AWS políticas administradas para Amazon Bedrock AgentCore

bedrock-agentcore(Amazon Bedrock Agent Core): permite a los directores un acceso total a todos los recursos de Amazon Bedrock Agent Core.

iam(Administración de AWS identidades y accesos): permite a los directores enumerar las funciones y políticas y obtener información sobre ellas, y transferir las funciones con la palabra «BedrockAgentCore» en el nombre al servicio básico de agentcore. También permite crear funciones vinculadas a servicios para CloudWatch Application Signals, Amazon Bedrock AgentCore Network, Amazon Bedrock Runtime Identity e Runtime Instances. AgentCore AgentCore

secretsmanager(Gestor de AWS secretos): permite a los directores crear, actualizar, recuperar y eliminar secretos con nombres que comiencen por «bedrock-agentcore».

kms(Servicio de administración de AWS claves): permite a los directores enumerar y describir las claves, así como descifrar datos y generar claves de datos en la misma AWS cuenta cuando se les llama a través del servicio Amazon Bedrock. AgentCore También permite a los directores crear y enumerar las concesiones de AWS KMS para las claves administradas por los clientes que cifran AgentCore los recursos, incluidas las concesiones concedidas a los motores de AgentCore políticas (y a sus políticas y generaciones de políticas), de modo que los motores de políticas puedan cifrarse con una clave gestionada por el cliente.

s3(Amazon Simple Storage Service): permite a los directores obtener objetos de cubos de S3 con nombres que comiencen por «bedrock-agentcore-gateway-» cuando se les llama a través del servicio Amazon Bedrock. AgentCore

lambda(AWS Lambda): permite a los principales enumerar las funciones de Lambda.

logs(Amazon CloudWatch Logs): permite a los directores acceder a los datos de registro, consultarlos y administrarlos en grupos de registros relacionados con Amazon Bedrock AgentCore y Application Signals, incluida la creación de grupos de registros y transmisiones.

application-autoscaling(Escalado automático de aplicaciones): permite a los directores describir las políticas de escalado.

application-signals(Amazon CloudWatch Application Signals): permite a los directores recuperar información sobre las señales de las aplicaciones e iniciar la detección.

autoscaling(Amazon EC2 Auto Scaling): permite a los directores describir los recursos de Auto Scaling.

cloudwatch(Amazon CloudWatch): permite a los directores recuperar y enumerar las métricas, generar consultas y acceder a otros recursos. CloudWatch

oam(Amazon CloudWatch Observability Access Manager): permite a los directores enumerar los sumideros.

rum(Amazon CloudWatch RUM): permite a los directores recuperar y enumerar los recursos de RUM.

synthetics(Amazon CloudWatch Synthetics): permite a los directores describir y obtener información sobre los recursos de Synthetics.

xray(AWS X-Ray) — Permite a los directores recuperar la información de rastreo, administrar los destinos de los segmentos de rastreo y trabajar con reglas de indexación.

ecr(Amazon Elastic Container Registry): permite a los directores describir los repositorios, enumerar imágenes y describir imágenes.

bedrock(Amazon Bedrock): permite a los directores invocar modelos básicos y perfiles de inferencia con fines de evaluación.

iam:CreateRoleno está incluido. Cuando creas ciertos AgentCore recursos (por ejemplo, arnés o tiempo de ejecución) en la consola, puedes elegir que la consola cree automáticamente la función de ejecución del recurso en tu nombre. Esto requiere iam:CreateRole permisos, que no están incluidos en esta política administrada. Para obtener más información, consulte Solución de problemas relacionados con iam: CreateRole autorización en la consola.

iam:PassRoleestá delimitado por nombre de rol. Cuando creas ciertos AgentCore recursos (por ejemplo, arnés o tiempo de ejecución), debes tener iam:PassRole permisos en la función de ejecución del recurso. Esta política administrada solo incluye iam:PassRole los permisos para los roles cuyos nombres coincidan*BedrockAgentCore*. Para obtener más información, consulte Solución de problemas. Iam: PassRole autorización.

GetWorkloadAccessTokenForUserIdestá incluido. Esta política otorga permiso para realizar llamadasGetWorkloadAccessTokenForUserId, lo que permite emitir tokens de acceso a la carga de trabajo mediante una cadena de identificador de usuario proporcionada por la persona que llama sin verificar el token de IdP. Esto es adecuado para escenarios de desarrollo e inicio rápido. En el caso de las implementaciones de producción, cree políticas de IAM personalizadas que solo concedan GetWorkloadAccessTokenForJWT (lo que valida la firma, el emisor y la caducidad de JWT) y las denieguen explícitamente GetWorkloadAccessTokenForUserId si sus cargas de trabajo siempre tienen un JWT disponible. Para obtener más información, consulta Cómo obtener el token de acceso a la carga de trabajo. Obtenga el token de acceso a la carga de

ec2(Amazon Elastic Compute Cloud): permite que el servicio cree, administre y elimine interfaces de red en su VPC, asigne y anule la asignación de direcciones IP privadas y describa los recursos de la VPC. Las interfaces de red se etiquetan con «AmazonBedrockAgentCoreManaged» para garantizar que el servicio solo administre los recursos que crea.

bedrock— Permite a los directores recurrir a Amazon Bedrock Invokemodel y a tomar medidas. InvokeModelWithResponseStream Esto es necesario para que un agente pueda almacenar recuerdos.

bedrock-mantle— Permite a los directores tomar las CallWithBearerToken medidas CreateInference finales. Esto es necesario para que el servicio pueda procesar memorias con los modelos Amazon Bedrock Mantle.

bedrock-agentcore(Amazon Bedrock Agent Core): permite que el servicio obtenga tokens de acceso a la carga de trabajo para la autenticación de JWT y la autenticación de usuarios ID-based . Concretamente GetWorkloadAccessTokenGetWorkloadAccessTokenForJWT, permite y realiza GetWorkloadAccessTokenForUserId acciones en el directorio de identidades de carga de trabajo predeterminado y sus identidades de carga de trabajo asociadas.

ec2(Amazon Elastic Compute Cloud): permite al servicio describir los recursos informáticos y terminar las instancias, separar y eliminar los volúmenes de Amazon EBS y eliminar las plantillas de lanzamiento que administra el servicio. El acceso se limita a los recursos que AgentCore administra, mediante la ec2:ManagedResourceOperator clave de condición.

autoscaling(Amazon EC2 Auto Scaling): permite al servicio describir y eliminar los grupos de Auto Scaling que crea y completar las acciones del ciclo de vida. El acceso está limitado a los recursos etiquetados con. bedrock-agentcore:capacity-provider-id

events(Amazon EventBridge): permite al servicio eliminar los objetivos y eliminar las EventBridge reglas que administra. El acceso se limita a los recursos con la clave de events:ManagedBy condición establecida en. bedrock-agentcore.amazonaws.com

ec2(Amazon Elastic Compute Cloud): permite que el servicio describa, cree, etiquete y administre los recursos de EC2 que respaldan a un proveedor de capacidad, incluidas las plantillas de lanzamiento, las flotas, las instancias, las interfaces de red y los volúmenes de Amazon EBS. El acceso para crear recursos depende de la etiqueta de bedrock-agentcore:capacity-provider-id solicitud y el acceso para administrar los recursos existentes se define según la clave de condición. ec2:ManagedResourceOperator Las instancias se lanzan solo desde Amazon-owned las AMI.

autoscaling(Amazon EC2 Auto Scaling): permite al servicio crear y administrar los grupos de Auto Scaling que lanzan las instancias. El acceso está limitado a los grupos de Auto Scaling nombrados con el agentcore-managed-instances- prefijo y etiquetados con. bedrock-agentcore:capacity-provider-id

events(Amazon EventBridge): permite al servicio crear y gestionar EventBridge las reglas (denominadas con el agentcore-lifecycle-events- prefijo) que proporcionan los eventos del ciclo de vida de las instancias.

iam— Permite al servicio crear la función vinculada al servicio de Auto Scaling y transferir la función de instancia predeterminada (con el AmazonBedrockAgentCoreCapacityProviderDefaultInstanceRole prefijo) y las funciones de AgentCore servicio adicionales a Amazon EC2.

bedrock-agentcore(Amazon Bedrock AgentCore): permite que AgentCore una instancia llame PutSystemLogEvents para recopilar los registros del sistema de la instancia.