AWS políticas gestionadas para Amazon Bedrock AgentCore

bedrock-agentcore(Amazon Bedrock Agent Core): permite a los directores tener acceso completo a todos los recursos de Amazon Bedrock Agent Core.

iam(AWS Identity and Access Management): permite a los directores enumerar y obtener información sobre las funciones y políticas, y transferir las funciones con «BedrockAgentCore» en el nombre al servicio bedrock-agentcore. También permite crear roles vinculados a servicios para CloudWatch Application Signals, la AgentCore red Amazon Bedrock y la identidad de tiempo de ejecución de Amazon Bedrock AgentCore .

secretsmanager(AWS Secrets Manager): permite a los directores crear, actualizar, recuperar y eliminar secretos con nombres que comiencen por «bedrock-agentcore».

kms(Servicio de administración de AWS claves): permite a los directores enumerar y describir las claves y descifrar los datos de la misma AWS cuenta cuando se les llama a través del servicio Amazon Bedrock AgentCore .

s3(Amazon Simple Storage Service): permite a los directores obtener objetos de buckets S3 con nombres que comiencen por «bedrock-agentcore-gateway-» cuando se llaman a través del servicio Amazon Bedrock. AgentCore

lambda(AWS Lambda): permite a los directores enumerar las funciones de Lambda.

logs(Amazon CloudWatch Logs): permite a los directores acceder, consultar y gestionar los datos de registro en grupos de registros relacionados con Amazon Bedrock AgentCore y Application Signals, incluida la creación de grupos de registros y transmisiones.

application-autoscaling(Application Auto Scaling): permite a los directores describir las políticas de escalado.

application-signals(Amazon CloudWatch Application Signals): permite a los directores recuperar información sobre las señales de las aplicaciones e iniciar el descubrimiento.

autoscaling(Auto Scaling de Amazon EC2): permite a los directores describir los recursos de Auto Scaling.

cloudwatch(Amazon CloudWatch): permite a los directores recuperar y enumerar métricas, generar consultas y acceder a otros CloudWatch recursos.

oam(Amazon CloudWatch Observability Access Manager): permite a los directores enumerar los sumideros.

rum(Amazon CloudWatch RUM): permite a los directores recuperar y enumerar los recursos de RUM.

synthetics(Amazon CloudWatch Synthetics): permite a los directores describir y obtener información sobre los recursos de Synthetics.

xray(AWS X-Ray) — Permite a los directores recuperar información de rastreo, administrar los destinos de los segmentos de rastreo y trabajar con reglas de indexación.

ecr(Amazon Elastic Container Registry): permite a los directores describir repositorios, enumerar imágenes y describir imágenes.

bedrock(Amazon Bedrock): permite a los directores invocar modelos básicos y perfiles de inferencia con fines de evaluación.

iam:CreateRoleno está incluido. Al crear determinados AgentCore recursos (por ejemplo, arnés o tiempo de ejecución) en la consola, puede elegir que la consola cree automáticamente la función de ejecución del recurso en su nombre. Esto requiere iam:CreateRole permisos, que no están incluidos en esta política gestionada. Para obtener más información, consulte Solución de problemas de iam: CreateRole authorization en la consola.

iam:PassRolese basa en el nombre de la función. Al crear determinados AgentCore recursos (por ejemplo, Harness o Runtime), debe tener iam:PassRole permisos sobre la función de ejecución del recurso. Esta política administrada solo incluye iam:PassRole permisos para los roles con nombres coincidentes*BedrockAgentCore*. Para obtener más información, consulte Solución de problemas de iam: PassRole authorization.

GetWorkloadAccessTokenForUserIdestá incluido. Esta política otorga permiso para llamarGetWorkloadAccessTokenForUserId, lo que permite emitir tokens de acceso a la carga de trabajo mediante una cadena de identificador de usuario proporcionada por la persona que llama sin verificar el token de IdP. Esto es adecuado para escenarios de desarrollo e inicio rápido. Para las implementaciones de producción, cree políticas de IAM personalizadas que solo concedan GetWorkloadAccessTokenForJWT (lo que valida la firma, el emisor y la caducidad del JWT) y denieguen explícitamente GetWorkloadAccessTokenForUserId si sus cargas de trabajo siempre tienen un JWT disponible. Para obtener más información, consulte Obtener el token de acceso a la carga de trabajo.

ec2(Amazon Elastic Compute Cloud): permite que el servicio cree, administre y elimine interfaces de red en su VPC, asigne y desasigne direcciones IP privadas y describa los recursos de la VPC. Las interfaces de red se etiquetan con «AmazonBedrockAgentCoreManaged» para garantizar que el servicio solo administre los recursos que crea.

bedrock— Permite a los directores llamar a Amazon Bedrock Invokemodel y InvokeModelWithResponseStream tomar acciones. Esto es necesario para que un agente pueda almacenar recuerdos.

bedrock-mantle— Permite a los directores llamar a las CallWithBearerToken acciones CreateInference y. Esto es necesario para que el servicio pueda procesar memorias con los modelos Amazon Bedrock Mantle.

bedrock-agentcore(Amazon Bedrock Agent Core): permite que el servicio obtenga tokens de acceso a la carga de trabajo para la autenticación de JWT y la autenticación de usuarios ID-based . Permite y actúa GetWorkloadAccessToken específicamente en el directorio de GetWorkloadAccessTokenForUserId identidades de cargas de trabajo predeterminado y sus identidades de carga de trabajo asociadas. GetWorkloadAccessTokenForJWT