AWS 釋出範例專案，讓 DevOps Agent 調查結果轉成待人工核准的修復

背景

AWS DevOps Agent 是 AWS 的 AI 代理，會依據相互關聯的指標、日誌與應用程式拓撲自主分類事件，並提供 RCA（root cause analysis，根本原因分析）與建議處置。AWS ML Blog 指出，企業為了保有控制權、避免非預期變更，通常讓這類觀測代理維持「只觀察、只回報」模式，也就是代理只診斷問題、不直接修改正式環境資源。這次的範例就是在這個前提下補上修復步驟，AWS 表示目標是降低 MTTR（mean time to resolution，平均修復時間），並減少值班工程師重複的診斷工作。 AWS ML Blog

發生什麼事

aws-samples 在 GitHub 發布範例專案 sample-automate-remediation-post-devops-agent-investigation（頁面日期 2026 年 10 月 2 日），AWS ML Blog 於 10 月 7 日刊出說明文章〈Automate remediation post AWS DevOps Agent investigation〉。這是一個 CDK（AWS Cloud Development Kit，用程式碼定義並部署雲端資源的工具）專案，使用 AWS Lambda Durable Functions、Amazon Bedrock 與 Amazon EventBridge，把 DevOps Agent 的調查摘要轉成預先驗證、需經人工核准的修復動作。 官方原文・github.com AWS ML Blog

重點內容

運作流程是：EventBridge（AWS 的事件匯流服務，依規則把事件送到指定目標）規則捕捉來源為 aws.aidevops 的 Investigation Completed 事件，觸發名為 devops-agent-trigger 的 Lambda（AWS 的無伺服器運算服務，上傳程式碼即可執行）函式，由它取得調查摘要，再呼叫 devops-agent-remediation-durable 協調函式。協調函式透過 Bedrock（AWS 提供基礎模型存取的託管服務）的 Converse API（應用程式介面，讓程式之間互相呼叫的規格）執行 agentic loop（代理迴圈，反覆呼叫模型、執行工具、把結果回饋給對話，直到修復完成）。 官方原文・github.com AWS ML Blog

安全設計上，Bedrock 只能從精選的 allowlist（允許清單，只准使用事先核可的項目）中選用工具。專案部署的工具函式 devops-agent-lambda-tool 只執行限定範圍的 AWS API 呼叫，也就是讀取與更新 Lambda 設定。唯讀工具會自動執行；會變更基礎設施的動作則讓協調函式暫停，等待人工核准。Lambda Durable Functions 可執行長達一年，會自動建立進度檢查點，暫停數分鐘、數小時甚至數天時不消耗運算資源，收到核准訊號後從中斷處繼續。目前核准只有「核准或拒絕」兩種訊號，但回呼可接受任意 JSON（一種常見的結構化資料格式）內容，可擴充成攜帶參數覆寫或審核者意見。每個步驟都會記錄到 CloudWatch（AWS 的監控與日誌服務）。 官方原文・github.com AWS ML Blog

範例用一個常見情境示範：建立名為 devops-agent-timeout 的 Lambda 函式，使用 Python 3.14 執行環境、逾時設定 3 秒，程式碼刻意休眠 10 秒，讓每次呼叫都逾時。README 附的日誌範例顯示「Duration: 3000.00 ms」與「Status: timeout」。產生至少一次逾時錯誤後，就可以讓 AWS DevOps Agent 開始調查，接著驗證核准與自動修復的完整流程。 官方原文・github.com AWS ML Blog

對使用者的意義

這份範例適合已在使用 AWS DevOps Agent 的維運與開發團隊參考。事前需要：已安裝並設定 AWS CLI（命令列介面，用打字下指令操作 AWS 的工具）、已安裝 AWS CDK、Python 3.14 或更新版本，以及一個啟用中的 AWS DevOps Agent space。部署方式是複製 GitHub 儲存庫、建立 Python 虛擬環境並安裝相依套件，若是該區域第一次使用 CDK 需先執行 cdk bootstrap，再執行 cdk deploy；移除時用 cdk destroy。也可選用 Kiro（可用自然語言提示完成操作的開發工具）搭配 Agent Toolkit for AWS，後者透過託管的 MCP Server（Model Context Protocol 伺服器，讓 AI 工具連接外部服務的介面）並以 IAM（AWS Identity and Access Management，管理帳號權限的服務）控管存取，讓模擬事件、部署與清理改用提示完成。 官方原文・github.com AWS ML Blog

限制與未定事項

官方原文說明，採用此方案即表示由使用者自行負責擁有、維護與排除問題，AWS Support 可能提供協助，但方案功能與未來錯誤的最終責任在客戶；方案能否正常運作取決於正確的權限與網路連線，且未經額外安全測試不應部署到正式環境。範例部署的工具只涵蓋讀取與更新 Lambda 設定，核准機制目前也只有核准或拒絕。專案採 MIT-0 授權（可自由使用、修改、散布，且不要求保留授權聲明的開源授權）。 官方原文・github.com AWS ML Blog