本文属于机器翻译版本。若本译文内容与英语原文存在差异，则一律以英文原文为准。

# 工作原理
<a name="agent-access-concepts"></a>

亚马逊 WorkSpaces 应用程序将 AI 代理连接到桌面，并为其提供工具，使其能够像个人一样操作该桌面。AI 代理是您自带的代理，可在您选择的框架或托管运行时中运行。它连接到 WorkSpaces 对于 AI 代理，托管 MCP 服务器，使用 OAuth 或 AWS IAM (SigV4) 证书。然后，代理通过 MCP 服务器运行 WorkSpaces 您可以通过安全渠道提前准备应用程序桌面。

代理运行时，MCP 服务器将其活动记录到三个监控服务中，以便您可以查看每项操作：它记录对的每个工具调用 AWS CloudTrail，将其捕获的屏幕截图存储在 Amazon S3 中，并报告每次工具调用所花费的时间 CloudWatch。下图显示了此流程。

![AI 代理连接到 WorkSpaces 对于 AI 代理，托管 MCP 服务器，配备 OAuth 或 SigV4，并调用鼠标、键盘、屏幕和转发工具等工具。 WorkSpaces 对于 AI 代理来说 WorkSpaces 应用程序通过安全、受监控的渠道进行桌面。代理活动记录在 AWS 中 CloudTrail、亚马逊 S3 和亚马逊 CloudWatch。](https://docs.aws.amazon.com/zh_cn/appstream2/latest/developerguide/images/agent-access-how-it-works.png)


**代理人**: 你自带经纪人。它可以是诸如 Claude Code、Kiro 或 Codex 之类的编码代理，也可以是您使用所选框架或托管运行时开发的自定义代理。代理使用 OAuth 或 OAuth 连接到托管 MCP 服务器 AWS IAM (SigV4) 凭证并推动整个会话中的工作。

**MCP 接口**：代理通过托管的 MCP 服务器访问桌面。 WorkSpaces 应用程序为代理提供了一组工具，允许其移动和单击鼠标，使用键盘键入内容，并通过屏幕截图查看屏幕。您可以通过同一 MCP 服务器转发其他工具，因此代理还可以读取 PDF、访问桌面上的文件或与内置工具一起运行 shell 命令。

**桌面**: 代理在 a 上工作 WorkSpaces 应用程序桌面，为任务创建的安全且短暂的环境。桌面基于包含代理需要使用的应用程序的映像运行。在任何代理连接到桌面之前，您可以设置桌面：选择所需的计算环境类型，然后配置联网、IAM 权限和其他控制访问的设置。

**监控**: 你可以看到代理所做的一切。每个工具调用都已登录 AWS CloudTrail，每个屏幕截图都可以存储在 Amazon S3 中，并且每次工具调用所花费的时间可在 CloudWatch。