更新于2025年10月。
本帖为Bedrock/Claude/MCP/智能体/Strands Agents相关博客汇总，点击如下帖子标题阅读。
一、背景
Bedrock AgentCore是AWS推出的服务于大模型和智能体应用的一组工具的集合。在构建智能体过程中，遇到了调用外部资源需要沙盒、托管MCP Server、托管智能体、长时间对话记录保存等多种挑战，通过各种技术栈手工搭建固然可以实现，但开发周期、实现成本、维护难度较高。由此可使用Bedrock AgentCore的一系列组建来解决这些挑战。AgentCore主要包括的套件如下。
一、背景
Wordpres是国外常见的、流行的建站应用程序，基于PHP软件开发以MySQL数据库为核心，小巧快速。Wordpress拥有超过20年的软件生态体系，大量第三方免费插件、收费插件都可通过社区获得。Wordpress可快速满足内容发布（CMS）、在线商城等多种类型的动态网站构建和管理。搭建Wordpress是相对简单、快速的，根据不同的业务需求、访问量，在做架构设计时候可能有许多不同角度的考量。这里分享如下。
2025年Bedrock新推出了单一API Key功能，本文介绍如何使用。
在上一篇文章中，我们介绍了如何使用Strands Agents SDK构建一个简单的A2A Server和Client进行通信，本篇讲构建Swarm、Graph和Workflow三种形式的A2A应用。
上一篇介绍了使用Strands Agents构建MCP之后，本篇进入A2A话题，使用Strands Agents构建一个A2A Server接受A2A Client调用，并演示Agent as Tool的设计模式。
本篇是Strands Agents系列第一篇，讲解基础的Tool use使用以及用Strands Agents构建一个MCP Server。
一、背景
现有数据库某字段保存有大量文本，现在需要对多条数据进行全文检索，以确定哪些条数据包含关键字。此时可使用MySQL全文检索。在搜索之前，需要为响应的字段增加索引，这一步会产生较大的系统资源消耗，请谨慎操作。
使用方法如下文。
一、背景
CORS的全称是Cross-Origin Resource Sharing，是浏览器跨站访问的技术规范。在使用S3静态托管时候，如果网页中的调用使用了CORS，那么需要为S3和CloudFront增加对应策略，才可以正常加载内容。
本文介绍了静态网站托管场景中，如何使用CloudFront将一个处于非公开状态的S3存储桶对外发布为静态网站。
一、使用S3直接提供静态网站的挑战
S3提供静态网站Hosting的方式是官方使用S3提供网站托管的推荐主要方式，此时直接对外暴露S3存储桶，也就是必须将S3存储桶设置为Public可见。如果本AWS账户内仅有一个S3存储桶并配置为公开，可能问题不大。但是对于大部分企业用户，尤其是混合多种业务数据管理的场景、一个账号内有许多存储桶，将存储桶设置为Public会遇到安全挑战问题。
一、背景
Amazon Bedrock Inference Profile功能是2024年底推出的一项功能，在诞生之初，主要用于实现跨Region推理，而通过给Profile增加Tag的方式，即可实现费用追踪。
一、背景
在配置邮件客户端的过程中，连接邮箱时除了输入域名、用户名、密码之外，通常需要手工填写收发邮件的服务器地址。此时如果打开了Auto Discover也就是自动发现功能，就能无需手工输入，邮件客户端将自动识别服务器地址，大大简化了配置过程。目前电脑上在用的邮件客户端、手机上的邮件客户端都具备自动发现功能。
当使用Amazon Workmail提供邮箱服务的时候，默认是不开启Auto Discover功能的，需要手工配置。本文介绍如何配置。
本文介绍如何为Amazon Workmail启用IAM Identity Center并开启MFA多因素认证。
一、背景
Amazon Workmail邮件系统自身有内部的目录服务，可用于用户数量较少的快速部署和使用。在此时登录界面上是不支持配置MFA的。即便点击Workmail的设置图标，在其中也无法找到开启MFA的选项。这是由于Amazon Workmail内置的目录认证服务是不支持MFA的。
为了开启MFA，需要将Amazon Workmail配置为使用IAM Identity Center服务（以前叫做AWS Single Sign-On即SSO，以下简称IdC服务），并在IdC服务中管理用户和分组。此时在IdC服务中，可以设置用户第一次登录时候必须强制绑定MFA，即可满足安全合规要求。IdC服务支持主流的软件MFA，例如Microsoft Authenticator，Google Authenticator等手机APP，也支持硬件形式的USB Token。
下面开始配置。
SageMaker Studio 对多用户并行开发的权限管理方式之一，是可以与企业现有单点认证系统对接，然后每个企业目录的用户就可以直接对应到一个SageMaker Studio内的Notebook。在这种对接方式下，SageMaker Studio首先与IAM Identity Center（IdC）集成，然后使用 External Source 连接外部的Identity Source，即可实现第三方SSO对接。
在一些信息系统审计中，可能会被要求提交“S3存储是一个被动式系统”、“S3不会主动向外发起网络连接”、“S3不会执行存储的可执行文件”等证明资料。建议通过S3合规性最佳实践进行系统的解答。
本文展示了一个MCP Server和Client的运行交互过程，通过Step-by-step的打印日志，帮助理解MCP是如何工作的。本文引用的代码参考文中的Github链接。
一、背景
在上一篇博客 使用VPC Traffic Mirror功能进行流量审计 中，我们介绍了使用VPC Traffic Mirror采集7层访问日志，不过采集架构局限在单VPC、单EC2。
那么如何构建一个跨VPC、多VPC、跨账号专门的日志采集架构？本文解答这一需求的设计。
一、背景
1、使用Traffic Mirror的场景
对于简单的网络流量采集需求，可以使用VPC Flowlog功能，之前这篇博客介绍了VPC Flowlog的使用。不过VPC Flowlog也有局限，主要是仅记录OSI模型的第四层的日志信息，也就是所谓的“五元组”，即源地址、源端口、目标地址、目标端口、协议这五要素，很多时候不能满足日志需求。
如果需求进一步增加要求如下日志能力：
- 7层流量采集，记录域名、HTTP header等
- 旁路方式，不影响流量
- 相对低成本
- 不希望使用复杂的Network Firewall或者第三方NGFW+Gateway Load Balancer方案
以上需求场景，适合使用VPC Traffic Mirror实现。
一、针对S3存储的勒索攻击事件背景
近期有一片文章《亚马逊安全机制被用于勒索攻击，全球数千家机构已成为攻击目标》，原文在这里。
一、背景
在一些对数据安全有较高要求的场景中，需要对S3上的数据进行加密。有时候可能会遇到以下需求：
- 合规要求，必须加密
- 强度要高，例如AES256
- 加密要简单，最好是对称密钥，加密和解密都是同一个密码
- 与IDC、多云等兼容性问题，不能使用AWS KMS服务来管理密钥，用户自管理密钥
- 不希望编写加密代码
- 不希望应用层承担加密运算的开销
在以上情况下，可使用S3服务的SSE-C功能来满足以上加密需求。
此时可能有同学有疑问，在创建S3存储桶界面上选择加密算法的位置，并没有SSE-C加密方式的选项，那么它是如何运作的？这要从S3的几种加密方式说起。