AWS 为 Claude Desktop 接入 AgentCore 安全联网搜索
来源AWS Machine Learning查看原文
速览
- AWS 为 Claude Desktop 提供基于 AgentCore Gateway 的安全联网搜索方案。
- 搜索由 Amazon 自建网页索引支持，覆盖数百亿文档，查询不出 AWS 边界。
- 认证链路为 IAM Identity Center 到 Cognito 到 JWT，全程在 AWS 内完成。
- 无需外部 API 密钥，无需第三方身份提供商，契合企业现有身份治理。
- 功能目前仅限 us-east-1、eu-west-1、ap-northeast-1 三个区域。
- 配置需 AWS CLI v2、Python 3.10+、最新 Boto3 及 Claude Desktop。
- 该模式可替换为任意 SAML 或 OIDC 兼容的身份提供商。
AWS 发布技术博客，介绍如何通过 Amazon Bedrock AgentCore 的 Gateway 功能，为 Claude Desktop 添加基于 MCP 协议的安全 Web Search 能力。该搜索由 Amazon 自建网页索引支持，覆盖数百亿文档，所有查询流量留在 AWS 基础设施内，无需外部 API 密钥。方案使用 AWS IAM Identity Center 作为身份源，经 Amazon Cognito 联邦层签发 JWT，由 AgentCore Gateway 校验，实现企业级身份治理下的联网搜索。目前该功能在 us-east-1、eu-west-1、ap-northeast-1 三个区域可用。
关键事实
- Web Search 是 Amazon Bedrock AgentCore 提供的全托管、兼容 MCP 的搜索能力，底层为覆盖数百亿文档的 Amazon 网页索引。
- 所有查询流量留在 AWS 基础设施内，无需管理外部 API 密钥，查询不离开用户边界。
- 认证链路为 AWS IAM Identity Center 通过 SAML 认证用户，Amazon Cognito 作为联邦层签发 JWT，AgentCore Gateway 逐请求校验。
- Web Search 目前仅在美国东部（弗吉尼亚北部，us-east-1）、欧洲（爱尔兰，eu-west-1）、亚太（东京，ap-northeast-1）三个区域可用。
- 配置需 AWS CLI v2、Python 3.10 或更高版本、最新版 Boto3 SDK，以及已配置 Amazon Bedrock 作为推理提供方的 Claude Desktop。
- Claude Desktop 通过 Connectors and Extensions 添加 MCP 服务器，传输方式为 Streamable HTTP，OAuth 使用自带客户端，回调端口为 53280。
本站视角
对在 AWS 上使用 Claude Desktop 的企业开发者和 IT 管理员来说，这是一条有实际价值的集成路径：它把联网搜索这个原本需要外部 API 或第三方 MCP 服务器的能力，收进了 AWS 自己的身份和网络边界内。我们认为，这套方案的核心卖点不是搜索质量，而是合规与治理——查询不出边界、复用现有 SSO、无需管理外部密钥，正好对应金融、医疗等受监管行业对数据出境的顾虑。和直接调用公开搜索 API 相比，它牺牲了配置便利性，换来了身份链路的可控性。但需要指出，AWS 并未在文中披露搜索结果的排序逻辑、索引更新频率或与竞品搜索质量的对比，仅强调覆盖数百亿文档，这些数字无法独立验证。另外，整个流程需要手动创建 Cognito 用户池、SAML 应用、IAM 角色和 Gateway，对没有 AWS 身份治理经验的小团队来说门槛不低。对国内做 Agent 的团队而言，这套模式值得参考的是「用企业现有 IdP 联邦出 JWT 再校验」的架构，而不是具体产品选型。
背景与影响
Claude Desktop 在 Amazon Bedrock 上运行时，模型回答受训练知识截止日期限制，无法获取最新文档、实时价格或天气等信息。Amazon Bedrock AgentCore 是一个用于大规模构建、连接和优化 Agent 的平台，支持任意框架和模型。其 Gateway 能力可以连接外部工具，Web Search 就是其中一个全托管、兼容 MCP 的搜索工具。对于已经在 AWS 上运行并使用 IAM Identity Center 做单点登录的企业，这套方案不需要引入新的身份系统或第三方 API 密钥，所有查询流量留在 AWS 内部。这意味着对数据边界敏感的企业客户，可以在不把查询发给外部搜索服务的前提下，让 Claude Desktop 获得联网能力。需要观察的是，该功能目前只在三个区域提供，其他区域的用户暂时无法使用；同时，博客给出的是一套需要手动配置 IAM 角色、Cognito 用户池、SAML 应用和 Gateway 的流程，并非开箱即用。
本文由 AI 辅助整理自公开信源，事实部分以原文为准；「本站视角」一节为编辑部判断，欢迎指正。版权归原作者所有，如有异议请联系我们。