使用本指南将 Amazon Bedrock Agents Classic 或 Amazon Bedrock AgentCore 连接到 Microsoft Agent 365。
在您开始之前
- 确认 Agent 365 的 AI 管理员可以在 Microsoft 365 管理中心 创建连接。
- 向平台管理员索要AWS访问密钥ID和秘密访问密钥。
- 确定包含你想要同步的代理的AWS区域。
- 只授予你所使用环境所需的权限。
同步所需的权限
对于Agents Classic，授予：
bedrock:ListAgents
bedrock:GetAgent
ec2:DescribeRegions
对于AgentCore，授予：
bedrock-agentcore:ListHarnesses
bedrock-agentcore:GetHarness
bedrock-agentcore:ListAgentRuntimes
bedrock-agentcore:GetAgentRuntime
ec2:DescribeRegions
bedrock:ListAgents 以及 AgentCore 列表操作可在所选区域中发现智能体。 获取操作用于读取智能体详细信息。 属于 harness 的 AgentCore 运行时会被跳过，从而避免同一代理被列出两次。
配置 Amazon Bedrock 经典版活动
要从 Agents Classic 中收集活动数据：
- 在 Amazon Bedrock 控制台中为每个代理启用跟踪捕获功能。
- 选择 S3 活动存储桶。
- 存储活动在
observability-store/<agent-id>/下，其中<agent-id>是 Bedrock 代理 ID。 - 授予
s3:ListBucket权限以访问活动存储桶。 - 对活动存储桶中的对象授予
s3:GetObject权限。
Agent 365 读取活动数据。 它不会调用代理、写入活动记录或删除活动记录。
如果存储桶使用客户管理型密钥，还应在该密钥上授予 kms:Decrypt 权限。
配置 Amazon Bedrock AgentCore 活动
AgentCore 的活动存储在 Amazon CloudWatch 日志中。 格兰特：
logs:StartQuery
logs:GetQueryResults
授予logs:DescribeLogGroups权限，以允许 Agent 365 查找自定义代理终结点。 没有它，只读取默认端点。
在 Amazon CloudWatch 控制台中启用 交易搜索 功能。 AgentCore 活动只有在 AWS 账户启用事务搜索后才可查询。
可选权限
只有当连接需要相应细节时才授予这些权限：
| Capability | Permissions |
|---|---|
| 展示经典工具、协作者与知识来源 |
bedrock:ListAgentActionGroups、bedrock:GetAgentActionGroup、bedrock:ListAgentCollaborators、bedrock:ListAgentKnowledgeBases、bedrock:ListDataSources、bedrock:GetDataSource |
| 展示AgentCore工具、MCP服务器及连接代理 |
bedrock-agentcore:GetGateway、bedrock-agentcore:ListGatewayTargets、bedrock-agentcore:GetGatewayTarget |
| 连接AWS组织中的每个账户 |
organizations:ListAccounts、sts:AssumeRole |
不要为只读连接授予删除权限。 如果您授予 bedrock:DeleteAgent、 bedrock-agentcore:DeleteHarness或 bedrock-agentcore:DeleteAgentRuntime，代理365可以在管理员明确执行该操作时移除相应代理。
创建连接
- 打开 Microsoft 365 管理中心。
- 选择 代理人，>所有代理人。
- 在 “连接平台”中，选择 管理。
- 选择 + 连接平台 ，选择 Amazon Bedrock。
- 输入连接名称、AWS访问密钥ID、秘密访问密钥和所选区域。
- 对凭据进行验证。
- 保存连接。
- 选择 同步代理。
验证连接
打开连接，检查同步状态和代理数量。 打开导入的代理以验证其元数据。 为了可观察，在配置源平台且活动可用后，打开代理并选择 活动 。
Troubleshoot
| 症状 | 可能的原因 | 解决方案 |
|---|---|---|
| 连接验证失败 | 缺少 ec2:DescribeRegions，或凭证无效或已禁用 |
确认凭据并授予 ec2:DescribeRegions 权限。 |
| 代理的元数据有限 | 缺少 bedrock:GetAgent 或 AgentCore 的 get 操作 |
授予相应的 get 权限。 |
| 经典代理没有活动 | 跟踪捕获配置、存储桶位置、存储桶路径或 S3 权限不正确 | 启用追踪捕获并验证存储桶和对象的权限。 |
| AgentCore 代理无活动 | 缺少事务搜索或CloudWatch日志权限 | 启用事务搜索并授予 logs:StartQuery 和 logs:GetQueryResults 权限。 |
| AgentCore 活动记录不完整 | 失踪 logs:DescribeLogGroups |
当使用自定义端点时，授予权限。 |
对于并非 Amazon Bedrock 特有的连接问题，请参阅 排查已连接的平台问题。