<!-- AI_TASK_START: AI标题翻译 -->
[解决方案] 使用生成式 AI 构建 AWS 网络
<!-- AI_TASK_END: AI标题翻译 -->
<!-- AI_TASK_START: AI竞争分析 -->
# 解决方案分析
## 解决方案概述
本文档介绍了AWS利用生成式AI（如Amazon Bedrock和Amazon Q）构建和管理AWS网络的解决方案。该方案针对云网络架构师和工程师，旨在解决复杂AWS网络设计、部署和管理的问题，尤其适用于快速扩展的云环境。核心目标是通过AI自动化提升效率，减少手动操作时间。**关键术语**：生成式AI、Agentic AI、AWS Cloud WAN。
适用场景包括新网络构建（greenfield networks）、现有网络现代化（如从AWS Transit Gateway迁移到Amazon VPC Lattice）和网络优化。行业需求源于云环境的快速演变，需要更快地处理网络生命周期。技术原理基于AI代理（如Amazon Q CLI）自主决策和API调用，以及大型语言模型（LLM）生成代码和策略，例如使用Anthropic的Claude模型处理JSON策略。
## 实施步骤
1. **安装和准备**：安装Amazon Q CLI并设置AWS认证（如IAM权限），参考AWS文档。理由：确保安全访问和环境准备，这是AI代理操作的基础。
- 技术原理：利用AI代理进行身份验证和上下文发现，避免手动配置错误。
2. **使用Amazon Q CLI构建AWS Cloud WAN**：运行`q chat`命令，输入自然语言提示（如创建全局网络），AI代理执行API调用创建全局网络、核心网络和策略。
- 理由：简化多步骤过程，减少时间至分钟级。逻辑衔接：从全局网络创建过渡到核心网络和策略，以逐步构建拓扑。
3. **使用Amazon Bedrock更新网络**：上传现有JSON策略，输入提示生成新策略（如添加段），然后在AWS控制台应用。
- 理由：处理复杂策略，快速识别变更差异，支持回滚。逻辑衔接：结合AI分析后直接实施，优化现有网络。
4. **网络迁移和IaC生成**：使用Amazon Q进行网络发现，提供迁移计划（如从Transit Gateway到VPC Lattice），或生成CloudFormation模板。
- 理由：最小化停机，通过IaC标准化部署。逻辑衔接：从分析阶段过渡到代码生成和执行。
5. **网络分析和优化**：上传网络图到Amazon Bedrock，输入提示分析拓扑、建议优化或估算成本。
- 理由：自动化检测问题，提升安全和性能。逻辑衔接：作为最终步骤，确保网络持续优化。
## 方案客户价值
- **加速网络部署**：通过AI工具，如Amazon Q CLI，可在数分钟内构建AWS Cloud WAN全球网络，相比传统手动方法减少部署时间达数小时，实现机制在于AI的自主API调用和上下文感知。
- **简化网络现代化**：迁移如Transit Gateway到Amazon VPC Lattice时，AI提供分阶段计划，减少资源约束和风险，与传统方案相比，显著降低学习曲线和人为错误。
- **优化和成本节约**：使用Amazon Bedrock分析网络图，提供性能和安全建议，可能实现成本优化（基于假设如数据处理量），与传统方法差异在于AI的实时洞察，避免手动审计 inefficiency。
- **整体效率提升**：覆盖网络生命周期（发现、实施、测试、回滚），减少手动努力，适用于大规模环境，帮助客户更快上市。
## 涉及的相关产品
- **Amazon Q**：AI代理工具，用于CLI命令生成和网络构建，提供上下文感知和多步骤处理，在方案中负责自动化API调用和IaC代码生成。
- **Amazon Bedrock**：基础模型平台，支持各种LLM（如Anthropic Claude），用于生成JSON策略、网络分析和优化建议。
- **AWS Cloud WAN**：全球网络服务，核心组件包括全局网络和核心网络策略，在方案中作为主要构建目标。
- **AWS Transit Gateway**：传统网络连接器，用于迁移场景，提供VPC间互联，但方案中强调向更现代选项迁移。
- **Amazon VPC Lattice**：服务网格解决方案，在迁移用例中作为目标，帮助实现服务间通信。
- **其他辅助产品**：如AWS CloudFormation，用于IaC模板生成，确保基础设施代码化部署。
## 技术评估
先进性：方案利用生成式AI实现网络全生命周期自动化，领先于传统方法，如AI代理的决策能力（e.g., Amazon Q的上下文感知）显著提升效率和准确性。
可行性：高度可行，依赖标准AWS工具，但需初始环境准备（如CLI安装），适用于greenfield和现有网络。
适用范围：适合大规模云网络管理，但最佳于AWS环境；优势包括快速部署和风险最小化（如回滚功能）。
限制：可能依赖人类审核以避免AI错误，原文强调在低风险环境测试；安全风险需通过IAM和Guardrails缓解，结合Well-Architected框架可提升可靠性。
总体评价：该方案在AI集成上表现出色，但需注意提示工程和人类参与，以平衡创新与实际应用。
## 其他信息
考虑事项：建议先在开发环境测试，遵循AWS Well-Architected框架中的生成式AI指导，确保安全和可持续性；人类决策在高风险场景不可或缺。
结语：该方案通过AI增强网络管理，显著提升效率，但需结合最佳实践以最大化价值。
<!-- AI_TASK_END: AI竞争分析 -->
<!-- AI_TASK_START: AI全文翻译 -->
# 使用生成式 AI 构建 AWS 网络
**原始链接:** [https://aws.amazon.com/blogs/networking-and-content-delivery/using-generative-ai-for-building-aws-networks/](https://aws.amazon.com/blogs/networking-and-content-delivery/using-generative-ai-for-building-aws-networks/)
**发布时间:** 2025-08-01
**厂商:** AWS
**类型:** BLOG
---
在当今快速演变的云环境 中，网络架构师、工程师和云团队需要更快地设计、部署和管理大规模的复杂 Amazon Web Services [ (AWS) 网络 ](https://aws.amazon.com/products/networking/) 基础设施。生成式 AI [ (Generative AI) ] 能力的出现，特别是 [Amazon Bedrock](https://aws.amazon.com/bedrock/) 和 [Amazon Q](https://aws.amazon.com/q/)，提供了前所未有的机会，转变我们应对这些挑战的方式。这些技术还能帮助减少部署新 AWS 网络的时间，并对现有 AWS 网络进行现代化。
本文中，我们主要涵盖真实世界的示例，聚焦于新建 (greenfield) 网络。通过展示这些能力，我们可以看到生成式 AI 工具可以在整个网络生命周期中提供帮助——从发现和实施，到测试、回滚和优化。我们在本篇中关注以下用例：
- 使用 [Amazon Q Developer CLI](https://docs.aws.amazon.com/amazonq/latest/qdeveloper-ug/command-line.html) 和 [Agentic AI](https://aws.amazon.com/what-is/agentic-ai/) 构建 [AWS Cloud WAN](https://docs.aws.amazon.com/network-manager/latest/cloudwan/what-is-cloudwan.html) 全球网络
- 使用 Amazon Bedrock 构建 AWS Cloud WAN 全球网络
- 从 [AWS Transit Gateway](https://aws.amazon.com/transit-gateway/) 网络迁移到 [Amazon VPC Lattice](https://aws.amazon.com/vpc/lattice/) 使用 Agentic AI
- 使用 Amazon Q 通过基础设施即代码 (IaC) 构建 AWS 网络
- 使用 Amazon Bedrock 分析/优化 AWS 网络
我们从第一个用例开始，使用 Agentic AI 构建一个全新的 AWS Cloud WAN 网络。
## 使用 Amazon Q Developer CLI Agentic AI 构建 AWS Cloud WAN 全球网络
AI 代理工作流 [ (AI agentic workflow) ] 指的是一个过程，其中 [AI 代理](https://aws.amazon.com/what-is/ai-agents/) 自主或半自主地完成任务，通过决策、行动和与各种系统交互来实现特定目标。
在本节中，我们将看到 [Amazon Q 命令行界面 (CLI)](https://docs.aws.amazon.com/amazonq/latest/qdeveloper-ug/command-line.html) 代理在几分钟内创建 AWS Cloud WAN 全球网络的能力。我们专注于新建的 AWS Cloud WAN 设置，但您也可以用它来更新现有 AWS Cloud WAN 网络。本节假设您熟悉这些 [AWS Cloud WAN 组件](https://docs.aws.amazon.com/network-manager/latest/cloudwan/what-is-cloudwan.html#cloudwan-concepts-key)：全球网络、核心网络、核心网络策略和网络段。
意图是跨三个 [AWS 区域](https://aws.amazon.com/about-aws/global-infrastructure/regions_az/) 构建 AWS Cloud WAN 全球网络，如 图 1: AWS Cloud WAN 预期的架构 所示：
图 1: AWS Cloud WAN 预期的架构
请参考 [AWS 文档](https://docs.aws.amazon.com/amazonq/latest/qdeveloper-ug/command-line-installing.html) 以安装 Amazon Q for CLI 并设置必要的身份验证。
这里我们已安装 CLI，因此在 CLI 终端中运行 `q chat` 来开始与代理的新对话。然后，我们要求 Q Developer 创建 AWS Cloud WAN 全球网络作为第一步，如 图 2: 创建 AWS Cloud WAN 全球网络 所示。
图 2: 创建 AWS Cloud WAN 全球网络
在短短几秒钟内，代理通过在后台运行必要的 API 调用创建了全球网络。而且，不仅创建了全球网络，它还列出了完成设置所需的后续步骤。
作为下一步，如 图 3: 创建 AWS Cloud WAN 核心网络 所示，我们要求代理在新创建的全球网络中创建一个核心网络。它能够进行发现，并识别此账户中配置了两个全球网络。根据提示，它在新创建的全球网络中创建了核心网络。
图 3: 创建 AWS Cloud WAN 核心网络
我们可以在 AWS 控制台上验证。到目前为止，我们成功创建了全球网络和核心网络。在 AWS 控制台中创建新核心网络时，它会自动创建基准策略。在这种情况下，Amazon Q CLI 仅使用特定 API 调用创建了核心网络，而未创建基准策略。 图 4: 在 AWS 控制台中验证新创建的核心网络 所示。
图 4: 在 AWS 控制台中验证新创建的核心网络
作为下一步，我们要求 CLI 代理创建一个新的 AWS Cloud WAN 策略。
使用的提示是：
`Create a new Core Network Policy, use BGP ASN range 64512-64612, Deploy Cloud WAN in 3 Edge locations: us-east-1, ap-northeast-1, eu-central-1. Create default segment with segment name as Production.`
图 5 显示了截断输出。Amazon Q CLI 代理在后台运行多个 API 调用来进行发现和执行更改：
list-core-networks
put-core-network-policy
get-core-network-change-set
execute-core-network-change-set
get-core-network-policy
请参考 [Network Manager API 参考指南](https://awscli.amazonaws.com/v2/documentation/api/latest/reference/networkmanager/index.html) 以了解这些 API 调用的解释。
图 5: 创建 AWS Cloud WAN 核心网络策略
在控制台上验证策略已成功创建，并与原始意图一致，如 图 6: 在 AWS 控制台中验证策略创建 所示。
图 6: 在 AWS 控制台中验证策略创建
我们可以看到，通过仅三个自然语言提示，Amazon Q CLI 代理能够在几分钟内跨三个 AWS 区域部署 AWS Cloud WAN 全球网络。它可以进行多步处理，具有发现能力，而且更重要的是，具有上下文感知能力。 图 7: 在 AWS 控制台中验证 AWS Cloud WAN 全球拓扑 所示。
图 7: 在 AWS 控制台中验证 AWS Cloud WAN 全球拓扑
随着 AWS Cloud WAN 网络的增长，JSON 策略可能会变得冗长且复杂管理。Amazon Q CLI 代理可以加速并简化部署过程，还可以用于回滚更改。
## 使用 Amazon Bedrock 更新 AWS Cloud WAN 全球网络
在本节中，我们展示如何使用 Amazon Bedrock 对现有 AWS Cloud WAN 网络进行更改。在这个示例中，我们将现有的 AWS [Cloud WAN JSON 策略](https://docs.aws.amazon.com/network-manager/latest/cloudwan/cloudwan-create-policy-version.html) 导入作为 Amazon Bedrock LLM 聊天/游乐场部分的附件。
在撰写本文时，您可以在 Amazon Q CLI 中选择 [Anthropic 的 Claude Sonnet 模型](https://docs.aws.amazon.com/amazonq/latest/qdeveloper-ug/command-line-chat-models.html)。在 Amazon Bedrock 中，您可以从各种行业领先的 [基础模型 (FMs)](https://aws.amazon.com/what-is/foundation-models/) 中选择。您可以使用 Amazon Bedrock 在希望使用特定专业大语言模型 (LLM) 的情况下。在这个示例中，我们使用了 Anthropic 的 Claude 3.7 Sonnet 模型。
图 8 显示了预期的网络状态。
图 8: 带有其他段的预期网络
用于生成新 AWS Cloud WAN JSON 策略的提示是：
`Attached is an AWS Cloud WAN JSON policy, create a new policy which should add a new segment, name it SDWAN and implement it in all 3 edge locations us-east-1, eu-central-1 and ap-northeast-1`
图 9 显示了如何在 AWS 控制台中使用 Amazon Bedrock 聊天/文本游乐场生成策略。
图 9: 使用 Amazon Bedrock 生成新的 AWS Cloud WAN 策略
Amazon Bedrock 能够快速生成新的 AWS Cloud WAN JSON 策略。现在，我们可以轻松地在 AWS Cloud WAN 中实施新创建的 JSON 策略。在 AWS Cloud WAN 中，您可以观察旧策略和新策略之间的配置差异。如果需要，您也可以回滚到之前的策略。
图 10 显示了 Amazon Bedrock 根据意图生成了正确的策略。
图 10: 在 AWS 控制台中旧策略和新策略的差异
这个示例展示了如何使用 Amazon Bedrock 在几秒钟内快速生成新的 AWS Cloud WAN JSON 策略。这尤其适用于处理数百行 JSON 代码的冗长 AWS Cloud WAN JSON 策略。您可以使用生成式 AI 工具如 Amazon Bedrock，不仅创建，还验证 JSON 策略。此外，Amazon Bedrock 还可以建议构建过程中的下一个逻辑步骤，如附件策略。
## 使用 Amazon VPC Lattice 和 Agentic AI 实现 AWS 网络现代化
在本节中，我们讨论如何使用 Amazon Q Developer CLI 代理加速网络现代化。
我们经常听到用户表示，他们希望现代化网络，但由于资源限制、学习曲线和其他优先事项而受阻。评估当前网络、理解迁移步骤以及识别和缓解风险所需的时间过多，导致讨论就此结束。Amazon Q Developer CLI 代理为您提供对专家的按需访问，并结合您的 AWS 账户上下文。您可以要求 Amazon Q Developer CLI 代理提供迁移计划、识别风险，甚至推荐您尚未考虑的其他因素。在本节的剩余部分，我们将逐步演示一个示例。
假设我们有一个通过 Transit Gateway 互连的 VPC 网络。网络架构师计划通过迁移到 Amazon VPC Lattice 来现代化网络，如下图所示。
图 11: Transit Gateway 到 Amazon VPC Lattice 迁移拓扑图
我们可以使用 Amazon Q Developer CLI 代理发现现有网络，并提供概述，如下图所示。
图 12: 在 AWS 账户中跨 AWS 区域的网络发现
如前一节所示，Amazon Q 可以执行网络发现以理解现有配置。由于 Amazon Q Developer CLI 代理维护上下文，因此我们可以根据现有网络要求 Amazon Q 提供最小化停机的分阶段迁移，如下图所示。
图 13: 迁移阶段
当迁移计划由变更控制委员会审查和验证后，我们可以在批准的维护窗口期间在生产网络中执行这些步骤。Amazon Q Developer CLI 代理能够在几分钟内提供详细的迁移计划，从而显著减少规划现代化网络所需的时间。这意味着我们有更多时间进行测试、执行迁移阶段，并验证我们已实现预期的结果。
## 使用 Amazon Q 通过 IaC 构建 AWS 网络
如果您已经建立了 IaC 或 DevOps 实践，那么您可以快速开始在 IDE 如 [Visual Studio Code](https://docs.aws.amazon.com/amazonq/latest/qdeveloper-ug/q-in-IDE-setup.html) 中使用 Amazon Q 生成部署 AWS 网络的代码。 图 14: 向 Amazon Q Developer 提示生成一个架构良好的 [Amazon Virtual Private Cloud (Amazon VPC)](https://aws.amazon.com/vpc/) 的 [AWS CloudFormation](https://aws.amazon.com/cloudformation/) 模板 所示。 图 15 显示了相应的输出。Amazon Q 会自动确定所有相关资源，如互联网网关 (IGW)、NAT 网关等，这些是创建架构良好的 VPC 所必需的。
图 14: 向 Amazon Q Developer 提示生成一个架构良好的 Amazon VPC 的 CloudFormation 模板
图 15: Amazon Q Developer 生成一个架构良好的 Amazon VPC 的 CloudFormation 模板
Amazon Q Developer 在您的本地机器上创建 IaC 模板。这让您能够使用自然语言以交互方式修改或逐步添加更多 AWS 资源到模板中。它还提供所创建资源的摘要，如 图 15 所示，以及部署模板的步骤。此外，这种能力让您在构建模板时学习并询问 AWS 网络服务的问题。您还可以采用现有模板，要求 Amazon Q 解释、修改或添加/删除资源。这减少了创建和部署 IaC 的时间。Amazon Q Developer 支持 CloudFormation 和 Terraform 模板。您可以在博文 [使用 Amazon Q Developer 加速 Terraform 开发](https://aws.amazon.com/blogs/devops/accelerate-your-terraform-development-with-amazon-q-developer/) 中阅读更多关于 Terraform 支持的信息。
## 使用 Amazon Bedrock 分析 AWS 网络
Amazon Bedrock 可以显著提升 AWS 基础设施的网络图分析。Amazon Bedrock 通过单个 API 提供来自领先 AI 公司的模型和 [Amazon Nova](https://aws.amazon.com/ai/generative-ai/nova/) 模型。这让您能够选择最佳模型来自动化复杂网络图的解释、识别潜在安全漏洞，并为网络架构提出优化建议。工程师可以将 AWS 网络图输入到 Amazon Bedrock 驱动的工具中，这些工具可以分析拓扑、检测错误配置，并提供改进性能和安全的推荐。这种 AI 驱动的方法可以节省大量时间，并减少分析大规模网络基础设施时的人为错误。
图 16 显示了来自这个 [AWS 白皮书](https://docs.aws.amazon.com/whitepapers/latest/building-scalable-secure-multi-vpc-network-infrastructure/centralized-network-security-for-vpc-to-vpc-and-on-premises-to-vpc-traffic.html) 的多 VPC 架构，其中包含集中检查和混合连接。我们使用 Amazon Bedrock 中的 Claude 3.5 Sonnet 模型分析这个架构图。
图 16: 用于 Amazon Bedrock 网络分析的多 VPC 集中检查架构
我们将上述图上传到 Amazon Bedrock，并使用直接提示如 图 17: Amazon Bedrock 分析 AWS 网络架构图 所示来解释它。
图 17: Amazon Bedrock 分析 AWS 网络架构图
您还可以要求 Amazon Bedrock 提供改进此架构的推荐，如下图所示，并就 AWS 服务提出后续问题。
图 18: Amazon Bedrock 提供改进 AWS 网络架构的推荐
您可以使用 Amazon Bedrock 估算此架构的成本，如 图 19: Amazon Bedrock 提供 AWS 网络架构的成本估算 所示，通过在“基本假设”下进行某些假设。在这个实例中，Amazon Bedrock 假设每月 100 TB 数据处理和 50 TB 数据传输。您可以向模型提供自己的假设，使输出更相关于您的用例。为了获得更准确的结果，考虑向模型提供更多示例，并使用聊天功能调整假设。最佳实践是验证估算和推荐。
图 19: Amazon Bedrock 提供 AWS 网络架构的成本估算
在本节中，我们探讨了如何使用 Amazon Bedrock 改进网络——从图分析、回答问题，到成本优化建议，再到实施最佳实践，Amazon Bedrock 覆盖了广泛的用例。
## 注意事项
- 先在开发/测试/低风险环境 中测试生成式 AI 能力，然后再应用于生产网络。
- 遵循 [生成式 AI 透镜 – AWS 架构良好框架](https://docs.aws.amazon.com/wellarchitected/latest/generative-ai-lens/generative-ai-lens.html) 指南，该指南涵盖了与六大架构良好支柱一致的关键领域：运维卓越性、安全性、可靠性、性能效率、成本优化和可持续性。
- 安全性是首要考虑，使用 [Amazon Bedrock](https://docs.aws.amazon.com/bedrock/latest/userguide/security.html) 和 [Amazon Q](https://docs.aws.amazon.com/amazonq/latest/qdeveloper-ug/security.html) 的安全功能，如 [AWS Identity and Access Management (IAM)](https://aws.amazon.com/iam/) 最佳实践。
- 适用的地方实施 [Amazon Bedrock Guardrails](https://aws.amazon.com/bedrock/guardrails/)。
- 融入人类判断至关重要，尤其是在复杂和高风险决策场景中。这涉及到构建一个 [人类在环过程](https://aws.amazon.com/blogs/machine-learning/building-generative-ai-prompt-chaining-workflows-with-human-in-the-loop/)，其中人类在决策中与 AI 系统一起发挥积极作用。
- 本文中使用的提示仅为示例。在您的环境中使用时，应根据需要调整或创建提示。参考文档以获取更多关于 [提示工程](https://aws.amazon.com/what-is/prompt-engineering/) 的信息和最佳实践。
## 结论
本文中，我们展示了如何使用生成式 AI 工具如 Amazon Bedrock 和 Amazon Q 在整个网络生命周期中显著增强我们的能力——从发现和实施，到测试、回滚和优化。自动化网络发现让生成式 AI 提供实时可见性到所有配置，从而实现更快、更准确的映射。在实施新网络或修复次优网络时，生成式 AI 可以推荐最佳配置并提出针对性改进，从而简化网络管理。对于测试和回滚，AI 驱动的自动化启用快速验证更改并支持即时回滚策略，减少部署中的停机和风险。这些效率不仅减少了手动工作，还加速了上市时间。
立即开始使用 Amazon Bedrock 并安装 Amazon Q CLI 来构建 AWS 网络！
## 关于作者
### Tushar Jagdale
Tushar 是 AWS 的专注于网络的专业解决方案架构师，他帮助客户构建和设计可扩展、高可用、安全、弹性和成本有效的网络。他拥有超过 15 年的构建和保护数据中心和云网络的经验。
### Sohaib Tahir
Sohaib 是 AWS 的首席解决方案架构师，他与美国州和地方政府机构合作，现代化他们的关键财务和行政系统。凭借超过 15 年的技术和工程专业知识，他帮助税务机构、劳动部门、退休系统和其他政府机构通过云采用转变运营。Sohaib 还拥有网络专业知识，帮助客户架构云网络，以安全、可靠和高效的方式迁移和现代化他们的 IT 基础设施。
### Brian Lauer
Brian 是 AWS 的企业账户工程师，他与客户合作加速他们的云之旅并构建安全、弹性的系统。在 AWS 的近三年时间以及广泛的行业经验中，他帮助各行业的组织通过有效的云采用和优化转变运营，并带来了宝贵的网络专业知识，用于设计稳健的架构，作为可扩展环境的基础。他的对技术的热情和对持续学习的承诺让他始终处于云创新的前沿。
<!-- AI_TASK_END: AI全文翻译 -->