sdlc-agents-provision-aws

用途：当用户准备为选定的 SDLC 智能体配置 AWS 基础设施时使用，覆盖 IAM 运行时角色、ECR 仓库和 Bedrock AgentCore 运行时。

前提：需存在 .sdlc-agents/selection.yaml（含智能体、AWS 账户 ID、区域、阶段）；当前 AWS 凭证可访问目标账户；目标区域已启用 Opus 4.7 跨区域推理配置的 Bedrock 模型访问；共享基础栈已部署。

主要步骤：

1. 一次性创建 GitHub Actions OIDC 提供方与部署角色 sdlc-agents-deploy，信任策略使用 StringEquals 限定具体分支与 pull_request，避免 StringLike 通配。
2. 为每个智能体创建 IAM 运行时角色 <agent>-agentcore-runtime，信任 bedrock-agentcore.amazonaws.com，附加 AmazonBedrockFullAccess 及按工具面定制的内联策略（如 cloudwatch-logs、dynamodb-assignments、ecr-pull，以及按智能体附加的 ssm 读取策略）。
3. 创建 ECR 仓库 sdlc-agents/<agent>，开启推送扫描并设置标签不可变。
4. AgentCore 运行时由共享部署工作流 .github/workflows/deploy-agent.yml 在首次推送时创建，不手动创建。
5. 在 .dispatch/agents.yaml 记录运行时 ARN。
6. 在目标仓库写入 GitHub Actions 变量（AWS_REGION、TARGET_REPO、ASANA_* 等）与密钥（AWS_DEPLOY_ROLE_ARN、AWS_ACCOUNT_ID）。

限制：AWS 组织级 SCP 可能阻止 bedrock-agentcore:* 操作，需用 simulate-principal-policy 排查，无法从本地修复；若被阻止可换名创建新运行时并更新注册表。变量名不能用 GITHUB_ 前缀。缺失事实暂未提供。