Las traducciones son generadas a través de traducción automática. En caso de conflicto entre la traducción y la version original de inglés, prevalecerá la version en inglés.

Compartir un registro entre cuentas con AWS RAM

Puede compartir un registro de AWS agentes con otras AWS cuentas mediante AWS Resource Access Manager (RAM). Al compartir la RAM, cuentas ajenas a la suya pueden descubrir, publicar o administrar los registros de su registro, sin ser propietarias del registro en sí.

Cuando compartes un registro, RAM crea y administra una política basada en los recursos en tu nombre. Tú eliges un permiso administrado que controla las acciones que puede realizar la cuenta de consumidor, y la RAM se encarga del resto.

Cómo funciona el uso compartido entre cuentas

Cross-account para compartir se sigue un proceso de tres pasos:

Características clave:

Requisitos previos

Antes de compartir un registro, asegúrese de cumplir los siguientes requisitos:

En la cuenta del propietario del registro:

En la cuenta de consumidor:

Para compartir información interna entre la organización:

Permisos gestionados por RAM para AWS Registro de agentes

Cuando compartes un registro, adjuntas un permiso administrado de AWS RAM que controla las acciones que puede realizar la cuenta de consumidor. AWS Agent Registry proporciona cuatro permisos administrados: uno predeterminado y tres basados en roles. Estos le permiten conceder el acceso mínimo necesario para cada caso de uso.

AWSRAMDefaultPermissionAgentRegistryReadOnly

Este es el permiso predeterminado para el tipo agent-registry:Registry de recurso. Al crear un recurso compartido sin especificar un permiso, la RAM adjunta este permiso automáticamente. Concede acceso de solo lectura a los metadatos y registros del registro (tanto para las lecturas del plano de control como para el descubrimiento del plano de datos), pero no permite publicar registros ni invocar el punto final del Protocolo de contexto modelo (MCP) del registro.

Caso de uso: compartir un registro para facilitar la visibilidad y la auditoría. El consumidor puede navegar y buscar en el catálogo, pero no puede publicar, modificar ni invocar herramientas a través del punto final del MCP.

Permisos concedidos:

AWSRAMPermissionAgentRegistryForConsumer

Este permiso otorga acceso a la detección del plano de datos y la posibilidad de invocar el punto final MCP del registro. Utilice este permiso para la persona consumidora: agentes de inteligencia artificial o usuarios humanos que necesitan descubrir y utilizar las herramientas registradas en el catálogo.

Caso práctico: comparta un registro con una cuenta cuyos agentes necesiten descubrir las herramientas e invocarlas a través del terminal del MCP. El consumidor no puede crear ni administrar registros.

Permisos concedidos:

AWSRAMPermissionAgentRegistryForPublisher

Este permiso otorga todo lo que otorga el permiso de consumidor, además del acceso al plano de control para crear, actualizar, eliminar y enviar registros para su aprobación. Usa este permiso para la persona que publica: los creadores de una cuenta compartida que aportan recursos a un registro de propiedad centralizada.

Caso práctico: comparta un registro con un equipo que necesite publicar servidores, agentes o herramientas de MCP en su catálogo. El editor puede gestionar sus propios registros y descubrir otros, pero no puede aprobarlos ni rechazarlos.

Permisos concedidos:

AWSRAMPermissionAgentRegistryForAdmin

Este permiso otorga todo lo que otorga el permiso del editor, además de la posibilidad de aprobar, rechazar o dejar en desuso los registros. Usa este permiso para la persona de administrador: un administrador delegado de otra cuenta que gestiona el registro compartido en nombre del propietario.

Caso práctico: comparte un registro con una cuenta que gestione el ciclo de vida completo de los registros (publicación, revisión y aprobación de los registros) sin ser propietario de la propia infraestructura de registro. El administrador no puede actualizar ni eliminar el registro.

Permisos concedidos:

Elegir un permiso administrado

Crear un permiso administrado por el cliente

Para casos de uso avanzados, como restringir el acceso solo a los registros creados por una cuenta específica mediante claves de condición, puedes crear un permiso de RAM administrado por el cliente. Customer-managed los permisos permiten definir Condition bloques personalizados que hacen referencia a las claves de condición del Registro de Agentes. AWS

Para obtener más información sobre la creación de permisos administrados por el cliente, consulte los recursos que se pueden compartir en la Guía del usuario de AWS RAM.

Para ver las claves de condición disponibles para el Registro de AWS agentes, consulte. Claves de condición para un acceso detallado a los registros

Compartir un registro con otra cuenta

Solo el propietario del registro puede iniciar el uso compartido.

Consola

La tabla de compartición del registro muestra la asociación. En el caso de las acciones externas, el estado de asociación muestra el estado de asociación hasta que el consumidor acepte la invitación.

AWS CLI

Usa el create-resource-share comando para crear un recurso compartido de RAM con el ARN del registro y el identificador de la cuenta de consumidor:

aws ram create-resource-share \
  --name "my-registry-share" \
  --resource-arns "arn:aws:agent-registry:us-east-1:111122223333:registry/MyRegistryId" \
  --principals "444455556666" \
  --permission-arns "arn:aws:ram::aws:permission/AWSRAMPermissionAgentRegistryForConsumer" \
  --allow-external-principals

Sustituya lo siguiente:

Verifica que el recurso compartido esté activo:

aws ram get-resource-share-associations \
  --association-type RESOURCE \
  --resource-arns "arn:aws:agent-registry:us-east-1:111122223333:registry/MyRegistryId"

Acepta una invitación para compartir

Cuando se comparte un registro con una cuenta ajena a la AWS organización del propietario, la cuenta del consumidor recibe una invitación. El consumidor debe aceptar la invitación antes de poder acceder al registro compartido.

Consola

Después de aceptar, el registro compartido aparece en la lista de registro del consumidor. También puedes elegir Ver detalles de la invitación para ver el contenido compartido en la consola AWS RAM.

AWS CLI

Busca la invitación pendiente:

aws ram get-resource-share-invitations \
  --query 'resourceShareInvitations[?status==`PENDING`]'

Acepta la invitación utilizando el ARN de invitación que aparece en la respuesta:

aws ram accept-resource-share-invitation \
  --resource-share-invitation-arn "arn:aws:ram:us-east-1:111122223333:resource-share-invitation/12345678-abcd-efgh-ijkl-123456789012"

Rechazar una invitación para compartir

Si no quieres acceder a un registro compartido, puedes rechazar la invitación. Rechazar una invitación significa que no tendrá acceso al registro compartido.

Consola

AWS CLI

Busca la invitación pendiente:

aws ram get-resource-share-invitations \
  --query 'resourceShareInvitations[?status==`PENDING`]'

Rechaza la invitación:

aws ram reject-resource-share-invitation \
  --resource-share-invitation-arn "arn:aws:ram:us-east-1:111122223333:resource-share-invitation/12345678-abcd-efgh-ijkl-123456789012"

Acceder a un registro compartido

Una vez que el recurso compartido esté activo (ya sea aceptando una invitación o aceptándolo automáticamente a nivel de la organización), el consumidor llama a las API de AWS Agent Registry utilizando sus propias credenciales comparándolas con el ARN del registro del propietario. Las operaciones específicas disponibles dependen del permiso administrado adjunto al recurso compartido.

Ejemplo: descubra los registros como consumidor

# List approved records in the shared registry
aws agent-registry list-discoverable-registry-records \
  --registry-id "arn:aws:agent-registry:us-east-1:111122223333:registry/MyRegistryId"

# Search for tools
aws agent-registry search-discoverable-registry-records \
  --registry-ids "arn:aws:agent-registry:us-east-1:111122223333:registry/MyRegistryId" \
  --search-query "order management"

# Get full record details
aws agent-registry batch-get-discoverable-registry-record \
  --entries '[{"registryId":"arn:aws:agent-registry:us-east-1:111122223333:registry/MyRegistryId","recordIds":["arn:aws:agent-registry:us-east-1:111122223333:registry/MyRegistryId/record/MyRecordId"]}]'

Ejemplo: publicar un registro como editor

aws agent-registry-control create-registry-record \
  --registry-id "arn:aws:agent-registry:us-east-1:111122223333:registry/MyRegistryId" \
  --name "my-mcp-server" \
  --display-name "Order Management MCP Server" \
  --record-type MCP \
  --descriptors '{"mcpServer": {"data": "{\"name\": \"order-mgmt\", \"description\": \"Order management tools\", \"version\": \"1.0.0\"}", "dataSchemaVersion": "2025-12-11"}}' \
  --record-version "1.0"

Dejar de compartir con una cuenta

Para revocar el acceso de un consumidor a tu registro compartido, elimina la cuenta de consumidor del recurso compartido.

Consola

El consumidor pierde inmediatamente el acceso al registro. Es posible que se produzca un breve retraso de propagación (hasta 30 segundos) antes de que se revoque por completo el acceso.

AWS CLI

disassociate-resource-shareUtilízalo para eliminar una cuenta de consumidor de la acción:

aws ram disassociate-resource-share \
  --resource-share-arn "arn:aws:ram:us-east-1:111122223333:resource-share/12345678-1234-1234-1234-123456789012" \
  --principals "444455556666"

Verifique que el principal esté desvinculado:

aws ram get-resource-share-associations \
  --association-type PRINCIPAL \
  --resource-share-arns "arn:aws:ram:us-east-1:111122223333:resource-share/12345678-1234-1234-1234-123456789012"

Para eliminar todo el recurso compartido (eliminar todas las cuentas de los consumidores a la vez):

aws ram delete-resource-share \
  --resource-share-arn "arn:aws:ram:us-east-1:111122223333:resource-share/12345678-1234-1234-1234-123456789012"

Claves de condición para un acceso detallado a los registros

AWS El registro de agentes proporciona dos claves de condición específicas del servicio. Puede usar estas claves en los permisos de RAM, las políticas de identidad de IAM y los SCP administrados por el cliente para controlar el acceso a nivel de registro individual. Son especialmente útiles cuando se comparte un registro entre cuentas, cuando se desea que una cuenta de consumidor actúe únicamente en función de los registros de su propiedad o que se originan en su propia cuenta, aunque el registro sea propiedad de otra cuenta.

Ambas claves se resuelven en el momento de la autorización a partir del registro almacenado y no se pueden configurar a partir de la entrada de una solicitud, por lo que un consumidor no puede falsificarlas para acceder a los registros que pertenecen a otras cuentas.

Claves de estado del registro

Las siguientes claves de condición se aplican a las operaciones a nivel de registro que figuran en la columna de operaciones de la API.

Si necesitas mantener los registros de otras cuentas completamente fuera de la vista del consumidor, no concedas el permiso compartido a las acciones de búsqueda y creación de listas.

Ejemplo: Restrinja el acceso a los registros creados por el consumidor

El siguiente permiso de RAM administrado por el cliente permite al consumidor leer, actualizar y eliminar solo los registros en los que la cuenta del creador coincide con la propia cuenta del consumidor:

{
  "Effect": "Allow",
  "Action": [
    "agent-registry:GetDiscoverableRegistryRecord",
    "agent-registry:GetRegistryRecord",
    "agent-registry:UpdateRegistryRecord",
    "agent-registry:DeleteRegistryRecord"
  ],
  "Condition": {
    "StringEquals": {
      "agent-registry:RecordCreatorAccount": "${aws:PrincipalAccount}"
    }
  }
}

La variable ${aws:PrincipalAccount} de política se resuelve de forma dinámica en el momento de la evaluación: cada consumidor solo puede acceder a los registros que haya creado él mismo, incluso dentro de un registro compartido.

Ejemplo: restringir el acceso a los registros que se originan en la cuenta del consumidor

El siguiente permiso de RAM administrado por el cliente permite al consumidor leer únicamente los registros cuyo recurso de origen reside en la propia cuenta del consumidor, lo que resulta útil cuando los registros se detectan automáticamente en los recursos que son propiedad del consumidor:

{
  "Effect": "Allow",
  "Action": [
    "agent-registry:GetDiscoverableRegistryRecord",
    "agent-registry:GetRegistryRecord"
  ],
  "Condition": {
    "StringEquals": {
      "agent-registry:RecordSourceAccount": "${aws:PrincipalAccount}"
    }
  }
}

Para obtener instrucciones sobre cómo crear un permiso de RAM administrado por el cliente, consulte Crear un permiso administrado por el cliente en la Guía del usuario de RAM. AWS

Resolución de problemas