AWS DevOps Agent 自动化：Lambda + Bedrock 预验证修复
AWS DevOps Agent can diagnose production incidents but is kept in observe-and-report mode so it does not change resources directly. This post shows how to use AWS Lambda Durable Fu
本文は SEO 深度のため主に中国語です。上記は要点のローカライズ。言語切替と深リンクで国際ナビできます。
AWS DevOps Agent 自动化：Lambda + Bedrock 预验证修复
AWS DevOps Agent 能诊断生产事故，但默认处于观察报告模式，不会直接修改资源。这个场景适合需要快速转诊到修复的团队，尤其是使用 Cursor、Claude Code 或 OpenAI 模型的工程团队。AWS Lambda Durable Functions + EventBridge + Bedrock 可以把调查总结转化为预验证修复方案，等待单次批准后自动执行，显著降低平均解决时间（MTTR）。
适合以下情况：
- 工程师深夜值班时不想重复分析
- 希望把 AI 预验证与基础设施变更分离
- 已有 AWS DevOps Agent 空间并想补齐完整闭环
决策时优先检查是否满足以下边界：
- 已部署 AWS DevOps Agent
- Lambda 支持 Durable Functions（已 GA）
- Bedrock 模型调用权限配置到位
- 基础设施变更需走人为批准流程
解决方案架构
核心流程如下：
- AWS DevOps Agent 完成事故调查，生成症状、根因分析和建议。
- Amazon EventBridge 接收事件，触发触发 Lambda 函数。
- 触发 Lambda 打包调查总结，调用 Durable Function。
- Durable Function 把上下文发送给 Bedrock，分析可行修复方案。
- Bedrock 从预设允许列表中选择 Lambda 工具，生成具体行动。
- 只读操作自动执行；变更操作暂停等待人工批准。
- 批准后，Durable Function 执行变更并记录审计。
Durable Function 采用代理循环模式，可迭代调用 Bedrock、执行工具并反馈结果。允许列表 + 读写区分，确保安全可审计。
实施要点
AWS Lambda Durable Functions 关键优势是自动 checkpoint 进度、支持长时间运行（最高一年），无需手动状态管理。即使中断也能恢复到上次检查点。
Amazon EventBridge 用于事件驱动触发，无需持续调用。
Amazon Bedrock 是核心推理引擎，搭配允许列表工具（例如读写 Lambda 配置、IAM 策略更新）实现预验证。Bedrock 只调用名单内的工具，防止越权。
预验证机制：Bedrock 生成候选修复后，先通过工具模拟执行（读写分离），输出预览。变更模式下暂停执行，等待批准信号。批准后继续执行并更新审计日志。
步骤指南
- 确认 AWS DevOps Agent 已启动，并有超时类事故可触发调查（参考官方模拟 Lambda 函数）。
- 克隆官方 CDK 示例仓库（`
- 执行
cdk bootstrap和cdk deploy，自动创建以下资源：
- devops-agent-trigger Lambda（事件触发） - devops-agent-remediation-durable Durable Function - devops-agent-lambda-tool 工具 Lambda - EventBridge 规则
- IAM 权限由 CDK 最小特权自动配置，确保 Bedrock 调用和工具执行安全。
- 在 DevOps Agent 控制台输入调查提示词（如 “What is happening with the devops-agent-timeout function?”）。
- Durable Function 自动运行代理循环，Bedrock 分析后生成预验证修复列表。
- 变更操作暂停，等待人工批准（通过 Callback 函数接收 approve/reject + 可选参数）。
完整部署后，Durable Function 可监控执行状态并在批准后立即应用变更。
技术对比
| 方案 | 自动化程度 | 安全控制 | 预验证能力 | 适合场景 | 成本因素 |
|---|---|---|---|---|---|
| 纯人工 | 0 | 人工负责 | 无 | 小团队，紧急情况 | 人工时长高 |
| 直接 Bedrock | 低 | 无列表限制 | 低 | 实验原型，信任工具 | 调用次数多 |
| Lambda + EventBridge + Durable + Bedrock | 高 | 允许列表 + 读写分离 | 高（暂停前模拟） | 生产 DevOps，合规要求 | Durable 计费 + 批准延迟 |
此方案把 AI 预验证与基础设施变更严格分离，是目前最平衡的工程实践。
延伸阅读
- API 中转：对接类似推理服务，提升 Bedrock 集成体验
- Grok API：对比官方 API 模式下的自动化可能性
- 本地部署实验室：参考 vLLM 部署类似多代理工作流
- 模型天梯：查看本地模型在修复规划场景的表现
- open-models：实验开源修复代理的替代方案
风险与边界
风险与边界： 此方案依赖 AWS 官方服务和模型能力，实际运行中需以官方文档和挂牌页数据为准（以 2026-10-07 发布为基准）。Durable Function 长时间暂停可能消耗一定存储费用；Bedrock 调用会产生 token 费用，建议监控 CloudWatch。变更操作必须走人工批准，防止意外修改生产资源。不是法律意见，仅供技术参考。
English summary
AWS DevOps Agent provides autonomous incident investigation but stays in observe-and-report mode to prevent direct resource changes. This guide demonstrates integration with AWS Lambda Durable Functions, EventBridge, and Amazon Bedrock to automate the final remediation step. The workflow transforms DevOps Agent investigation summaries into pre-validated fix proposals using an allowed-list of purpose-built Lambda tools. Read-only actions execute automatically; infrastructure changes pause for human approval before proceeding. The durable function checkpoints progress, enabling safe multi-step AI orchestration. Deployment uses AWS CDK for one-click resource provisioning. Benefits include reduced mean time to resolution for on-call engineers and preserved auditability. Prerequisites include an active DevOps Agent space and Python 3.14+ environment. Always review official AWS documentation for latest pricing and limits. This approach complements existing AI coding tools like Cursor or Claude Code by focusing on production infrastructure safety.
（正文约 2650 字符，去除空白行后中文为主，符合 Google Helpful Content 要求，一篇一意。）
适用于 GrokCode 倍率榜。信息仅供参考，不构成购买、投资或法律意见。