尧图网页设计 
AWS Context Discovery 技能详解让 Agent 在 Hugging Face SageMaker 部署前自动读取本地 AWS 配置【免费下载链接】skillsGive your agents the power of the Hugging Face ecosystem项目地址: https://gitcode.com/GitHub_Trending/skills7/skills本文围绕本项目 skills7/skills 仓库中的hf-cloud-aws-context-discovery技能SKILL.md展开讲解它如何作为整套 Hugging Face 云部署技能链的第一环帮助 AI Agent 在接触任何 AWS 资源之前从本地配置中解析出有效的 profile、region、账号 ID 与调用者身份caller identity从而避免猜错 region、误用凭据以及在 SageMaker 部署中因 SSO 权限不足而踩坑。读完本文你将理解该技能的四项发现清单、region 解析顺序、SSO 身份识别策略以及它如何与仓库中 IAM preflight、镜像选择、生产级部署等下游技能衔接并能直接把它应用到自己的 Agent 工作流中。技能定位AWS 任务的第一道关卡hf-cloud-aws-context-discovery是整个仓库 AWS 部署工作流hf-cloud-*系列技能的入口前置技能。从它在仓库 README.md 的技能表中的定位可以看到它负责“Discover the users local AWS context (active profile, region, account ID, caller identity) at the start of any AWS task”——即在任何 AWS 任务开始时先读取用户本地的 AWS 配置。它的使用时机非常明确无论接下来要做的是 SageMaker 部署、IAM 资源创建、AWS API 调用还是任何涉及 AWS 账号的操作都应当先运行本技能。特别是当用户没有显式指定 region 或 profile或者说出“用我的 AWS 账号”“部署到 AWS”“用我的 profile”这类模糊指令时Agent 绝不应该去猜 region 或账号 ID而应通过本技能从本地配置中读取。这套设计理念也体现在下游技能中hf-cloud-sagemaker-deployment-planner在“Workflow phases”阶段明确列出第 3 步为“Context preflight —hf-cloud-aws-context-discovery, thenhf-cloud-python-env-setup”并注明“Region comes fromhf-cloud-aws-context-discovery— dont ask unless the user volunteers it”即 region 一律来自该技能Agent 无需再向用户询问。要发现什么四项核心上下文技能的核心是四组需要在 AWS 工作开始时执行并全程记住的结果。1. 活动 ProfileActive Profileprofile 的解析优先级为AWS_PROFILE环境变量否则回退到default如果用户在提示词中提到了某个 profile则以其覆盖上述结果如果用户提到的 profile 在~/.aws/config中不存在需要明确向用户指出。这里的关键原则是用户的配置已经回答了的问题就不要再去问用户。2. Region解析顺序Region 的解析严格按照以下顺序取第一个能产生值的项即停用户在当前对话中显式命名的 regionAWS_REGION环境变量AWS_DEFAULT_REGION环境变量活动 profile 在~/.aws/config中的region字段前四项全部失败后才允许询问用户。一个重要的硬性约束是绝不回退到us-east-1或其他任何硬编码的默认 region。猜错的 region 会导致镜像 URI、资源配额、成本全部落在错误区域这是部署事故的常见根源。3. 凭据、账号 ID 与调用者 ARNaws sts get-caller-identity --profile profile --region region这一条命令承担三个目的确认凭据有效无效则停止返回AccountID构造 ARN 时必需返回调用者的Arn。这是后续所有 ARN 构造与权限判断的基础数据。4. 识别 SSO / 承担角色主体最高杠杆的一步Arn字段的格式决定了调用者是什么类型的 principal进而决定了它能执行哪些 IAM 操作。技能给出的对应关系如下ARN 模式类型IAM 写入能力arn:aws:iam::acct:user/nameIAM 用户取决于附加的策略arn:aws:sts::acct:assumed-role/AWSReservedSSO_.../emailSSO 承担角色通常没有——无法创建/修改 IAM 角色arn:aws:sts::acct:assumed-role/role/session常规承担角色取决于该角色如果调用者是 SSO 身份必须立即向用户说明以免后续技能在调用iam:CreateRole时失败。技能提供了现成的提示文案Heads up: youre authenticated via SSO (AWSReservedSSO_PermissionSet_...). SSO principals usually cant create IAM roles directly. If we need a SageMaker execution role, Ill look for an existing one first — if none exists, youll need to ask whoever manages your AWS access to create one.技能原文档明确评价这是本技能最有价值的一步。提前点破 SSO 限制可以把一次“部署到一半才报 IAM 权限错误”的漫长排障压缩成一段五秒钟的对话。这一判断在仓库源码中得到印证hf-cloud-sagemaker-iam-preflight的 create_role.py 中创建角色前会先检查调用者 ARN 是否包含:assumed-role/AWSReservedSSO_命中则输出警告“SSO caller — IAM creation likely to fail with AccessDenied”而check_role.py在发现无可用角色时会给出“ask the user for an existing role ARN, or have someone with IAM access run this”的引导与上游技能的提示一脉相承。要运行的命令技能推荐了两组命令来高效获取上下文# 有效 profile 和 region比解析配置文件更快 aws configure list # 校验凭据并获取身份 aws sts get-caller-identity aws sts get-caller-identity --profile profile-name # 如果指定了 profile技能特别强调aws configure list会自动处理环境变量覆盖并展示解析后的有效值因此优先于自己手工解析~/.aws/config。只有在需要读取原始配置例如列出全部 profile时才去读取~/.aws/config与~/.aws/credentials——这两个是纯 INI 格式的文本文件只读即可。值得一提的是这种“在同一个 shell 中运行 AWS CLI、继承其凭据链”的思路也被下游 Python 辅助脚本继承check_role.py与create_role.py都通过shutil.which(aws)找到aws可执行文件并直接 subprocess 调用从而完整继承调用者 shell 的 profile、region、SSO 会话、代理与凭据链见 check_role.py 的模块文档注释。如何向用户汇报技能要求最终汇报一行或两行而不是一大段文字示例为Working with profilemy-profileineu-west-1, account123456789012. Youre authenticated via SSO, so well need to use an existing IAM role rather than create one.两条汇报纪律不要请求用户确认你刚从他们配置里读到的 region——用户配置好了那就是确认如果发现问题凭据过期、profile 不存在、任何地方都没有 region先停下来把具体错误抛给用户再继续后续工作。在下游技能链中的衔接hf-cloud-aws-context-discovery产出的四项值profile、region、account ID、principal 类型会依次被下游技能消费形成一条完整流水线产出值被谁消费消费方式regionhf-cloud-serving-image-selection替换镜像 URI 中的region占位符镜像来自 AWS 官方 DLC catalogregionhf-cloud-sagemaker-deployment-planner查询service-quotas检查实例配额regionhf-cloud-sagemaker-production-defaultsdeploy.py/deploy_async.py/invoke_endpoint.py的--region参数principal 类型SSO 与否hf-cloud-sagemaker-iam-preflight决定“寻找现有角色”还是“创建角色”的策略分支account ID下游所有 ARN 构造例如sagemaker-region-account形式的数据采集桶默认 URI例如在hf-cloud-sagemaker-production-defaults的 SKILL.md 参数来源表中--region的来源明确标注为hf-cloud-aws-context-discovery。这也解释了为什么本技能被定位为“Use this skill before any other AWS work”——一旦开始部署region、role ARN、image URI 必须全部是确定值而它们共同的源头正是本技能发现的本地上下文。实践要点总结在任何 AWS 操作之前先运行aws configure list与aws sts get-caller-identity记住 profile、region、account ID、ARN 四项结果供整个会话复用Region 按“对话显式指定 →AWS_REGION→AWS_DEFAULT_REGION→ profile 的 region 字段 → 询问用户”的顺序解析绝不硬编码回退从 ARN 模式识别 SSO 承担角色一旦命中AWSReservedSSO_立即提示用户 IAM 写入受限为下游iam:CreateRole的潜在失败提前铺路汇报保持一两行配置里已有答案的问题不再追问遇到错误先停止并暴露具体原因。这套“先发现、后操作、少打扰、早预警”的上下文发现模式让 Agent 的 AWS 工作从第一步就建立在真实配置之上也为整个仓库的 SageMaker 部署工作流提供了可靠的地基。【免费下载链接】skillsGive your agents the power of the Hugging Face ecosystem项目地址: https://gitcode.com/GitHub_Trending/skills7/skills创作声明：本文部分内容由AI辅助生成（AIGC），仅供参考 AWS Context Discovery 技能详解：让 Agent 在 Hugging Face SageMaker 部署前自动读取本地 AWS 配置
AWS Context Discovery 技能详解让 Agent 在 Hugging Face SageMaker 部署前自动读取本地 AWS 配置【免费下载链接】skillsGive your agents the power of the Hugging Face ecosystem项目地址: https://gitcode.com/GitHub_Trending/skills7/skills本文围绕本项目 skills7/skills 仓库中的hf-cloud-aws-context-discovery技能SKILL.md展开讲解它如何作为整套 Hugging Face 云部署技能链的第一环帮助 AI Agent 在接触任何 AWS 资源之前从本地配置中解析出有效的 profile、region、账号 ID 与调用者身份caller identity从而避免猜错 region、误用凭据以及在 SageMaker 部署中因 SSO 权限不足而踩坑。读完本文你将理解该技能的四项发现清单、region 解析顺序、SSO 身份识别策略以及它如何与仓库中 IAM preflight、镜像选择、生产级部署等下游技能衔接并能直接把它应用到自己的 Agent 工作流中。技能定位AWS 任务的第一道关卡hf-cloud-aws-context-discovery是整个仓库 AWS 部署工作流hf-cloud-*系列技能的入口前置技能。从它在仓库 README.md 的技能表中的定位可以看到它负责“Discover the users local AWS context (active profile, region, account ID, caller identity) at the start of any AWS task”——即在任何 AWS 任务开始时先读取用户本地的 AWS 配置。它的使用时机非常明确无论接下来要做的是 SageMaker 部署、IAM 资源创建、AWS API 调用还是任何涉及 AWS 账号的操作都应当先运行本技能。特别是当用户没有显式指定 region 或 profile或者说出“用我的 AWS 账号”“部署到 AWS”“用我的 profile”这类模糊指令时Agent 绝不应该去猜 region 或账号 ID而应通过本技能从本地配置中读取。这套设计理念也体现在下游技能中hf-cloud-sagemaker-deployment-planner在“Workflow phases”阶段明确列出第 3 步为“Context preflight —hf-cloud-aws-context-discovery, thenhf-cloud-python-env-setup”并注明“Region comes fromhf-cloud-aws-context-discovery— dont ask unless the user volunteers it”即 region 一律来自该技能Agent 无需再向用户询问。要发现什么四项核心上下文技能的核心是四组需要在 AWS 工作开始时执行并全程记住的结果。1. 活动 ProfileActive Profileprofile 的解析优先级为AWS_PROFILE环境变量否则回退到default如果用户在提示词中提到了某个 profile则以其覆盖上述结果如果用户提到的 profile 在~/.aws/config中不存在需要明确向用户指出。这里的关键原则是用户的配置已经回答了的问题就不要再去问用户。2. Region解析顺序Region 的解析严格按照以下顺序取第一个能产生值的项即停用户在当前对话中显式命名的 regionAWS_REGION环境变量AWS_DEFAULT_REGION环境变量活动 profile 在~/.aws/config中的region字段前四项全部失败后才允许询问用户。一个重要的硬性约束是绝不回退到us-east-1或其他任何硬编码的默认 region。猜错的 region 会导致镜像 URI、资源配额、成本全部落在错误区域这是部署事故的常见根源。3. 凭据、账号 ID 与调用者 ARNaws sts get-caller-identity --profile profile --region region这一条命令承担三个目的确认凭据有效无效则停止返回AccountID构造 ARN 时必需返回调用者的Arn。这是后续所有 ARN 构造与权限判断的基础数据。4. 识别 SSO / 承担角色主体最高杠杆的一步Arn字段的格式决定了调用者是什么类型的 principal进而决定了它能执行哪些 IAM 操作。技能给出的对应关系如下ARN 模式类型IAM 写入能力arn:aws:iam::acct:user/nameIAM 用户取决于附加的策略arn:aws:sts::acct:assumed-role/AWSReservedSSO_.../emailSSO 承担角色通常没有——无法创建/修改 IAM 角色arn:aws:sts::acct:assumed-role/role/session常规承担角色取决于该角色如果调用者是 SSO 身份必须立即向用户说明以免后续技能在调用iam:CreateRole时失败。技能提供了现成的提示文案Heads up: youre authenticated via SSO (AWSReservedSSO_PermissionSet_...). SSO principals usually cant create IAM roles directly. If we need a SageMaker execution role, Ill look for an existing one first — if none exists, youll need to ask whoever manages your AWS access to create one.技能原文档明确评价这是本技能最有价值的一步。提前点破 SSO 限制可以把一次“部署到一半才报 IAM 权限错误”的漫长排障压缩成一段五秒钟的对话。这一判断在仓库源码中得到印证hf-cloud-sagemaker-iam-preflight的 create_role.py 中创建角色前会先检查调用者 ARN 是否包含:assumed-role/AWSReservedSSO_命中则输出警告“SSO caller — IAM creation likely to fail with AccessDenied”而check_role.py在发现无可用角色时会给出“ask the user for an existing role ARN, or have someone with IAM access run this”的引导与上游技能的提示一脉相承。要运行的命令技能推荐了两组命令来高效获取上下文# 有效 profile 和 region比解析配置文件更快 aws configure list # 校验凭据并获取身份 aws sts get-caller-identity aws sts get-caller-identity --profile profile-name # 如果指定了 profile技能特别强调aws configure list会自动处理环境变量覆盖并展示解析后的有效值因此优先于自己手工解析~/.aws/config。只有在需要读取原始配置例如列出全部 profile时才去读取~/.aws/config与~/.aws/credentials——这两个是纯 INI 格式的文本文件只读即可。值得一提的是这种“在同一个 shell 中运行 AWS CLI、继承其凭据链”的思路也被下游 Python 辅助脚本继承check_role.py与create_role.py都通过shutil.which(aws)找到aws可执行文件并直接 subprocess 调用从而完整继承调用者 shell 的 profile、region、SSO 会话、代理与凭据链见 check_role.py 的模块文档注释。如何向用户汇报技能要求最终汇报一行或两行而不是一大段文字示例为Working with profilemy-profileineu-west-1, account123456789012. Youre authenticated via SSO, so well need to use an existing IAM role rather than create one.两条汇报纪律不要请求用户确认你刚从他们配置里读到的 region——用户配置好了那就是确认如果发现问题凭据过期、profile 不存在、任何地方都没有 region先停下来把具体错误抛给用户再继续后续工作。在下游技能链中的衔接hf-cloud-aws-context-discovery产出的四项值profile、region、account ID、principal 类型会依次被下游技能消费形成一条完整流水线产出值被谁消费消费方式regionhf-cloud-serving-image-selection替换镜像 URI 中的region占位符镜像来自 AWS 官方 DLC catalogregionhf-cloud-sagemaker-deployment-planner查询service-quotas检查实例配额regionhf-cloud-sagemaker-production-defaultsdeploy.py/deploy_async.py/invoke_endpoint.py的--region参数principal 类型SSO 与否hf-cloud-sagemaker-iam-preflight决定“寻找现有角色”还是“创建角色”的策略分支account ID下游所有 ARN 构造例如sagemaker-region-account形式的数据采集桶默认 URI例如在hf-cloud-sagemaker-production-defaults的 SKILL.md 参数来源表中--region的来源明确标注为hf-cloud-aws-context-discovery。这也解释了为什么本技能被定位为“Use this skill before any other AWS work”——一旦开始部署region、role ARN、image URI 必须全部是确定值而它们共同的源头正是本技能发现的本地上下文。实践要点总结在任何 AWS 操作之前先运行aws configure list与aws sts get-caller-identity记住 profile、region、account ID、ARN 四项结果供整个会话复用Region 按“对话显式指定 →AWS_REGION→AWS_DEFAULT_REGION→ profile 的 region 字段 → 询问用户”的顺序解析绝不硬编码回退从 ARN 模式识别 SSO 承担角色一旦命中AWSReservedSSO_立即提示用户 IAM 写入受限为下游iam:CreateRole的潜在失败提前铺路汇报保持一两行配置里已有答案的问题不再追问遇到错误先停止并暴露具体原因。这套“先发现、后操作、少打扰、早预警”的上下文发现模式让 Agent 的 AWS 工作从第一步就建立在真实配置之上也为整个仓库的 SageMaker 部署工作流提供了可靠的地基。【免费下载链接】skillsGive your agents the power of the Hugging Face ecosystem项目地址: https://gitcode.com/GitHub_Trending/skills7/skills创作声明：本文部分内容由AI辅助生成（AIGC），仅供参考