统一代理发现、路由与访问控制

随着企业在不同团队、供应商和基础设施中部署 AI 代理，代理间通信管理逐渐成为沉重的运营负担。缺乏统一层时，每接入一个代理都要新增点对点连接、独立的凭证和定制路由逻辑，访问控制也呈碎片化。工程团队把大量精力消耗在连通性上，而非代理能力本身，导致新工作流上线变慢、安全策略不一致带来的风险上升，整体运维开销随代理数量呈非线性增长。

网关模式通过在代理前置单一入口来缓解这一矛盾，无论代理运行在 Amazon ECS、Lambda、Bedrock AgentCore Runtime，还是非 AWS 混合环境，都能统一接入。该模式基于 A2A 协议，标准化代理间通信方式。部署 20 个代理时，传统架构最多需要 190 条点对点连接，而统一网关将这些连接收敛到集中层，避免连接爆炸并解耦具体运行时、框架与编排层。

整体方案分为三层。管理层提供集中代理注册表，支持发现与语义检索；控制层通过 JWT 作用域和 Lambda 授权器实现细粒度访问控制；执行层处理单域路由、OAuth 后端认证，并借助 Server-Sent Events 支持实时流式响应。所有组件均可通过 Terraform 部署，符合 A2A 规范的代理可直接接入网关，标准客户端无需任何改造。

在实现层面，Amazon API Gateway REST API 作为单一入口，Lambda 授权器解析 JWT 作用域并生成 IAM 策略，按路径精确放行或拒绝指定代理。注册、代理、搜索、授权、管理等职能由独立 Lambda 函数承担。DynamoDB 存储代理注册表、权限映射和限速计数，Cognito 处理 OAuth 2.0 客户端凭证流，Secrets Manager 托管后端凭证，敏感信息不进入数据库。

端点设计兼容 A2A 协议规范：既支持 JSON-RPC 风格，例如 POST /agents/{agentId} 调用 SendMessage 或 SendStreamingMessage，也支持 HTTP+JSON/REST 绑定。客户端只需指向网关域名，无需感知后端地址。/agents 列表接口、/search 语义检索以及 /admin/agents 生命周期管理接口共同构成管理面，使代理发现与运维更加标准化。

要点

• 网关模式将多代理环境的点对点连接收敛为统一入口，显著降低集成复杂度
• 三层架构分离代理发现、权限校验与请求路由职责，提升可维护性
• 基于 A2A 协议，标准客户端无需修改即可通过单一域名访问后端代理
• JWT 作用域结合 IAM 策略实现按代理粒度的细粒度访问控制
• Terraform 一键部署，组合 API Gateway、Lambda、DynamoDB、Cognito 等托管服务