Las traducciones son generadas a través de traducción automática. En caso de conflicto entre la traducción y la version original de inglés, prevalecerá la version en inglés.

Seguridad y controles de acceso

El arnés ofrece las mismas primitivas de seguridad que el resto AgentCore, conectadas según la configuración.

Modelo de responsabilidad compartida

El uso se basa en AgentCore Runtime y el límite de seguridad es el mismo: la autenticación de IAM o JWT combinada con el aislamiento de microVM. Cualquier principio que supere esa puerta se queda con las herramientas y capacidades configuradas en el arnés, por lo que la autorización de la persona que llama y la validación de las entradas son responsabilidad del cliente.

Para ver el modelo completo AgentCore de responsabilidad compartida en Runtime, consulta las prácticas recomendadas de seguridad para AgentCore Runtime.

Límites de confianza y validación de entradas

Cualquier principal que supere la puerta de autenticación y autorización de IAM o JWT tiene acceso a la sesión completa de la microVM, incluidas las herramientas y capacidades configuradas en el arnés. El arnés valida la estructura de la solicitud que acepta, pero no inspecciona el significado de las indicaciones, no filtra el contenido ni impone restricciones de comportamiento al agente.

Si expone el arnés a usuarios finales en los que no confía plenamente (empleados, consumidores externos o integraciones de terceros), valide y desinfecte los mensajes de la capa de aplicación antes de pasarlos a ellos. InvokeHarness Esto incluye eliminar los tipos de bloques de contenido o los campos de configuración de modelos que no deseas que se envíen. Este patrón es el mismo que el de cualquier servicio que acepte cargas de usuarios autorizados, como Lambda, Amazon API Gateway y Amazon SQS.

Las herramientas se ejecutan solo como resultado del razonamiento del modelo. El arnés no acepta el bloque ToolUse en el mensaje final de una InvokeHarness solicitud, por lo que la persona que llama no puede asignar un nombre a una herramienta y hacer que se la envíen directamente.

El siguiente ejemplo muestra una solicitud que el arnés está configurado para rechazar. El mensaje final contiene un toolUse bloque con el nombre de la shell herramienta integrada:

response = client.invoke_harness(
    harnessArn=HARNESS_ARN,
    runtimeSessionId=SESSION_ID,
    messages=[{
      "role": "assistant",
      "content": [
        {
          "toolUse": {
            "toolUseId": TOOL_USE_ID,
            "name": "shell",
            "input": {
              "command": "pwd",
            }
          }
        }
      ]
    }],
)

El arnés no evalúa a qué herramienta asigna el nombre del bloque, por lo que esto se aplica a las herramientas integradas del lado del servidor y a las funciones integradas incluidas en la llamada.

Se sigue admitiendo la devolución del resultado de una herramienta. El arnés acepta un bloque ToolResult en el mensaje final y el modelo reanuda el razonamiento sobre ese resultado. Así es como funcionan las herramientas de funciones integradas: el toolUse mensaje del asistente va seguido del mensaje de la toolResult misma solicitud, por lo que el toolUse bloque no aparece en el mensaje final.

Parámetros de configuración del modelo

Este model campo InvokeHarness acepta las configuraciones additionalParams de Bedrock, OpenAI y LitellM. Estos parámetros se transfieren sin cambios al proveedor del modelo subyacente. El arnés no valida, filtra ni restringe estos parámetros.

Las personas que llaman y pueden configurarlos additionalParams pueden:

Si su aplicación ofrece InvokeHarness capacidades a personas que llaman en las que no confía plenamente, considere la posibilidad de implementar la validación de entradas en la capa de aplicación. Entre los ejemplos se incluyen:

Habilidades e instrucciones

Las habilidades son paquetes de códigos y scripts que el arnés obtiene de Amazon S3 o Git en el momento de la invocación y los inyecta en el contexto del agente. El arnés trata todo el contenido de las habilidades como entradas confiables. No valida, desinfecta ni inspecciona el contenido o la fuente de las habilidades antes de proporcionárselas al agente.

Su responsabilidad incluye:

Las habilidades se pueden anular por llamada. InvokeHarness Si tu aplicación reenvía la información proporcionada por la persona que llama aInvokeHarness, la persona que llama puede proporcionar sus propias fuentes de habilidades que contengan instrucciones o scripts arbitrarios. Entre los ejemplos de mitigaciones se incluyen los siguientes:

Observabilidad y correlación de trazas

El arnés propaga automáticamente los identificadores de correlación a las AgentCore primitivas descendentes (puerta de enlace, memoria, intérprete de código, navegador) para permitir la visualización unificada del rastreo. CloudWatch Estos identificadores se utilizan únicamente con fines de observabilidad; nunca se utilizan para tomar decisiones de autorización o acceso a los datos.

Configuración de red

De forma predeterminada, las sesiones de arnés se ejecutan en la red pública. Para acceder a los recursos privados (bases de datos, API internas, subredes privadas), implementa el arnés en tu VPC.

Para obtener más información sobre la configuración de la red, consulta Configurar el AgentCore tiempo de ejecución y la configuración de VPC con las herramientas integradas. Para obtener información sobre la conectividad de la API entrante a través de los puntos de conexión de la interfaz de la VPC PrivateLink, consulte los puntos finales

OAuth entrante

Exija a las personas que llaman que presenten un JWT válido emitido por un proveedor de identidad configurado antes de poder invocar el arnés. AgentCore Identity transfiere la identidad del usuario final al agente, de modo que las herramientas posteriores pueden llamar a las API con credenciales de usuario específicas en lugar de usar una cuenta de servicio compartida.

Más información: AgentCore Identidad · Autorizador JWT entrante · credenciales salientes https://docs.aws.amazon.com/bedrock-agentcore/latest/devguide/identity-outbound-credential-provider.html

Políticas de pasarela

Cuando las herramientas se ofrecen a través de AgentCore Gateway, Cedar-based las políticas bloquean todas las llamadas: quién puede llamar a qué herramienta, en qué condiciones y con qué argumentos.

Más información: AgentCore Política · patrones comunes

Política de roles de ejecución

El arnés asume la función de ejecución de IAM que usted proporcione. La política de confianza del rol debe permitir que el director del AgentCore servicio lo asuma:

{
  "Version": "2012-10-17",
  "Statement": [{
    "Effect": "Allow",
    "Principal": {"Service": "bedrock-agentcore.amazonaws.com"},
    "Action": "sts:AssumeRole"
  }]
}

Permisos de IAM necesarios para las personas que llaman

Las API de Harness requieren permisos tanto en el recurso de Harness como en los recursos de AgentCore tiempo de ejecución y de AgentCore memoria opcionales subyacentes. En la siguiente tabla se enumeran las acciones necesarias para cada API:

La mayoría de las acciones utilizan el ARN del arnés como ámbito del recurso:arn:aws:bedrock-agentcore:<region>:<accountId>:harness/<id>. Las acciones de punto final también utilizan el ARN de punto final del arnés:. arn:aws:bedrock-agentcore:<region>:<accountId>:harness/<id>/harness-endpoint/<endpointName>

Las DeleteHarnessEndpoint acciones GetHarnessEndpointUpdateHarnessEndpoint, y requieren tanto el ARN del arnés como el ARN del punto final. CreateHarnessEndpointsolo requiere el ARN del arnés. El punto final aún no existe, por lo que no se necesita ningún ARN del punto final. Cuando se invoca un punto final personalizado InvokeHarness y se InvokeAgentRuntimeCommand requieren tanto el ARN del arnés como el ARN del punto final.

Ejemplo de política de funciones de ejecución

El siguiente ejemplo describe un uso de la red pública, que extrae su imagen de contenedor administrado de Amazon ECR Public. Un arnés en modo VPC extrae la imagen gestionada de un repositorio privado de Amazon ECR en la región del arnés, por lo que su función de ejecución también necesita permisos de extracción de ECR privados. Agregue las sentencias en el modo VPC: la imagen gestionada se extrae de un ECR privado y pasarla a la función de ejecución, a modo de arnés. VPC-mode

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "BedrockModelInvocation",
      "Effect": "Allow",
      "Action": [
        "bedrock:InvokeModel",
        "bedrock:InvokeModelWithResponseStream"
      ],
      "Resource": [
        "arn:aws:bedrock:*::foundation-model/*",
        "arn:aws:bedrock:<region>:<accountId>:*"
      ]
    },
    {
      "Sid": "EcrPublicTokenAccess",
      "Effect": "Allow",
      "Action": [
        "ecr-public:GetAuthorizationToken"
      ],
      "Resource": "*"
    },
    {
      "Sid": "StsForEcrPublicPull",
      "Effect": "Allow",
      "Action": [
        "sts:GetServiceBearerToken"
      ],
      "Resource": "*"
    },
    {
      "Sid": "XRayTracingAccess",
      "Effect": "Allow",
      "Action": [
        "xray:PutTraceSegments",
        "xray:PutTelemetryRecords",
        "xray:GetSamplingRules",
        "xray:GetSamplingTargets"
      ],
      "Resource": "*"
    },
    {
      "Sid": "CloudWatchLogsGroup",
      "Effect": "Allow",
      "Action": [
        "logs:CreateLogGroup",
        "logs:DescribeLogStreams"
      ],
      "Resource": "arn:aws:logs:<region>:<accountId>:log-group:/aws/bedrock-agentcore/runtimes/*"
    },
    {
      "Sid": "CloudWatchLogsDescribeGroups",
      "Effect": "Allow",
      "Action": [
        "logs:DescribeLogGroups"
      ],
      "Resource": "arn:aws:logs:<region>:<accountId>:log-group:*"
    },
    {
      "Sid": "CloudWatchLogsStream",
      "Effect": "Allow",
      "Action": [
        "logs:CreateLogStream",
        "logs:PutLogEvents"
      ],
      "Resource": "arn:aws:logs:<region>:<accountId>:log-group:/aws/bedrock-agentcore/runtimes/*:log-stream:*"
    },
    {
      "Sid": "CloudWatchLogsPutResourcePolicy",
      "Effect": "Allow",
      "Action": [
        "logs:PutResourcePolicy"
      ],
      "Resource": "*"
    },
    {
      "Sid": "CloudWatchMetricsPublish",
      "Effect": "Allow",
      "Resource": "*",
      "Action": "cloudwatch:PutMetricData",
      "Condition": {
        "StringEquals": {
          "cloudwatch:namespace": "bedrock-agentcore"
        }
      }
    },
    {
      "Sid": "AgentCoreWorkloadIdentity",
      "Effect": "Allow",
      "Action": [
        "bedrock-agentcore:GetWorkloadAccessToken",
        "bedrock-agentcore:GetWorkloadAccessTokenForJWT"
      ],
      "Resource": [
        "arn:aws:bedrock-agentcore:<region>:<accountId>:workload-identity-directory/default",
        "arn:aws:bedrock-agentcore:<region>:<accountId>:workload-identity-directory/default/workload-identity/harness_<agentName>-*"
      ]
    },
    {
      "Sid": "AgentCoreBrowserDefault",
      "Effect": "Allow",
      "Action": [
        "bedrock-agentcore:StartBrowserSession",
        "bedrock-agentcore:StopBrowserSession",
        "bedrock-agentcore:GetBrowserSession",
        "bedrock-agentcore:ListBrowserSessions",
        "bedrock-agentcore:UpdateBrowserStream",
        "bedrock-agentcore:ConnectBrowserAutomationStream",
        "bedrock-agentcore:ConnectBrowserLiveViewStream"
      ],
      "Resource": "arn:aws:bedrock-agentcore:<region>:aws:browser/*"
    },
    {
      "Sid": "AgentCoreCodeInterpreterDefault",
      "Effect": "Allow",
      "Action": [
        "bedrock-agentcore:StartCodeInterpreterSession",
        "bedrock-agentcore:StopCodeInterpreterSession",
        "bedrock-agentcore:GetCodeInterpreterSession",
        "bedrock-agentcore:ListCodeInterpreterSessions",
        "bedrock-agentcore:InvokeCodeInterpreter"
      ],
      "Resource": "arn:aws:bedrock-agentcore:<region>:aws:code-interpreter/*"
    },
    {
      "Sid": "AgentCoreMemory",
      "Effect": "Allow",
      "Action": [
        "bedrock-agentcore:CreateEvent",
        "bedrock-agentcore:DeleteEvent",
        "bedrock-agentcore:GetEvent",
        "bedrock-agentcore:ListEvents",
        "bedrock-agentcore:RetrieveMemoryRecords"
      ],
      "Resource": "arn:aws:bedrock-agentcore:<region>:<accountId>:memory/harness_<agentNameAbbrv>_*"
    }
  ]
}

La AgentCore CLI crea automáticamente un rol con estos permisos al estructurar un proyecto de arnés. La política anterior es para los casos en los que usted mismo crea el rol.

En el caso de las cargas de trabajo de producción, defina Resource los valores hasta los ARN específicos que su arnés necesita en lugar de utilizar. "*"

Permisos adicionales para funciones opcionales

A continuación se muestran ejemplos de políticas que puede añadir a su rol de ejecución en función de las funciones que utilice su arnés. Sigue el principio del mínimo privilegio: concede a tu agente de arnés solo las herramientas y credenciales específicas que necesita para realizar inferencias. Consulte las definiciones Referencia de marcador de posición de los marcadores de posición.

Acceso ECR privado (imágenes de contenedor personalizadas)

Agregue esta política cuando su arnés utilice una imagen de ECR privada para un contenedor personalizado.

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "ECRImageAccess",
      "Effect": "Allow",
      "Action": [
        "ecr:GetDownloadUrlForLayer",
        "ecr:BatchGetImage"
      ],
      "Resource": "arn:aws:ecr:<ecrRegion>:<ecrAccountId>:repository/<ecrRepoName>"
    },
    {
      "Sid": "ECRTokenAccess",
      "Effect": "Allow",
      "Action": "ecr:GetAuthorizationToken",
      "Resource": "*"
    }
  ]
}

Modo VPC: extracción de imágenes gestionada desde un ECR privado

Agregue esta política cuando su arnés se ejecute en modo VPC. En el modo VPC, el arnés extrae su contenedor de aplicaciones gestionado de un repositorio privado de Amazon ECR en la región del arnés (con nombre). harness-<region> Esta extracción utiliza un ECR privado en lugar de Amazon ECR Public, por lo que el rol de ejecución necesita permisos de extracción de ECR privados. Esta política es independiente de los permisos de imagen de contenedor personalizados; se aplica a la imagen AWS gestionada aunque no suministres tu propio contenedor.

El repositorio es propiedad de una cuenta de AWS servicio, por lo que la cuenta del ARN del repositorio tiene un carácter comodín. Los permisos de extracción se aplican a la región del arnés.

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "EcrManagedImagePull",
      "Effect": "Allow",
      "Action": [
        "ecr:BatchGetImage",
        "ecr:GetDownloadUrlForLayer",
        "ecr:BatchCheckLayerAvailability"
      ],
      "Resource": "arn:aws:ecr:<region>:*:repository/harness-*"
    },
    {
      "Sid": "EcrManagedImageToken",
      "Effect": "Allow",
      "Action": "ecr:GetAuthorizationToken",
      "Resource": "*"
    }
  ]
}

Asegúrese de que los puntos finales de la VPC necesarios existan en su VPC (consulte Configuración de red): puntos finales de interfaz para com.amazonaws.<region>.ecr.dkr y y com.amazonaws.<region>.ecr.api un punto final de puerta de enlace para. com.amazonaws.<region>.s3

AgentCore Memoria

Agregue esta política cuando su arnés utilice una instancia de memoria propiedad del cliente.

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "AgentCoreMemory",
      "Effect": "Allow",
      "Action": [
        "bedrock-agentcore:CreateEvent",
        "bedrock-agentcore:DeleteEvent",
        "bedrock-agentcore:GetEvent",
        "bedrock-agentcore:ListEvents",
        "bedrock-agentcore:RetrieveMemoryRecords"
      ],
      "Resource": "arn:aws:bedrock-agentcore:<region>:<accountId>:memory/<memoryId>"
    }
  ]
}

AgentCore Navegador (personalizado)

Agregue esta política cuando su arnés utilice un recurso de navegador personalizado propiedad del cliente.

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "AgentCoreBrowserCustom",
      "Effect": "Allow",
      "Action": [
        "bedrock-agentcore:StartBrowserSession",
        "bedrock-agentcore:StopBrowserSession",
        "bedrock-agentcore:GetBrowserSession",
        "bedrock-agentcore:ListBrowserSessions",
        "bedrock-agentcore:UpdateBrowserStream",
        "bedrock-agentcore:ConnectBrowserAutomationStream",
        "bedrock-agentcore:ConnectBrowserLiveViewStream"
      ],
      "Resource": "arn:aws:bedrock-agentcore:<region>:<accountId>:browser-custom/<browserCustomId>"
    }
  ]
}

AgentCore Intérprete de código (personalizado)

Agregue esta política cuando su arnés utilice un intérprete de código personalizado propiedad del cliente.

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "AgentCoreCodeInterpreterCustom",
      "Effect": "Allow",
      "Action": [
        "bedrock-agentcore:StartCodeInterpreterSession",
        "bedrock-agentcore:StopCodeInterpreterSession",
        "bedrock-agentcore:GetCodeInterpreterSession",
        "bedrock-agentcore:ListCodeInterpreterSessions",
        "bedrock-agentcore:InvokeCodeInterpreter"
      ],
      "Resource": "arn:aws:bedrock-agentcore:<region>:<accountId>:code-interpreter-custom/<codeInterpreterCustomId>"
    }
  ]
}

AgentCore Gateway

Agregue esta política cuando su arnés utilice una puerta de enlace configurada con la autenticación entrante SIGv4.

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "AgentCoreGatewayAccess",
      "Effect": "Allow",
      "Action": "bedrock-agentcore:InvokeGateway",
      "Resource": "arn:aws:bedrock-agentcore:<region>:<accountId>:gateway/<gatewayId>"
    }
  ]
}

Fuentes de habilidades en Amazon S3 y Git

Agregue esta política cuando su arnés obtenga una habilidad de una fuente de Amazon S3. El rol de ejecución muestra y descarga los objetos de habilidad con el prefijo bucket.

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "AgentCoreSkillS3Access",
      "Effect": "Allow",
      "Action": [
        "s3:GetObject",
        "s3:ListBucket"
      ],
      "Resource": [
        "arn:aws:s3:::<skillBucket>",
        "arn:aws:s3:::<skillBucket>/*"
      ]
    }
  ]
}

Para obtener una habilidad de un repositorio privado de Git, el arnés lee un token de acceso personal de un proveedor de credenciales de claves de API. Aplica la política de proveedor de credenciales de claves de API que se muestra a continuación para el proveedor de credenciales que contiene el token.

Proveedor de credenciales de claves de API (referencias ARN de encabezados de OpenAI, Gemini, LitellM o MCP)

Agregue esta política cuando su arnés utilice un proveedor de credenciales de claves de API para proveedores de modelos como OpenAI, Gemini o LitELLM.

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "AgentCoreApiKeyTokenVaultDefault",
      "Effect": "Allow",
      "Action": "bedrock-agentcore:GetResourceApiKey",
      "Resource": [
        "arn:aws:bedrock-agentcore:<region>:<accountId>:token-vault/default",
        "arn:aws:bedrock-agentcore:<region>:<accountId>:workload-identity-directory/default",
        "arn:aws:bedrock-agentcore:<region>:<accountId>:workload-identity-directory/default/workload-identity/harness_<agentName>-*"
      ]
    },
    {
      "Sid": "AgentCoreApiKeyTokenVaultPerKey",
      "Effect": "Allow",
      "Action": "bedrock-agentcore:GetResourceApiKey",
      "Resource": "arn:aws:bedrock-agentcore:<region>:<accountId>:token-vault/default/apikeycredentialprovider/<apiKeyName>"
    },
    {
      "Sid": "AgentCoreApiKeySecret",
      "Effect": "Allow",
      "Action": "secretsmanager:GetSecretValue",
      "Resource": "arn:aws:secretsmanager:<region>:<accountId>:secret:bedrock-agentcore-identity!default/apikey/<apiKeyName>-*"
    }
  ]
}

Proveedor de credenciales OAuth2 (Gateway) OAuth-protected

Agregue esta política cuando su arnés utilice un proveedor de credenciales de OAuth2 para las herramientas de puerta de enlace. OAuth-protected

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "AgentCoreOAuth2TokenVaultDefault",
      "Effect": "Allow",
      "Action": "bedrock-agentcore:GetResourceOauth2Token",
      "Resource": [
        "arn:aws:bedrock-agentcore:<region>:<accountId>:token-vault/default",
        "arn:aws:bedrock-agentcore:<region>:<accountId>:workload-identity-directory/default",
        "arn:aws:bedrock-agentcore:<region>:<accountId>:workload-identity-directory/default/workload-identity/harness_<agentName>-*"
      ]
    },
    {
      "Sid": "AgentCoreOAuth2TokenVaultPerProvider",
      "Effect": "Allow",
      "Action": "bedrock-agentcore:GetResourceOauth2Token",
      "Resource": "arn:aws:bedrock-agentcore:<region>:<accountId>:token-vault/default/oauth2credentialprovider/<oauthProviderName>"
    },
    {
      "Sid": "AgentCoreOAuth2Secret",
      "Effect": "Allow",
      "Action": "secretsmanager:GetSecretValue",
      "Resource": "arn:aws:secretsmanager:<region>:<accountId>:secret:bedrock-agentcore-identity!default/oauth2/<oauthProviderName>-*"
    }
  ]
}

Referencia de marcador de posición

Sustituya los siguientes marcadores de posición en las políticas anteriores por valores específicos de su entorno:

Temas relacionados