用 Terraform 照著 production 重建一份主控台手動建立的 AWS 帳戶 — 唯讀規格、設定差異比對與 GitHub OIDC
以唯讀方式擷取 production 的設定，把由 AWS 主控台建立的 AWS 資料層寫成 Terraform 程式碼。接著用設定差異比對驗證，並透過 GitHub OIDC 執行部署。
AWS
Bedrock 的結構化輸出只支援到 Claude 4.6 — 用一行提示詞與錯誤回傳守住 Sonnet 5 的 JSON 輸出
Amazon Bedrock 上 Claude Sonnet 5 以後的模型不支援 strict tool use。少了它之後，我靠著一行提示詞規則，並且以 tool_result 回傳錯誤後重試，讓模型的 JSON 輸出維持了正確的格式。
用 GitHub Actions 自己簽發 Cognito M2M token，驗證剛部署好的 MCP — 一個工作要兩種身分
GitHub OIDC 給了 CI 一個 AWS 身分，但經過 JWT 授權的 MCP 端點還需要第二個：從 terraform output 讀出的 Cognito client_credentials token。
Bedrock knowledge base 刪不掉 — 先刪 OpenSearch collection 就會卡在 DELETE_UNSUCCESSFUL
因為先刪除了 OpenSearch Serverless collection，兩個 Amazon Bedrock knowledge base 卡在 DELETE_UNSUCCESSFUL。本文說明成因，以及把 dataDeletionPolicy 改成 RETAIN 的解決方法。
用 GROUP BY ROLLUP 與純量子查詢消除 text-to-SQL AI 代理的文字計算 — 禁止規則擋不住的加總與扇出誤差
text-to-SQL AI 代理違反了「不可手動加總」的規則。GROUP BY ROLLUP 與純量子查詢不是修規則，而是直接消除了這個步驟。
用 _override.tf 在沙箱裡執行已提交的 Terraform — apply 抓到了 validate 沒抓到的問題
已被 gitignore 的 Terraform 覆寫檔，把一份已提交的設定重新導向自己的 AWS 沙箱帳號:本機後端、覆寫過的 locals，以及只有 apply 才找得到的問題。
用 Granted 把 Windows 上的 AWS 明文金鑰換成 SSO — 小心兩套容易搞混的 AWS 登入
Granted 與 AWS IAM Identity Center 在 Windows 上把靜態 IAM 金鑰換成短效的 SSO 憑證。傳統的 AWS 登入表單完全不接受這組憑證。