本文為英文版的機器翻譯版本，如內容有任何歧義或不一致之處，概以英文版為準。

使用導向動作

當運算子明確要求時，AWS DevOps 代理程式可以對您的連線服務和 AWS 帳戶採取行動。例如，調查事件的運算子可以要求代理程式描述資源的狀態。透過適當的許可和核准，操作員也可以要求代理程式直接修復問題。

代理程式區分兩種操作：

導向動作的安全模型是深度防禦。此功能預設為停用。您可以透過獨立層選擇加入：在代理程式空間上啟用導向動作、註冊每個帳戶 IAM 角色，以及分類每個工具。每個導向動作都需要在執行時間進行運算子核准。每個核准和產生的動作都歸因於核准運算子 in AWS CloudTrail。

對於對 AWS 資源採取的動作，代理程式會在其調用的 AWS SDK 操作上強制執行自己的護欄，與您授予的許可無關。如需這些護欄的詳細資訊，請參閱代理程式不會執行的操作。

範例：從調查執行緩解計劃

此範例顯示常見案例的end-to-end體驗。操作員會檢閱調查的緩解計劃或改善建議。運算子會要求客服人員在不離開對話的情況下執行。

網站可靠性工程師 (SRE) 要求聊天中的客服人員尋找允許從 存取 SSH 的任何帳戶0.0.0.0/0。代理程式會尋找具有開放輸入規則的安全群組。它建議緩解措施：將規則限制在內部網路範圍。運算子會通知代理程式套用它。

當您檢查任何調查緩解計畫或改進建議，並要求客服人員執行步驟時，也會套用相同的流程。代理程式會將步驟轉換為特定的提議操作，並在採取行動之前請求核准。

相同的流程適用於第三方工具。運算子分類警示雜訊會要求代理程式提高 Grafana 警示規則的閾值。 AWS DevOps 代理程式會將此工具分類為變動，而團隊會在整合時啟用此工具以提高存取權。代理程式會呈現核准請求，其中顯示工具和參數。核准後，代理程式會透過 整合叫用工具。 AWS DevOps 代理程式會將 動作歸納給核准運算子。

在啟用導向動作之前，或者沒有註冊的提升角色，代理程式仍會使用唯讀動作進行調查。它提供手動修復步驟，而不是可執行的變更。

先決條件

在使用導向動作之前，您需要下列項目：

在客服人員空間上啟用導向動作

必須在代理程式空間上啟用導向動作，任何其他提升的組態才會生效。這是導向動作的主要控制項。如果停用，提升角色註冊和提升工具選擇加入不會有任何影響。嘗試註冊提升的組態可能會遭到拒絕。

在主控台中啟用

透過 API 啟用

您可以透過代理程式空間的 啟用導向動作preferences。此欄位是偏好設定索引鍵的類型映射到布林值。您可以在 CreateAgentSpace和 上設定它UpdateAgentSpace。

下列範例使用 CLI AWS 啟用導向動作。

aws devops-agent update-agent-space \
    --agent-space-id <your-agent-space-id> \
    --preferences elevatedActionsEnabled=true

preferences 欄位具有下列行為：

註冊 AWS 帳戶的提升角色

對於每個相關聯的 AWS 帳戶，您可以選擇註冊提升的角色。監控帳戶和任何來源帳戶都支援提升的角色註冊。提升角色是您帳戶中的 IAM 角色， AWS DevOps 代理程式會擔任此角色來代表您執行導向動作。您可以透過在關聯 AWS 組態agentElevatedRoleArn上設定 來註冊角色。

當您註冊提升的角色時，請記住下列事項：

撰寫信任政策

提升的角色必須信任 AWS DevOps Agent 服務主體。驗證會練習擔任角色路徑。 AWS DevOps 代理程式會在擔任角色時使用三個 STS 動作。信任政策必須允許全部三個：sts:AssumeRole、 sts:SetSourceIdentity和 sts:TagSession。如果您省略 sts:SetSourceIdentity或 sts:TagSession，即使驗證狀態為 ，導向動作也會在登入資料時間失敗valid。

下列範例顯示提升角色的信任政策。111122223333 將 取代為 AWS 您的帳戶 ID，並將 us-east-1取代為客服人員空間 AWS 的區域。

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Principal": {
        "Service": "aidevops.amazonaws.com"
      },
      "Action": [
        "sts:AssumeRole",
        "sts:SetSourceIdentity",
        "sts:TagSession"
      ],
      "Condition": {
        "StringEquals": {
          "aws:SourceAccount": "111122223333"
        },
        "ArnLike": {
          "aws:SourceArn": "arn:aws:aidevops:us-east-1:111122223333:agentspace/*"
        }
      }
    }
  ]
}

aws:SourceAccount 和 aws:SourceArn條件可防止混淆代理人問題。它們可確保角色只能代表您自己的客服人員空間擔任。aws:SourceArn 條件中的區域必須符合客服人員空間的區域。如果您在多個區域中操作客服人員空間，請使用區域萬用字元 (arn:aws:aidevops:*:111122223333:agentspace/*) 或特定的客服人員空間 ARN。

將許可授予提升的角色

提升角色的許可政策定義 AWS 了 DevOps 代理程式可以在您的帳戶中透過導向動作執行的操作上限。代理程式永遠不會在此上限操作。每個導向動作都需要操作員核准。針對核准動作發行的登入資料具有工作階段政策。工作階段政策會將它們範圍縮小到運算子核准的特定操作和資源。代理程式只會從 AWS DevOps 代理程式維護的支援 IAM AWS 動作的精選清單中編寫工作階段政策。該清單以外的動作永遠不能成為工作階段政策的一部分。若要瀏覽清單，請在 AWS DevOps Agent 主控台中開啟組態頁面。在客服人員動作區段中選擇檢視支援的動作。 您有兩個許可政策的選項。

選項 1：連接 AWS 受管政策。 AWS DevOps 代理程式提供 AIDevOpsAgentActionsPolicy受管政策。其 ARN 是 arn:aws:iam::aws:policy/AIDevOpsAgentActionsPolicy。如需程式碼格式的政策文件，請參閱 AWS 受管政策參考指南。

受管政策具有下列特性：

選項 2：撰寫客戶受管政策。如果您想要比受管政策更緊密的上限，請撰寫您自己的政策。將其範圍限定為您希望客服人員接觸的動作和資源，並將其連接到角色。遵循最低權限原則：從您希望運算子核准的操作開始，並僅視需要展開。即使已核准，角色也不允許在執行時間失敗的導向動作。

使用任一選項，您可以進一步限制代理程式可以使用服務控制政策 (SCPs) 和許可界限執行的操作。這些控制適用於提升的角色，就像您帳戶中的任何其他角色一樣。如需定義代理程式存取範圍的詳細資訊，請參閱 限制 AWS 帳戶中的客服人員存取。

驗證生命週期

信任政策驗證的執行方式取決於帳戶類型。

角色只有在其狀態為 之後，才會用於導向動作valid。

對於來源帳戶，輪詢與 GetAssociation或 的關聯，ListAssociations並檢查 agentElevatedRoleArnStatus 欄位。驗證通常會在幾分鐘內完成。

代理程式不會執行的操作

不論您授予的許可為何，代理程式都會在其呼叫的 AWS SDK 操作上強制執行自己的護欄，做為導向動作。這些護欄僅適用於針對 AWS 資源的動作。工具分類會改為管理第三方工具。如需工具分類的詳細資訊，請參閱分類第三方整合的工具。即使提升角色的政策允許 操作，這些護欄也會套用。運算子核准不會覆寫它們。

當指示 執行其中一個操作時，代理程式會拒絕並說明原因。可以的話，它會改為說明手動步驟。

這些護欄補充了您擁有的控制項：提升角色的許可政策、SCPs 和提升角色的許可界限。

分類第三方整合的工具

第三方和 MCP 整合會以三個類別公開工具，以決定代理程式是否可以叫用工具和需要什麼核准。 AWS DevOps 代理程式會指派原生整合的固定分類。您可以將它們指派給客戶設定的 MCP 伺服器。

客戶設定的 MCP 伺服器

對於 MCP 伺服器關聯 （包括 SigV4 變體），您可以透過每個工具的項目清單 toolDetails來自行分類工具。每個項目都有 name和 toolClassification。

如需連線和允許列出 MCP 工具的詳細資訊，請參閱 連接 MCP 伺服器。

原生整合 (Datadog、Grafana)

對於 Datadog 和 Grafana 等原生整合，分類由 AWS DevOps Agent 修正。您不提供分類。您無法覆寫這些分類。反之，您可以透過工具項目清單 enabledElevatedTools，選擇 中的特定變動工具。

核准導向動作

導向動作是human-in-the-loop。當代理程式判斷其被導向執行的 操作會改變資源時，不會直接執行操作。相反地，會發生下列情況：

AWS DevOps Agent 只會在聊天中顯示操作員核准請求。如果客服人員在聊天外叫用變動工具，例如在自動調查期間，呼叫會失敗，而不是提出核准請求。 AWS DevOps 客服人員絕不會在未經核准的情況下執行變動工具。

核准和產生的動作可歸因於核准運算子 in AWS CloudTrail。

API 中的核准流程

無論 AI 助理如 Claude、Slack 機器人或自訂操作用戶端：呼叫 SendMessage、向運算子提出核准請求、使用 記錄決策UpdateApprovalAction，以及繼續與 的對話，任何客服人員都可以以相同的方式驅動此流程SendMessage。

監控和稽核

疑難排解

已註冊的角色會保留在 中pending-confirmation。這適用於來源 （次要） 帳戶，其中驗證是非同步的。驗證通常會在幾分鐘內完成。如果狀態未轉換，請確認角色是否存在，並重新註冊角色 ARN 以再次觸發驗證。

角色狀態為 invalid。信任政策驗證失敗。檢查：

修正信任政策並重新註冊角色。

即使角色狀態為 ，導向動作仍會失敗valid。valid 狀態反映註冊時的驗證檢查。如果在驗證後變更信任政策，或其aws:SourceArn條件固定到與客服人員空間不同的區域，則即時擔任角色呼叫仍然會失敗。根據上述檢查清單檢閱信任政策。

ValidationException 註冊提升角色時。必須在代理程式空間上啟用導向動作，才能註冊提升的組態。先在客服人員空間上啟用導向動作，然後註冊角色。

提供 時的工具名稱不相符錯誤toolDetails。中的每個名稱toolDetails都必須完全符合關聯已啟用工具清單中的工具名稱，包括案例。比較兩個清單，更正任何不相符的項目，然後重試。