent update-agent-space \
    --agent-space-id <your-agent-space-id> \
    --preferences elevatedActionsEnabled=true

preferences 필드에는 다음과 같은 동작이 있습니다.

AWS 계정에 대한 승격된 역할 등록

연결된 각 AWS 계정에 대해 선택적으로 승격된 역할을 등록할 수 있습니다. 모니터 계정과 모든 소스 계정은 각각 승격된 역할 등록을 지원합니다. 승격된 역할은 AWS DevOps 에이전트가 사용자를 대신하여 지시된 작업을 수행하기 위해 수임하는 계정의 IAM 역할입니다. 연결 구성에서 agentElevatedRoleArn를 설정하여 역할을 등록합니다 AWS .

승격된 역할을 등록할 때는 다음 사항에 유의하세요.

신뢰 정책 작성

승격된 역할은 AWS DevOps 에이전트 서비스 보안 주체를 신뢰해야 합니다. 검증은 수임-역할 경로를 연습합니다. AWS DevOps 에이전트는 역할을 수임할 때 3개의 STS 작업을 사용합니다. 신뢰 정책은 sts:AssumeRole, sts:SetSourceIdentity및의 세 가지를 모두 허용해야 합니다sts:TagSession. sts:SetSourceIdentity 또는를 생략하면 검증 상태가 인 경우에도 보안 인증 시 sts:TagSession지시된 작업이 실패합니다valid.

다음 예제에서는 승격된 역할에 대한 신뢰 정책을 보여줍니다. 111122223333를 AWS 계정 ID로 바꾸고를 에이전트 공간의 AWS 리전us-east-1으로 바꿉니다.

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Principal": {
        "Service": "aidevops.amazonaws.com"
      },
      "Action": [
        "sts:AssumeRole",
        "sts:SetSourceIdentity",
        "sts:TagSession"
      ],
      "Condition": {
        "StringEquals": {
          "aws:SourceAccount": "111122223333"
        },
        "ArnLike": {
          "aws:SourceArn": "arn:aws:aidevops:us-east-1:111122223333:agentspace/*"
        }
      }
    }
  ]
}

aws:SourceAccount 및 aws:SourceArn 조건은 혼동된 대리자 문제를 방지합니다. 이는 역할이 자체 에이전트 공간을 대신하여만 수임될 수 있도록 합니다. aws:SourceArn 조건의 리전은 에이전트 공간의 리전과 일치해야 합니다. 여러 리전에서 에이전트 공간을 운영하는 경우 리전 와일드카드(arn:aws:aidevops:*:111122223333:agentspace/*) 또는 특정 에이전트 공간 ARN을 사용합니다.

승격된 역할에 권한 부여

승격된 역할의 권한 정책은 지시된 작업을 통해 계정에서 AWS DevOps 에이전트가 수행할 수 있는 작업의 상한을 정의합니다. 에이전트는이 천장에서 작동하지 않습니다. 모든 지시된 작업에는 운영자 승인이 필요합니다. 승인된 작업에 대해 발급된 자격 증명에는 세션 정책이 포함됩니다. 세션 정책은 운영자가 승인한 특정 작업 및 리소스로 범위를 좁힙니다. 에이전트는 AWS DevOps 에이전트가 유지 관리하는 지원되는 AWS IAM 작업의 선별된 목록에서만 세션 정책을 작성합니다. 이 목록 외부의 작업은 세션 정책의 일부가 될 수 없습니다. 목록을 찾아보려면 AWS DevOps 에이전트 콘솔에서 구성 페이지를 엽니다. 에이전트 작업 섹션에서 지원되는 작업 보기를 선택합니다. 권한 정책에는 두 가지 옵션이 있습니다.

옵션 1: AWS 관리형 정책 연결. AWS DevOps 에이전트는 AIDevOpsAgentActionsPolicy 관리형 정책을 제공합니다. ARN은 arn:aws:iam::aws:policy/AIDevOpsAgentActionsPolicy입니다. 코드 형식의 정책 문서는 AWS 관리형 정책 참조 가이드를 참조하세요.

관리형 정책에는 다음과 같은 특성이 있습니다.

옵션 2: 고객 관리형 정책을 작성합니다. 관리형 정책이 제공하는 것보다 더 엄격한 상한을 원하는 경우 자체 정책을 작성합니다. 에이전트가 접촉할 작업과 리소스로 범위를 지정하고 역할에 연결합니다. 최소 권한 원칙을 따릅니다. 연산자가 승인할 것으로 예상되는 작업부터 시작하고 필요에 따라서만 확장합니다. 역할이 허용하지 않는 지시된 작업은 승인되었더라도 실행 시간에 실패합니다.

두 옵션 중 하나를 사용하면 에이전트가 서비스 제어 정책(SCPs) 및 권한 경계를 사용하여 수행할 수 있는 작업을 추가로 제한할 수 있습니다. 이러한 제어는 계정의 다른 역할과 마찬가지로 승격된 역할에 적용됩니다. 에이전트의 액세스 범위 지정에 대한 자세한 내용은 섹션을 참조하세요AWS 계정의 에이전트 액세스 제한.

검증 수명 주기

신뢰 정책 검증 실행 방법은 계정 유형에 따라 다릅니다.

역할은 상태가 인 후에만 지시된 작업에 사용됩니다valid.

소스 계정의 경우 GetAssociation 또는 와의 연결을 폴링ListAssociations하고 agentElevatedRoleArnStatus 필드를 확인합니다. 검증은 일반적으로 몇 분 내에 완료됩니다.

에이전트가 수행하지 않을 작업

에이전트는 부여하는 권한과 관계없이 직접 호출하는 AWS SDK 작업에 대해 자체 가드레일을 지시된 작업으로 적용합니다. 이러한 가드레일은 AWS 리소스에 대한 작업에만 적용됩니다. 도구 분류는 대신 타사 도구를 관리합니다. 도구 분류에 대한 자세한 내용은 타사 통합을 위한 도구 분류를 참조하세요. 이러한 가드레일은 승격된 역할의 정책이 작업을 허용하는 경우에도 적용됩니다. 연산자 승인은 이를 재정의하지 않습니다.

이러한 작업 중 하나를 수행하도록 지시되면 에이전트가 거부하고 이유를 설명합니다. 가능한 경우 수동 단계를 대신 설명합니다.

이러한 가드레일은 승격된 역할의 권한 정책, SCPs 및 승격된 역할에 대한 권한 경계 등 소유한 제어를 보완합니다.

타사 통합을 위한 도구 분류

타사 및 MCP 통합은 에이전트가 도구를 호출할 수 있는지 여부와 필요한 승인이 무엇인지를 게이트하는 세 가지 범주의 도구를 노출합니다. AWS DevOps Agent는 기본 통합에 고정 분류를 할당합니다. 고객이 구성한 MCP 서버에 할당합니다.

고객 구성 MCP 서버

MCP 서버 연결(SigV4 변형 포함)의 경우 도구별 항목 목록toolDetails인를 통해 도구를 직접 분류합니다. 각 항목에는 name 및이 있습니다toolClassification.

MCP 도구 연결 및 허용 목록에 대한 자세한 내용은 섹션을 참조하세요MCP 서버 연결.

네이티브 통합(Datadog, Grafana)

Datadog 및 Grafana와 같은 기본 통합의 경우 분류는 AWS DevOps 에이전트에 의해 수정됩니다. 분류를 제공하지 않습니다. 이러한 분류는 재정의할 수 없습니다. 대신 도구 항목 목록enabledElevatedTools인를 통해에서 특정 변경 도구를 선택합니다.

지시된 작업 승인

지시된 작업은 human-in-the-loop 루프입니다. 에이전트는 수행하도록 지시된 작업이 리소스를 변경한다고 판단하면 작업을 직접 실행하지 않습니다. 대신 다음과 같은 상황이 발생합니다.

AWS DevOps Agent는 운영자 승인 요청을 채팅으로만 표시합니다. 에이전트가 예를 들어 자율 조사 중에 채팅 외부에서 변경 도구를 호출하면 승인 요청을 표시하는 대신 호출이 실패합니다. AWS DevOps Agent는 승인 없이 변경 도구를 실행하지 않습니다.

승인 및 결과 작업은 승인 연산자 in AWS CloudTrail에 기인합니다.

API의 승인 흐름

모든 에이전트 소비자는 Claude, Slack 봇 또는 사용자 지정 작업 클라이언트와 같은 AI 어시스턴트와 상관없이이 흐름을 동일한 방식으로 구동할 수 있습니다.를 호출하고SendMessage, 운영자에게 승인 요청을 표시하고,를 사용하여 결정을 기록하고UpdateApprovalAction, 와의 대화를 재개합니다SendMessage.

모니터링 및 감사

문제 해결

등록된 역할은에 남아 있습니다pending-confirmation. 이는 검증이 비동기식인 소스(보조) 계정에 적용됩니다. 검증은 일반적으로 몇 분 내에 완료됩니다. 상태가 전환되지 않으면 역할이 존재하는지 확인하고 역할 ARN을 다시 등록하여 검증을 다시 트리거합니다.

역할 상태는 입니다invalid. 신뢰 정책 검증에 실패했습니다. 다음을 확인합니다.

신뢰 정책을 수정하고 역할을 다시 등록합니다.

역할 상태가 인 경우에도 지시된 작업은 실패합니다valid. valid 상태는 등록 시 검증 검사를 반영합니다. 검증 후 신뢰 정책이 변경되었거나 aws:SourceArn 조건이 에이전트 공간과 다른 리전에 고정되어 있는 경우에도 라이브 수임 역할 호출은 여전히 실패할 수 있습니다. 위 체크리스트와 비교하여 신뢰 정책을 검토합니다.

ValidationException 승격된 역할을 등록할 때 승격된 구성을 등록하려면 먼저 에이전트 공간에서 지시된 작업을 활성화해야 합니다. 먼저 에이전트 공간에서 지시된 작업을 활성화한 다음 역할을 등록합니다.

를 제공할 때 도구 이름 불일치 오류가 발생했습니다toolDetails. 의 각 이름은 사례를 포함하여 연결에서 활성화된 도구 목록의 도구 이름과 정확히 일치해야 toolDetails 합니다. 두 목록을 비교하고 불일치를 수정한 다음 다시 시도합니다.