Schlüsselkonzepte
Bevor Sie Policy in Amazon Bedrock verwenden AgentCore, ist es wichtig, die wichtigsten Konzepte und Komponenten zu verstehen, die zusammenarbeiten, um eine richtlinienbasierte Steuerung für Ihre KI-Agenten bereitzustellen.
Themen
Gateway
Ein Amazon Bedrock AgentCore Gateway bietet einen Endpunkt, um eine Verbindung zu MCP-Servern herzustellen und APIs und Lambda in MCP-kompatible Tools zu konvertieren, sodass ein Agent über einen einzigen Zugriffspunkt mit seinen Tools interagieren kann. Ein Gateway kann mehrere Ziele haben, von denen jedes ein anderes Tool oder eine Reihe von Tools darstellt.
Gateway-Ziel
Ein Ziel definiert die APIs oder Lambda-Funktionen, die ein Gateway einem Agenten als Tools zur Verfügung stellt. Ziele können Lambda-Funktionen, OpenAPI-Spezifikationen, Smithy-Modelle oder andere Tooldefinitionen sein.
Haupttypen
In den Richtlinien von Cedar werden Prinzipale verwendet, um die Entität darzustellen, die eine Autorisierungsanfrage stellt. Policy in AgentCore unterstützt zwei Prinzipaltypen, je nachdem, wie Ihr AgentCore Gateway für die Authentifizierung konfiguriert ist:
-
AgentCore:: OAuthUser - Stellt OAuth-authenticated Benutzer dar. Wenn ein AgentCore Gateway die OAuth-Autorisierung verwendet, wird der Principal anhand des Claims des JWT-Tokens erstellt.
subOAuth-Prinzipale unterstützen Tags, die JWT-Ansprüche wie Benutzername, Bereich, Rolle usw. enthalten. -
AgentCore:: IamEntity - Stellt Anrufer dar. IAM-authenticated Wenn ein AgentCore Gateway die AWS_IAM-Autorisierung verwendet, wird der Principal anhand der IAM-Identität des Aufrufers erstellt. IAM-Prinzipale haben ein
idAttribut, das den IAM-ARN (Format:arn:aws:sts::<account>:assumed-role/<role-name>für angenommene Rollen) enthält und so einen stabilen Abgleich ermöglicht.principal ==Einzelheiten finden Sie in den Richtlinienbedingungen.
Zeder
Cedar
Cedar-Richtlinie
Eine Cedar-Richtlinie ist eine deklarative Erklärung, die den Zugriff auf Gateway-Tools erlaubt oder verbietet. Jede Richtlinie legt fest, wer (Principal) welche Aktion (Tool-Aufruf) auf welcher Ressource (Gateway) unter welchen Bedingungen ausführen kann. Richtlinien werden für jede Anfrage zum Tool-Aufruf evaluiert.
Richtlinien-Engine
Die Policy-Engine ist die Kernkomponente von Policy AgentCore , in der die Richtlinien von Cedar gespeichert und ausgewertet werden. Wenn Sie Richtlinien erstellen, gelten diese für jedes Gateway, das der Engine zugeordnet ist, sofern der Geltungsbereich der Richtlinie der Anfrage entspricht. Bei jedem Aufruf des Tools bewertet die Policy-Engine alle geltenden Richtlinien anhand der Anfrage, um festzustellen, ob der Zugriff zugelassen oder verweigert werden soll. Die Engine erzwingt die Semantik „Default-Deny“ und „Forbid-Wins“ automatisch.
Zedern-Schema
Ein Cedar-Schema definiert die Struktur von Entitäten, Aktionen und den Kontext für die Richtlinienvalidierung. Die Policy-Engine generiert automatisch ein Schema aus den Tooldefinitionen des Gateways, ordnet jedes Tool einer Aktion zu und definiert die erwarteten Eingabeparameter. Das Schema stellt sicher, dass Richtlinien bei der Erstellung validiert werden, sodass Fehler vor der Bereitstellung erkannt werden.
Validierung von Zedern
Die Cedar-Validierung überprüft, ob die Richtlinien syntaktisch korrekt sind und dem Schema entsprechen. Wenn Sie Richtlinien einem Gateway zuordnen, validiert die Policy-Engine sie anhand des automatisch generierten Schemas, um sicherzustellen, dass sie auf gültige Aktionen verweisen, die richtigen Datentypen verwenden und nur auf definierte Kontextfelder zugreifen. Bei der Validierung werden Fehler erkannt, bevor Richtlinien bereitgestellt werden, wodurch Fehler bei der Laufzeitautorisierung vermieden werden.
Zedernholzanalyse
Die Cedar-Analyse verwendet automatisierte Argumentation, um Richtlinien zu untersuchen und potenzielle Probleme zu erkennen. Policy in AgentCore verwendet automatisiertes Denken, um Richtlinien zu identifizieren, die den Zugriff immer zulassen (keine Bedingungen beschränken den Zugriff) oder immer verweigern (Richtlinien ohne Ausnahmen verbieten). So wird sichergestellt, dass Richtlinien die beabsichtigte Zugriffskontrolle implementieren, anstatt zu freizügig oder unnötig restriktiv zu sein.
Dienst zur Erstellung von Richtlinien
Der Service zur Erstellung von Richtlinien wandelt die Autorisierungsanforderungen in natürlicher Sprache automatisch in Cedar-Richtlinien um. Wenn Sie eine Richtlinie in natürlicher Sprache einreichen, generiert der Service syntaktisch korrekten Cedar-Code, validiert ihn anhand des Gateway-Schemas und führt automatische Analysen durch, um potenzielle Probleme zu erkennen. Dadurch wird sichergestellt, dass alle generierten Richtlinien gültig sind, und hilft dabei, übermäßig freizügige oder restriktive Regeln vor der Bereitstellung zu identifizieren.
