Zum Hauptinhalt springen
Statt API-Anfragen und IAM-Richtlinien von Hand zusammenzustellen, kann ein Coding-Agent den Projekt-Connector anlegen, in Ihrem AWS-Konto eine schreibgeschützte IAM-Rolle erstellen, die Fastino übernehmen darf, die Verbindung testen und einen unveränderlichen Datensatz-Snapshot starten. Sie behalten die Kontrolle über Ihren Bucket. Fastino importiert ausgewählte Daten in Ihr Fastino-Projekt, ohne Ihre AWS-Zugriffsschlüssel zu erhalten.

Was Sie angeben

  • Den Bucket-Namen und optional ein Schlüsselpräfix, zum Beispiel incoming/.
  • Den Namen oder die ID des Fastino-Projekts.
  • Den Verwendungszweck der Daten: training oder evaluation.
Region und Konto des Buckets liest der Agent aus Ihrer angemeldeten AWS-CLI-Sitzung. Er benennt die IAM-Rolle, die er erstellt; Connector- und Datensatznamen können vom Bucket-Namen abgeleitet werden.

Bevor Sie beginnen

Verbinden Sie Ihren Coding-Agent mit dem Fastino-MCP-Endpunkt Ihres Teams:
Prüfen Sie anschließend, dass die AWS CLI beim Konto angemeldet ist, dem der Bucket gehört:
Ihre AWS-Identität muss in diesem Konto IAM-Rollen erstellen und Inline-Richtlinien anhängen dürfen, etwa mit iam:CreateRole, iam:UpdateAssumeRolePolicy und iam:PutRolePolicy.
Erstellen Sie die Rolle in dem Konto, dem der Bucket gehört. Eine Bucket-Richtlinie oder Service Control Policy, die die Rolle ablehnt, blockiert Fastino auch dann, wenn die eigenen Richtlinien der Rolle das Lesen erlauben.

Den Agent beauftragen

Was der Agent tut

Die Connector-Antwort enthält s3_setup: external_id (ein Wert nur für diesen Connector, den die Vertrauensrichtlinie der Rolle verlangt; er ist nicht geheim), broker_role_arn (die Fastino-Rolle, die Ihre Rolle übernehmen darf), die beiden IAM-Richtliniendokumente trust_policy und read_policy sowie setup_commands (AWS-CLI-Befehle, die die Rolle erstellen oder reparieren). Die Rolle muss beim Anlegen des Connectors noch nicht existieren. Der Agent führt setup_commands mit Ihren AWS-Zugangsdaten aus, testet den reinen Lesezugriff auf die Liste und startet die Synchronisierung.

Synchronisierungsergebnisse

Eine Synchronisierung konvertiert und validiert die Dateien unter dem gewählten Präfix, bevor sie Datensätze veröffentlicht. Eine erfolgreiche Synchronisierung listet ihre Datensätze im Bericht auf.
  • Schlägt die Validierung einer Datei fehl, schlägt die Synchronisierung fehl und veröffentlicht keinen Datensatz. Der Bericht nennt die zu prüfenden Dateien. Der Agent gibt diese Fehler weiter und fragt nach, bevor er Dateien ausschließt oder das Präfix ändert.
  • Erreicht die Dokumentkonvertierung ein Ratenlimit, wird der Bericht als partial (die aufgeführten Datensätze sind nutzbar, einige Dateien fehlen) oder transient (nichts Neues veröffentlicht) markiert und nennt retryable_files. Bitten Sie den Agent, erneut zu synchronisieren, ohne neu zu testen oder das Präfix zu ändern.
  • Wenn Sie ein Fine-Tuning über Fastino MCP delegieren, ist eine Synchronisierung optional. Nach Ihrer Freigabe des Plans kann der Fine-Tune-Agent die Rohdateien im verbundenen Bucket prüfen und vorverarbeiten.

Sicherheitsmodell

Fastino liest Ihren Bucket, indem es die von Ihnen erstellte Rolle übernimmt. Deren Vertrauensrichtlinie nennt genau eine Fastino-Rolle und verlangt die externe ID dieses Connectors, sodass weder andere AWS-Prinzipale noch andere Fastino-Kunden sie nutzen können. Die Leserichtlinie erlaubt s3:ListBucket auf dem gewählten Präfix und s3:GetObject auf den Schlüsseln darunter, aber keinen Schreib-, Lösch- oder Konfigurationszugriff. Fastinos Sitzungen auf Ihrer Rolle sind temporär und dauern höchstens eine Stunde. Zugriffsschlüssel, geheime Schlüssel und Sitzungstoken werden nicht akzeptiert. Ändern Sie Präfix oder Rolle des Connectors, kehrt er bis zum nächsten Test zu pending zurück. Führen Sie nach einer Präfixänderung die neuen s3_setup.setup_commands erneut aus, damit die Leserichtlinie der Rolle passt. Das Löschen eines Connectors beendet künftige Synchronisierungen, löscht aber keine bereits veröffentlichten Datensätze. Um den Speicherzugriff zu entziehen, entfernen Sie die Leseberechtigungen der Rolle und widerrufen ihre aktiven Sitzungen. IAM-Änderungen können Zeit zur Verteilung benötigen.

Den Connector mit Ihrem Team teilen

Ein Connector gehört zu genau einem Fastino-Projekt, und ein Projekt ist nur für seine Ersteller sichtbar, solange seine Sichtbarkeit nicht team ist. Legen Sie das Projekt als Teamprojekt an, etwa indem Sie Ihren Agent bitten, es mit Team-Sichtbarkeit zu erstellen. Dann sehen Teammitglieder mit den erforderlichen Teamberechtigungen den Connector, können ihn synchronisieren und mit seinen Datensätzen feinabstimmen. Teammitglieder brauchen dafür keinen AWS-Zugriff: Fastino liest den Bucket über die von Ihnen erstellte IAM-Rolle, nicht über das Konto des Teammitglieds. Nur wer den Connector einrichtet, braucht AWS-Berechtigungen. Lassen Sie Teammitglieder keinen zweiten Connector zu demselben Bucket in ihrem eigenen Projekt anlegen; das wiederholt die Einrichtung und erfordert eigenen AWS-Zugriff.

Fehlerbehebung

Hat AWS einen Fehlercode geliefert, enthält das Testergebnis ihn in provider_error_code. IAM-Änderungen wirken meist innerhalb von Sekunden, können aber länger dauern. Der Agent sollte den Test wiederholen, bevor er einen weiteren Connector anlegt.