MoEngage gebruikt Amazon Bedrock AgentCore Gateway in een beschreven interne opzet om bestaande REST-API’s als afgeschermde MCP-tools beschikbaar te maken voor agents. Zo worden API-definities, machtigingen en netwerkverkeer via aparte onderdelen geregeld.

Van bestaande API naar agenttool

Teams annoteren bestaande OpenAPI-specificaties met x-moe-mcp. OpenAPI beschrijft de beschikbare API-operaties; AgentCore Gateway registreert de specificaties en maakt er MCP-tools van. MCP, het Model Context Protocol, is het protocol waarmee de agents deze tools kunnen vinden en aanroepen.

De aansluiting is opt-in. Volgens de beschrijving controleert een CI-pijplijn de annotatie, registreert die het API-doel bij de gateway en past die Cedar-beleid toe. Teams kunnen daarbij afzonderlijk aangeven of een API intern of extern beschikbaar wordt gemaakt.

Machtigingen en identiteit lopen via aparte lagen

Elke interne agent gebruikt een eigen IAM-rol. IAM is AWS’ systeem voor identiteiten en toegangsrechten. Cedar-beleid bepaalt aan de serverkant welke tools die rol mag zien en aanroepen. Een agent voor campagnecontrole kan bijvoorbeeld leestoegang krijgen, terwijl schrijfacties worden geblokkeerd. Niet-toegestane tools verschijnen dan niet in de lijst die de agent ontvangt.

De interne verzoeken worden ondertekend met SigV4, AWS’ methode om verzoeken te ondertekenen met een IAM-identiteit. Tenant-, gebruikers-, rol- en databasegegevens gaan mee in X-MOE-*-headers, niet als argumenten die het model zelf kan aanpassen. De toolzoekfunctie en het opvragen van de toolcatalogus bevatten geen tenantidentiteit; een daadwerkelijke tools/call wel.

Dat is een andere route dan die van MoEngages aparte publieke MCP-dienst. Die gebruikt volgens de beschrijving OIDC-JWT’s op AgentCore Runtime. De publieke dienst en de interne gateway hebben dus niet dezelfde beschreven authenticatiemethode.

Het verzoek volgt een private netwerkroute

Interne agentdiensten sturen HTTPS-verzoeken naar een VPC-interface-eindpunt met private DNS. AgentCore Gateway bereikt de interne API’s vervolgens via beheerde uitgaande verbindingen over Amazon VPC Lattice. In de beschreven route staat geen publiek eindpunt.

De netwerkverbinding bepaalt hoe verzoeken bij de API’s komen; IAM en Cedar bepalen welke tools een agent mag gebruiken. Dat zijn afzonderlijke onderdelen van de opzet.

Agents zoeken gericht naar tools

In plaats van de volledige toolcatalogus aan een agent te geven, biedt de clientbibliotheek search_tools aan. Dit meta-instrument gebruikt semantisch zoeken: de agent beschrijft een taak en krijgt passende toolkandidaten terug.

Dat beperkt hoeveel toolbeschrijvingen tegelijk in de modelcontext terechtkomen. AWS en MoEngage ramen een schema op ongeveer 50 tokens per tool. Voor een catalogus van circa 400 tools noemen ze een totaal van meer dan 20.000 tokens. Dit zijn benaderingen uit hun beschrijving.

Omvang en gemelde tijdwinst

MoEngage beschrijft ongeveer 400 interne REST-API’s, gebouwd door 25 teams en verspreid over zeven AWS-regio’s. De gateway bedient volgens dezelfde beschrijving ongeveer 400 geregistreerde API-operaties voor tien interne agents. Het aantal API’s en het aantal geregistreerde operaties zijn verschillende tellingen.

MoEngage schat dat de opzet ongeveer zes maanden platformengineering heeft bespaard. Het bedrijf zegt ook dat het aansluiten van een nieuwe API nu uren kost in plaats van dagen. Die tijdsvergelijking gaat over API-onboarding, niet over de reactietijd van agentverzoeken.