Web Answer dodasz jako target do istniejącego AgentCore Gateway, a potem wywołasz go przez klienta zgodnego z MCP. Konfiguracja opisana przez AWS wymaga osobnych uprawnień dla tożsamości wywołującej Gateway i dla roli usługi Gateway; target można wywołać, gdy jego stan zmieni się na READY. AWS opisuje wymagania i konfigurację Web Answer.
Najpierw rozdziel uprawnienia wywołującego od uprawnień roli Gateway. Samo utworzenie targetu nie zastępuje żadnego z tych uprawnień.
Web Answer czy Web Search?
Wybór zależy od tego, czy agent ma dostać gotową odpowiedź z cytowaniami, czy surowe wyniki do samodzielnego opracowania. Według AWS Web Search zwraca uporządkowane adresy URL, tytuły, fragmenty i metadane, a syntezę wykonuje model klienta. Web Answer przeprowadza wyszukiwanie i syntezę oraz zwraca odpowiedź z cytowaniami.
| Narzędzie | Co otrzymuje agent | Kto wykonuje syntezę | Pasuje do zadania |
| Web Search | Uporządkowane adresy URL, tytuły, fragmenty i metadane | Model klienta | Gdy aplikacja ma sama przetworzyć surowe wyniki |
| Web Answer | Gotową odpowiedź z cytowaniami | Web Answer | Gdy agent potrzebuje odpowiedzi na pytanie jako jednego z etapów pracy |
Przygotuj Gateway i środowisko
AWS opisuje konfigurację w regionie us-east-1 z uwierzytelnianiem przychodzącym IAM (AWS_IAM). Potrzebujesz istniejącego AgentCore Gateway, tożsamości uprawnionej do jego wywołania oraz dostępu agenta do wybranego modelu Amazon Bedrock. Wymagania dotyczące środowiska obejmują Python 3.10 lub nowszy oraz pakiety boto3, strands-agents, mcp i mcp-proxy-for-aws.
Upewnij się też, że tożsamość, która będzie wywoływać Gateway, ma uprawnienie bedrock-agentcore:InvokeGateway do tego Gateway. To autoryzacja przychodząca: określa, kto może skorzystać z bramy.
Dodaj uprawnienia do roli usługi Gateway
Przyznaj roli usługi Gateway uprawnienie bedrock-agentcore:InvokeWebAnswer do zasobu arn:aws:bedrock-agentcore:us-east-1:aws:tool/web-answer.v1. To uprawnienie pozwala Gateway wywołać narzędzie Web Answer i jest odrębne od bedrock-agentcore:InvokeGateway, które kontroluje dostęp wywołującego do samego Gateway. AWS podaje też, że rola usługi Gateway nie potrzebuje bedrock:InvokeModel dla modelu używanego przez agenta.
Utwórz target i poczekaj na gotowość
Utwórz target konektora Web Answer w Gateway. W przykładzie AWS connectorId ma wartość web-answer, a uwierzytelnianie wychodzące jest ustawione na GATEWAY_IAM_ROLE. Dzięki temu Gateway korzysta ze swojej roli usługi; osobne poświadczenia dla konektora nie są potrzebne.
Administrator Gateway może ustawić dla targetu granice filtrowania domen, w tym listę domen dozwolonych lub wykluczonych. Filtr podany przy pojedynczym wywołaniu może te granice zawęzić, ale agent nie może ich rozszerzyć.
Przed wywołaniem sprawdź stan targetu za pomocą get_gateway_target. Poczekaj, aż będzie READY; wtedy można przejść do wywołania narzędzia.
Wywołaj Web Answer przez MCP
Klient zgodny z Model Context Protocol (MCP) najpierw odkrywa narzędzia przez tools/list, a następnie wywołuje wybrane narzędzie przez tools/call. W przykładzie AWS narzędzie ma nazwę web-answer-tool___WebAnswer, a klientem jest Strands Agents.
Odpowiedź zawiera treść w formacie Markdown z cytowaniami w tekście oraz dane strukturalne w structuredContent.answer, w tym listę cytowań. Jeśli aplikacja przetwarza wynik programowo, może korzystać z obu postaci odpowiedzi.
Cena, limit i usuwanie zasobów
AWS podaje cenę 10 USD za 1000 wywołań narzędzia Web Answer. Korzystanie z Gateway jest dodatkowo płatne, a jego koszt nie wchodzi w tę stawkę. AWS określa limit na 10 transakcji na sekundę na konto w regionie us-east-1; o zwiększenie limitu można poprosić AWS Support.
Gdy przestaniesz korzystać z konfiguracji, usuń target. Jeśli Gateway powstał wyłącznie na potrzeby tego wdrożenia, AWS zaleca najpierw usunąć jego targety, a potem Gateway, rolę usługi i powiązaną z nią politykę.
