Las traducciones son generadas a través de traducción automática. En caso de conflicto entre la traducción y la version original de inglés, prevalecerá la version en inglés.
Conceptos clave
Antes de utilizar la política en Amazon Bedrock AgentCore, es importante comprender los conceptos y componentes clave que funcionan en conjunto para proporcionar una gobernanza basada en políticas a sus agentes de IA.
Temas
Puerta de enlace
Un Amazon Bedrock AgentCore Gateway proporciona un punto final para conectarse a los servidores de MCP y convertir las API y lambda en herramientas compatibles con MCP, lo que proporciona un punto de acceso único para que un agente interactúe con sus herramientas. Una puerta de enlace puede tener varios objetivos, cada uno de los cuales representa una herramienta o conjunto de herramientas diferente.
Gateway Target
Un objetivo define las API o la función Lambda que una puerta de enlace proporcionará como herramientas a un agente. Los objetivos pueden ser funciones de Lambda, especificaciones de OpenAPI, modelos de Smithy u otras definiciones de herramientas.
Tipos principales
Las pólizas Cedar utilizan a los principales para representar a la entidad que hace una solicitud de autorización. La política AgentCore admite dos tipos principales, según cómo esté configurada su AgentCore puerta de enlace para la autenticación:
-
AgentCore:: OAuthUser - Representa a OAuth-authenticated los usuarios. Cuando una AgentCore puerta de enlace usa la autorización de OAuth, el principal se crea a partir de la afirmación del token JWT.
subLos principales de OAuth admiten etiquetas que contienen afirmaciones de JWT, como el nombre de usuario, el alcance, el rol, etc. -
AgentCore:: - Representa a las personas que llaman IamEntity. IAM-authenticated Cuando una AgentCore puerta de enlace utiliza la autorización AWS_IAM, el principal se crea a partir de la identidad de IAM de la persona que llama. Los directores de IAM tienen un
idatributo que contiene el ARN de IAM (formato:arn:aws:sts::<account>:assumed-role/<role-name>para los roles asumidos), lo que permite una coincidencia estable.principal ==Consulte las condiciones de la política para obtener más información.
Cedro
Cedar
Política de Cedar
Una política de Cedar es una declaración declarativa que permite o prohíbe el acceso a las herramientas de pasarela. Cada política especifica quién (director) puede realizar qué acción (invocar una herramienta) en qué recurso (puerta de enlace) y en qué condiciones. Las políticas se evalúan para cada solicitud de invocación de herramientas.
Cornejo
Dogwood
Políticas temporales
La mayoría de las políticas de Cedar no tienen estado: cada solicitud se evalúa por sí sola. Una política temporal añade condiciones que dependen de lo que haya ocurrido al principio de la misma sesión, como exigir una aprobación previa, limitar la frecuencia con la que se ejecuta una acción o mantener el total acumulado por debajo de un umbral. Las políticas temporales se escriben en Dogwood, que es compatible con Cedar, y se evalúan comparándolas con una sesión de políticas que agrupa las solicitudes relacionadas. Para obtener más información, consulte Políticas Políticas temporales temporales.
Barreras de protección
Guarrail es un proveedor de información que una política de Dogwood puede consultar en línea. En el momento de la evaluación, una barrera calcula una señal de seguridad del contenido para la solicitud (por ejemplo, una puntuación de filtro de contenido, ataque rápido o información confidencial) y la política permite o prohíbe la acción en función de ese resultado. Para obtener más información, consulte las barreras de protección en las políticas.
Sesión de políticas
Una sesión de políticas es una secuencia de invocaciones de Gateway relacionadas agrupadas en un identificador de sesión, que se proporciona en el x-amzn-bedrock-agentcore-policy-session-id encabezado cuando se solicitan. Las políticas temporales se evalúan en función de una sesión de políticas: una condición temporal considera solo los eventos registrados para la misma sesión en la que se está autorizando la solicitud. Para obtener más información, consulte Sesiones de políticas y propagación de identidades.
Motor de políticas
El motor de políticas es el componente central de Policy in, ya AgentCore que almacena y evalúa las políticas de Cedar. Cuando creas políticas, se aplican a todas las puertas de enlace asociadas al motor, siempre que el alcance de la política coincida con la solicitud. Para cada invocación de una herramienta, el motor de políticas evalúa todas las políticas aplicables comparándolas con la solicitud para determinar si se permite o deniega el acceso. El motor aplica automáticamente la semántica de denegación predeterminada y prohibición de ganar.
Esquema Cedar
Un esquema Cedar define la estructura de las entidades, las acciones y el contexto para la validación de políticas. El motor de políticas genera automáticamente un esquema a partir de las definiciones de las herramientas de la puerta de enlace, asigna cada herramienta a una acción y define los parámetros de entrada esperados. El esquema garantiza que las políticas se validen en el momento de su creación y detecta los errores antes de la implementación.
Validación de Cedar
La validación de Cedar comprueba que las políticas son sintácticamente correctas y cumplen con el esquema. Cuando asocias políticas a una puerta de enlace, el motor de políticas las valida comparándolas con el esquema generado automáticamente para garantizar que hagan referencia a acciones válidas, usen los tipos de datos correctos y accedan solo a los campos de contexto definidos. La validación detecta los errores antes de implementar las políticas, lo que evita errores de autorización en tiempo de ejecución.
Análisis Cedar
El análisis Cedar utiliza un razonamiento automatizado para examinar las políticas y detectar posibles problemas. Policy in AgentCore utiliza un razonamiento automatizado para identificar las políticas que siempre permiten (no hay condiciones que restrinjan el acceso) o siempre lo deniegan (prohíben las políticas sin excepciones), lo que ayuda a garantizar que las políticas implementen el control de acceso previsto en lugar de ser demasiado permisivas o innecesariamente restrictivas.
Servicio de creación de políticas
El servicio de creación de políticas convierte automáticamente los requisitos de autorización en lenguaje natural en políticas de Cedar. Cuando envías una política de lenguaje natural, el servicio genera código Cedar sintácticamente correcto, lo valida comparándolo con el esquema de la pasarela y ejecuta análisis automatizados para detectar posibles problemas. Esto garantiza que todas las políticas generadas sean válidas y ayuda a identificar las reglas demasiado permisivas o restrictivas antes de la implementación.
