AWS verwaltete Richtlinien für Amazon Bedrock AgentCore

bedrock-agentcore(Amazon Bedrock Agent Core) — Ermöglicht Principals vollen Zugriff auf alle Amazon Bedrock Agent Core-Ressourcen.

iam(AWS Identity and Access Management) — Ermöglicht Prinzipalen das Auflisten und Abrufen von Informationen zu Rollen und Richtlinien sowie das Übergeben von Rollen mit "BedrockAgentCore" im Namen an den Bedrock-Agentcore-Dienst. Ermöglicht auch die Erstellung von serviceverknüpften Rollen für CloudWatch Application Signals, Amazon Bedrock AgentCore Network und Amazon Bedrock AgentCore Runtime Identity.

secretsmanager(AWS Secrets Manager) — Ermöglicht Prinzipalen das Erstellen, Aktualisieren, Abrufen und Löschen von Geheimnissen, deren Namen mit „bedrock-agentcore“ beginnen.

kms(AWS Key Management Service) — Ermöglicht es Prinzipalen, Schlüssel aufzulisten und zu beschreiben und Daten innerhalb desselben AWS Kontos zu entschlüsseln, wenn sie über den Amazon AgentCore Bedrock-Service aufgerufen werden.

s3(Amazon Simple Storage Service) — Ermöglicht Prinzipalen das Abrufen von Objekten aus S3-Buckets, deren Namen mit „bedrock-agentcore-gateway-“ beginnen, wenn sie über den Amazon Bedrock-Service aufgerufen werden. AgentCore

lambda(AWS Lambda) — Ermöglicht es Prinzipalen, Lambda-Funktionen aufzulisten.

logs(Amazon CloudWatch Logs) — Ermöglicht Prinzipalen den Zugriff auf Protokolldaten in Protokollgruppen, die sich auf Amazon Bedrock und Application Signals beziehen, diese abzufragen AgentCore und zu verwalten, einschließlich der Erstellung von Protokollgruppen und Streams.

application-autoscaling(Application Auto Scaling) — Ermöglicht Prinzipalen die Beschreibung von Skalierungsrichtlinien.

application-signals(Amazon CloudWatch Application Signals) — Ermöglicht Principals, Informationen über Anwendungssignale abzurufen und mit der Erkennung zu beginnen.

autoscaling(Amazon EC2 Auto Scaling) — Ermöglicht Prinzipalen die Beschreibung von Auto Scaling Scaling-Ressourcen.

cloudwatch(Amazon CloudWatch) — Ermöglicht Prinzipalen das Abrufen und Auflisten von Metriken, das Generieren von Abfragen und den Zugriff auf andere CloudWatch Ressourcen.

oam(Amazon CloudWatch Observability Access Manager) — Ermöglicht es Principals, Senken aufzulisten.

rum(Amazon CloudWatch RUM) — Ermöglicht Prinzipalen das Abrufen und Auflisten von RUM-Ressourcen.

synthetics(Amazon CloudWatch Synthetics) — Ermöglicht es Prinzipalen, Synthetics-Ressourcen zu beschreiben und Informationen darüber abzurufen.

xray(AWS X-Ray) — Ermöglicht Prinzipalen das Abrufen von Trace-Informationen, das Verwalten von Trace-Segmentzielen und das Arbeiten mit Indizierungsregeln.

ecr(Amazon Elastic Container Registry) — Ermöglicht Principals, Repositorys zu beschreiben, Images aufzulisten und Images zu beschreiben.

bedrock(Amazon Bedrock) — Ermöglicht es Prinzipalen, Fundamentmodelle und Inferenzprofile zu Bewertungszwecken aufzurufen.

iam:CreateRoleist nicht enthalten. Wenn Sie bestimmte AgentCore Ressourcen (z. B. Harness oder Runtime) in der Konsole erstellen, können Sie festlegen, dass die Konsole die Ausführungsrolle der Ressource in Ihrem Namen automatisch erstellt. Dazu sind iam:CreateRole Berechtigungen erforderlich, die in dieser verwalteten Richtlinie nicht enthalten sind. Weitere Informationen finden Sie unter Problembehandlung bei iam: CreateRole authorization in der Konsole.

iam:PassRoleist auf den Rollennamen beschränkt. Wenn Sie bestimmte AgentCore Ressourcen erstellen (z. B. Harness oder Runtime), benötigen Sie iam:PassRole Berechtigungen für die Ausführungsrolle der Ressource. Diese verwaltete Richtlinie umfasst nur iam:PassRole Berechtigungen für Rollen, deren Namen übereinstimmen*BedrockAgentCore*. Weitere Informationen finden Sie unter Problembehandlung bei iam: PassRole authorization.

GetWorkloadAccessTokenForUserIdist enthalten. Diese Richtlinie gewährt AnrufberechtigungenGetWorkloadAccessTokenForUserId, was die Ausgabe von Workload-Zugriffstoken unter Verwendung einer vom Aufrufer bereitgestellten Benutzer-ID-Zeichenfolge ohne IdP-Tokenverifizierung ermöglicht. Dies eignet sich für Entwicklungs- und Schnellstartszenarien. Erstellen Sie für Produktionsbereitstellungen benutzerdefinierte IAM-Richtlinien, die nur gewähren GetWorkloadAccessTokenForJWT (wodurch die JWT-Signatur, der Aussteller und der Ablauf überprüft werden) und explizit verweigern, GetWorkloadAccessTokenForUserId wenn für Ihre Workloads immer ein JWT verfügbar ist. Weitere Informationen finden Sie unter Zugriffstoken für Workloads abrufen.

ec2(Amazon Elastic Compute Cloud) — Ermöglicht dem Service, Netzwerkschnittstellen in Ihrer VPC zu erstellen, zu verwalten und zu löschen, private IP-Adressen zuzuweisen und deren Zuweisung aufzuheben und VPC-Ressourcen zu beschreiben. Netzwerkschnittstellen sind mit "AmazonBedrockAgentCoreManaged" gekennzeichnet, um sicherzustellen, dass der Service nur Ressourcen verwaltet, die er selbst erstellt.

bedrock— Ermöglicht Principals, Amazon Bedrock Invokemodel und InvokeModelWithResponseStream Aktionen aufzurufen. Dies ist erforderlich, damit ein Agent Erinnerungen speichern kann.

bedrock-mantle— Ermöglicht es den Prinzipalen, die CallWithBearerToken AND-Aktionen CreateInference aufzurufen. Dies ist erforderlich, damit der Service Erinnerungen mithilfe von Amazon Bedrock Mantle-Modellen verarbeiten kann.

bedrock-agentcore(Amazon Bedrock Agent Core) — Ermöglicht dem Service, Workload-Zugriffstoken für die JWT-Authentifizierung und ID-based Benutzerauthentifizierung abzurufen. Ermöglicht insbesondere GetWorkloadAccessTokenForUserId Aktionen GetWorkloadAccessTokenGetWorkloadAccessTokenForJWT, und für das standardmäßige Workload-Identitätsverzeichnis und die zugehörigen Workload-Identitäten.