Firmy, které ve vývojovém účtu odladí agenty, konektory a znalostní báze v Amazon Quick, je dosud musely do dalšího účtu přenášet ručně. AWS proto představilo ukázkový server Quick Resource Migrator. Běží na Amazon Bedrock AgentCore runtime jako server MCP a zdroje Amazon Quick mezi účty přenese jedním voláním nástroje. Podle AWS má tato automatizace nahradit ruční opakování práce při povyšování zdrojů z jednoho účtu do druhého. Všechny údaje v tomto textu vycházejí z popisu v blogu AWS, nikoli z nezávislého testu. Nástroj je navíc označen jako ukázkový, tedy jako vzor, ne jako hotový produkt. Článek proto popisuje hlavně to, jak je řešení navrženo, jaké kroky zahrnuje a kde končí jeho automatika.
Proč ruční přenos nestačí
AWS uvádí, že po ověření agentů, konektorů a znalostních bází ve vývojovém účtu neexistuje nativní způsob, jak je jedním kliknutím povýšit do dalšího účtu. Týmy je proto musejí v novém prostředí znovu vytvářet ručně. Podle AWS má taková práce tři slabiny: je pomalá, obtížně auditovatelná a snadno se v ní udělá nenápadná chyba. Právě slovo „nenápadná“ je důležité. Chyba, která není na první pohled vidět, se při běžné kontrole snadno přehlédne. Autoři z toho vyvozují, že ruční postup podkopává příběh řízené správy, který podniky potřebují. Jde o tvrzení výrobce o stavu před nasazením nástroje. Zdroj nepřikládá čísla, která by ztracený čas nebo počet chyb při ručním přenosu vyčíslila. Je to tedy kvalitativní argument, ne změřený dopad.
Co nástroj přenáší a jak vybírá
Uživatel nejprve zvolí typ zdroje. Na výběr je agent, konektor, znalostní báze, flow nebo space. Pak určí, které konkrétní zdroje se mají přenést: podle ID, podle názvu, nebo všechny zdroje daného typu najednou. Výběr podle ID se hodí, když správce ví přesně, který zdroj chce povýšit. Výběr podle názvu je čitelnější pro lidi. Volba „všechny“ pokryje celý typ zdroje jedním voláním. Nástroj pracuje jako upsert. To znamená, že zdroj chybějící v cílovém účtu vytvoří a zdroj, který tam už je, aktualizuje na místě. Díky tomu se stejný postup dá použít při prvním nasazení i při pozdějším doručení změn. Uživatel se nemusí předem rozhodovat, zda má jít o novou kopii, nebo o úpravu existujícího zdroje. Tuto volbu za něj udělá samotný nástroj podle stavu cílového účtu.
Znalostní báze: struktura ano, dokumenty ne
Znalostní báze se přenáší složitěji než ostatní zdroje a skládá se z několika kroků. V cílovém účtu se báze zaregistruje, znovu se vytvoří její datový zdroj a zkopírují se její oprávnění. U variant nad úložištěm S3 migrátor navíc připraví cílový bucket včetně bucket policy, tedy pravidel, kdo a jak smí k úložišti přistupovat. AWS to uvádí jako samostatný výstup migrace. Důležité omezení ale zůstává: samotné dokumenty, tedy objekty S3, se nekopírují. Cílová báze tak po migraci dostane strukturu, datový zdroj a přístupová pravidla, ale obsah je potřeba zajistit jinak. Zdroj k tomu nepopisuje žádný další postup. Správce proto musí s tímto krokem počítat zvlášť. Jinak by mohl mít v cílovém účtu správně nastavenou znalostní bázi, která ale nemá z čeho čerpat.
Oprávnění a tajné hodnoty
Oprávnění nejsou v kódu migrátoru napevno. Server zavolá u každého zdrojového zdroje příslušné API Describe*Permissions a přečte seznam akcí, které jsou na zdroji povolené. Stejný seznam akcí pak zopakuje v cílovém účtu. Principály, tedy subjekty, kterým jsou oprávnění přiřazena, přitom přemapuje na registrované uživatele cílového účtu. Mapování je nutné, protože uživatelé v jiném účtu jsou jiní než ve zdrojovém. Přístupová pravidla se tak nemusejí psát znovu a zůstávají v souladu se zdrojem. Protože se oprávnění čtou přímo z API zdroje, výsledek odpovídá skutečnému stavu zdroje, nikoli pevně zapsanému předpokladu. Zdroj ale nepopisuje, co se stane, pokud některý uživatel v cílovém účtu zaregistrovaný není. Tuto okrajovou situaci tedy popsat nelze.
Konektory bez tajemství
U konektorů AWS volí bezpečnostně opatrný postup. Tajné hodnoty se ze zdroje nikdy nečtou. Konektory se v cílovém účtu vytvoří se zástupnými přihlašovacími údaji a správce je musí v cíli znovu autentizovat. Citlivé údaje tedy nejsou čteny migračním nástrojem ze zdrojového účtu. Z návrhu to dělá konzervativní řešení, protože nástroj nemá k tajným hodnotám přístup, a nemůže je proto ani omylem přenést. Praktická cena je jasná: po migraci zbývá ruční krok, bez kterého konektor nebude plně použitelný. U automatizace, která se prezentuje jako jednokroková, je to podstatná výhrada. Podle zdroje je ale právě tato volba součástí návrhu, nikoli nedopatřením. Firmy by s ní měly počítat v plánu nasazení a vyčlenit pro ni čas správce.
Náhled změn před spuštěním
Před ostrou migrací slouží nástroj preview_migration. Funguje jako read-only dry run, tedy zkouška, která nic nemění. AWS ji doporučuje k potvrzení rozsahu migrace a jako podklad pro schvalování změn před povýšením. Pokud se zadá i ID cílového účtu, odpověď doplní mapování ze zdroje do cíle. U každého zdroje je označeno, zda bude vytvořen (CREATE), nebo aktualizován (UPDATE). Správce tak předem přesně vidí, co migrace změní, a může tento výstup předložit schvalovateli. Vlastní přenos zajišťuje nástroj migrate_resources. Přijímá ID zdrojového a cílového účtu, typ zdroje, selektor (ID, název nebo všechny), region, názvy zdrojového a cílového prostředí a název servisní role Quick Sight. Názvy prostředí se podle AWS používají v názvu bucketu znalostní báze.
Záloha před každou aktualizací
Druhou pojistkou jsou zálohy. Než migrátor aktualizuje existující cílový zdroj, zapíše do vyhrazeného zálohovacího bucketu verzovaný snapshot tohoto zdroje i jeho závislostí. Pokud se zálohu nepodaří zapsat, aktualizace se přeruší. Nástroj tedy raději nic nezmění, než aby přepsal zdroj bez možnosti návratu. Snapshot se podle AWS pořizuje i u každého vytvořeného nebo aktualizovaného zdroje a nástroj pro obnovu umí vrátit libovolný zdroj k dřívější verzi. Díky verzování může existovat více uložených stavů téhož zdroje. Změnu v cílovém účtu lze tedy vrátit, a to je pro auditovatelnost důležité. Zdroj však neuvádí, jak dlouho se zálohy uchovávají ani kolik místa zaberou.
Co zdroj neříká
Popis ukazuje, jak je nástroj navržen, ale ne jak si vede v praxi. Podklady neobsahují měření rychlosti, počty přenesených zdrojů ani zkušenosti ze skutečného nasazení. Zůstávají také ruční kroky: znovu autentizovat konektory a zajistit samotné dokumenty znalostních bází. Jde o ukázkový server, který AWS předvádí jako vzor. Zda ho firmy nasadí tak, jak je, nebo upraví, zdroj nesděluje. Spolehlivě lze říct jen toto: nástroj slibuje náhled změn, upsert, kopírování oprávnění a vratné zálohy. Ověřit si to musí uživatelé sami, nejlépe nejprve na zkušebních zdrojích. Teprve pak se ukáže, zda jednokrokový přenos skutečně šetří čas oproti ručnímu postupu.
Zdroje
Článek vznikl s pomocí AI; podklady a odkazy jsou uvedeny výše.