使用 Agentic AI 助手 NotiOps 构建可追溯且只读的 AWS 运维工作台
内容提要
NotiOps 是面向 AWS 的只读 Agentic AI 运维助手，通过 AWS 官方 MCP 与只读 API 取证，每条回复附来源，可联动 DevOps Agent 深度调查，支持一键部署。
延伸解读
只读边界如何落地
NotiOps 的只读承诺并非仅靠提示词，而是通过工具白名单、系统提示拒绝变更意图、输出审计检查变更命令，以及 IAM 权限构成最终边界。对于通用 AWS API MCP，还通过只读模式和敏感读取 denylist 做纵深防御。这意味着即使模型被诱导，也无法执行停止、删除、修改或扩缩容操作。但需注意，Support Case 和管理员配置属于单独授权的控制面动作，不应与工作负载只读角色混用。
来源面板的价值与局限
每条回复旁的 Sources 面板展示本轮调用的工具、MCP 提供方、AWS API 或官方文档链接；若未调用外部工具，则明确标注为“模型自身知识，非实时数据”。这有助于工程师知道从何处开始核验，但来源不为空不代表结论无需复核。重要结论仍应回到原始指标、日志、CloudTrail 事件、成本数据或官方文档核实，避免将模型推断误认为实时事实。
部署路径的选择依据
CloudFormation 一键部署适合仅使用浏览器的环境，可部署 Web Chat、官方文档问答、资源巡检、DevOps Agent 深度调查、AWS Support、Skills 和 FinOps 页面；setup.sh 完整部署则额外增加 IM、主动事件推送、每日巡检、完整管理仪表盘和 CUR/Athena 明细分析。建议先以单账号模式验证登录、Sources、官方 MCP、实时数据查询和只读拒绝行为，再根据协作方式、FinOps 深度和多账号需求决定是否升级。
成本与清理的注意事项
NotiOps 会根据启用的功能使用 Amazon Bedrock、AgentCore、Lambda、DynamoDB、S3、EventBridge、CloudWatch、ECR 以及可选的 ECS on Fargate 和跨账号资源，费用取决于模型调用量、Agent 运行时间、事件数量、日志量、存储量、数据扫描和 IM 服务是否常驻。建议先用一键部署建立基线并记录调用量，再评估完整版成本。清理时，CloudFormation 的 TeardownMode 默认为 KeepData，要彻底删除需先更新为 Delet
Q&A
NotiOps 是什么？它主要解决 AWS 运维中的哪些问题？
NotiOps 是面向 AWS 云的 Agentic AI 助手，提供一个以浏览器为主入口的只读云运维工作台。它帮助工程师用自然语言查询 AWS 环境、检索官方文档、调查故障、分析成本和资源健康状况，并解决 AIOps 中答案不可追溯、使用非官方信息源以及 Agent 可能修改生产环境等问题。
NotiOps 如何保证每条回复都有来源可查？
NotiOps 在每条回复旁展示 Sources 面板，列出本轮使用的工具、MCP 提供方、AWS API、官方文档链接或报告链接。如果没有调用外部工具，会明确标注为“模型自身知识，非实时数据”，避免把模型推断伪装成实时事实。
NotiOps 的只读边界是如何实现的？
NotiOps 通过多层防御实现只读：工具白名单限制 Agent 可调用的能力，系统提示拒绝变更意图，输出审计检查可能泄漏的变更命令，部署角色的 IAM 权限构成最终边界。运行时工具以 Describe、Get、List 等读取操作为主，通用 AWS API MCP 也通过只读模式和敏感读取 denylist 做纵深防御。
NotiOps 提供哪些部署方式？各自适合什么场景？
NotiOps 提供两条部署路径：CloudFormation 一键部署适合只使用浏览器的环境，可部署 Web Chat、官方文档问答、资源巡检、DevOps Agent 深度调查、AWS Support、Skills、模型管理及 FinOps 页面；setup.sh 完整部署在此基础上增加 IM、主动事件推送、每日巡检、完整管理仪表盘和 CUR/Athena 明细分析。
NotiOps 的深度调查功能如何与 AWS DevOps Agent 联动？
对于需要跨指标、日志、变更记录和资源关系关联分析的复杂故障，用户可以在 NotiOps 中点击“深度调查”，系统会自动带上当前账号和问题上下文，联动目标账号的 AWS DevOps Agent。调查过程显示在侧边面板，完成后将摘要、根因、缓解计划、调查编号和在线报告带回当前会话，整个调查链路只读取客户环境，不自动执行修复操作。
使用 NotiOps 时有哪些成本注意事项？
NotiOps 会根据启用的功能使用 Amazon Bedrock、Amazon Bedrock AgentCore、AWS Lambda、Amazon DynamoDB、Amazon S3、Amazon EventBridge、Amazon CloudWatch、Amazon ECR，以及可选的 Amazon ECS on AWS Fargate 和跨账号资源。费用取决于模型调用量、Agent 运行时间、事件数量、日志量、存储量、数据扫描和 IM 服务是否常驻。建议先使用 CloudFormation 一键部署建立基线，记录调用量，再评估完整版额外成本，并使用 AWS Pricing Calculator 建立预算模型和设置异常支出告警。
