在企业中安全部署 Kiro IDE：身份、功能控制和 AI 治理！
I’m happy to translate the article for you, but I need the actual text of the post. Could you please paste the content you’d like translated (excluding the source link you already provided)? Once I have the text, I’ll translate it into Simplified Chinese while preserving the formatting, markdown, and technical terms.
介绍
在我之前的文章中，我已经介绍了许多 Kiro IDE 的功能——vibe 编码、规范驱动开发、hooks、引导文档以及构建 CRUD API（例如，由 Amazon API Gateway、AWS Lambda、Amazon DynamoDB 和 AWS SAM 提供支持的客户查询 API）。我还演示了 Kiro 的代码生成能力如何让你仅通过提供提示即可构建解决方案，同时仍然保持对审查和部署的控制。
在 2026 年 3 月 12 日，AWS Kiro 宣布了额外的 企业功能，进一步保障 Kiro 的部署。这些新特性让管理员能够：
- 控制开发者可使用的 AI 模型。
- 管理在企业环境中允许的 Model Context Protocol (MCP) 集成。
我已经通过 AWS IAM Identity Center 使用过 Kiro，并熟悉诸如禁用网页搜索、完全禁用 MCP、以及启用用户活动报告等控制措施——这些更新激发我撰写本文，探讨 Kiro 的安全、可扩展部署。
为什么安全部署很重要
在大规模部署 AI 开发工具时会带来多种风险：
| 风险 | 示例 |
|---|---|
| 外部代码引用 | AI 建议可能会拉取开源代码片段，导致许可或知识产权问题。 |
| 未批准的集成 | MCP 可能连接到外部工具，造成数据泄漏。 |
| 模型使用失控 | 开发者可能使用实验性模型，违反政策或超出预算。 |
| 成本超支 | 未受控的使用会迅速超出分配的支出。 |
一个强健的安全姿态需要结合 身份治理、功能加固、监控和人工监督。
1. 身份治理
通过 AWS IAM Identity Center（或 Okta）为 Kiro 提供权限，以实现：
- 单点登录 (SSO)
- 多因素认证 (MFA)
- 最小特权权限集
- 访问仅限于 已批准的 AWS 角色和账户
为什么重要
- 集中式用户订阅管理
- 受控的入职/离职流程
- 企业访问策略的一致执行
基于身份的访问确保 AI 工具在整个组织中保持安全和受治理。
2. 功能加固
a. 代码引用控制
- 禁用代码引用建议 → 确保生成的代码在内部产生，避免外部许可或知识产权泄露。
b. 模型上下文协议 (MCP)
- 完全禁用 MCP（传统方式）
- 新细粒度控制（2026 年 3 月 12 日）：仅通过 Kiro 管理员设置启用已批准的 MCP 集成。
c. 网络访问
- 禁用网页搜索和网页抓取工具 → 防止外部数据访问，降低泄漏风险，帮助满足监管合规要求。
d. 模型可用性治理
- 为开发者 选择已批准的 AI 模型。
- 阻止实验性/未批准的模型 投入生产环境。
这使 AI 使用符合内部治理要求，并保护 AI 预算。
e. 成本治理
- 设置月度使用上限 → 达到上限后禁用 Kiro，提供可预测的成本管理。
3. 监控与审计
启用 AWS‑原生监控以获得完整可见性：
| Service | What It Tracks |
|---|---|
| AWS CloudTrail | 管理配置更改 |
| Amazon CloudWatch | 访问活动、使用模式、运营事件 |
Additional Governance Features
- User activity reports（可导出至 Amazon S3 存储桶）
- Prompt logging 用于审计与安全分析
- Supervised Mode 策略在 Kiro IDE 中
这些功能有助于保持可审计性、合规性以及负责任的 AI 使用。
4. 示例管理仪表板
以下是我的 Kiro 账户（通过 AWS IAM Identity Center 配置）的快照。控制项是 Kiro 管理仪表板中的简单开/关切换。
(将图像路径替换为实际的截图位置。)
结论
企业可以通过以下组合安全地大规模部署 Kiro IDE：
- 身份治理 (IAM Identity Center/Okta)
- 功能控制（代码引用、MCP、网页访问、模型选择）
- 监控与运营防护（CloudTrail、CloudWatch、活动报告）
- 成本与使用限制
使用 AWS IAM Identity Center 与 Kiro 可实现：
- 集中式、安全的团队订阅
- 可扩展的访问管理
- 为开发者和 IT 减少手动工作负担
这使团队能够专注于构建、协作和交付高价值的解决方案，而不是管理个人账户。
感谢阅读！
Girish Bhatiya
AWS 认证
# Ed Solution Architect
- AWS Certified Developer Associate
- AWS Certified GenAI Practitioner
- AWS Certified Cloud Practitioner
- AWS Certified Cloud Technology Enthusiast