View a markdown version of this page

Configurar la autoridad de certificación raíz para el navegador Amazon Bedrock AgentCore - Base amazónica AgentCore
FuncionamientoRequisitos previosGuarde su certificado en AWS Secrets Manager Inicie una sesión de navegador con certificados personalizadosUso de varios certificadosConfigure los certificados a nivel de herramientaRequisitos y límites de los certificados

Las traducciones son generadas a través de traducción automática. En caso de conflicto entre la traducción y la version original de inglés, prevalecerá la version en inglés.

Configurar la autoridad de certificación raíz para el navegador Amazon Bedrock AgentCore

De forma predeterminada, las sesiones AgentCore del navegador Amazon Bedrock solo confían en las autoridades de certificación reconocidas públicamente. Si sus agentes necesitan acceder a servicios internos, sitios web corporativos o recursos a través de un TLS-intercepting proxy que utilice certificados firmados por una CA privada, debe proporcionar sus certificados de CA raíz personalizados al iniciar una sesión.

Amazon Bedrock AgentCore recupera el contenido del PEM-encoded certificado de AWS Secrets Manager con las credenciales de la persona que llama, valida el X.509 formato y la caducidad e instala los certificados en el almacén de confianza del sistema operativo de la sesión. Esto permite al navegador establecer conexiones HTTPS confiables con sus recursos internos.

Funcionamiento

La autoridad de certificación raíz del AgentCore navegador Amazon Bedrock funciona de la siguiente manera:

  1. Usted proporciona una lista de ubicaciones de certificados, cada una de las cuales apunta a un secreto en AWS Secrets Manager que contiene un certificado de CA PEM-encoded raíz.

  2. Amazon Bedrock AgentCore utiliza las credenciales de la persona que llama para recuperar cada certificado de AWS Secrets Manager.

  3. Cada certificado se valida para comprobar que tiene el formato X.509 PEM correcto y se comprueba para garantizar que no haya caducado y que no se utilice antes de la fecha de inicio de la validez.

  4. Los certificados válidos se implementan en el almacén de confianza del sistema operativo de la sesión y están disponibles para el navegador y para cualquier cliente de red que se encuentre en el entorno limitado.

Los certificados configurados a nivel de herramienta (medianteCreateBrowser) se combinan con los certificados proporcionados al iniciar la sesión. Esto le permite configurar certificados para toda la organización en la herramienta y agregar certificados específicos para la sesión según sea necesario.

nota

La configuración del certificado es una operación que se realiza una sola vez por sesión. Una vez instalados los certificados, no se pueden modificar mientras dure esa sesión.

Requisitos previos

Antes de configurar los certificados de CA raíz, asegúrese de disponer de lo siguiente:

  • Ha completado los requisitos previos generales.

  • Sus certificados de CA raíz se almacenan como secretos en AWS Secrets Manager. Cada secreto debe contener un PEM-encoded X.509 certificado válido

  • Permisos de IAM para leer los secretos del certificado desde AWS Secrets Manager. Agregue los siguientes permisos a su política de IAM:

    {
"Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "SecretsManagerCertificateAccess",
            "Effect": "Allow",
            "Action": [
                "secretsmanager:GetSecretValue"
            ],
            "Resource": "arn:aws:secretsmanager:<Region>:<account-id>:secret:<secret-name>"
        }
    ]
}

Guarde su certificado en AWS Secrets Manager 

Antes de poder usar un certificado de CA raíz con Amazon Bedrock AgentCore Browser, debe almacenarlo en secreto en AWS Secrets Manager. El valor secreto debe ser el contenido del PEM-encoded certificado.

ejemplo
AWS CLI

  1. aws secretsmanager create-secret \
  --name "my-corporate-root-ca" \
  --description "Corporate root CA certificate for AgentCore sessions" \
  --secret-string file://my-root-ca.pem \
  --region <region>
Boto3

  1. import boto3

client = boto3.client('secretsmanager', region_name='<region>')

# Read the PEM certificate file
with open('my-root-ca.pem', 'r') as f:
    cert_content = f.read()

response = client.create_secret(
    Name='my-corporate-root-ca',
    Description='Corporate root CA certificate for AgentCore sessions',
    SecretString=cert_content
)

print(f"Secret ARN: {response['ARN']}")

Anote el ARN secreto de la salida. Utilizará este ARN al iniciar sesiones con la configuración del certificado.

importante

El secreto debe contener un PEM-encoded X.509 certificado válido. El certificado no debe estar caducado y debe estar dentro de su período de validez. Amazon Bedrock AgentCore valida el formato y la caducidad del certificado antes de instalarlo.

Inicie una sesión de navegador con certificados personalizados

Para iniciar una sesión de navegador que confíe en sus certificados de CA raíz personalizados, incluya el certificates parámetro en la StartBrowserSession solicitud.

ejemplo
AWS CLI

  1. aws bedrock-agentcore start-browser-session \
  --browser-identifier "aws.browser.v1" \
  --name "session-with-custom-ca" \
  --certificates '[
    {
      "location": {
        "secretsManager": {
          "secretArn": "arn:aws:secretsmanager:<region>:<account-id>:secret:<secret-name>"
        }
      }
    }
  ]'
Boto3

  1. import boto3

client = boto3.client('bedrock-agentcore', region_name='<region>')

response = client.start_browser_session(
    browserIdentifier="aws.browser.v1",
    name="session-with-custom-ca",
    certificates=[
        {
            "location": {
                "secretsManager": {
                    "secretArn": "arn:aws:secretsmanager:<region>:<account-id>:secret:<secret-name>"
                }
            }
        }
    ]
)

print(f"Session ID: {response['sessionId']}")
print(f"Status: {response['status']}")
API

  1. {
  "name": "session-with-custom-ca",
  "certificates": [
    {
      "location": {
        "secretsManager": {
          "secretArn": "arn:aws:secretsmanager:<region>:<account-id>:secret:<secret-name>"
        }
      }
    }
  ]
}

Uso de varios certificados

Puede proporcionar varios certificados de CA raíz en una sola sesión de navegador. Esto resulta útil cuando el entorno requiere la confianza de varias entidades emisoras de certificados internas, por ejemplo, entidades de certificación independientes para diferentes servicios o entornos internos.

ejemplo
AWS CLI

  1. aws bedrock-agentcore start-browser-session \
  --browser-identifier "aws.browser.v1" \
  --name "session-with-multiple-cas" \
  --certificates '[
    {
      "location": {
        "secretsManager": {
          "secretArn": "arn:aws:secretsmanager:<region>:<account-id>:secret:corporate-root-ca"
        }
      }
    },
    {
      "location": {
        "secretsManager": {
          "secretArn": "arn:aws:secretsmanager:<region>:<account-id>:secret:proxy-ca"
        }
      }
    }
  ]'
Boto3

  1. response = client.start_browser_session(
    browserIdentifier="aws.browser.v1",
    name="session-with-multiple-cas",
    certificates=[
        {
            "location": {
                "secretsManager": {
                    "secretArn": "arn:aws:secretsmanager:<region>:<account-id>:secret:corporate-root-ca"
                }
            }
        },
        {
            "location": {
                "secretsManager": {
                    "secretArn": "arn:aws:secretsmanager:<region>:<account-id>:secret:proxy-ca"
                }
            }
        }
    ]
)

Configure los certificados a nivel de herramienta

Puede configurar los certificados a nivel de herramienta al crear un navegador personalizado. Los certificados configurados a nivel de herramienta se aplican automáticamente a cada sesión iniciada con esa herramienta, además de cualquier certificado proporcionado al iniciar la sesión.

Esto resulta útil para los certificados de toda la organización en los que todas las sesiones del navegador deben confiar.

ejemplo
Boto3

  1. response = client.create_browser(
    name="corporate-browser",
    description="Browser with corporate CA trust",
    certificates=[
        {
            "location": {
                "secretsManager": {
                    "secretArn": "arn:aws:secretsmanager:<region>:<account-id>:secret:corporate-root-ca"
                }
            }
        }
    ]
)

browser_id = response['browserIdentifier']
print(f"Browser ID: {browser_id}")

Al iniciar una sesión con un navegador que tiene configurados los certificados, los certificados de nivel de herramienta se combinan con cualquier certificado de nivel de sesión. Tool-level los certificados se aplican primero, seguidos de los certificados a nivel de sesión.

Requisitos y límites de los certificados

Los certificados deben cumplir los siguientes requisitos:

Requisito Details

Formato

PEM-encoded X.509 certificado

Almacenamiento

AWS El secreto de Secrets Manager (como valor de cadena, no binario)

Validez

El certificado no debe estar caducado y debe estar dentro de su período de validez (entre notBefore y notAfter las fechas)

Número máximo de certificados por sesión

10 por sesión y 10 por herramienta. Una sesión puede tener hasta 20 certificados en total.

Formato ARN secreto

arn:aws:secretsmanager:region:account-id:secret:secret-name

Tipo de ubicación

Solo se admite AWS Secrets Manager como ubicación de certificado