Dùng trang này cùng CloudThinker. Dán URL của trang này vào một cuộc chat và thử:
- “Giải thích phần Học của trang này như thể tôi mới làm quen với cloud.”
- “Đố tôi về các nhãn verified, inferred, assumed và blocked.”
- “Giúp tôi lập dàn ý báo cáo Ngày 01 theo ba khối trên trang này.”
Quy tắc của buổi học
- 150 phút. Học 35 phút, Thực hành 95 phút kèm 10 phút nghỉ, Chia sẻ 20 phút.
- Tài khoản AWS của bạn được kết nối ở chế độ chỉ đọc. Hãy dùng tài khoản staging hoặc sandbox nếu có thể. Agent có thể kiểm tra. Agent không thể thay đổi bất cứ thứ gì.
- Thông tin xác thực ở lại với chủ sở hữu. Chủ tài khoản tự kết nối trên màn hình của mình bằng một IAM role chỉ đọc, và tắt Allow writes.
- Agent đề xuất. Con người quyết định. Hôm nay không áp dụng bản sửa nào, trong tài khoản của bạn hay bất kỳ đâu.
- Che thông tin. Account ID, ARN, endpoint, hostname và dữ liệu khách hàng phải được loại khỏi báo cáo trước khi chia sẻ hoặc chiếu lên màn hình.
- Một tệp báo cáo cho mỗi nhóm, nộp trước khi phần Chia sẻ bắt đầu.
Học: 35 phút
Năm ý tưởng. Mỗi ý tưởng trở thành một quy tắc bạn dùng trong bài lab.1. Agent là một model cộng với một môi trường
Agent có mục tiêu, ngữ cảnh, model, công cụ và môi trường. Model chọn hành động tiếp theo. Môi trường là nơi hành động đó tác động. Vòng lặp: hành động, quan sát kết quả, hành động lại, kiểm tra, dừng.
Model tốt hơn đưa ra lựa chọn tốt hơn, nhưng không thể làm điều gì bạn không trao cho nó.
2. Cloud không có một ranh giới workspace duy nhất
Cùng một agent với cùng một skill, nhưng cái giá khi sai ở mỗi nơi một khác.
Hàng về khả năng nhìn thấy là hàng mọi người hay bỏ sót. Khi agent không nói gì về một tài nguyên, điều đó không có nghĩa tài nguyên không tồn tại. Có thể role của agent không được phép xem.
Trong CloudThinker, ranh giới nằm bên ngoài agent ở hai nơi: IAM role mà kết nối AWS của bạn dùng quyết định lệnh gọi nào có thể thành công, và cài đặt Approvals quyết định hành động nào phải chờ một người. Bạn đặt cả hai. Kết nối hôm nay dùng một role chỉ đọc với Allow writes tắt, nên không gì có thể thay đổi.
3. Tự động phê duyệt cần một ý định được nêu rõ
Một số coding agent có chế độ tự động: thay vì hỏi bạn trước mỗi hành động, một model khác review hành động và chặn những hành động nguy hiểm. Cách này hiệu quả khi bạn có mặt.- Khi bạn đang prompt, model review có thứ để đối chiếu. Bạn đã nói “đừng động vào production”, nên các hành động khớp sẽ bị chặn.
- Khi không ai prompt, ví dụ một cảnh báo khởi động lượt chạy lúc 3 giờ sáng, không có mục tiêu hay ranh giới nào được nêu. Model review chỉ có các giá trị mặc định, và khi model review dừng lại để hỏi một người, không ai trả lời.
Trong CloudThinker, đây là nhiệm vụ của Approvals: các Rule bạn viết quyết định trước, sau đó chế độ Manual hoặc Auto của workspace quyết định điều gì vẫn cần một người. Manual là ngoại lệ: chế độ này hỏi một người ngay cả với thao tác ghi mà một Allow Rule bao phủ. Rule chỉ quyết định khi CloudThinker bật Rule enforcement cho workspace của bạn; trước đó, Rule chỉ ghi lại phán quyết lẽ ra sẽ đưa ra và chỉ chế độ quyết định, nên Manual là cơ chế kiểm soát bạn có thể chứng minh ngay hôm nay.
4. Một lệnh gọi công cụ đi qua nhiều lớp
Giữa lúc agent quyết định hành động và lúc một tài nguyên cloud thay đổi, lệnh gọi đi qua nhiều lớp. Mỗi lớp có thể từ chối, và mỗi lớp đều có điểm mù.
Sandbox bảo vệ laptop. Chỉ IAM bảo vệ tài khoản của bạn. Đó là lý do role hôm nay chỉ đọc ở lớp IAM, chứ không chỉ bằng chỉ thị.
5. Mọi khẳng định về cloud cần nguồn, phạm vi và thời điểm
Đặt ba câu hỏi cho mỗi dòng agent đưa ra:
Sau đó gắn cho mỗi khẳng định một nhãn:
Các kết luận sự cố của CloudThinker dùng ba nhãn: Verified và Inferred có nghĩa giống như ở đây, còn Cause unproven tương ứng với Assumed. Blocked không có nhãn trong sản phẩm, nên bạn tự thêm vào.
Phát hiện chỉ mạnh bằng bước yếu nhất của nó. Chỉ một bước chưa kiểm tra ở giữa cũng khiến cả phát hiện thành inferred. Nếu bạn không chỉ ra được nguồn, “chưa đủ bằng chứng” là câu trả lời trung thực, và là một câu trả lời hợp lệ.
Thực hành: 95 phút
Nhiệm vụ: bạn sẽ tối ưu hóa gì trong tài khoản AWS này? Một nhóm, một agent chỉ đọc, một báo cáo.
Viết phạm vi ở đầu bản nháp báo cáo. Hai dòng là đủ:
Mời nhóm của bạn
Một nhóm, một workspace, để mọi người thấy cùng một kết nối và cùng làm một báo cáo.1
Mở Members
Trên thanh bên, nhấn More → Workspace settings và chọn Members. Biểu tượng bánh răng trong ô nhập chat (tooltip Chat Settings) mở cùng hộp thoại đó.Trạng thái thành công: tab Members mở ra với bảng thành viên.
2
Thêm từng thành viên
Nhấn Add Member và chọn đồng đội. Mỗi hàng hiển thị Organization Role và Workspace Role của họ, hai vai trò này có thể khác nhau.
Đồng đội phải thuộc tổ chức của bạn trước khi bạn có thể thêm họ vào workspace. Nếu ai đó không có trong danh sách, Owner hoặc Admin của tổ chức cần mời họ trước: nhấn Invite members trong menu tài khoản, hoặc vào Admin Settings → Organization và nhấn Invite Members. Xem Mời thành viên. Thông tin đầy đủ về vai trò: Thành viên workspace.
Kết nối tài khoản AWS
Dùng tài khoản AWS của chính bạn, lý tưởng là tài khoản staging hoặc sandbox, thông qua một IAM role chỉ đọc. Chủ tài khoản tự kết nối trên màn hình của mình, và việc thêm kết nối cần vai trò Admin của workspace. Tài liệu tham khảo đầy đủ là Kết nối AWS.1
Mở Connections
Đăng nhập tại app.cloudthinker.io. Trên thanh bên, nhấn More → Workspace settings và chọn Connections.Trạng thái thành công: danh sách Connections mở ra.
2
Tạo role chỉ đọc và kết nối
Chọn Amazon Web Services và làm theo các bước Role-Based (recommended) trong Kết nối AWS: đặt tên tài khoản, chạy script thiết lập trong CloudShell, dán Role ARN và nhấn Connect. Script chỉ gắn policy
ReadOnlyAccess do AWS quản lý.Trạng thái thành công: tài khoản hiển thị trạng thái Connected.3
Tắt Allow writes
Mở Amazon Web Services trong Connections và tắt công tắc Allow writes trên bảng chi tiết. Role đã khiến AWS từ chối mọi thay đổi. Khi tắt công tắc, CloudThinker cũng từ chối chúng, trước khi chúng đến AWS.Trạng thái thành công: Allow writes hiển thị là tắt.
4
Mở một cuộc chat
Bắt đầu cuộc chat mới và gửi “Give me an overview of this AWS account.”Trạng thái thành công: agent trả lời với các region và dịch vụ mà nó thấy được.
Hỏi agent những gì
Hầu hết các nhóm đều yêu cầu một danh sách. Thay vào đó, hãy đòi bằng chứng: tài nguyên nào, region nào, khi nào. Ngôn ngữ tự nhiên là đủ; bạn không cần cú pháp đặc biệt nào. Bắt đầu với những câu sau:Tìm output thô
Mỗi lệnh gọi agent thực hiện hiển thị thành một hàng trong cuộc chat. Nhấn vào hàng để mở rộng: Input cho thấy agent đã yêu cầu gì và Output cho thấy kết quả trả về. Nhấn Copy trong phần Output và dán vào phụ lục của báo cáo, kèm thời điểm bạn sao chép.Bị kẹt?
Kết quả của bạn: một báo cáo
PDF, doc hoặc markdown. Không có template; tự tìm ra một báo cáo tối ưu hóa tốt trông như thế nào là một phần của nhiệm vụ. Ba khối sau là mức tối thiểu.
Một phát hiện được viết tốt (minh họa cho định dạng, không phải kết quả thật):
Khi bạn đã xong
Kết nối vẫn ở trong workspace cho đến khi bạn gỡ bỏ, và các cuộc chat trong bài lab tiêu tốn credit như mọi cuộc chat khác. Để gỡ bỏ, mở More → Workspace settings → Connections, chọn Amazon Web Services và nhấn Disconnect. Thao tác này cần vai trò Admin của workspace.Chia sẻ: 20 phút
Ban tổ chức đọc các báo cáo trong phần cuối của bài lab và chọn ra những báo cáo tốt nhất, thường là ba. Tại sự kiện, nhóm chạy nhiệm vụ trên tài khoản AWS của chính mình được cộng điểm. Mỗi nhóm được chọn trình bày năm phút từ tệp báo cáo và output thô của agent. Không dùng slide.
Sau đó cả phòng so sánh: cùng tài khoản, phạm vi khác nhau, phát hiện khác nhau. Với mỗi phát hiện, cả phòng bình chọn điều mà bằng chứng ủng hộ:
- Observe: tiếp tục theo dõi. Bằng chứng chưa đủ mạnh để hành động.
- Recommend: đề xuất thay đổi cho người sở hữu.
- Request approval: thay đổi đã sẵn sàng, và một người ký duyệt trước khi thay đổi xảy ra.
- Stop: loại bỏ. Bằng chứng không đứng vững.
Thuật ngữ
Đọc thêm
- Anthropic: Building effective agents
- Kết nối AWS
- Approvals
- Thành viên workspace
- AWS: IAM security best practices
Bước tiếp theo
Ngày 02: Investigate. Một ứng dụng Kubernetes, người dùng không hài lòng, và các dashboard nói rằng mọi thứ đều khỏe mạnh. Cùng quy tắc chỉ đọc, câu hỏi khó hơn: tại sao?Ngày 02: Investigate
Vấn đề nhiễu, các giả thuyết cạnh tranh và bài lab Kubernetes.
Cách Approvals hoạt động
Xem cách CloudThinker quyết định hành động nào cần một người.