«Закрывает разрыв в знаниях»: AWS подключила веб-поиск к Claude Desktop через Amazon Bedrock AgentCore

Зачем это нужно

Claude Desktop на Amazon Bedrock даёт мощную ИИ-помощь, но без встроенного веб-поиска ответы ограничены датой отсечки обучения модели: когда нужны свежие сведения — обновления документации, актуальные цены или погода, — модель не может достать их сама.

Amazon Bedrock AgentCore — платформа для построения, подключения и оптимизации агентов в масштабе с любым фреймворком и моделью.

Через AgentCore Gateway — возможность той же платформы — этот разрыв закрывается подключением Claude Desktop к Web Search.

Web Search — полностью управляемая возможность веб-поиска, совместимая с Model Context Protocol (MCP) и опирающаяся на индекс Amazon, охватывающий десятки миллиардов документов.

Весь трафик запросов остаётся внутри инфраструктуры AWS: внешних API-ключей нет, и запросы не покидают границу организации.

Как устроена архитектура и аутентификация

Многие предприятия на AWS используют AWS IAM Identity Center для единого входа (SSO) в свои аккаунты, и в разборе он выступает источником аутентификации для AgentCore Gateway.

С такой схемой Claude Desktop на Amazon Bedrock вызывает Web Search через доверенный поток идентичности, управляемый предприятием, что согласуется с существующим управлением идентичностью и не требует отдельных учётных данных или сторонних провайдеров идентичности.

Чтобы связать IAM Identity Center с JWT-аутентификацией AgentCore Gateway, используют Amazon Cognito как слой федерации с потоком authorization code по OAuth 2.0.

IAM Identity Center обрабатывает вход пользователя через Security Assertion Markup Language (SAML), Amazon Cognito выпускает JWT, а AgentCore Gateway проверяет их на каждом запросе — вся цепочка остаётся внутри AWS.

Что нужно для настройки

Для повторения нужен аккаунт AWS с правами на создание ролей AWS Identity and Access Management (IAM) и ресурсов Amazon Bedrock AgentCore, админский доступ к управляющему аккаунту в AWS Organizations для настройки IAM Identity Center и предварительно настроенный IAM Identity Center для SSO-доступа к аккаунтам AWS.

Также нужны Claude Desktop, настроенный с Amazon Bedrock как провайдером инференса, установленный и настроенный AWS CLI v2, Python 3.10 или новее и обновлённый до последней версии Boto3 SDK.

Web Search на Amazon Bedrock AgentCore сейчас доступен в регионах US East (N. Virginia) us-east-1, Europe (Ireland) eu-west-1 и Asia Pacific (Tokyo) ap-northeast-1, и шлюз нужно создавать в одном из них.

Как это собирается

Сначала в целевом аккаунте создаётся пул пользователей Amazon Cognito, который станет издателем токенов OpenID Connect (OIDC) для AgentCore Gateway.

Затем в управляющем аккаунте AWS Organizations создаётся SAML-приложение, федеративное с Cognito: указываются ACS URL и Audience, скачивается XML-файл метаданных SAML, настраиваются сопоставления атрибутов Subject и Email и назначаются пользователи или группы с доступом к Web Search.

После этого IAM Identity Center регистрируется как SAML-провайдер идентичности в пуле Cognito, а для Amazon Bedrock AgentCore создаётся клиент приложения с секретом — именно им Claude Desktop запускает поток OAuth и получает JWT для шлюза.

Шлюз создаётся с типом входящей аутентификации JSON Web Tokens (JWT), протоколом MCP и авторизатором CUSTOM_JWT, который указывает на discovery-URL Cognito и список разрешённых клиентов; затем к нему прикрепляется управляемый коннектор Web Search с типом учётных данных GATEWAY_IAM_ROLE.

В Claude Desktop добавляется сервер-коннектор с транспортом Streamable HTTP, URL ресурса шлюза, своей парой Client ID и Client Secret, сервером авторизации Cognito, областью openid и callback на localhost с портом 53280.

Проверка, доступность и границы

После регистрации Claude Desktop обнаруживает инструмент Web Search Tool через вызов MCP tools/list и вызывает его автоматически, когда модели нужна актуальная информация из веба.

Чтобы проверить работу, нужно отправить запрос, требующий свежих результатов: появится окно подтверждения выполнения инструмента с вариантами Deny, Allow for this task и Allow once, а после одобрения результаты поиска попадут в ответ.

Автор отмечает, что тот же шаблон работает с любым SAML- или OIDC-совместимым провайдером идентичности: свой IdP можно подставить, настроив его как источник федерации в Amazon Cognito.

Итог заявлен так: разрыв в веб-поиске закрывается без сторонних зависимостей, а все запросы остаются в границах AWS.

Для уборки ресурсов после эксперимента нужно удалить цель шлюза, сам шлюз, политику и роль IAM, клиент приложения и провайдера идентичности Cognito, домен и пул, а также SAML-приложение в консоли IAM Identity Center.

Материал подписан Джишну Дашгуптой (Jishnu Dasgupta), архитектором решений AWS, и отнесён к уровню Advanced (300).