這是一本用於實施的FDE（前向部署工程師）手冊 Amazon Bedrock, Amazon BedrockAgentCore, Amazon SageMaker, 和 Amazon Q，然後透過以下方式將代理引入業務 Microsoft Teams。它涵蓋了LLM應用程式、RAG和MLOps的架構選擇、具體的第一代理設定、工具、培訓和日曆估計。
1. 企業問題陳述
大多數企業不需要“另一個聊天機器人”。他們需要 在現有工作流程中執行的代理：根據已批准的知識進行回答，使用身份呼叫工具，保留會話記憶，並定位員工已經協作的地方（通常是團隊）。
FDE 的工作是縮小工作 AWS 參考與 受管制飛行員：一個部門，一個語料庫，首先閱讀主要是工具，可衡量的採用，然後擴充套件。
2. 服務地圖 — 選擇正確的 AWS 表面
2.1 Amazon Bedrock
- 基礎模型 透過單個 API（Anthropic Claude、Amazon Nova、Meta Llama、Cohere 等 — 按地區提供）。
- Guardrails 用於內容過濾、主題拒絕、PII 編輯和接地檢查。
- Knowledge Base 用於託管 RAG（從 S3/聯結器攝取、嵌入、檢索）。
- 基岩藥劑/流程 當您留在 Bedrock 的代理模型中時，可以瞭解編排模式。
在以下情況下使用基岩： 您想要託管 FM、RAG 和安全性，而無需操作 GPU。
2.2 Amazon Bedrock AgentCore
AgentCore 是生產執行時層 定製代理 （與框架無關 - Strands、LangGraph、CrewAI、自定義 Python 等）：
- 執行時 — 會話隔離、長時間執行的代理呼叫。
- 閘道器 — 將 API / MCP / OpenAPI 轉變為代理工具；包括 Microsoft Teams圖 目標（頻道訊息、聊天、會議、狀態、線上會議）。
- 記憶體 — 短期和長期會話/情景記憶。
- 身份 — 入站 JWT 驗證和出站 OAuth 到工具（包括 Microsoft Entra ID）。
- 可觀察性 — 跟蹤和指標進入CloudWatch/OpenTelemetry相容路徑。
在以下情況下使用AgentCore： 您擁有代理程式碼，需要工具 + 身份 + 記憶體，並且需要託管執行時而不是 DIY ECS/Lambda 粘合劑來解決所有問題。
2.3 Amazon SageMaker
- 訓練/微調/評估自定義模型。
- 主機端點（實時、無伺服器、非同步）。
- 管道、模型登錄檔、特徵儲存、澄清、MLOps 模型監視器。
- 可以將自定義模型輸入到 Bedrock 自定義模型匯入中，或者作為專業端點放在 Bedrock 旁邊。
在以下情況下使用SageMaker： 現成的 FM 還不夠（領域分類器、排名、微調嵌入、受監管的模型治理）。
2.4 ⟦空氣質量⟧
- Amazon Q 業務 （產品命名繼續向 Quick Suite/企業助理打包方向發展）——SaaS 和知識、員工問答、外掛的聯結器。
- Amazon Q 開發者 — AWS 構建者的 IDE / CLI 編碼助手。
在以下情況下使用Amazon Q： 你想要一個 產品化的 具有較少定製代理工程的助理。當您需要深度自定義工具、多步驟工作流程或您控制的 Teams 原生 UX 時，請使用 AgentCore + Bedrock。
2.5 決策矩陣
| 需要 | 小學 | 中學 |
|---|---|---|
| 聊天 + RAG 討論內部文件 | 基岩Knowledge Base | Amazon Q 業務 |
| 自定義代理+工具+記憶體 | AgentCore + 基岩 | 基岩特工 |
| Microsoft Teams代理商 | Teams 機器人 → AgentCore 執行時 | AgentCore Gateway Teams 圖形工具 |
| 訓練 / 微調 / MLOps | SageMaker | 匯入/FM模型推理的基石 |
| AWS 上的開發人員生產力 | Amazon Q 開發者 | — |
3. 參考架構（Teams 中的業務代理）
Microsoft Teams (user)
│ Bot Framework activity
▼
Azure Bot Service / Teams channel
│ HTTPS messaging endpoint
▼
AWS Lambda / API Gateway (Bot adapter + JWT mint)
│ POST /runtimes/{agentRuntimeArn}/invocations
│ Header: Authorization Bearer <JWT>
│ Header: X-Amzn-Bedrock-AgentCore-Runtime-Session-Id: teams-{aad}-{conv}
▼
Bedrock AgentCore Runtime (your agent container / code)
├── Bedrock InvokeModel (Claude / Nova / …)
├── Knowledge Base retrieve (RAG)
├── Guardrails
├── AgentCore Memory
└── AgentCore Gateway tools
├── Microsoft Graph (Teams channels / chats) [Entra OAuth]
├── Internal APIs (CRM, ITSM, HR)
└── MCP / OpenAPI targets
▼
CloudWatch / X-Ray / OTel traces + audit logs (S3)
會話 ID 經驗法則： 一個 Teams 對話執行緒應對映到一個 AgentCore 會話，例如 teams-{aadObjectId}-{conversationId}，因此記憶體和工具上下文保持一致。
4. Teams 中第一個可用的代理 — 逐步說明
目標：一個 主要閱讀 在大約 3-6 周內將內部知識代理引入 Teams 試點渠道。
A 階段 — AWS 基礎（第 1-5 天）
- 選擇地區（確認基岩型號+AgentCore+Knowledge Base可用性）。
- 啟用基岩模型訪問；為推理、KB 和 AgentCore 建立IAM 角色。
- 為語料庫建立S3儲存桶；同步試點 SharePoint/Confluence 匯出或聯結器。
- 建立基岩Knowledge Base+向量儲存；執行同步；測試
RetrieveAndGenerate。 - 附上Guardrails（拒絕偏離主題、編輯 PII、需要在支援的情況下接地）。
B 階段 — AgentCore 代理（第 5-15 天）
- 使用您首選框架或AWS示例的腳手架代理（Python/TypeScript）。
- 將模型呼叫連線到基岩；將檢索電匯至Knowledge Base。
- 僅定義 2-3 個工具（例如搜尋知識庫、獲取只讀票證狀態、獲取使用者配置檔案）。
- 配置AgentCore記憶體用於短期會話。
- 配置AgentCore身份：驗證入站JWT；將 Entra ID 註冊為 Microsoft 工具的 IdP。
- 部署到AgentCore執行時；冒煙測試
/invocations使用curl 和測試JWT。 - 啟用可觀察性；定義一個 CloudWatch 儀表板（延遲、錯誤、令牌/成本代理）。
C 階段——團隊浮出水面（第 10-20 天，平行）
- 註冊Entra ID應用程式；建立 Azure 機器人；啟用團隊頻道。
- 建立 Teams 應用程式包（清單、圖示）；試點安全組的旁載入或組織釋出。
- 實現訊息傳遞端點（Lambda推薦）：Bot Framework介面卡→將活動對映到AgentCore有效負載。
- 將使用者身份（AAD 物件 ID、UPN）傳播到 JWT 宣告 AgentCore 身份期望中。
- 回覆代理文字（以及稍後的Adaptive Cards）；優雅地處理輸入指示器和錯誤。
- 試點：一個渠道，10-30 個使用者，反饋表/表情符號反應，每週 FDE 辦公時間。
D 階段——哈登（第 15-30 天）
- 最低許可權IAM；機器人應用程式密碼/證書的 Secrets Manager。
- 網路：需要時私有API路徑；公共端點上的 WAF。
- 資料：對語料庫進行分類；阻止高風險寫入工具，直到存在更改控制。
- 評估集：50-100個黃金問答；衡量接地性/拒絕質量。
- Runbook：輪換機密、回滾執行時版本、禁用 Teams 應用程式。
最小團隊 → AgentCore 呼叫形狀
POST /runtimes/{agentRuntimeArn}/invocations
Authorization: Bearer <jwt>
X-Amzn-Bedrock-AgentCore-Runtime-Session-Id: teams-{aadObjectId}-{conversationId}
Content-Type: application/json
{
"input": {
"prompt": "<user message text>",
"user": { "aadObjectId": "...", "upn": "..." },
"channel": { "teamId": "...", "channelId": "..." }
}
}
確切的有效負載模式取決於您的代理合同 - 保持其版本控制。
5. AgentCore + Microsoft Graph（在 Teams 中執行的代理）
除了“在 Teams 中聊天”之外，AgentCore 閘道器還可以公開 團隊圖 操作作為工具（傳送頻道訊息、管理聊天、會議、狀態）。要求通常包括：
- 具有圖形許可權的Entra ID應用程式（以最小許可權啟動；管理員同意）。
- Entra 的AgentCore 身份OAuth 客戶端。
- Microsoft Teams / Graph 的閘道器目標。
- 任何寫入/傳送的人機互動，直到建立信任。
FDE 指導：船舶 入站聊天代理 第一；新增 出站圖操作 在具有明確允許列表（頻道、團隊、訊息模板）的第二個更改票證中。
6.同一節目中的SageMaker
請勿阻止 SageMaker 上的 Teams 試點。當您需要時引入SageMaker：
- 特定領域的分類器（意圖、緊急程度、Guardrails 之外的 PII 檢測）。
- 微調嵌入或重新排序以實現 RAG 質量。
- 透過模型註冊+批准門進行規範的模型培訓。
- 對大型語料庫的批次推理作業。
典型的MLOps骨架： SageMaker 管道→模型登錄檔→登臺端點→金絲雀→產品；使用模型監視器進行監控；僅透過 CI (CodePipeline / GitHub Actions) 和 IaC (Terraform / CDK) 進行推廣。
7. Amazon Q在同一程式中
- 問業務 使用託管聯結器進行廣泛的員工問答 - 通常比用於“搜尋 Intranet”的自定義 RAG 更快。
- Q 開發者 FDE/平臺工程生產力（IaC、Lambda、CDK）。
- 圖案：Q代表寬度； AgentCore 深度代理（工作流 + 工具 + Teams UX）。
8. FDE培訓課程（實施並啟動）
| 模組 | 結果 | 時間 |
|---|---|---|
| 基岩 FM + Guardrails | 呼叫模型；安裝護欄；成本意識 | 1天 |
| Knowledge BaseRAG | 攝取、同步、檢索、評估答案 | 2天 |
| AgentCore 執行時/記憶體/身份 | 部署代理；會話 ID； JWT 授權 | 3天 |
| 閘道器工具 + Entra/Graph | 註冊工具； OAuth；最小特權 | 2天 |
| 團隊Bot Framework | 機器人+團隊應用程式；拉姆達介面卡 | 2-3天 |
| SageMaker MLOps 底漆 | 管道、登錄檔、端點 | 3–5 天 |
| Amazon Q 業務管理 | 應用程式、聯結器、外掛、訪問 | 1–2 天 |
| 安全和啟動操作 | 威脅模型、執行手冊、評估工具 | 2天 |
總FDE斜坡： 對第一個試點進行約 2-3 周的集中培訓 + 配對交付。
9. 要求清單
人
- FDE（代理+整合）
- 雲/平臺工程師（IAM、網路、IaC）
- Microsoft 365 / Entra 管理（應用同意、Teams 釋出）
- 安全/合規稽核員
- 企業主+試點使用者
帳戶和訪問
- AWS 賬戶與 Bedrock、AgentCore、S3、CloudWatch；可選SageMaker / Q
- Entra ID 租戶； Bot 服務的 Azure 訂閱
- 上傳/批准應用程式的團隊管理員許可權
資料
- 具有明確所有權和保留權的試點語料庫
- 分類標籤； PII 處理政策
- 黃金評價題
10. 工具清單
| 圖層 | 工具 |
|---|---|
| 亞克 | AWS CDK / Terraform；可選的 CloudFormation |
| 持續整合/持續交付 | GitHub Actions 或 CodePipeline；容器構建為 ECR |
| 代理框架 | Strands 代理、LangGraph、CrewAI 或普通 SDK |
| 團隊 | Bot Framework SDK、Teams 工具包 / M365 代理工具包 |
| 秘密 | AWS 秘密管理器； Azure Key Vault（如果拆分） |
| 可觀察性 | CloudWatch、X 射線/OTel；可選的 Langfuse / 自定義 eval |
| 評估 | 黃金集 + 自動 RAGAS 式指標或 Bedrock 評估作業 |
| MLOps（如果需要） | SageMaker 管道、模型登錄檔、特徵儲存 |
11. 時間估算（FDE主導，指示性）
假設有一個專注的 FDE + 兼職平臺 + Entra 管理員可用性。日曆日，而不僅僅是人時。
| 可交付成果 | 樂觀 | 典型 | 與企業摩擦 |
|---|---|---|---|
| 基岩聊天 + Guardrails MVP | 2-3天 | 3–5 天 | 1-2周 |
| RAG Knowledge Base（一個語料庫） | 3–5 天 | 1-2周 | 3–4 周 |
| AgentCore 代理 + 2–3 個工具 | 1-2周 | 2-3周 | 4-6周 |
| Teams 機器人飛行員（旁載） | 3–5 天 | 1-2周 | 3 周以上（管理員同意） |
| Teams 中的端到端第一代理 | 3周 | 4-6周 | 8–12 周 |
| Amazon Q 業務啟動 | 1周 | 1-3周 | 4-6周 |
| SageMaker微調+MLOpsv1 | 3–4 周 | 6-8周 | 1-2 個季度 |
| 多智慧體+編寫工具+圖形動作 | 6周 | 1 季度 | 2 個以上季度 |
12.啟動清單（業務）
- 指定的企業主和成功指標（偏差、回答時間、CSAT）。
- 試點保障組及通道； FDE 的支援時間。
- 用於 Knowledge Base 同步的內容新鮮度 SLA。
- 事件路徑：禁用機器人、輪換機密、尋呼待命。
- 有關 Bedrock 代幣和 AgentCore 執行時的成本預算警報。
- 決策門：在 4-6 周的使用資料後擴充套件、暫停或產品化。
13. 常見故障模式
- 沸騰的海洋： 在單個 Teams 試點之前，多代理 + 編寫工具 + 完整的 Intranet。
- 最後身份： 在沒有 Entra/JWT 設計的情況下構建代理 - Teams 到達時返工。
- 無黃金套裝： 無法判斷 RAG 在分塊更改後是否變得更好。
- SageMaker 太早了： 在檢索質量良好之前訓練自定義模型。
- 管理員同意驚喜： Teams/Graph 許可權被封鎖數週 — 從第一天開始使用 Entra 門票。
14. 結束
基岩 為您提供模型、RAG 和護欄。 AgentCore 為您提供具有記憶體、身份和工具（包括 Teams Graph）的生產代理執行時。 SageMaker 涵蓋自定義 ML 和 MLOps。 Amazon Q 涵蓋產品化的員工/開發助理。實現價值最快的 FDE 路徑是：RAG + Guardrails → AgentCore 代理 → Teams 機器人中繼 → 測量 → 擴充套件工具 — 當用例需要時，將 SageMaker 和 Q Business 作為平行軌道。
釋出者： Workstation - 用於將代理安排在業務已經開展的地方的交付計劃。
