AWS Well-Architected Agent đọc hạ tầng, chưa tự áp dụng mã sửa

Ngày 1/10/2026, AWS mở bản preview AWS Well-Architected Agent, dịch vụ phân tích hạ tầng trong các tài khoản được chọn và đề xuất cải thiện chi phí, bảo mật, hiệu năng, khả năng phục hồi. Agent đối chiếu cấu hình tài nguyên, chỉ số sử dụng và quan hệ giữa các thành phần ứng dụng với các thực hành Well-Architected. Đầu ra có thể gồm hướng dẫn sửa và thay đổi mã hạ tầng, chứ không chỉ là danh sách vấn đề.

Trong bản preview này, mã và các bước khắc phục do AI tạo vẫn cần người dùng kiểm tra rồi tự thực thi. Phân tích của Creuto cũng chỉ rõ ngoại lệ cần phân biệt: với một số phát hiện từ AWS Trusted Advisor, người dùng có thể chấp thuận để agent kích hoạt SSM runbook dựng sẵn. Vì vậy, việc thấy một phương án sửa sẵn không có nghĩa agent đã thay đổi tài nguyên đang chạy.

Agent đọc gì và tạo loại khuyến nghị nào?

Phạm vi phân tích bắt đầu từ hồ sơ agent: tài khoản, AWS Region, trụ cột tối ưu hóa và mục tiêu kinh doanh do đội vận hành chọn. Vai trò truy cập trong từng tài khoản workload cho phép agent đọc siêu dữ liệu, cấu hình và chỉ số cần thiết để nhận diện tài nguyên, quan hệ ứng dụng và mức sử dụng. Nếu một tài khoản chưa có vai trò truy cập phù hợp, việc thêm tên tài khoản vào hồ sơ chưa đủ để agent phân tích tài nguyên ở đó.

Khuyến nghị ở mức tài nguyên xử lý một thành phần riêng lẻ, chẳng hạn một phiên bản Amazon EC2 hoặc cơ sở dữ liệu Amazon RDS. Khuyến nghị ở mức ứng dụng nối các phát hiện trên những tài nguyên có liên hệ; định dạng khuyến nghị này vẫn ở giai đoạn beta. Mục tiêu đã khai báo quyết định thứ tự ưu tiên, nên một đề xuất tăng khả năng phục hồi có thể được đặt cạnh tác động của nó lên chi phí hoặc hiệu năng.

Đầu vào mã hạ tầng có luồng riêng. Đội vận hành phải chủ động gửi dự án để rà soát kiến trúc; đó không phải kết quả tự phát sinh từ lần quét tài nguyên theo lịch. Thông báo ra mắt nêu Terraform, CloudFormation và AWS CDK, nhưng hướng dẫn hiện hành cho thao tác tải dự án rà soát chỉ liệt kê Terraform và CDK. Với CloudFormation, phạm vi hỗ trợ được công bố và quy trình đầu vào được hướng dẫn hiện chưa diễn đạt giống nhau.

Từ phát hiện đến thay đổi thực tế

Agent có thể đưa phương án khắc phục khá gần bước triển khai: hướng dẫn trên console, lệnh AWS CLI, mã IaC điều chỉnh hoặc runbook AWS Systems Manager, tùy loại phát hiện. Với nội dung do AI tạo, các lệnh và đoạn mã là đề xuất để người có quyền đối chiếu với môi trường thật, thử nghiệm và quyết định có chạy hay không. Chúng không tự biến thành một bản triển khai chỉ vì người dùng mở khuyến nghị.

Runbook đi kèm một số kiểm tra Trusted Advisor có cơ chế khác: đây là quy trình tự động hóa dựng sẵn, có thể được kích hoạt sau khi người dùng đồng ý, thay vì một chuỗi bước mới do AI viết. Sự khác biệt này quan trọng khi phân quyền. Quyền đọc để lập khuyến nghị không nên được hiểu là quyền mặc định cho mọi thay đổi; quyết định chạy runbook, lệnh CLI hay pipeline triển khai thuộc các quyền và quy trình thực thi tương ứng.

Một đề xuất thêm khả năng chuyển đổi giữa nhiều Availability Zone cho cơ sở dữ liệu cho thấy ranh giới đó. Agent có thể nêu lợi ích về khả năng phục hồi cùng đánh đổi về chi phí và hiệu năng; người chịu trách nhiệm ứng dụng vẫn phải quyết định cấu hình ấy có phù hợp mục tiêu vận hành hay không. Nếu chấp thuận, họ mới chọn cơ chế thực hiện và chịu trách nhiệm theo dõi kết quả thay đổi.

Trước và sau khi bật hồ sơ agent

Thay đổi chính nằm ở cách thu thập phát hiện và chuẩn bị phương án sửa, không nằm ở việc chuyển toàn bộ quyền vận hành cho agent. Bảng đối chiếu ngắn dưới đây tách dữ liệu được đọc, loại đầu ra và quyền còn do con người giữ:

Dữ liệu: Trước khi bật hồ sơ, đội cloud tự tập hợp cấu hình và ngữ cảnh ứng dụng cho mỗi lần rà soát. Sau khi thiết lập tài khoản, Region và vai trò truy cập, agent đọc tài nguyên trong phạm vi đó; mục tiêu kinh doanh và ngữ cảnh ứng dụng vẫn do đội cung cấp.
Khuyến nghị: Trước đó, đội tự nối các phát hiện riêng lẻ với ưu tiên của workload. Sau đó, agent xếp khuyến nghị theo mục tiêu đã khai báo và trình bày phát hiện ở mức tài nguyên hoặc ứng dụng; rà soát kiến trúc từ dự án IaC cần được khởi chạy riêng.
Khắc phục: Trước đó, người phụ trách tự soạn lệnh hoặc tìm quy trình sửa. Sau đó, họ có thể nhận bước thao tác, lệnh, mã IaC điều chỉnh hoặc runbook phù hợp với loại phát hiện.
Quyền quyết định: Agent cần quyền đọc để phân tích. Người và hệ thống triển khai do tổ chức chỉ định vẫn kiểm tra tác động, phê duyệt và thực thi thay đổi; riêng runbook dựng sẵn có thể chạy khi người dùng chấp thuận.

Gói hỗ trợ và khu vực đặt hồ sơ

Hướng dẫn AWS về bản preview quy định gói AWS Support từ Business+ trở lên mới đủ điều kiện truy cập; Developer và Business không đủ điều kiện. Một hồ sơ agent có thể phân tích tối đa 100 tài khoản, còn khuyến nghị theo lịch được làm mới hằng tuần. Điều kiện gói hỗ trợ mở quyền dùng tính năng, không cấp thay vai trò IAM cần thiết trong các tài khoản được quét.

Hồ sơ agent được đặt tại US East (N. Virginia), US East (Ohio) hoặc US West (Oregon), dù hồ sơ từ đó có thể quét tài nguyên ở các AWS Region thương mại khác. Với đội cloud tại Việt Nam, Region chạy workload và Region đặt hồ sơ là hai thông tin khác nhau: chọn tài nguyên ở một Region châu Á không đồng nghĩa hồ sơ agent được lưu ở đó. Phạm vi tài khoản và Region cần được ghi rõ khi đánh giá dữ liệu cấu hình nào sẽ được dịch vụ đọc.

Ranh giới IAM đội cloud cần giữ

Thiết lập truy cập dùng một vai trò thực thi trong tài khoản chứa hồ sơ và một vai trò truy cập trong từng tài khoản workload. Dịch vụ đảm nhận vai trò thực thi, rồi vai trò đó dùng sts:AssumeRole để đảm nhận vai trò truy cập đã được tài khoản đích tin cậy. Chính sách được khuyến nghị cho vai trò truy cập là WellArchitectedAgentResourceScanning, dành cho việc đọc siêu dữ liệu và cấu hình tài nguyên.

Giới hạn hồ sơ ở đúng tài khoản, Region và trụ cột cần phân tích; đối chiếu danh sách đó với các workload mà đội thực sự phụ trách.
Kiểm tra trust policy của vai trò thực thi chỉ cho phép dịch vụ Well-Architected đảm nhận, và quyền sts:AssumeRole chỉ trỏ tới các vai trò truy cập dự kiến.
Trong mỗi tài khoản workload, cho vai trò truy cập tin cậy đúng vai trò thực thi; gắn chính sách đọc được khuyến nghị hoặc một chính sách đọc tùy chỉnh có phạm vi hẹp hơn.
Giữ quyền sửa tài nguyên, chạy runbook và triển khai IaC trong các vai trò thực thi thay đổi do tổ chức quản lý. Trước khi dùng mã hoặc lệnh do AI đề xuất, người có trách nhiệm cần xem tài nguyên đích và tác động lên ứng dụng.

Việc hoàn thành chuỗi vai trò chỉ giúp agent có dữ liệu để phân tích; khuyến nghị theo lịch còn phụ thuộc mục tiêu và ngữ cảnh ứng dụng trong hồ sơ. Khi đề xuất chuyển thành thay đổi thật, điểm bàn giao rõ ràng là sự chấp thuận của người có thẩm quyền và quyền thực thi được cấp cho đúng công cụ triển khai.

Đọc thêm: