Requisitos previos para los pagos AgentCore

Complete los requisitos previos de esta página antes de utilizar AgentCore los pagos.

AWS cuenta y credenciales

Necesita una AWS cuenta con las credenciales configuradas. Para configurar las credenciales, instale y utilice la interfaz de línea de AWS comandos siguiendo los pasos que se indican en Introducción a la AWS CLI.

# Verify installation
aws --version  # Should show version 2.x

Python y AWS SDK

Para acceder a sus AWS credenciales y configurarlas para usarlas con los SDK, siga los pasos que se indican en Uso del centro de identidad de IAM para autenticar el AWS SDK y las herramientas. Si planeas usar el SDK de AWS Python (Boto3) para interactuar con los AgentCore pagos mediante programación:

Para obtener más información sobre cómo configurar y usar el AWS SDK, consulte AWS Builder Tools.

Credenciales del proveedor de pagos

AgentCore payments se conecta a proveedores de pagos externos para las operaciones de monederos de criptomonedas. Debe obtener las credenciales de al menos un proveedor compatible antes de crear un PaymentConnector.

Credenciales de Coinbase CDP

Si planea utilizar Coinbase CDP como proveedor de pagos para carteras administradas por desarrolladores, obtenga las siguientes credenciales en la plataforma para desarrolladores de Coinbase. La AgentCore plantilla de Coinbase GitHub proporciona una interfaz de referencia para acumular fondos y conceder permisos a los agentes.

Credenciales privadas

Si planea usar Privy para flujos de monederos integrados propiedad de los usuarios, obtenga las siguientes credenciales en el panel de control de Privy. El AgentCore SDK de Privy GitHub ofrece una interfaz de referencia para acumular fondos y conceder permisos a los agentes.

Mejores prácticas de seguridad para las credenciales de Privy

Cree una aplicación Privy dedicada para AgentCore

Cree una aplicación Privy independiente que se utilice exclusivamente para AgentCore los pagos. Esto reduce el alcance de las credenciales y simplifica la auditoría de las operaciones del monedero.

Restrinja el acceso secreto a los servicios AgentCore

Cuando guardes tu privacidad App Secret en AgentCore Identity como tal PaymentCredentialProvider, asegúrate de que solo el rol del servicio de AgentCore pagos pueda recuperar el secreto. No conceda acceso al secreto subyacente de AWS Secrets Manager a ningún otro responsable de IAM. La siguiente política de recursos sobre el secreto restringe el acceso a la AgentCore función de servicio:

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Deny",
            "Principal": "*",
            "Action": "secretsmanager:GetSecretValue",
            "Resource": "*",
            "Condition": {
                "StringNotEquals": {
                    "aws:PrincipalArn": "arn:aws:iam::111122223333:role/AgentCorePaymentsResourceRetrievalRole"
                }
            }
        }
    ]
}

Divulgue los secretos con regularidad

Cambia tus credenciales de privacidad de forma regular para reducir el período de exposición de cualquier secreto comprometido.

Para rotar las credenciales:

Después de obtener las credenciales de su proveedor, las almacena en AgentCore Identity como PaymentCredentialProvider. Para obtener instrucciones, consulte Configurar proveedores de credenciales de pago. Para ver el esquema completo de solicitudes y respuestas, consulta la referencia CreatePaymentCredentialProviderde la API.

(Opcional) Proveedor de identidad para la autorización de JWT

Si planea utilizar la autorización de JWT para el acceso entrante a su administrador de pagos (para permitir que los consumidores accedan al administrador de pagos con identidades que no sean de IAM), configure Amazon Cognito o su propio proveedor de identidad antes de crear el administrador de pagos:

Como alternativa, puede elegir la creación rápida de configuraciones con Cognito durante la creación del Gestor de AgentCore pagos y Payments crea las configuraciones de autorización en su nombre.

Para obtener instrucciones detalladas, consulte Configurar el autorizador JWT entrante.