Web Answer in Amazon Bedrock AgentCore einrichten

Web Answer wird als Ziel zu einem bestehenden AgentCore Gateway hinzugefügt. Danach braucht das Gateway die Berechtigung für den Aufruf des Tools; sobald das Ziel READY meldet, kann ein MCP-Client es aufrufen. AWS beschreibt die Einrichtung für us-east-1 und nennt dafür konkrete IAM- und Laufzeitvoraussetzungen (AWS-Anleitung zur Einrichtung von Web Answer).

Was Web Answer zurückgibt

Web Answer ist ein verwalteter Connector für AgentCore Gateway. Er führt die Suche und Zusammenfassung aus und liefert dem Agenten eine Antwort mit Quellenangaben. Web Search gibt dagegen sortierte URLs, Titel, Textausschnitte und Metadaten zurück; das eigene Modell verarbeitet diese Ergebnisse anschließend selbst.

Voraussetzungen für die Einrichtung

AWS’ Anleitung setzt ein vorhandenes AgentCore Gateway in us-east-1 mit IAM-Authentifizierung für eingehende Aufrufe (AWS_IAM) voraus. Die Identität, die das Gateway aufruft, benötigt bedrock-agentcore:InvokeGateway für dieses Gateway. Außerdem muss der Agent auf das von ihm verwendete Bedrock-Modell zugreifen können.

Für das Beispiel braucht die Laufzeit Python 3.10 oder höher und die Pakete boto3, strands-agents, mcp sowie mcp-proxy-for-aws. MCP steht für Model Context Protocol, ein Protokoll, über das kompatible Clients Werkzeuge entdecken und aufrufen können.

Gateway und Web Answer vorbereiten

1. Berechtigen Sie die aufrufende Identität. Erteilen Sie ihr bedrock-agentcore:InvokeGateway für das Gateway. Diese eingehende Berechtigung regelt, wer das Gateway aufrufen darf.
2. Geben Sie der Gateway-Dienstrolle Zugriff auf Web Answer. Die Rolle benötigt bedrock-agentcore:InvokeWebAnswer für die AWS-eigene Ressource arn:aws:bedrock-agentcore:us-east-1:aws:tool/web-answer.v1. Diese ausgehende Berechtigung erlaubt dem Gateway, den Connector aufzurufen. AWS zufolge braucht die Gateway-Rolle keine Berechtigung bedrock:InvokeModel für das Modell des Agenten.
3. Legen Sie das Connector-Ziel an. Verwenden Sie connectorId mit dem Wert web-answer und GATEWAY_IAM_ROLE für die ausgehende Authentifizierung. Damit nutzt das Gateway seine Dienstrolle für den Connector.
4. Legen Sie bei Bedarf Domain-Grenzen fest. Administratoren können Domains für das Ziel ein- oder ausschließen. Ein Agent kann diese Vorgaben bei einem einzelnen Aufruf weiter einschränken, aber nicht erweitern.
5. Warten Sie, bis das Ziel bereit ist. Rufen Sie get_gateway_target auf und fahren Sie erst fort, wenn der Status READY lautet.

Prüfen Sie die Berechtigungen getrennt: Die aufrufende Identität darf das Gateway nutzen, die Gateway-Dienstrolle darf Web Answer aufrufen.

Web Answer über MCP aufrufen

Verbinden Sie einen MCP-kompatiblen Client mit dem Gateway. Mit tools/list entdeckt der Client die verfügbaren Werkzeuge; mit tools/call ruft er Web Answer auf. AWS’ Beispiel mit Strands Agents verwendet dafür den Werkzeugnamen web-answer-tool___WebAnswer.

Die Antwort enthält Markdown-Text mit Quellenmarkierungen. Zusätzlich stehen die Antwort und eine strukturierte Liste der Quellen unter structuredContent.answer. Für einen erfolgreichen Aufruf sollte also nicht nur die Antwort, sondern auch diese Quellenliste verarbeitet werden.

Kosten, Kontingent und Ressourcen entfernen

AWS nennt einen Preis von 10 US-Dollar je 1.000 Web-Answer-Aufrufe. Die Nutzung des Gateways wird zusätzlich berechnet; AWS beziffert die Gesamtkosten eines Einsatzes in seiner Anleitung nicht. Für us-east-1 gibt AWS ein Limit von 10 Transaktionen pro Sekunde und AWS-Konto an. Eine Erhöhung kann beim AWS Support beantragt werden.

Wenn Sie die Integration nicht mehr benötigen, löschen Sie das Web Answer-Ziel. Wurde das Gateway nur für den Einrichtungsweg erstellt, löschen Sie zuerst seine Ziele und anschließend das Gateway, die Dienstrolle und die zugehörige Richtlinie. AWS zufolge enden damit weitere Gebühren für diese Ressourcen.