Amazon Bedrock, AgentCore, SageMaker & Q: agents in Microsoft Teams

Dit is een FDE (Forward Deployed Engineer) draaiboek voor implementatie Amazon Bedrock, Amazon Bedrock AgentCore, Amazon SageMaker, en Amazon Q, en vervolgens agenten in het bedrijf lanceren Microsoft Teams. Het behandelt architectuurkeuzes, een concrete first-agent-installatie, tooling, training en kalenderschattingen voor LLM apps, RAG en MLOps.

1. Probleemstelling voor het bedrijf

De meeste bedrijven hebben geen ‘nog een chatbot’ nodig. Ze hebben het nodig agenten die binnen bestaande workflows handelen: antwoord vanuit goedgekeurde kennis, bel tools met identiteit, bewaar sessiegeheugen en beland waar werknemers al samenwerken – meestal Teams.

Het is de taak van een FDE om de kloof tussen een werkende AWS-referentie en een bestuurde piloot: één afdeling, één corpus, eerst vooral de tools lezen, meetbare adoptie en dan uitbreiden.

2. Servicekaart — kies het juiste AWS-oppervlak

2.1 Amazon Bedrock

• Funderingsmodellen via één enkele API (Anthropic Claude, Amazon Nova, Meta Llama, Cohere, etc. – beschikbaarheid per regio).
• Guardrails voor inhoudsfilters, onderwerpweigering, PII-redactie en aardingscontroles.
• Knowledge Base voor beheerde RAG (opname van S3 / connectoren, insluitingen, ophalen).
• Basisagentia/stromen voor orkestratiepatronen als je binnen het agentmodel van Bedrock blijft.

Gebruik Bedrock wanneer: je wilt beheerde FM's, RAG en veiligheid zonder GPU's te gebruiken.

2.2 Amazon Bedrock AgentCore

AgentCore is de productieruntimelaag voor aangepaste agenten (framework-agnostisch — Strands, LangGraph, CrewAI, aangepaste Python, enz.):

• Looptijd — sessie-geïsoleerde, langlopende agentaanroepen.
• Poort — API's / MCP / OpenAPI omzetten in agenttools; omvat Microsoft Teams Grafiek doelstellingen (kanaalberichten, chats, vergaderingen, aanwezigheid, online vergaderingen).
• Geheugen — conversatie-/episodisch geheugen op korte en lange termijn.
• Identiteit — inkomende JWT validatie en uitgaande OAuth naar tools (waaronder Microsoft Entra ID).
• Waarneembaarheid — sporen en statistieken in CloudWatch / OpenTelemetry-compatibele paden.

Gebruik AgentCore wanneer: u bezit agentcode, heeft tools + identiteit + geheugen nodig en wilt voor elk probleem een beheerde runtime in plaats van doe-het-zelf-ECS/Lambda-lijm.

2.3 Amazon SageMaker

• Aangepaste modellen trainen / verfijnen / evalueren.
• Hosteindpunten (realtime, serverloos, async).
• Pijpleidingen, Modelregister, Feature Store, Verduidelijken, Modelmonitor voor MLOps.
• Kan aangepaste modellen invoeren in Bedrock Custom Model Import of naast Bedrock zitten als gespecialiseerde eindpunten.

Gebruik SageMaker wanneer: kant-en-klare FM’s zijn niet genoeg (domeinclassificatoren, ranking, verfijnde inbedding, gereguleerd modelbeheer).

2.4 Amazon Q

• Amazon Q Zakelijk (productnaamgeving blijft evolueren in de richting van Quick Suite / enterprise assistent-verpakkingen) – connectoren voor SaaS en kennis, vragen en antwoorden voor medewerkers, plug-ins.
• Amazon Q Ontwikkelaar — IDE / CLI-coderingsassistent voor AWS-bouwers.

Gebruik Amazon Q wanneer: je wilt een geproductiseerd assistent met minder aangepaste agenttechniek. Gebruik AgentCore + Bedrock als je diepgaande aangepaste tools, workflows met meerdere stappen of Teams-native UX nodig hebt die jij beheert.

2.5 Beslissingsmatrix

3. Referentiearchitectuur (bedrijfsagenten in Teams)

Microsoft Teams (user)
        │  Bot Framework activity
        ▼
Azure Bot Service / Teams channel
        │  HTTPS messaging endpoint
        ▼
AWS Lambda / API Gateway  (Bot adapter + JWT mint)
        │  POST /runtimes/{agentRuntimeArn}/invocations
        │  Header: Authorization Bearer <JWT>
        │  Header: X-Amzn-Bedrock-AgentCore-Runtime-Session-Id: teams-{aad}-{conv}
        ▼
Bedrock AgentCore Runtime  (your agent container / code)
        ├── Bedrock InvokeModel (Claude / Nova / …)
        ├── Knowledge Base retrieve (RAG)
        ├── Guardrails
        ├── AgentCore Memory
        └── AgentCore Gateway tools
              ├── Microsoft Graph (Teams channels / chats)  [Entra OAuth]
              ├── Internal APIs (CRM, ITSM, HR)
              └── MCP / OpenAPI targets
        ▼
CloudWatch / X-Ray / OTel traces  +  audit logs (S3)

Vuistregel voor sessie-ID: één Teams-gespreksthread moet worden toegewezen aan één AgentCore-sessie, b.v. teams-{aadObjectId}-{conversationId}, zodat de context van het geheugen en het gereedschap coherent blijven.

4. Eerste agent beschikbaar in Teams – stap voor stap

Doel: een lees-meestal interne kennisagent in een pilot Teams-kanaal binnen ~3-6 weken.

Fase A — AWS basis (dagen 1–5)

1. Kies regio (bevestig beschikbaarheid Bedrock-model + AgentCore + Knowledge Base).
2. Schakel toegang tot het Bedrock-model in; maak IAM-rollen voor inferentie, KB en AgentCore.
3. S3-bucket voor corpus maken; synchroniseer een pilot SharePoint/Confluence-export of connector.
4. Maak Bedrock Knowledge Base + vectoropslag; synchronisatie uitvoeren; test RetrieveAndGenerate.
5. Voeg een Guardrails toe (off-topic weigeren, PII redigeren, aarding vereisen indien ondersteund).

Fase B — Agent op AgentCore (dagen 5–15)

1. Scaffold-agent (Python/TypeScript) met behulp van het raamwerk van uw voorkeur of AWS-voorbeelden.
2. Telefonische modeloproepen naar Bedrock; draad ophalen naar Knowledge Base.
3. Definieer slechts 2 tot 3 tools (bijvoorbeeld zoeken in KB, ticketstatus alleen-lezen ophalen, gebruikersprofiel ophalen).
4. Configureer AgentCore Geheugen voor kortetermijngesprekken.
5. Configureer AgentCore Identiteit: valideer inkomend JWT; registreer Entra ID als IdP voor Microsoft-tools.
6. Implementeren naar AgentCore Runtime; rooktest /invocations met krul en een test JWT.
7. Waarneembaarheid mogelijk maken; definieer een CloudWatch dashboard (latentie, fouten, token/kostenproxy's).

Fase C — Teams komen naar boven (dagen 10-20, parallel)

1. Registreer een Entra ID app; maak Azure Bot; Schakel Teams-kanaal in.
2. Teams app-pakket maken (manifest, iconen); sideload of org publishing voor pilot-beveiligingsgroep.
3. Implementeer het berichteneindpunt (Lambda aanbevolen): Bot Framework adapter → wijs activiteit toe aan AgentCore payload.
4. Geef de gebruikersidentiteit (AAD-object-ID, UPN) door in JWT claims AgentCore Identiteit verwacht.
5. Reageer met agenttekst (en later Adaptive Cards); ga netjes om met type-indicatoren en fouten.
6. Pilot: één kanaal, 10–30 gebruikers, feedbackformulier / emoji-reacties, wekelijks FDE spreekuur.

Fase D — Uitharden (dagen 15–30)

1. IAM met de minste rechten; Secrets Manager voor bot-app-wachtwoord / certificaten.
2. Netwerk: privé API-paden waar vereist; WAF op openbare eindpunten.
3. Gegevens: classificeer corpus; blokkeer schrijftools met een hoog risico totdat er wijzigingsbeheer bestaat.
4. Evaluatieset: 50–100 gouden vragen en antwoorden; meet de kwaliteit van gegrondheid / weigering.
5. Runbook: geheimen roteren, Runtime-versie terugdraaien, Teams-app uitschakelen.

Minimale teams → AgentCore roepen vorm op

POST /runtimes/{agentRuntimeArn}/invocations
Authorization: Bearer <jwt>
X-Amzn-Bedrock-AgentCore-Runtime-Session-Id: teams-{aadObjectId}-{conversationId}
Content-Type: application/json

{
  "input": {
    "prompt": "<user message text>",
    "user": { "aadObjectId": "...", "upn": "..." },
    "channel": { "teamId": "...", "channelId": "..." }
  }
}

Het exacte payloadschema is afhankelijk van uw agentcontract; houd het op versieniveau.

5. AgentCore + Microsoft Graph (agenten die in Teams optreden)

Naast 'chatten in Teams' kan AgentCore Gateway ook zichtbaar worden Teamgrafiek bewerkingen als hulpmiddelen (kanaalbericht verzenden, chats, vergaderingen, aanwezigheid beheren). Vereisten omvatten doorgaans:

• Entra ID-applicatie met Graph-machtigingen (start met de minste rechten; toestemming van de beheerder).
• AgentCore Identiteit OAuth client voor Entra.
• Gatewaydoel voor Microsoft Teams / Grafiek.
• Human-in-the-loop voor elk schrijf-/verzendproces totdat het vertrouwen is gevestigd.

FDE begeleiding: schip inkomende chatagent eerst; toevoegen uitgaande grafiekacties in een tweede wijzigingsticket met expliciete toelatingslijsten (kanalen, teams, berichtsjablonen).

6. SageMaker in hetzelfde programma

Blokkeer de Teams-pilot niet op SageMaker. Introduceer SageMaker wanneer u het volgende nodig heeft:

• Domeinspecifieke classificaties (intentie, urgentie, PII-detectie voorbij Guardrails).
• Verfijnde inbedding of rerankers voor RAG kwaliteit.
• Gereglementeerde modeltraining met Modelregister + goedkeuringspoorten.
• Batch-inferentietaken over grote corpora.

Typisch MLOps skelet: SageMaker Pijplijnen → Modelregister → staging-eindpunt → canary → prod; monitoring met Model Monitor; alleen promoten via CI (CodePipeline / GitHub Actions) met IaC (Terraform / CDK).

7. Amazon Q in hetzelfde programma

• Q Zaken voor brede vragen en antwoorden voor werknemers met beheerde connectoren — vaak sneller dan de aangepaste RAG voor “zoeken op het intranet.”
• Q-ontwikkelaar voor FDE/platform eng-productiviteit (IaC, Lambda, CDK).
• Patroon: Q voor breedte; AgentCore agenten voor diepgang (workflow + tools + Teams UX).

8. FDE opleidingsprogramma (implementeren en lanceren)

Totale FDE-helling: ~2-3 weken gerichte training + gepaarde levering tijdens de eerste pilot.

9. Controlelijst vereisten

Mensen

• FDE (agent + integratie)
• Cloud-/platformingenieur (IAM, netwerken, IaC)
• Microsoft 365 / Entra admin (app-toestemming, Teams publiceren)
• Beveiligings-/compliance-beoordelaar
• Bedrijfseigenaar + pilotgebruikers

Accounts & toegang

• AWS account(s) bij Bedrock, AgentCore, S3, CloudWatch; optioneel SageMaker / Q
• Entra ID huurder; Azure-abonnement voor Bot Service
• Teams beheerdersrechten om apps te uploaden/goed te keuren

Gegevens

• Pilotcorpus met duidelijk eigenaarschap en retentie
• Classificatie-etiketten; Beleid voor verwerking van PII
• Gouden evaluatievragen

10. Controlelijst voor gereedschap

11. Tijdschattingen (FDE geleid, indicatief)

Veronderstelt één gerichte FDE + parttime platform + beschikbaarheid van Entra-beheerders. Kalenderdagen, niet alleen persoonsuren.

12. Checklist lancering (zakelijk)

1. Genoemde bedrijfseigenaar en successtatistieken (doorbuiging, time-to-antwoord, CSAT).
2. Pilot-beveiligingsgroep en -kanaal; ondersteuningsuren voor FDE.
3. SLA voor versheid van inhoud voor Knowledge Base-synchronisatie.
4. Incidentpad: bot uitschakelen, geheimen roteren, pagina op afroep.
5. Kostenbudgetwaarschuwingen voor Bedrock-tokens en AgentCore runtime.
6. Beslissingspoort: uitbreiden, pauzeren of produceren na vier tot zes weken aan gebruiksgegevens.

13. Veelvoorkomende faalmodi

• De oceaan koken: multi-agent + schrijftools + volledig intranet vóór één Teams-pilot.
• Identiteit laatste: de agent bouwen zonder Entra/JWT-ontwerp – herwerken wanneer Teams arriveert.
• Geen gouden set: kan niet zeggen of RAG beter is geworden na het chunken van wijzigingen.
• SageMaker te vroeg: het trainen van aangepaste modellen voordat de kwaliteit van het ophalen goed is.
• Verrassing over toestemming van de beheerder: Teams/Grafiek-machtigingen wekenlang geblokkeerd - start Entra-tickets op dag 1.

14. Sluiting

Gesteente geeft je modellen, RAG en vangrails. AgentCore geeft u een runtime voor een productieagent met geheugen, identiteit en tools (inclusief Teams Graph). SageMaker omvat aangepaste ML en MLOps. Amazon Q omvat productgerichte medewerkers/ontwikkelaarsassistenten. Het FDE pad dat het snelst waarde genereert is: RAG + Guardrails → AgentCore agent → Teams bot relay → meten → tools uitbreiden — met SageMaker en Q Business als parallelle tracks wanneer de use case dit vereist.

Gepubliceerd door Workstation – voor leveringsprogramma's die agenten plaatsen waar het bedrijf al werkt.