TypeScript Agent 到 Gateway

connection 生成器可以将您的 TypeScript Agent 连接到 AgentCore Gateway。

该生成器会配置 agent，使其在部署时使用 IAM SigV4 向 Gateway 进行身份验证，并在本地运行时连接到 Gateway 项目启动的本地网关。

前提条件

在使用此生成器之前，请确保您具有：

1. 一个带有 Agent 组件的 TypeScript 项目（infra: agentcore）
2. 一个带有 auth: iam 的 agentcore-gateway 项目

Gateway 必须使用 IAM 身份验证 — agent 使用其自己的执行角色通过 SigV4 对请求进行签名。生成器会拒绝使用 Cognito 身份验证的网关。

用法

运行生成器

CLI

pnpm

pnpm nx g @aws/nx-plugin:connection

yarn

yarn nx g @aws/nx-plugin:connection

npm

npx nx g @aws/nx-plugin:connection

bun

bunx nx g @aws/nx-plugin:connection

您还可以执行试运行以查看哪些文件会被更改

pnpm

pnpm nx g @aws/nx-plugin:connection --dry-run

yarn

yarn nx g @aws/nx-plugin:connection --dry-run

npm

npx nx g @aws/nx-plugin:connection --dry-run

bun

bunx nx g @aws/nx-plugin:connection --dry-run

VSCode

1. 安装 Nx Console VSCode Plugin 如果您尚未安装
2. 在VSCode中打开Nx控制台
3. 点击 Generate (UI) 在"Common Nx Commands"部分
4. 搜索 @aws/nx-plugin - connection
5. 填写必需参数
6. 点击 Generate

选择 agent 项目作为源，选择 Gateway 项目作为目标。

选项

参数	类型	默认值	描述
sourceProject 必需	string	-	源项目
targetProject 必需	string	-	要连接到的目标项目
sourceComponent	string	-	要从其连接的源组件（组件名称、相对于源项目根目录的路径或生成器 ID）。使用 '.' 显式选择项目作为源。
targetComponent	string	-	要连接到的目标组件（组件名称、相对于目标项目根目录的路径或生成器 ID）。使用 '.' 显式选择项目作为目标。
preferInstallDependencies	boolean	true	是否在生成器运行后优先安装依赖项。设置为 false 可在批量运行多个生成器时延迟安装（如果后续生成器需要计算 Nx 项目图，仍会运行安装）；在最后统一安装一次。

生成器输出

生成器会将共享的核心客户端文件发送到您的 agent-connection 包中，加上一个针对每个 Gateway 的包装器，并修改您的 agent：

• 文件夹packages/common/agent-connection

  • 文件夹src

    • 文件夹core/

      • agentcore-endpoints.ts Framework-agnostic ARN/URL resolution
      • agentcore-gateway-mcp-transport.ts Framework-agnostic Gateway MCP transport
      • agentcore-gateway-mcp-client-strands.ts Strands MCP client for the deployed Gateway
    • 文件夹app/

      • <gateway-kebab>-client-strands.ts Per-Gateway Strands client wrapper
    • index.ts Re-exports the Gateway client

此外，生成器还会：

• 修改您的 agent 的 agent.ts 以导入 Gateway 客户端类，调用 <Gateway>ClientStrands.create()，并在 tools 数组中注册返回的客户端
• 将 agent 的 <agent>-dev 目标配置为依赖于 Gateway 的 dev 目标
• 安装所需的 SigV4 / MCP 依赖项

使用已连接的 Gateway

生成器会转换您的 agent 的 agent.ts 以使用 Gateway 客户端：

packages/example/src/my-agent/agent.ts

import { Agent } from '@strands-agents/sdk';
import { MyGatewayClientStrands } from '@my-scope/agent-connection';

export const getAgent = async () => {
  const myGateway = await MyGatewayClientStrands.create();
  return new Agent({
    systemPrompt: '...',
    tools: [myGateway],
  });
};

在部署时（未设置 LOCAL_DEV），客户端指向 Gateway 的 MCP 端点并使用 SigV4 进行身份验证。当 LOCAL_DEV=true 时，它指向由 Gateway 项目的 dev 目标启动的本地网关，因此相同的 agent.ts 在两种模式下都能统一工作。

会话 ID 会通过 X-Amzn-Bedrock-AgentCore-Runtime-Session-Id 标头自动传播到下游 MCP 服务器。

基础设施

运行生成器后，您必须授予 agent 调用 Gateway 的权限。

CDK

packages/infra/src/stacks/application-stack.ts

const gateway = new MyGateway(this, 'MyGateway');
const myAgent = new MyAgent(this, 'MyAgent');

// Grant the agent permissions to invoke the Gateway
gateway.grantInvokeAccess(myAgent);

Gateway URL 会由生成的 CDK 构造自动注册到 运行时配置 的 agentcore.gateways.<ClassName> 命名空间中，以便 agent 可以在运行时发现它。

Terraform

packages/infra/src/main.tf

module "my_gateway" {
  source = "../../common/terraform/src/app/gateways/my-gateway"
}

module "my_agent" {
  source = "../../common/terraform/src/app/agents/my-agent"

  # Grant the agent permission to invoke the Gateway
  additional_iam_policy_statements = [{
    Effect   = "Allow"
    Action   = ["bedrock-agentcore:InvokeGateway"]
    Resource = [module.my_gateway.gateway_arn]
  }]
}

Gateway URL 会由生成的 Terraform 模块自动注册到 运行时配置 的 agentcore.gateways.<ClassName> 命名空间中，以便 agent 可以在运行时发现它。

本地开发

生成器将 agent 的 dev 目标配置为：

1. 启动已连接的 Gateway 的本地网关以及每个附加的 MCP 服务器
2. 设置 LOCAL_DEV=true，以便生成的客户端指向本地网关而不是已部署的 Gateway

使用以下命令在本地运行 agent：

pnpm

pnpm nx <agent-name>-dev <project-name>

yarn

yarn nx <agent-name>-dev <project-name>

npm

npx nx <agent-name>-dev <project-name>

bun

bunx nx <agent-name>-dev <project-name>

要在本地运行 agent 针对已部署的 Gateway（例如，为了测试 Cedar 策略），请使用 agent 的 serve 目标。在未设置 LOCAL_DEV 的情况下，客户端会从运行时配置中解析已部署的 Gateway URL，并使用您的本地 AWS 凭证对请求进行 SigV4 签名：

pnpm

pnpm nx <agent-name>-serve <project-name>

yarn

yarn nx <agent-name>-serve <project-name>

npm

npx nx <agent-name>-serve <project-name>

bun

bunx nx <agent-name>-serve <project-name>

本地保真度

本地网关代替已部署的 Gateway，因此：

• 不进行 Cedar 策略评估。 无论策略如何，agent 都可以看到每个工具。使用 serve 目标针对已部署的 Gateway 测试策略。
• 保留工具名称前缀。 每个本地 MCP 服务器的工具都会被包装以公开形式为 <target-name>___<tool-name> 的名称，与已部署的 Gateway 发出的名称相匹配。这使得 agent 的系统提示和您引用的 Cedar 操作名称在本地和已部署运行中保持一致。