Acciones Tipos de recurso Claves de condición

Acciones, recursos y claves de condición para Amazon Bedrock AgentCore

Amazon Bedrock AgentCore (prefijo de servicio: bedrock-agentcore) proporciona las siguientes claves de contexto de condición, acciones y recursos específicos del servicio para usarlas en las políticas de permisos de IAM.

Referencias:

Obtenga información para configurar este servicio.
Vea una lista de las operaciones de API disponibles para este servicio.
Obtenga información sobre cómo proteger este servicio y sus recursos mediante las políticas de permisos de IAM.

Temas

Acciones definidas por Amazon Bedrock AgentCore
Tipos de recursos definidos por Amazon Bedrock AgentCore
Claves de condición para Amazon Bedrock AgentCore

Acciones definidas por Amazon Bedrock AgentCore

Puede especificar las siguientes acciones en el elemento Action de una declaración de política de IAM. Utilice políticas para conceder permisos para realizar una operación en AWS. Cuando utiliza una acción en una política, normalmente permite o deniega el acceso a la operación de la API o comandos de la CLI con el mismo nombre. No obstante, en algunos casos, una sola acción controla el acceso a más de una operación. Asimismo, algunas operaciones requieren varias acciones diferentes.

La columna Nivel de acceso de la tabla Acciones describe cómo se clasifica la acción (lista, lectura, administración de permisos o etiquetado). Esta clasificación puede ayudarle a entender el nivel de acceso que una acción concede cuando se utiliza en una política. Para obtener más información sobre los niveles de acceso, consulte Niveles de acceso en los resúmenes de políticas.

La columna Tipos de recurso de la tabla de Acción indica si cada acción admite permisos de nivel de recursos. Si no hay ningún valor para esta columna, debe especificar todos los recursos ("*") a los que aplica la política en el elemento Resource de la instrucción de su política. Si la columna incluye un tipo de recurso, puede especificar un ARN de ese tipo en una instrucción con dicha acción. Si la acción tiene uno o más recursos necesarios, la persona que llama debe tener permiso para usar la acción con esos recursos. Los recursos necesarios se indican en la tabla con un asterisco (*). Si limita el acceso a los recursos con el elemento Resource de una política de IAM, debe incluir un ARN o patrón para cada tipo de recurso requerido. Algunas acciones admiten varios tipos de recursos. Si el tipo de recurso es opcional (no se indica como obligatorio), puede elegir utilizar uno de los tipos de recursos opcionales.

La columna Claves de condición de la tabla Acciones incluye claves que puede especificar en el elemento Condition de la instrucción de una política. Para obtener más información sobre las claves de condición asociadas a los recursos del servicio, consulte la columna Claves de condición de la tabla Tipos de recursos.

La columna Acciones dependientes de la tabla Acciones muestra los permisos adicionales que pueden ser necesarios para llamar a una acción correctamente. Es posible que estos permisos sean necesarios además del permiso para la acción en sí. Cuando una acción especifica acciones dependientes, esas dependencias pueden aplicarse a los recursos adicionales definidos para esa acción, no solo al primer recurso de la tabla.

nota

Las claves de condición de recursos se enumeran en la tabla Tipos de recursos. Encontrará un enlace al tipo de recurso que se aplica a una acción en la columna Tipos de recursos (*obligatorio) de la tabla Acciones. El tipo de recurso de la tabla Tipos de recursos incluye la columna Claves de condición, que son las claves de condición del recurso que se aplican a una acción de la tabla Acciones.

Para obtener información detallada sobre las columnas de la siguiente tabla, consulte Tabla Acciones.

Acciones	Descripción	Nivel de acceso	Tipos de recursos (*necesarios)	Claves de condición	Acciones dependientes
AllowVendedLogDeliveryForResource [solo permiso]	Concede permiso para configurar la telemetría suministrada para un recurso.	Administración de permisos	memory*
AllowVendedLogDeliveryForResource [solo permiso]		Administración de permisos	payment-manager
AuthorizeAction [solo permiso]	Otorga permiso para evaluar las políticas de Cedar en relación con las solicitudes de autorización	Administración de permisos	gateway*
AuthorizeAction [solo permiso]		Administración de permisos	policy-engine*
BatchCreateMemoryRecords	Concede permiso para crear uno o varios registros de memoria.	Escritura	memory*
BatchCreateMemoryRecords		Escritura		bedrock-agentcore:namespace
BatchDeleteMemoryRecords	Concede permiso para eliminar uno o varios registros de memoria.	Escritura	memory*
BatchUpdateMemoryRecords	Concede permiso para actualizar uno o varios registros de memoria.	Escritura	memory*
BatchUpdateMemoryRecords		Escritura		bedrock-agentcore:namespace
CompleteResourceTokenAuth	Concede permiso para recuperar el token de acceso con OAuth2 para que el flujo de 3LO acceda a un recurso externo.	Lectura	oauth2credentialprovider*
			token-vault*
			workload-identity*
			workload-identity-directory*
				bedrock-agentcore:InboundJwtClaim/iss bedrock-agentcore:InboundJwtClaim/sub bedrock-agentcore:InboundJwtClaim/aud bedrock-agentcore:InboundJwtClaim/scope bedrock-agentcore:InboundJwtClaim/client_id bedrock-agentcore:userid
ConnectBrowserAutomationStream	Concede permiso para conectarse a una transmisión de automatización del navegador.	Lectura
ConnectBrowserLiveViewStream	Concede permiso para conectarse a una transmisión de visualización en directo.	Lectura
CreateABTest	Otorga permiso para crear una A/B prueba	Escritura			iam:PassRole
CreateAgentRuntime	Concede permiso para crear un nuevo tiempo de ejecución de agente.	Escritura		aws:RequestTag/${TagKey} aws:TagKeys bedrock-agentcore:subnets bedrock-agentcore:securityGroups bedrock-agentcore:RuntimeAuthorizerType	iam:PassRole
CreateAgentRuntimeEndpoint	Concede permiso para crear un nuevo punto de conexión de tiempo de ejecución de agente.	Escritura	runtime*
CreateAgentRuntimeEndpoint		Escritura		aws:RequestTag/${TagKey} aws:TagKeys
CreateApiKeyCredentialProvider	Concede permiso para crear un nuevo proveedor de credenciales de clave de API.	Escritura	apikeycredentialprovider*
			token-vault*
				aws:RequestTag/${TagKey} aws:TagKeys
CreateBrowser	Concede permiso para crear un nuevo navegador personalizado.	Escritura		aws:RequestTag/${TagKey} aws:TagKeys bedrock-agentcore:subnets bedrock-agentcore:securityGroups
CreateBrowserProfile	Otorga permiso para crear un nuevo perfil de navegador	Escritura		aws:RequestTag/${TagKey} aws:TagKeys
CreateCodeInterpreter	Concede permiso para crear un nuevo intérprete de código personalizado.	Escritura		aws:RequestTag/${TagKey} aws:TagKeys bedrock-agentcore:subnets bedrock-agentcore:securityGroups
CreateConfigurationBundle	Otorga permiso para crear un nuevo paquete de configuración	Escritura
CreateEvaluator	Otorga permiso para crear un nuevo evaluador	Escritura		aws:RequestTag/${TagKey} aws:ResourceTag/${TagKey} aws:TagKeys
CreateEvent	Concede permiso para crear un evento.	Escritura	memory*
CreateEvent	Concede permiso para crear un evento.	Escritura		bedrock-agentcore:sessionId bedrock-agentcore:actorId
CreateGateway	Concede permiso para crear una nueva puerta de enlace.	Escritura		aws:RequestTag/${TagKey} aws:TagKeys	iam:PassRole
CreateGatewayRule	Otorga permiso para crear una nueva regla en una puerta de enlace existente	Escritura	gateway*
CreateGatewayTarget	Concede permiso para crear un nuevo destino en una puerta de enlace existente.	Escritura	gateway*
CreateHarness	Otorga permiso para crear un arnés nuevo	Escritura		aws:RequestTag/${TagKey} aws:TagKeys	bedrock-agentcore:CreateAgentRuntime bedrock-agentcore:GetAgentRuntime iam:PassRole
CreateMemory	Concede permiso para crear un recurso de memoria.	Escritura		aws:RequestTag/${TagKey} aws:TagKeys bedrock-agentcore:KmsKeyArn	iam:PassRole
CreateOauth2CredentialProvider	Concede permiso para crear un nuevo proveedor de credenciales para acceder a recursos externos con el protocolo OAuth2.	Escritura	oauth2credentialprovider*
			token-vault*
				aws:RequestTag/${TagKey} aws:TagKeys
CreateOnlineEvaluationConfig	Otorga permiso para crear una nueva configuración de evaluación en línea	Escritura		aws:RequestTag/${TagKey} aws:ResourceTag/${TagKey} aws:TagKeys	iam:PassRole
CreatePaymentConnector	Otorga permiso para crear un nuevo conector de pagos en un administrador de pagos	Escritura	payment-manager*
CreatePaymentCredentialProvider	Otorga permiso para crear un nuevo proveedor de credenciales de pago	Escritura	paymentcredentialprovider*
			token-vault*
				aws:RequestTag/${TagKey} aws:TagKeys
CreatePaymentInstrument	Otorga permiso para crear un nuevo instrumento de pago	Escritura	payment-manager*
CreatePaymentManager	Otorga permiso para crear un nuevo administrador de pagos	Escritura		aws:RequestTag/${TagKey} aws:TagKeys	iam:PassRole
CreatePaymentSession	Otorga permiso para crear una nueva sesión de pagos	Escritura	payment-manager*
CreatePolicy	Otorga permiso para crear una nueva política dentro de un motor de políticas	Escritura	policy-engine*
CreatePolicyEngine	Otorga permiso para crear un nuevo motor de políticas	Escritura		aws:RequestTag/${TagKey} aws:TagKeys
CreateRegistry	Otorga permiso para crear un registro nuevo	Escritura
CreateRegistryRecord	Otorga permiso para crear un nuevo registro de registro	Escritura	registry*
CreateWorkloadIdentity	Concede permiso para crear una nueva identidad de carga de trabajo.	Escritura	workload-identity*
			workload-identity-directory*
				aws:RequestTag/${TagKey} aws:TagKeys
DeleteABTest	Otorga permiso para eliminar una A/B prueba	Escritura	ab-test*
DeleteAgentRuntime	Concede permiso para eliminar un tiempo de ejecución de agente.	Escritura	runtime*
DeleteAgentRuntimeEndpoint	Concede permiso para eliminar un punto de conexión de tiempo de ejecución de agente.	Escritura	runtime*
DeleteAgentRuntimeEndpoint		Escritura	runtime-endpoint*
DeleteApiKeyCredentialProvider	Concede permiso para eliminar un proveedor de credenciales de clave de API registrado.	Escritura	apikeycredentialprovider*
DeleteApiKeyCredentialProvider		Escritura	token-vault*
DeleteBatchEvaluation	Otorga permiso para eliminar una evaluación por lotes	Escritura	batch-evaluate*
DeleteBrowser	Concede permiso para eliminar un navegador personalizado.	Escritura	browser-custom*
DeleteBrowserProfile	Otorga permiso para eliminar un perfil de navegador	Escritura	browser-profile*
DeleteCodeInterpreter	Concede permiso para eliminar un intérprete de código personalizado.	Escritura	code-interpreter-custom*
DeleteConfigurationBundle	Otorga permiso para eliminar un paquete de configuración	Escritura	configuration-bundle*
DeleteEvaluator	Otorga permiso para eliminar un evaluador	Escritura	evaluator*
DeleteEvent	Concede permiso para eliminar un evento.	Escritura	memory*
DeleteEvent	Concede permiso para eliminar un evento.	Escritura		bedrock-agentcore:sessionId bedrock-agentcore:actorId
DeleteGateway	Concede permiso para eliminar una puerta de enlace existente.	Escritura	gateway*
DeleteGatewayRule	Otorga permiso para eliminar una regla de puerta de enlace existente	Escritura	gateway*
DeleteGatewayTarget	Concede permiso para eliminar un destino de puerta de enlace existente.	Escritura	gateway*
DeleteHarness	Otorga permiso para eliminar un arnés	Escritura	harness*		bedrock-agentcore:DeleteAgentRuntime bedrock-agentcore:GetAgentRuntime iam:PassRole
DeleteMemory	Concede permiso para eliminar un recurso de memoria.	Escritura	memory*
DeleteMemoryRecord	Concede permiso para eliminar un registro de memoria.	Escritura	memory*
DeleteOauth2CredentialProvider	Concede permiso para eliminar un proveedor de credenciales de OAuth2 registrado.	Escritura	oauth2credentialprovider*
DeleteOauth2CredentialProvider		Escritura	token-vault*
DeleteOnlineEvaluationConfig	Otorga permiso para eliminar una configuración de evaluación en línea	Escritura	online-evaluation-config*
DeletePaymentConnector	Otorga permiso para eliminar un conector de pago	Escritura	payment-manager*
DeletePaymentCredentialProvider	Otorga permiso para eliminar un proveedor de credenciales de pago registrado	Escritura	paymentcredentialprovider*
DeletePaymentCredentialProvider		Escritura	token-vault*
DeletePaymentInstrument	Concede permiso para eliminar un instrumento de pago	Escritura	payment-manager*
DeletePaymentManager	Otorga permiso para eliminar un administrador de pagos	Escritura	payment-manager*
DeletePaymentSession	Otorga permiso para eliminar una sesión de pago	Escritura	payment-manager*
DeletePolicy	Otorga permiso para eliminar una política	Escritura	policy*
DeletePolicy	Otorga permiso para eliminar una política	Escritura	policy-engine*
DeletePolicyEngine	Otorga permiso para eliminar un motor de políticas	Escritura	policy-engine*
DeleteRecommendation	Otorga permiso para eliminar una recomendación	Escritura	recommendation*
DeleteRegistry	Otorga permiso para eliminar un registro existente	Escritura	registry*
DeleteRegistryRecord	Otorga permiso para eliminar un registro de registro existente	Escritura	registry-record*
DeleteResourcePolicy	Otorga permiso para eliminar la política basada en recursos de un recurso de Bedrock	Escritura	gateway
			runtime
			runtime-endpoint
DeleteWorkloadIdentity	Concede permiso para eliminar una identidad de carga de trabajo registrada.	Escritura	workload-identity*
DeleteWorkloadIdentity		Escritura	workload-identity-directory*
Evaluate	Otorga permiso para ejecutar una evaluación con un evaluador	Escritura	evaluator*
GetABTest	Otorga permiso para obtener los detalles de una prueba A/B	Lectura	ab-test*
GetAgentCard	Concede permiso para recuperar una tarjeta de agente para A2A.	Lectura	runtime*
GetAgentCard		Lectura	runtime-endpoint*
GetAgentRuntime	Concede permiso para obtener detalles del tiempo de ejecución de un agente.	Lectura	runtime*
GetAgentRuntimeEndpoint	Concede permiso para obtener detalles del punto de conexión de tiempo de ejecución de un agente.	Lectura	runtime*
GetAgentRuntimeEndpoint		Lectura	runtime-endpoint*
GetApiKeyCredentialProvider	Concede permiso para buscar un proveedor de credenciales de clave de API registrado por su nombre.	Lectura	apikeycredentialprovider*
GetApiKeyCredentialProvider		Lectura	token-vault*
GetBatchEvaluation	Otorga permiso para obtener detalles de una evaluación por lotes	Lectura	batch-evaluate*
GetBrowser	Concede permiso para obtener detalles de un navegador.	Lectura	browser-custom*
GetBrowserProfile	Otorga permiso para obtener detalles de un perfil de navegador	Lectura	browser-profile*
GetBrowserSession	Concede permiso para obtener detalles de una sesión del navegador.	Lectura	browser*
GetBrowserSession		Lectura	browser-custom*
GetCodeInterpreter	Concede permiso para obtener detalles de un intérprete de código.	Lectura	code-interpreter-custom*
GetCodeInterpreterSession	Concede permiso para obtener detalles de una sesión del intérprete de código.	Lectura	code-interpreter*
GetCodeInterpreterSession		Lectura	code-interpreter-custom*
GetConfigurationBundle	Otorga permiso para obtener los detalles de un paquete de configuración	Lectura	configuration-bundle*
GetConfigurationBundleVersion	Otorga permiso para obtener una versión específica de un paquete de configuración	Lectura	configuration-bundle*
GetEvaluator	Otorga permiso para obtener los detalles de un evaluador	Lectura	evaluator*
GetEvent	Concede permiso para obtener un evento.	Lectura	memory*
GetEvent	Concede permiso para obtener un evento.	Lectura		bedrock-agentcore:sessionId bedrock-agentcore:actorId
GetGateway	Concede permiso para recuperar una puerta de enlace existente.	Lectura	gateway*
GetGatewayRule	Otorga permiso para recuperar una regla de puerta de enlace existente	Lectura	gateway*
GetGatewayTarget	Concede permiso para recuperar un destino de puerta de enlace existente.	Lectura	gateway*
GetHarness	Otorga permiso para obtener los detalles de un arnés	Lectura	harness*
GetMemory	Concede permiso para obtener los detalles de un recurso de memoria.	Lectura	memory*
GetMemoryRecord	Concede permiso para obtener un registro de memoria.	Lectura	memory*
GetOauth2CredentialProvider	Concede permiso para buscar un proveedor de credenciales de OAuth2 registrado por su nombre.	Lectura	oauth2credentialprovider*
GetOauth2CredentialProvider		Lectura	token-vault*
GetOnlineEvaluationConfig	Otorga permiso para obtener detalles de una configuración de evaluación en línea	Lectura	online-evaluation-config*
GetPaymentConnector	Otorga permiso para recuperar los detalles de un conector de pagos	Lectura	payment-manager*
GetPaymentCredentialProvider	Otorga permiso para buscar un proveedor de credenciales de pago registrado por su nombre	Lectura	paymentcredentialprovider*
GetPaymentCredentialProvider		Lectura	token-vault*
GetPaymentInstrument	Otorga permiso para recuperar los detalles de un instrumento de pago	Lectura	payment-manager*
GetPaymentInstrumentBalance	Otorga permiso para recuperar el saldo de un instrumento de pago	Lectura	payment-manager*
GetPaymentManager	Otorga permiso para recuperar los detalles de un administrador de pagos	Lectura	payment-manager*
GetPaymentSession	Otorga permiso para recuperar los detalles de una sesión de pago	Lectura	payment-manager*
GetPolicy	Otorga permiso para recuperar una póliza	Lectura	policy*
GetPolicy	Otorga permiso para recuperar una póliza	Lectura	policy-engine*
GetPolicyEngine	Otorga permiso para recuperar un motor de políticas	Lectura	policy-engine*
GetPolicyEngineSummary	Otorga permiso para recuperar un resumen de un motor de políticas	Lectura	policy-engine*
GetPolicyGeneration	Otorga permiso para recuperar el estado y los resultados de una solicitud de generación de políticas	Lectura	policy-engine*
GetPolicyGeneration		Lectura	policy-generation*
GetPolicyGenerationSummary	Otorga permiso para recuperar un resumen de una solicitud de generación de políticas	Lectura	policy-engine*
GetPolicyGenerationSummary		Lectura	policy-generation*
GetPolicySummary	Otorga permiso para recuperar un resumen de una política	Lectura	policy*
GetPolicySummary	Otorga permiso para recuperar un resumen de una política	Lectura	policy-engine*
GetRecommendation	Otorga permiso para obtener los detalles de una recomendación	Lectura	recommendation*
GetRegistry	Otorga permiso para recuperar un registro existente	Lectura	registry*
GetRegistryRecord	Otorga permiso para recuperar un registro de registro existente	Lectura	registry-record*
GetResourceApiKey	Concede permiso para recuperar una clave de API asociada a un proveedor de credenciales de clave de API.	Lectura	apikeycredentialprovider*
			token-vault*
			workload-identity*
			workload-identity-directory*
GetResourceOauth2Token	Concede permiso para recuperar el token de acceso con el flujo 2LO o 3LO de OAuth2 para acceder a un recurso externo.	Lectura	oauth2credentialprovider*
			token-vault*
			workload-identity*
			workload-identity-directory*
GetResourcePaymentToken	Otorga permiso para recuperar un token de autenticación de pago asociado a un proveedor de credenciales de pago	Lectura	paymentcredentialprovider*
			token-vault*
			workload-identity*
			workload-identity-directory*
GetResourcePolicy	Otorga permiso para recuperar la política basada en recursos de un recurso de Bedrock	Lectura	gateway
			runtime
			runtime-endpoint
GetTokenVault	Otorga permiso para obtener la configuración actual del, incluida la configuración de cifrado TokenVault	Lectura	token-vault*
GetWorkloadAccessToken	Concede permiso para recuperar un token de acceso a la carga de trabajo de cargas de trabajo agentivas que no actúan en nombre del usuario.	Escritura	workload-identity*
GetWorkloadAccessToken		Escritura	workload-identity-directory*
GetWorkloadAccessTokenForJWT	Concede permiso para recuperar un token de acceso a la carga de trabajo de cargas de trabajo agentivas que actúan en nombre del usuario con un token JWT.	Escritura	workload-identity*
			workload-identity-directory*
				bedrock-agentcore:InboundJwtClaim/iss bedrock-agentcore:InboundJwtClaim/sub bedrock-agentcore:InboundJwtClaim/aud bedrock-agentcore:InboundJwtClaim/scope bedrock-agentcore:InboundJwtClaim/client_id
GetWorkloadAccessTokenForUserId	Concede permiso para recuperar un token de acceso a la carga de trabajo de cargas de trabajo agentivas que actúan en nombre del usuario con ID de usuario.	Escritura	workload-identity*
			workload-identity-directory*
				bedrock-agentcore:userid
GetWorkloadIdentity	Concede permiso para obtener los detalles de una identidad de carga de trabajo específica, incluidos su nombre y las URL de retorno de OAuth2 permitidas.	Lectura	workload-identity*
GetWorkloadIdentity		Lectura	workload-identity-directory*
InvokeAgentRuntime	Concede permiso para invocar el punto de conexión de tiempo de ejecución de un agente.	Escritura	runtime*
InvokeAgentRuntime		Escritura	runtime-endpoint*
InvokeAgentRuntimeCommand	Otorga permiso para invocar comandos en el punto final de ejecución de un agente	Escritura	runtime*
InvokeAgentRuntimeCommand		Escritura	runtime-endpoint*
InvokeAgentRuntimeForUser	Otorga permiso para invocar un punto final de tiempo de ejecución de un agente con un encabezado X-Amzn-Bedrock-AgentCore-Runtime-User-Id	Escritura	runtime*
InvokeAgentRuntimeForUser		Escritura	runtime-endpoint*
InvokeAgentRuntimeWithWebSocketStream	Otorga permiso para invocar un punto final de tiempo de ejecución de un agente con una transmisión WebSocket	Escritura	runtime*
InvokeAgentRuntimeWithWebSocketStream		Escritura	runtime-endpoint*
InvokeAgentRuntimeWithWebSocketStreamForUser	Otorga permiso para invocar un punto final de tiempo de ejecución de un agente con WebSocket transmisión y encabezado X-Amzn-Bedrock-AgentCore-Runtime-User-Id	Escritura	runtime*
InvokeAgentRuntimeWithWebSocketStreamForUser		Escritura	runtime-endpoint*
InvokeCodeInterpreter	Concede permiso para invocar una sesión del intérprete de código.	Escritura	code-interpreter*
InvokeCodeInterpreter		Escritura	code-interpreter-custom*
InvokeGateway [solo permiso]	Concede permiso para invocar una puerta de enlace.	Administración de permisos	gateway*
InvokeHarness	Otorga permiso para invocar un arnés	Escritura	harness*		bedrock-agentcore:InvokeAgentRuntime
InvokeRegistryMcp	Otorga permiso para invocar una operación MCP en un registro existente	Lectura	registry*
ListABTests	Otorga permiso para enumerar las pruebas A/B	Enumeración
ListActors	Concede permiso para enumerar actores.	Enumeración	memory*
ListAgentRuntimeEndpoints	Concede permiso para enumerar puntos de conexión de tiempo de ejecución del agente.	Enumeración
ListAgentRuntimeVersions	Concede permiso para enumerar versiones de tiempo de ejecución del agente.	Enumeración
ListAgentRuntimes	Concede permiso para enumerar tiempos de ejecución del agente.	Enumeración
ListApiKeyCredentialProviders	Concede permiso para enumerar todos los proveedores de credenciales de clave de API en el almacén de tokens.	Lectura	apikeycredentialprovider*
ListApiKeyCredentialProviders		Lectura	token-vault*
ListBatchEvaluations	Otorga permiso para enumerar las evaluaciones por lotes	Enumeración
ListBrowserProfiles	Otorga permiso para enumerar los perfiles del navegador	Enumeración
ListBrowserSessions	Concede permiso para enumerar sesiones del navegador.	Enumeración
ListBrowsers	Concede permiso para enumerar navegadores.	Enumeración
ListCodeInterpreterSessions	Concede permiso para enumerar sesiones del intérprete de código.	Enumeración	code-interpreter*
ListCodeInterpreterSessions		Enumeración	code-interpreter-custom*
ListCodeInterpreters	Concede permiso para enumerar intérpretes de código.	Enumeración
ListConfigurationBundleVersions	Otorga permiso para enumerar las versiones de un paquete de configuración	Enumeración	configuration-bundle*
ListConfigurationBundles	Otorga permiso para enumerar los paquetes de configuración	Enumeración
ListEvaluators	Otorga permiso para enumerar los evaluadores	Enumeración
ListEvents	Concede permiso para enumerar eventos.	Enumeración	memory*
ListEvents	Concede permiso para enumerar eventos.	Enumeración		bedrock-agentcore:sessionId bedrock-agentcore:actorId
ListGatewayRules	Otorga permiso para enumerar las reglas de puerta de enlace existentes	Enumeración	gateway*
ListGatewayTargets	Concede permiso para enumerar destinos de puerta de enlace existentes.	Enumeración	gateway*
ListGateways	Concede permiso para enumerar puertas de enlace existentes.	Enumeración
ListHarnesses	Otorga permiso para enumerar los arneses	Enumeración
ListMemories	Concede permiso para enumerar recursos de memoria.	Enumeración
ListMemoryExtractionJobs	Otorga permiso para enumerar los trabajos de extracción de esta memoria	Enumeración	memory*
ListMemoryRecords	Concede permiso para enumerar registros de memoria.	Enumeración	memory*
ListMemoryRecords	Concede permiso para enumerar registros de memoria.	Enumeración		bedrock-agentcore:namespace bedrock-agentcore:strategyId
ListOauth2CredentialProviders	Concede permiso para enumerar todos los proveedores de credenciales de OAuth2 en el almacén de tokens.	Lectura	oauth2credentialprovider*
ListOauth2CredentialProviders		Lectura	token-vault*
ListOnlineEvaluationConfigs	Otorga permiso para enumerar las configuraciones de evaluación en línea	Enumeración
ListPaymentConnectors	Otorga permiso para incluir los conectores de pago en un administrador de pagos	Enumeración	payment-manager*
ListPaymentCredentialProviders	Otorga permiso para incluir todos los proveedores de credenciales de pago en Token Vault	Enumeración	paymentcredentialprovider*
ListPaymentCredentialProviders		Enumeración	token-vault*
ListPaymentInstruments	Otorga permiso para incluir instrumentos de pago	Enumeración	payment-manager*
ListPaymentManagers	Otorga permiso para incluir gestores de pagos	Enumeración
ListPaymentSessions	Otorga permiso para enumerar las sesiones de pago	Enumeración	payment-manager*
ListPolicies	Otorga permiso para incluir políticas en un motor de políticas	Enumeración	policy-engine*
ListPolicyEngineSummaries	Otorga permiso para enumerar los resúmenes del motor de políticas	Enumeración
ListPolicyEngines	Otorga permiso para enumerar los motores de políticas	Enumeración
ListPolicyGenerationAssets	Otorga permiso para enumerar los activos de políticas generados a partir de una solicitud de generación	Enumeración	policy-engine*
ListPolicyGenerationAssets		Enumeración	policy-generation*
ListPolicyGenerationSummaries	Otorga permiso para enumerar los resúmenes de generación de políticas	Enumeración	policy-engine*
ListPolicyGenerations	Otorga permiso para enumerar las solicitudes de generación de políticas	Enumeración	policy-engine*
ListPolicySummaries	Otorga permiso para incluir resúmenes de políticas en un motor de políticas	Enumeración	policy-engine*
ListRecommendations	Otorga permiso para incluir recomendaciones	Enumeración
ListRegistries	Otorga permiso para incluir los registros existentes	Enumeración
ListRegistryRecords	Otorga permiso para incluir los registros de registro existentes en un registro	Enumeración	registry*
ListSessions	Concede permiso para enumerar sesiones.	Enumeración	memory*
ListSessions	Concede permiso para enumerar sesiones.	Enumeración		bedrock-agentcore:actorId
ListTagsForResource	Otorga permiso para enumerar las etiquetas de un Bedrock-AgentCore recurso	Enumeración	apikeycredentialprovider
			browser-custom
			browser-profile
			code-interpreter-custom
			evaluator
			gateway
			harness
			memory
			oauth2credentialprovider
			online-evaluation-config
			payment-manager
			paymentcredentialprovider
			policy-engine
			runtime
			runtime-endpoint
			token-vault
			workload-identity
			workload-identity-directory
ListWorkloadIdentities	Otorga permiso para enumerar todas las identidades de carga de trabajo de la persona que llama Cuenta de AWS	Lectura	workload-identity*
ListWorkloadIdentities		Lectura	workload-identity-directory*
ManageAdminPolicy [solo permiso]	Otorga permiso para crear o modificar las políticas comodín que se aplican a los recursos de gateway	Administración de permisos
ManageResourceScopedPolicy [solo permiso]	Otorga permiso para crear o modificar las políticas que se aplican a recursos de puerta de enlace específicos	Administración de permisos	gateway*
PartiallyAuthorizeActions [solo permiso]	Otorga permiso para realizar una evaluación parcial de las políticas de Cedar a fin de autorizar a la persona que llama a enumerar las herramientas a las que puede utilizar	Administración de permisos	gateway*
PartiallyAuthorizeActions [solo permiso]		Administración de permisos	policy-engine*
ProcessPayment	Otorga permiso para procesar una transacción de pago	Escritura	payment-manager*
PutResourcePolicy	Otorga permiso para crear o actualizar la política basada en recursos para un recurso de Bedrock	Escritura	gateway
			runtime
			runtime-endpoint
RetrieveMemoryRecords	Concede permiso para recuperar registros de memoria mediante consultas semánticas.	Enumeración	memory*
RetrieveMemoryRecords		Enumeración		bedrock-agentcore:namespace bedrock-agentcore:strategyId
SaveBrowserSessionProfile	Otorga permiso para guardar un perfil de sesión del navegador	Escritura	browser*
			browser-custom*
			browser-profile*
SearchRegistryRecords	Otorga permiso para buscar registros de registro	Lectura	registry*
SetTokenVaultCMK	Otorga permiso para asociar una clave administrada por el cliente (CMK) o una clave administrada por el servicio a una clave específica TokenVault	Escritura	token-vault*
StartBatchEvaluation	Otorga permiso para iniciar una evaluación por lotes	Escritura
StartBrowserSession	Otorga permiso para iniciar una nueva sesión de navegador	Escritura	browser*
			browser-custom*
			browser-profile
StartCodeInterpreterSession	Concede permiso para iniciar una nueva sesión del intérprete de código.	Escritura	code-interpreter*
StartCodeInterpreterSession		Escritura	code-interpreter-custom*
StartMemoryExtractionJob	Otorga permiso para iniciar el trabajo de extracción de memoria	Escritura	memory*
StartMemoryExtractionJob		Escritura		bedrock-agentcore:strategyId bedrock-agentcore:sessionId bedrock-agentcore:actorId
StartPolicyGeneration	Otorga permiso para iniciar una solicitud AI-powered de generación de políticas	Escritura	policy-engine*
StartRecommendation	Otorga permiso para iniciar una recomendación	Escritura
StopBatchEvaluation	Otorga permiso para detener una evaluación por lotes	Escritura	batch-evaluate*
StopBrowserSession	Concede permiso para detener una sesión del navegador.	Escritura	browser*
StopBrowserSession	Concede permiso para detener una sesión del navegador.	Escritura	browser-custom*
StopCodeInterpreterSession	Concede permiso para detener una sesión del intérprete de código.	Escritura	code-interpreter*
StopCodeInterpreterSession		Escritura	code-interpreter-custom*
StopRuntimeSession	Concede permiso para detener una sesión de tiempo de ejecución.	Escritura	runtime*
StopRuntimeSession		Escritura	runtime-endpoint*
SubmitRegistryRecordForApproval	Otorga permiso para enviar un registro de registro para su aprobación	Escritura	registry-record*
SynchronizeGatewayTargets [solo permiso]	Concede permiso para habilitar la búsqueda en las puertas de enlace.	Administración de permisos	gateway*
TagResource	Otorga permiso para etiquetar un Bedrock-AgentCore recurso	Etiquetado	apikeycredentialprovider
			browser-custom
			browser-profile
			code-interpreter-custom
			evaluator
			gateway
			harness
			memory
			oauth2credentialprovider
			online-evaluation-config
			payment-manager
			paymentcredentialprovider
			policy-engine
			runtime
			runtime-endpoint
			token-vault
			workload-identity
			workload-identity-directory
				aws:TagKeys aws:RequestTag/${TagKey}
UntagResource	Otorga permiso para eliminar la etiqueta de un recurso Bedrock-AgentCore	Etiquetado	apikeycredentialprovider
			browser-custom
			browser-profile
			code-interpreter-custom
			evaluator
			gateway
			harness
			memory
			oauth2credentialprovider
			online-evaluation-config
			payment-manager
			paymentcredentialprovider
			policy-engine
			runtime
			runtime-endpoint
			token-vault
			workload-identity
			workload-identity-directory
				aws:TagKeys
UpdateABTest	Otorga permiso para actualizar una prueba A/B	Escritura	ab-test*		iam:PassRole
UpdateAgentRuntime	Concede permiso para actualizar el tiempo de ejecución de un agente.	Escritura	runtime*		iam:PassRole
UpdateAgentRuntime		Escritura		bedrock-agentcore:subnets bedrock-agentcore:securityGroups bedrock-agentcore:RuntimeAuthorizerType
UpdateAgentRuntimeEndpoint	Concede permiso para actualizar el punto de conexión de tiempo de ejecución de un agente.	Escritura	runtime*
UpdateAgentRuntimeEndpoint		Escritura	runtime-endpoint*
UpdateApiKeyCredentialProvider	Concede permiso para actualizar un proveedor de credenciales de clave de API existente.	Escritura	apikeycredentialprovider*
UpdateApiKeyCredentialProvider		Escritura	token-vault*
UpdateBrowserStream	Concede permiso para actualizar el estado de una transmisión de sesión del navegador.	Escritura	browser*
UpdateBrowserStream		Escritura	browser-custom*
UpdateConfigurationBundle	Otorga permiso para actualizar un paquete de configuración	Escritura	configuration-bundle*
UpdateEvaluator	Otorga permiso para actualizar un evaluador	Escritura	evaluator*
UpdateGateway	Concede permiso para actualizar una puerta de enlace existente.	Escritura	gateway*		iam:PassRole
UpdateGatewayRule	Otorga permiso para actualizar una regla de puerta de enlace existente	Escritura	gateway*
UpdateGatewayTarget	Concede permiso para actualizar un destino de puerta de enlace existente.	Escritura	gateway*
UpdateHarness	Otorga permiso para actualizar un arnés	Escritura	harness*		bedrock-agentcore:GetAgentRuntime bedrock-agentcore:UpdateAgentRuntime iam:PassRole
UpdateMemory	Concede permiso para actualizar un recurso de memoria.	Escritura	memory*		iam:PassRole
UpdateOauth2CredentialProvider	Concede permiso para actualizar un proveedor de credenciales de OAuth2 existente.	Escritura	oauth2credentialprovider*
UpdateOauth2CredentialProvider		Escritura	token-vault*
UpdateOnlineEvaluationConfig	Otorga permiso para actualizar una configuración de evaluación en línea	Escritura	online-evaluation-config*		iam:PassRole
UpdatePaymentConnector	Otorga permiso para actualizar un conector de pago existente	Escritura	payment-manager*
UpdatePaymentCredentialProvider	Otorga permiso para actualizar un proveedor de credenciales de pago existente	Escritura	paymentcredentialprovider*
UpdatePaymentCredentialProvider		Escritura	token-vault*
UpdatePaymentManager	Otorga permiso para actualizar un administrador de pagos existente	Escritura	payment-manager*		iam:PassRole
UpdatePolicy	Otorga permiso para actualizar una política existente	Escritura	policy*
UpdatePolicy	Otorga permiso para actualizar una política existente	Escritura	policy-engine*
UpdatePolicyEngine	Otorga permiso para actualizar un motor de políticas	Escritura	policy-engine*
UpdateRegistry	Otorga permiso para actualizar un registro existente	Escritura	registry*
UpdateRegistryRecord	Otorga permiso para actualizar un registro de registro existente	Escritura	registry-record*
UpdateRegistryRecordStatus	Otorga permiso para actualizar el estado de un registro	Escritura	registry-record*
UpdateWorkloadIdentity	Concede permiso para actualizar los metadatos de una identidad de carga de trabajo existente.	Escritura	workload-identity*
UpdateWorkloadIdentity		Escritura	workload-identity-directory*

Tipos de recursos definidos por Amazon Bedrock AgentCore

Los siguientes tipos de recurso están definidos por este servicio y se pueden utilizar en el elemento Resource de las instrucciones de política de permisos de IAM. Cada acción de la tabla Acciones identifica los tipos de recursos que se pueden especificar con dicha acción. Un tipo de recurso también puede definir qué claves de condición se pueden incluir en una política. Estas claves se muestran en la última columna de la tabla Tipos de recursos. Para obtener información detallada sobre las columnas de la siguiente tabla, consulte Tabla Tipos de recurso.

Tipos de recurso	ARN	Claves de condición
evaluator	`arn:${Partition}:bedrock-agentcore:${Region}:${Account}:evaluator/${EvaluatorId}`	aws:ResourceTag/${TagKey}
online-evaluation-config	`arn:${Partition}:bedrock-agentcore:${Region}:${Account}:online-evaluation-config/${OnlineEvaluationConfigId}`	aws:ResourceTag/${TagKey}
memory	`arn:${Partition}:bedrock-agentcore:${Region}:${Account}:memory/${MemoryId}`	aws:ResourceTag/${TagKey}
gateway	`arn:${Partition}:bedrock-agentcore:${Region}:${Account}:gateway/${GatewayId}`	aws:ResourceTag/${TagKey}
workload-identity	`arn:${Partition}:bedrock-agentcore:${Region}:${Account}:workload-identity-directory/${DirectoryId}/workload-identity/${WorkloadIdentityName}`	aws:ResourceTag/${TagKey}
oauth2credentialprovider	`arn:${Partition}:bedrock-agentcore:${Region}:${Account}:token-vault/${TokenVaultId}/oauth2credentialprovider/${Name}`	aws:ResourceTag/${TagKey}
apikeycredentialprovider	`arn:${Partition}:bedrock-agentcore:${Region}:${Account}:token-vault/${TokenVaultId}/apikeycredentialprovider/${Name}`	aws:ResourceTag/${TagKey}
runtime	`arn:${Partition}:bedrock-agentcore:${Region}:${Account}:runtime/${RuntimeId}`	aws:ResourceTag/${TagKey}
runtime-endpoint	`arn:${Partition}:bedrock-agentcore:${Region}:${Account}:runtime/${RuntimeId}/runtime-endpoint/${Name}`	aws:ResourceTag/${TagKey}
code-interpreter-custom	`arn:${Partition}:bedrock-agentcore:${Region}:${Account}:code-interpreter-custom/${CodeInterpreterId}`	aws:ResourceTag/${TagKey}
code-interpreter	`arn:${Partition}:bedrock-agentcore:${Region}:aws:code-interpreter/${CodeInterpreterId}`
browser-custom	`arn:${Partition}:bedrock-agentcore:${Region}:${Account}:browser-custom/${BrowserId}`	aws:ResourceTag/${TagKey}
browser	`arn:${Partition}:bedrock-agentcore:${Region}:aws:browser/${BrowserId}`
browser-profile	`arn:${Partition}:bedrock-agentcore:${Region}:${Account}:browser-profile/${BrowserProfileId}`	aws:ResourceTag/${TagKey}
workload-identity-directory	`arn:${Partition}:bedrock-agentcore:${Region}:${Account}:workload-identity-directory/${DirectoryId}`	aws:ResourceTag/${TagKey}
token-vault	`arn:${Partition}:bedrock-agentcore:${Region}:${Account}:token-vault/${TokenVaultId}`	aws:ResourceTag/${TagKey}
policy-engine	`arn:${Partition}:bedrock-agentcore:${Region}:${Account}:policy-engine/${PolicyEngineId}`	aws:ResourceTag/${TagKey}
policy	`arn:${Partition}:bedrock-agentcore:${Region}:${Account}:policy-engine/${PolicyEngineId}/policy/${PolicyId}`
policy-generation	`arn:${Partition}:bedrock-agentcore:${Region}:${Account}:policy-engine/${PolicyEngineId}/policy-generation/${PolicyGenerationId}`
registry	`arn:${Partition}:bedrock-agentcore:${Region}:${Account}:registry/${RegistryId}`
registry-record	`arn:${Partition}:bedrock-agentcore:${Region}:${Account}:registry/${RegistryId}/record/${RecordId}`
harness	`arn:${Partition}:bedrock-agentcore:${Region}:${Account}:harness/${HarnessId}`	aws:ResourceTag/${TagKey}
batch-evaluate	`arn:${Partition}:bedrock-agentcore:${Region}:${Account}:batch-evaluate/${BatchEvaluationId}`
ab-test	`arn:${Partition}:bedrock-agentcore:${Region}:${Account}:ab-test/${ABTestId}`
recommendation	`arn:${Partition}:bedrock-agentcore:${Region}:${Account}:recommendation/${RecommendationId}`
configuration-bundle	`arn:${Partition}:bedrock-agentcore:${Region}:${Account}:configuration-bundle/${ConfigurationBundleId}`
payment-manager	`arn:${Partition}:bedrock-agentcore:${Region}:${Account}:payment-manager/${PaymentManagerId}`	aws:ResourceTag/${TagKey}
paymentcredentialprovider	`arn:${Partition}:bedrock-agentcore:${Region}:${Account}:token-vault/${TokenVaultId}/paymentcredentialprovider/${Name}`	aws:ResourceTag/${TagKey}

Claves de condición para Amazon Bedrock AgentCore

Amazon Bedrock AgentCore define las siguientes claves de condición que se pueden utilizar en el elemento Condition de una política de IAM. Puede utilizar estas claves para ajustar más las condiciones en las que se aplica la instrucción de política. Para obtener información detallada sobre las columnas de la siguiente tabla, consulte Tabla de Claves de condición.

A fin de ver las claves de condición globales que están disponibles para todos los servicios, consulte AWS Claves de contexto de condición globales.

Claves de condición	Descripción	Tipo
aws:RequestTag/${TagKey}	Filtra el acceso creando solicitudes basadas en el conjunto de valores permitidos para cada una de las etiquetas obligatorias	Cadena
aws:ResourceTag/${TagKey}	Filtra el acceso al tener acciones basadas en el valor de la etiqueta asociada con el recurso	Cadena
aws:TagKeys	Filtra el acceso creando solicitudes basadas en la presencia de etiquetas obligatorias en la solicitud	ArrayOfString
bedrock-agentcore:GatewayAuthorizerType	Filtra el acceso por el atributo authorizerType en una puerta de enlace.	Cadena
bedrock-agentcore:InboundJwtClaim/aud	Filtra el acceso según la notificación de audiencia (aud) en el JWT incluido en la solicitud.	ArrayOfString
bedrock-agentcore:InboundJwtClaim/client_id	Filtra el acceso según la notificación client_id en el JWT incluido en la solicitud.	Cadena
bedrock-agentcore:InboundJwtClaim/iss	Filtra el acceso según la notificación del emisor (iss) presente en el JWT incluido en la solicitud.	Cadena
bedrock-agentcore:InboundJwtClaim/scope	Filtra el acceso según la notificación de alcance en el JWT incluido en la solicitud.	ArrayOfString
bedrock-agentcore:InboundJwtClaim/sub	Filtra el acceso según la notificación de asunto (sub) en el JWT incluido en la solicitud.	Cadena
bedrock-agentcore:KmsKeyArn	Filtra el acceso mediante la clave KMS Arn proporcionada	Cadena
bedrock-agentcore:RuntimeAuthorizerType	Filtra el acceso por el tipo de autorizador configurado para el tiempo de ejecución AgentCore	Cadena
bedrock-agentcore:actorId	Filtra el acceso por ID de actor.	Cadena
bedrock-agentcore:namespace	Filtra el acceso según el espacio de nombres.	Cadena
bedrock-agentcore:securityGroups	Filtra el acceso por el ID de los grupos de seguridad configurados para el tiempo de ejecución AgentCore	ArrayOfString
bedrock-agentcore:sessionId	Filtra el acceso según el ID de la sesión.	Cadena
bedrock-agentcore:strategyId	Filtra el acceso según el ID de estrategia de memoria.	Cadena
bedrock-agentcore:subnets	Filtra el acceso por el ID de las subredes configuradas para el tiempo de ejecución AgentCore	ArrayOfString
bedrock-agentcore:userid	Filtra el acceso según el valor de ID de usuario estático que se incluye en la solicitud.	Cadena

Aviso JavaScript está desactivado o no está disponible en su navegador.

Para utilizar la documentación de AWS, debe estar habilitado JavaScript. Para obtener más información, consulte las páginas de ayuda de su navegador.

Convenciones del documento

Amazon Bedrock

Amazon Bedrock con tecnología Mantle AWS