Model, který nezná dnešek
Claude Desktop běžící na Amazon Bedrock umí odpovídat jen z toho, co se naučil při trénování. Podle AWS si proto nedokáže sám zjistit nové aktualizace dokumentace, živé ceny ani počasí. Amazon proto zveřejnil návod, jak tuto mezeru zacelit. Claude Desktop se přes službu AgentCore Gateway propojí s funkcí Web Search, takže model může sáhnout po čerstvých informacích z webu. Autoři přitom řeší i to, kdo smí vyhledávání používat a jak se to ověřuje.
Co je Web Search a čím se zaštiťuje
Web Search je podle AWS plně spravovaná vyhledávací funkce kompatibilní s Model Context Protocol (MCP). MCP je rozhraní, přes které si jazykový model může vyvolávat externí nástroje. Funkci podle Amazonu pohání webový index zahrnující desítky miliard dokumentů. AWS dále tvrdí, že veškerý provoz s dotazy zůstává v jeho infrastruktuře, není třeba spravovat externí API klíče a dotazy neopouštějí hranici zákazníka. Jde o tvrzení dodavatele, nezávislé ověření příspěvek nenabízí.
Jak funguje přihlašování
Jádrem řešení je řetězec autentizace. Zdrojem identity uživatelů je AWS IAM Identity Center, který je ověřuje přes standard SAML. Gateway ovšem očekává autentizaci pomocí tokenů JWT. Mezi oba světy proto autoři vkládají Amazon Cognito jako federační vrstvu s tokem OAuth 2.0 authorization code grant. Cognito vydává tokeny JWT a AgentCore Gateway je ověřuje při každém požadavku. Celý řetězec podle AWS zůstává uvnitř jeho služeb.
Co je potřeba připravit
Před začátkem je nutné mít účet AWS s oprávněními pro vytváření IAM rolí a zdrojů AgentCore. Dále je třeba administrátorský přístup k řídicímu účtu v AWS Organizations, protože se v něm konfiguruje IAM Identity Center. Ten musí být předem nastavený pro SSO. Nutný je také Claude Desktop s Amazon Bedrock jako poskytovatelem inference, nainstalované AWS CLI v2, Python 3.10 či novější a aktuální knihovna Boto3. Web Search je dostupný jen v regionech US East (N. Virginia), Europe (Ireland) a Asia Pacific (Tokyo), gateway tedy musí vzniknout v jednom z nich.
Postup od Cognito po gateway
Nejprve se v cílovém účtu vytvoří uživatelský pool Amazon Cognito, který bude vydavatelem tokenů OIDC pro gateway. Následuje SAML aplikace v IAM Identity Center federovaná s Cognito. Poté se IAM Identity Center zaregistruje jako SAML poskytovatel identity přímo v poolu. Nakonec vznikne aplikační klient s tajným klíčem. Přes něj Claude Desktop spustí tok OAuth, uživatel se ověří v IAM Identity Center a klient získá JWT pro AgentCore Gateway. Návod pro to používá příkazy AWS CLI.
Samotná gateway
Gateway se vytváří skriptem v Pythonu. Nastavuje se v něm protokol MCP a typ autorizace CUSTOM_JWT, který ukazuje na discovery URL z Cognito a povoluje jen konkrétního klienta. Skript pak čeká, až gateway přejde do stavu READY, a ukončí se chybou, pokud selže nebo nenaběhne do zhruba deseti minut. Po spuštění k ní připojí spravovaný konektor Web Search jako cíl. Ten používá IAM roli samotné gateway, takže se nemusí zadávat žádné klíče třetí strany.
Zapojení do Claude Desktop a první test
V Claude Desktop se přidá vlastní konektor s přenosem Streamable HTTP. Zadá se URL vytvořené gateway a volba „bring your own client“ s údaji klienta z Cognito. Callback míří na localhost, port 53280. Po přihlášení přes SSO v prohlížeči klient objeví nástroj voláním MCP tools/list. Claude ho pak podle autorů vyvolá automaticky, kdykoli model potřebuje aktuální informace z webu.
Schvalování a jiní poskytovatelé identity
Při prvním použití se zobrazí dialog ke schválení spuštění nástroje. Ukazuje dotaz, který chce Claude odeslat, a nabízí tři možnosti: Deny, Allow for this task nebo Allow once. Po schválení by odpověď měla obsahovat výsledky vyhledávání. AWS navíc uvádí, že stejný vzor funguje s libovolným poskytovatelem identity kompatibilním se SAML nebo OIDC. Stačí ho v Amazon Cognito nastavit jako federační zdroj místo IAM Identity Center.
Co návod neříká
Jde o vendorský návod, a proto vychází z toho, co tvrdí AWS. Dodané podklady neobsahují žádná měření kvality výsledků, rychlosti vyhledávání ani nákladů, takže o těchto stránkách nelze nic říct. Konkrétně potvrzují jen to, že postup spojuje Claude Desktop, Cognito, IAM Identity Center a AgentCore Gateway. Slib, že dotazy neopouštějí hranici zákazníka, je tvrzení Amazonu. Kdo by řešení nasazoval, měl by si ho ověřit ve vlastním prostředí a v jednom ze tří podporovaných regionů.
Zdroje
- Add secure Web Search to Claude Desktop with Amazon Bedrock AgentCore | Artificial Intelligence — AWS Machine Learning Blog
Článek vznikl s pomocí AI; podklady a odkazy jsou uvedeny výše.