AWS、データを分散保持したまま横断利用できるマルチアカウントAIエージェント構築手法を公開　Bedrock AgentCore GatewayとMCPを活用

要点

• AWSが、各事業部門のアカウントにデータを保持したまま横断的に問い合わせ可能なマルチアカウントAIエージェントのアーキテクチャを公開した。
• 「Amazon Bedrock AgentCore Gateway」とオープン規格「Model Context Protocol（MCP）」を組み合わせ、中央基盤と分散アカウントを接続する。
• エージェント実行基盤には専用マイクロVMでセッションを分離する「AgentCore Runtime」を用い、推論や安全対策を一元管理する。
• 認証に「AgentCore Identity」とOkta、認可にAgentCoreのPolicy機能を導入し、本番運用に耐えうるセキュリティとガバナンスを確保する。

リード文

Amazon Web Services（AWS）は2026年9月24日、公式技術ブログ「AWS ML Blog」において、「Amazon Bedrock AgentCore Gateway」および「Model Context Protocol（MCP）」を活用したマルチアカウントAIエージェントの構築手法を公開した。各事業部門が自らのAWSアカウントにデータを保持したまま、AIエージェントが横断的に推論や問い合わせを実行できる仕組みを示している。データの集約や複雑な権限制御を伴わずに、組織全体でのセキュアなエージェント運用を実現できるという。

データの分散管理とAIエージェント運用の両立という課題

企業において、各事業部門（LOB：Line of Business、個別の業務部門）はデータの所有権の明確化やセキュリティ境界の分離、独立した開発・デプロイサイクルを維持するために、自部門専用のAWSアカウントでデータを管理することが一般的となっている。

しかし、単一のアカウント内のデータしか参照できないAIエージェントでは、組織全体での業務活用において得られる価値が限られてしまうという問題があった。一方で、分散した複数アカウントのデータをエージェントから参照可能にするためには、中央のアカウントへデータを複製して集約するか、あるいはAWS IAM（Identity and Access Management：AWSリソースへのアクセス権限を一元管理する機能）を用いた複雑なクロスアカウント設定を個別に構成する必要があった。

今回の発表でAWSは、データ自体を元の事業部門アカウント内に残したまま、問い合わせの実行時に必要なデータのみを転送・取得するアプローチを提示した。これにより、基盤となるデータセットを自アカウントの外へ移動させることなく、安全に横断利用できる環境を整備できるとしている。

3層構造による連携アーキテクチャ

今回解説されたアーキテクチャは、「中央のプラットフォームアカウント」「各事業部門（LOB）の分散アカウント」「これらを結ぶ統合層であるAgentCore Gateway」という3つの層で構成されている。エージェント基盤には、安全かつ大規模にエージェントを構築・運用するためのサービス「Amazon Bedrock AgentCore」が採用されている。

各事業部門のアカウントでは、自部門が保有するデータやツールをMCP（Model Context Protocol：AIモデルと外部のツールやデータソースを接続するためのオープンな通信規格）サーバーとして外部へ公開する。そして、中央のプラットフォームアカウントに配置された「AgentCore Gateway」が各部門のMCPサーバーをターゲットとして登録し、エージェントに対する単一のアクセス窓口として機能する仕組みとなっている。

プラットフォームアカウントによる一元的な制御

中央のプラットフォームアカウントは、エージェントの制御プレーン（統制基盤）として機能する。エージェント本体は、Amazon Bedrock AgentCoreの機能である「AgentCore Runtime」上で動作する。AgentCore Runtimeは、専用のマイクロVM（軽量な仮想マシン）によるセッション分離や従量課金、組み込みの認証機能を備えたサーバーレスかつフレームワーク非依存の実行環境である。エージェントは各事業部門のMCPサーバーへ個別に接続するのではなく、プラットフォームアカウント内のGatewayを介してツールの検出や呼び出しを行う。

また、大規模言語モデル（LLM）の推論処理は、プラットフォームアカウント内の「Amazon Bedrock」を通じて一元的に実行される。これにより、利用可能な基盤モデルの制御や「Amazon Bedrock Guardrails」（モデルの安全性やコンプライアンスを担保するガードレール機能）の適用、コスト管理を単一の課金境界で行うことができ、事業部門ごとにモデルの利用枠を管理するオーバーヘッドを削減できるという。

さらに、利用規模の拡大に応じた発展形として、推論処理を複数の専用アカウントへ分散させる構成も示されている。この場合、AgentCore Gatewayを「Inference Gateway」として前面に配置することで、リクエスト内容に応じたモデルプロバイダーへのルーティングや、チームごとのレート制限（呼び出し頻度制限）を適用することが可能になるとしている。

認証・認可と本番環境向けのガバナンス

本アーキテクチャでは、本番環境での安全な運用を担保するためのガバナンス制御も組み込まれている。

クロスアカウントでのMCP統合におけるアクセス制御として、認証にはAmazon Bedrock AgentCoreの機能である「AgentCore Identity」およびアイデンティティ管理サービス「Okta」が利用される。さらに、きめ細かな認可制御にはAgentCoreのPolicy機能が用いられており、適切な権限を持つエージェントのみが各部門のツールやデータにアクセスできるよう制御される。

これらの構成により、各事業部門がデータのガバナンスを維持したまま、組織全体で協調して動作する安全なマルチアカウントAIエージェント基盤を構築できるとしている。