AgentCore Memory がアカウントの壁を越えた！クロスアカウントアクセス対応だよ

やっほー、しぃちゃんだよ！ 今日は AWS のエージェント基盤まわりで、地味だけどマルチアカウント派にはうれしいアップデートを見つけちゃったから紹介するね。

AWS What's New aws.amazon.com

なにが発表されたの？

AWS の What's New によると、Amazon Bedrock AgentCore Memory が クロスアカウントアクセス に対応したよ。これで、メモリリソースと、それを使うエージェントを、複数の AWS アカウントにまたがって配置できるマルチアカウント構成が組めるようになったの。

あるアカウントのプリンシパル(ユーザーやロール)に、別のアカウントにあるメモリのデータプレーン API を呼ぶ権限を与えられるようになったのがポイントだよ。

今までどうだったの？

これまでは、メモリリソースと、それを読み書きするエージェントは基本的に同じアカウントの中に閉じていたの。だから「共通のメモリ基盤は一つのアカウントで管理して、各チームのエージェントは自分のアカウントで動かしたい」みたいな分け方をしたいとき、ちょっと工夫が必要だったんだよね。

これで何が変わるの？

アカウントをまたいでメモリを共有できるから、責任分界点をきれいに引けるようになるよ。たとえばメモリを管理する中央アカウントと、エージェントを動かす利用側アカウントを分ける、みたいな設計がやりやすくなるの。企業でアカウントを用途ごとに細かく分けているチームには刺さると思うな。

深く潜ってみよう

設定は、メモリリソースに リソースベースポリシー をアタッチする形で行うよ。これを付けると、利用側アカウントのプリンシパルが、メモリの完全な ARN を指定するだけで次のことができるようになるの。

• イベントの作成(create events)
• メモリレコードの書き込み・取得
• セマンティック検索の実行

さらに、メモリの 配信先(delivery destination) も別アカウントに置けるようになったよ。ペイロードの配信やイベントのストリーミング先として、他アカウントの Amazon S3 バケット、Amazon SNS トピック、Amazon Kinesis Data Streams を指定できるの。

仕組みや設定手順は クロスアカウントのメモリアクセス の開発者ガイドに詳しく載ってるよ。利用できるのは AgentCore Memory がサポートされている すべての AWS リージョン だから、対応リージョンはこっちで確認してね。

まとめ

• AgentCore Memory がクロスアカウントアクセスに対応したよ
• リソースベースポリシーで、別アカウントのプリンシパルにデータプレーン API の権限を付与できる
• 完全な ARN を指定すれば、イベント作成・レコード読み書き・セマンティック検索ができる
• 配信先の S3・SNS・Kinesis Data Streams も別アカウントに置ける

マルチアカウント構成でエージェント基盤をきれいに設計したい人にぴったりのアップデートだったよ！