AWS運用をAIで自動化する：AmplifyとAgentCoreによる実戦的アプローチ

深夜の障害対応中、あるいは複雑なマルチアカウント環境でのリソース調査において、我々エンジニアが最も忌避するのは「環境構築の不一致」と「権限管理の迷宮」です。最近、個人の開発環境でKiroやClaude Codeを使い、MCP（Model Context Protocol）経由でAWSを操作するスタイルが定着しつつありますが、これをそのままチームに持ち込もうとすると、途端にデッドロックに陥ります。各自の端末で異なる設定、バラバラなIAM権限、そして「誰がどのロールで操作したか」というトレーサビリティの欠如。これらは、組織的な運用において致命的な技術的負債となり得ます。

今回、Amplify Gen 2とAmazon Bedrock AgentCoreを組み合わせた「AWS運用アシスタント」の構築事例は、まさにこの「個人の便利」を「組織の資産」へと昇華させるための極めて現実的な解法です。単なるチャットボットではなく、Cognitoによる認証、AppSyncによるデータ管理、そして中継LambdaによるSigV4署名の厳格な制御を組み合わせることで、ブラウザさえあれば誰でも安全にAWSリソースへアクセスできる環境を構築しています。特筆すべきは、このシステムが「IAMロールの権限」というAWSの最も堅牢な境界線を、AIエージェントの操作においても唯一の信頼の根拠（Single Source of Truth）として採用している点です。スコープ強制フックのようなアプリケーション層の制御はあくまで補助であり、最終的な防波堤をIAMポリシーに委ねるという設計思想は、シニアエンジニアとして非常に信頼できるアプローチだと私は考えます。

本システムのアーキテクチャで最も興味深いのは、Next.jsのRoute Handlerでストリーミングがバッファリングされてしまうという「Amplify Hostingの壁」を、独立したLambda関数URLで突破した点です。CopilotKitを用いたAG-UIプロトコルによるストリーミング体験は、現代のAIアプリケーションにおいて必須のUXですが、これを実現するためにあえてマネージドランタイムのLambdaを切り出し、awslambda.streamifyResponse()をネイティブに活用する判断は、現場の泥臭い試行錯誤の賜物でしょう。また、関数URLの認証をIAM_AUTHではなく、Lambdaコード内でのJWT検証に寄せた設計も、ブラウザ側にIAM認証情報を持たせないというセキュリティ上の要請を完璧に満たしています。

さらに、複数ロールをセッション単位で選択し、エージェントがツール呼び出しごとに適切なロールへsts:AssumeRoleを行う仕組みは、マルチアカウント運用における「権限の最小化」を極めて高いレベルで実現しています。特に、mcp-proxy-for-awsのサブプロセス再起動に伴う競合を、in-flightカウンタによる直列化で解決した実装は、非同期処理の複雑さを理解しているエンジニアならではの職人芸です。以下に、本システムにおける権限設計の要点を整理します。

この設計は、AIエージェントを「魔法の杖」としてではなく、あくまで「IAM権限を代行するクライアント」として定義し直すことで、セキュリティリスクを制御可能な範囲に収めています。我々が明日から取り組むべきは、このような「AIに何をさせるか」という機能開発以上に、「AIがどの権限で、どの範囲まで操作できるか」という境界線を、いかにコードとポリシーで宣言的に管理するかという点に他なりません。

この運用アシスタントが提示しているのは、単なる効率化のツールではありません。それは「AIエージェントがインフラを操作する時代」における、新しいガバナンスのあり方です。これまで人間が手動で行っていたAssumeRoleやCLI操作をAIに委譲する際、我々は「AIが間違った操作をした場合」の責任を誰が負うのか、という問いから逃れることはできません。本システムのように、Good/Badフィードバックを収集し、履歴をAgentCore Memoryに永続化することで「AIの思考プロセス」を可視化することは、監査可能性を確保する上で極めて重要です。

しかし、ここで立ち止まって考えてみてください。もし、AIが推論の過程で「読み取り専用」の権限を突破しようとするような、予期せぬ挙動を示したとき、我々は即座にそのセッションをキルできるでしょうか？あるいは、AIが生成したコードが、意図せずして広範なリソースを削除するようなコマンドを生成したとき、それを防ぐための「最後の安全装置」は、本当にIAMポリシーだけで十分なのでしょうか？

我々エンジニアが明日から取るべき実践的な処方箋は、AIエージェントを導入する前に、まず「AIが操作するIAMロール」に対して、人間が操作する場合よりもさらに厳しいガードレール（SCPや境界ポリシー）を適用することです。そして、AIの回答を盲信するのではなく、常に「ツール呼び出しの履歴」をレビューする文化をチーム内に醸成すること。AIエージェントは、我々の作業を代替するものではなく、我々の「判断の質」を試す鏡です。あなたは、AIが実行した操作の結果に対して、自分の名前で署名する覚悟がありますか？この技術的進歩の裏側で、我々自身のエンジニアリングに対する責任の重さが、かつてないほど増していることを忘れてはなりません。