Orchestrate: agentes, herramientas y flujos confiables

Orchestrate responde la segunda pregunta del cliente: ¿el sistema hace trabajo real de forma confiable? Es el pathway más largo (5 actividades requeridas, alrededor de 450 puntos) y el que más usa Amazon Bedrock AgentCore. Su lista exacta se ve con sesión iniciada; anotarla antes de empezar y marcar qué es requerido y qué electivo.

flowchart LR
    U[Usuario] -->|JWT| R[AgentCore Runtime]
    R --> M[(AgentCore Memory)]
    R --> G[AgentCore Gateway]
    G -->|MCP| L1[Lambda · pedidos]
    G -->|MCP| API[API OpenAPI · inventario]
    R -->|A2A| S1[Agente especialista 1]
    R -->|A2A| S2[Agente especialista 2]
    I[AgentCore Identity · Cognito] -.inbound/outbound.-> R
    R --> O[Observability · CloudWatch]

7.1 Runtime: desplegar y escalar agentes

Escenarios oficiales:

• Getting Started with AgentCore Runtime: el equipo de ingeniería de AnyCompany tiene un agente “Cloud Advisor” que corre solo en el laptop de un desarrollador y quiere desplegarlo, y después otros agentes por dominio, en un entorno gestionado y escalable sin construir infraestructura.
• AI Agent Orchestration on AgentCore Runtime: AnyCompany Electronics gestiona 500 productos en cinco bodegas; operaciones consulta a mano cuatro sistemas (inventario, envíos, pronósticos, proveedores) y quiere un agente que razone sobre los cuatro y responda en lenguaje natural en tiempo real. Usa CodeBuild y ECR.

Conceptos: aislamiento por sesión, cold start, ejecución prolongada para agentes asíncronos, soporte a MCP y A2A, despliegue desde contenedor en ECR o con el CLI de AgentCore.

Ejercicio: empaquetar un agente Strands en un contenedor, publicarlo en ECR, desplegarlo en Runtime, invocarlo con dos sesiones distintas y comprobar que no comparten estado; habilitar Observability y leer las trazas en CloudWatch.

Recursos: Building and Deploying Agents on Amazon Bedrock AgentCore Runtime (90 min), Introduction to AgentCore Runtime Instances (30 min), Lab - Deploying Intelligent Agents with Amazon Bedrock AgentCore Runtime, Lab - Building Agents with Amazon Bedrock AgentCore CLI.

• Agente desplegado en Runtime con trazas visibles y sesiones aisladas.

7.2 Memory y Gateway: contexto y herramientas

Escenarios oficiales:

• Context-Aware Agents with Amazon Bedrock AgentCore Memory: un minorista en línea quiere que su agente de soporte recuerde a los clientes entre conversaciones, recupere preferencias de compra y recomiende según el historial.
• Build with AgentCore Memory and Gateway: los agentes de AnyCompany pierden todo el contexto entre conversaciones y no pueden conectarse de forma segura al sistema de tickets.
• AI Travel Assistant with AgentCore Gateway: el departamento de turismo de una ciudad quiere un asistente que coordine vuelos, hoteles, clima y eventos desde una sola conversación.

Capacidad	Memory	Gateway
Qué guarda o expone	Memoria de corto plazo (turnos) y de largo plazo (hechos, preferencias, resúmenes)	Tools MCP a partir de APIs OpenAPI, funciones Lambda y servidores MCP existentes
Decisión de diseño	Estrategias de extracción, retención, compartir memoria entre agentes	Autenticación del Gateway (Cognito), alcance de cada tool, política por tool
Error típico	Memoria sin aislamiento por usuario	Tool con permisos de escritura sin control

Ejercicio: crear un Memory store con una estrategia de corto plazo y una de largo plazo; convertir una API OpenAPI y una Lambda en tools mediante Gateway autenticado con Cognito; ejecutar el mismo flujo con y sin memoria y comparar las respuestas.

Recursos: Lab - Integrate Agents with MCP Servers and Tools using AgentCore Gateway, Implementing Standardized Agent Communication Protocols with Amazon Bedrock AgentCore (120 min).

• Gateway con al menos dos tools (OpenAPI y Lambda) y memoria persistente por usuario.

7.3 Identity: identidad del agente y acceso

Prepara AWS Securing Agent Identities Demonstrated (135 minutos, 100 puntos). Descripción oficial: remediar brechas críticas de identidad en una flota de agentes de AgentCore: aprovisionar identidades de workload para agentes autoalojados, aplicar control de acceso basado en etiquetas, proteger el acceso entrante con autorización JWT con alcance, elegir SigV4 o JWT según el llamador, migrar agentes a verificación JWT de producción y establecer pistas de auditoría para operaciones con tokens. Servicios: AgentCore, Cognito, IAM, CloudTrail, CloudWatch, Systems Manager.

sequenceDiagram
    participant U as Usuario o app
    participant C as Cognito
    participant R as Runtime (inbound auth)
    participant I as AgentCore Identity
    participant X as API externa
    U->>C: Autenticación
    C-->>U: JWT con scopes
    U->>R: Invocar agente + JWT
    R->>R: Validar issuer, audience, scope
    R->>I: Pedir credencial saliente (OAuth2)
    I-->>R: Token para la API
    R->>X: Llamada con token
    Note over R,I: Eventos de token en CloudTrail

Ejercicio: user pool y resource server en Cognito con scopes; inbound auth del Runtime con JWT; credential provider OAuth2 para que el agente llame a una API externa; etiquetas en las identidades y políticas IAM con condición aws:ResourceTag; verificación de los eventos de tokens en CloudTrail.

Recursos: Secure AI agents with Amazon Bedrock AgentCore Identity on Amazon ECS (45 min), Referencing Your Own Secrets in Amazon Bedrock AgentCore Identity (30 min).

• Agente protegido con JWT con alcance y auditoría de tokens en CloudTrail.

7.4 Migración a AgentCore

Prepara AWS Agentic AI Demonstrated (130 minutos, 100 puntos). Descripción oficial: completar una migración de sistema a Amazon Bedrock AgentCore demostrando dominio de AgentCore, Bedrock Guardrails, Cognito, Lambda y OpenSearch. La versión anterior del lab consistía en reparar agentes supervisor y especialistas de Bedrock Agents, una Knowledge Base, Guardrails y un cliente web de chat; conviene dominar ambos mundos.

Ejercicio: tomar un agente de Bedrock Agents (o un prototipo Strands) y migrarlo a Runtime con Gateway; reconectar la Knowledge Base sobre OpenSearch Serverless; aplicar un Guardrail; exponerlo a un cliente web autenticado con Cognito. Cronometrar el ensayo.

Recurso: Your Guide to the AWS Microcredential Agentic AI Demonstrated (cuatro episodios, gratis).

• Migración de punta a punta ensayada bajo cronómetro.

7.5 Multiagente, A2A y recuperación

Prepara AWS SimuLearn: Multi-Agent Prior Authorization System (1 hora). Escenario oficial: AnyCompany Health, una aseguradora de salud, revisa autorizaciones previas a mano y los clínicos esperan días; quiere automatizar la revisión con una flota de agentes especialistas que coordine las solicitudes, maneje evidencia clínica incompleta sin denegar por defecto y mantenga la decisión auditable.

Problema	Patrón
Coordinar especialistas	Supervisor que delega por A2A y agrega resultados
Documentación faltante	Estado explícito “pendiente de evidencia” con solicitud al emisor, nunca denegación por defecto
Reintentos	Idempotencia por identificador de solicitud; no repetir trabajo completado
Fallos parciales	Colas (SQS) y Step Functions con compensación
Decisiones sensibles	Revisión humana obligatoria antes de denegar

Ejercicio: flujo supervisor con dos especialistas, cola de solicitudes incompletas y un paso de aprobación humana; registrar cada decisión con sus evidencias en DynamoDB.

Recursos: Multi-Agent Collaboration with Amazon Bedrock Agents (60 min, gratis), Agentic AI Solutions with AWS Messaging Services - Amazon SNS, SQS, and MQ (120 min, gratis), AWS SimuLearn: Architect Multi-Agent Collaboration Research (gratis).

• Flujo multiagente con manejo explícito de evidencia faltante y reintentos idempotentes.

7.6 Modelos propios

Prepara AWS SimuLearn: Fine-Tuning an LLM on Amazon SageMaker (1 hora) y, si figura como requerida, AWS MLOps Demonstrated (140 minutos; despliegue de un modelo de SageMaker JumpStart desde la consola y SageMaker Studio). Escenario oficial de la SimuLearn: el “AI Hub” de una ciudad quiere ajustar modelos con sus datos internos y servirlos con inferencia rápida y segura.

Ejercicio: fine-tuning con LoRA en SageMaker AI, registro en Model Registry, endpoint y consumo desde un agente como alternativa a un modelo de Bedrock.

• Modelo ajustado, registrado, desplegado y llamado desde un agente.

7.7 Assessment de Orchestrate

Repasar antes del intento: cuándo usar cada componente de AgentCore, MCP frente a A2A, autenticación entrante frente a saliente, estrategias de memoria, patrones de recuperación e idempotencia.

• Assessment aprobado.
• Pestaña Orchestrate en 5 de 5.