Berechtigungen für AgentCore Gateway einrichten

Um Amazon Bedrock AgentCore Gateway und seine Funktionen nutzen zu können, müssen Sie die folgenden Berechtigungen berücksichtigen:

Wählen Sie ein Thema aus, um mehr zu erfahren:

Gateway Builder und Benutzerberechtigungen

Damit eine Identität Gateways erstellen, verwalten oder verwenden kann, müssen Sie der IAM-Identität eine identitätsbasierte Richtlinie hinzufügen, damit sie Amazon Bedrock-Aktionen ausführen kann. AgentCore-related Für umfassende Berechtigungen können Sie die verwaltete Richtlinie verwenden. BedrockAgentCoreFullAccess

Für mehr Sicherheit und Kontrolle können Sie Ihre eigene benutzerdefinierte Richtlinie erstellen, indem Sie die Berechtigungen in der Vollzugriffsrichtlinie reduzieren. Mit der folgenden Richtlinie kann eine Identität beispielsweise Aktionen ausführen, die sich auf das AgentCore Gateway beziehen, aber nicht auf andere AgentCore Dienste wie AgentCore Runtime oder AgentCore Browser:

{
"Version":"2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "bedrock-agentcore:*Gateway*",
        "bedrock-agentcore:*WorkloadIdentity",
        "bedrock-agentcore:*CredentialProvider",
        "bedrock-agentcore:*Token*",
        "bedrock-agentcore:*Access*"
      ],
      "Resource": "arn:aws:bedrock-agentcore:*:*:*gateway*"
    }
  ]
}

{
"Version":"2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "bedrock-agentcore:ListGateways",
        "bedrock-agentcore:GetGateway",
        "bedrock-agentcore:ListGatewayTargets",
        "bedrock-agentcore:GetGatewayTarget"
      ],
      "Resource": "arn:aws:bedrock-agentcore:*:*:*gateway*"
    }
  ]
}

Gateway-Zugriffsberechtigungen (eingehende Autorisierung)

Zusätzlich zu den Gateway-bezogenen Berechtigungen müssen Sie auch Berechtigungen für Identitäten konfigurieren, um während des Aufrufs auf das Gateway zugreifen zu können. Sie konfigurieren diese Berechtigungen, wenn Sie die eingehende Autorisierung einrichten.

AgentCore Berechtigungen für die Gateway-Dienstrolle

Wenn Sie ein Gateway erstellen, benötigen Sie eine Servicerolle, die berechtigt ist, eine IAM-Rolle anzunehmen und im Namen der IAM-Rolle auf AWS Ressourcen und externe Dienste zuzugreifen. Sie können die Servicerolle auf folgende Weise erstellen:

Die erforderlichen Berechtigungen für eine Servicerolle finden Sie in den folgenden Themen:

Berechtigungen vertrauen

Einer Servicerolle muss eine Vertrauensrichtlinie beigefügt sein, die es dem AgentCore Dienst ermöglicht, eine IAM-Identität anzunehmen und in seinem Namen Aktionen auszuführen.

Im Folgenden finden Sie ein Beispiel für eine Vertrauensrichtlinie, die Sie verwenden können.

{
"Version":"2012-10-17",
  "Statement": [
    {
      "Sid": "GatewayAssumeRolePolicy",
      "Effect": "Allow",
      "Principal": {
        "Service": "bedrock-agentcore.amazonaws.com"
      },
      "Action": "sts:AssumeRole",
      "Condition": {
        "StringEquals": {
          "aws:SourceAccount": "111122223333"
        },
        "ArnLike": {
          "aws:SourceArn": "arn:aws:bedrock-agentcore:us-east-1:111122223333:gateway/gateway-name-*"
        }
      }
    }
  ]
}

Autorisierungsberechtigungen für ausgehende Nachrichten

Abhängig von der Art der ausgehenden Autorisierung, die Sie für Ihre Gateway-Ziele verwenden, müssen Sie der Servicerolle Berechtigungen hinzufügen, damit sie das Ziel aufrufen kann. Diese Berechtigungen ermöglichen es der Gateway-Servicerolle, Autorisierungsdaten für den Aufruf des Ziels abzurufen. Sie können dies bei der Einrichtung der ausgehenden Autorisierung tun.

Zugriffsberechtigungen AWS Ressourcen

Abhängig von Ihrer Gateway-Konfiguration oder den Zielen, die Sie dem Gateway hinzufügen möchten, müssen Sie der Gateway-Dienstrolle möglicherweise Berechtigungen hinzufügen, damit sie auf AWS Ressourcen zugreifen kann. In den folgenden Themen werden einige Ressourcen behandelt, auf die Ihre Gateway-Servicerolle möglicherweise Zugriff benötigt:

{
"Version": "2012-10-17",
    "Statement": [{
        "Sid": "AmazonBedrockAgentCoreGatewayLambdaProd",
        "Effect": "Allow",
        "Action": [
            "lambda:InvokeFunction"
        ],
        "Resource": [
            "arn:aws:lambda:us-east-1:123456789012:function:FunctionName"
        ]
    }]
}

{
"Version":"2012-10-17",
    "Statement": [
        {
            "Sid": "LambdaAllowGatewayServiceRoleMyFunction",
            "Effect": "Allow",
            "Principal": {
              "AWS": "arn:aws:iam::123456789012:role/MyGatewayExecutionRole"
            },
            "Action": "lambda:InvokeFunction",
            "Resource":  "arn:aws:lambda:us-east-1:123456789012:function:MyFunction"
        }
     ]
}

{
"Version":"2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "dynamodb:GetItem",
        "dynamodb:PutItem",
        "dynamodb:UpdateItem",
        "dynamodb:DeleteItem",
        "dynamodb:Query",
        "dynamodb:Scan"
      ],
      "Resource": "arn:aws:dynamodb:*:*:table/*"
    }
  ]
}

Bewährte Methoden für Gateway-Berechtigungen