View a markdown version of this page

Comprendre le répertoire d'identité des agents - Base rocheuse de l'Amazonie AgentCore
Concepts et structure des annuairesMeilleures pratiques en matière de gestion d'annuairesRépertorier et consulter le contenu du répertoireContrôle d'accès aux annuaires et autorisations

Les traductions sont fournies par des outils de traduction automatique. En cas de conflit entre le contenu d'une traduction et celui de la version originale en anglais, la version anglaise prévaudra.

Comprendre le répertoire d'identité des agents

Le répertoire des identités des agents est une collection centralisée de toutes les identités de charge de travail de votre AWS compte. Il fait office de registre faisant autorité pour gérer et organiser les identités des agents, fournissant une vue unifiée de toutes les identités, qu'elles aient été créées automatiquement par AgentCore Runtime et Gateway ou manuellement via la AWS CLI et le SDK. Pour plus d'informations sur la création d'identités de charge de travail, voir Création et gestion d'identités de charge de travail.

Concepts et structure des annuaires

Comprendre les concepts fondamentaux et la structure organisationnelle du répertoire des identités des agents vous permet de gérer efficacement les identités des charges de travail à grande échelle.

Principales caractéristiques

  • Répertoire unique par compte  : chaque AWS compte possède exactement un répertoire d'identité d'agent

  • Création automatique  : le répertoire est créé automatiquement lors de la création de la première identité de charge de travail dans votre compte.

  • Gestion centralisée  : toutes les identités de charge de travail, quelle que soit la manière dont elles ont été créées, sont stockées dans ce répertoire

  • Cross-service visibilité  : le répertoire fournit une visibilité sur les identités créées par Runtime, Gateway et les processus manuels

Structure du répertoire 

arn:aws:bedrock-agentcore:region:account-id:workload-identity-directory/default
├── workload-identity/runtime-created-agent-1
├── workload-identity/runtime-created-agent-2
├── workload-identity/gateway-created-agent-1
├── workload-identity/manually-created-agent-1
└── workload-identity/manually-created-agent-2

Meilleures pratiques en matière de gestion d'annuaires

Le respect des meilleures pratiques établies en matière de gestion des annuaires permet de préserver l'organisation, la sécurité et l'efficacité opérationnelle à mesure que l'utilisation de l'identité de votre charge de travail augmente.

Conventions de dénomination

  • Utilisez des noms descriptifs qui indiquent l'objectif de l'agent (tels que « customer-support-agent », « data-analysis-agent »)

  • Inclure des indicateurs d'environnement pour les déploiements multi-environnements (tels que « prod-chatbot », « dev-chatbot »)

  • Envisagez des préfixes d'équipe ou de projet pour les grandes organisations (tels que « marketing-content-agent »)

Stratégies d'organisation

  • Auditez régulièrement votre répertoire pour identifier les identités de charge de travail inutilisées ou obsolètes

  • Documentez l'objectif et la propriété de chaque identité de charge de travail

  • Mettez en œuvre des stratégies de balisage cohérentes pour les identités des charges de travail lorsqu'elles sont disponibles. Pour plus d'informations, consultez la section Balisage des ressources AgentCore d'identité.

  • Surveillez la croissance des annuaires et établissez des processus de gouvernance pour la création d'identités

Considérations de sécurité

  • Passez régulièrement en revue les politiques IAM qui autorisent l'accès à l'annuaire

  • Utiliser les principes du moindre privilège lors de l'octroi d'un accès à un répertoire

  • Surveillez l'accès aux répertoires via AWS CloudTrail des journaux

  • Mettre en œuvre des alertes automatisées en cas de modification non autorisée du répertoire

Répertorier et consulter le contenu du répertoire

Vous pouvez afficher toutes les identités de charge de travail dans votre annuaire à l'aide de l' AWS interface de ligne de commande :

Liste de toutes les identités de charge de travail 

aws bedrock-agentcore-control list-workload-identities

Cette commande renvoie des informations sur toutes les identités de charge de travail de votre compte, notamment :

  • Noms d'identité et ARN de la charge de travail

  • Horodatages de création

  • Métadonnées associées

  • Source de création (Runtime, Gateway ou manuel)

Exemple de sortie 

{
  "workloadIdentities": [
    {
      "workloadIdentityArn": "arn:aws:bedrock-agentcore:us-east-1:123456789012:workload-identity-directory/default/workload-identity/my-runtime-agent",
      "workloadIdentityName": "my-runtime-agent",
      "createdAt": "2024-01-15T10:30:00Z",
      "createdBy": "AgentCore Runtime"
    },
    {
      "workloadIdentityArn": "arn:aws:bedrock-agentcore:us-east-1:123456789012:workload-identity-directory/default/workload-identity/my-custom-agent",
      "workloadIdentityName": "my-custom-agent",
      "createdAt": "2024-01-16T14:20:00Z",
      "createdBy": "Manual"
    }
  ]
}

Obtenir des informations sur l'identité d'une charge de travail spécifique 

aws bedrock-agentcore-control get-workload-identity \
    --workload-identity-name my-agent-name

Contrôle d'accès aux annuaires et autorisations

Le répertoire des identités des agents s'intègre à IAM pour fournir un contrôle d'accès précis sur les identités des charges de travail et leurs ressources associées. Pour plus d'informations sur l'utilisation des identités de charge de travail pour contrôler l'accès aux fournisseurs d'informations d'identification, voir Réduire l'accès aux fournisseurs d'informations d'identification par identité de charge de travail.

Directory-level permissions

  • Autorisations de liste — Contrôlez qui peut consulter le contenu du répertoire

  • Création d'autorisations — Contrôlez qui peut créer de nouvelles identités de charge de travail

  • Autorisations de lecture  : contrôlez qui peut consulter les informations d'identité spécifiques de la charge de travail

  • Supprimer les autorisations  : contrôlez qui peut supprimer les identités des charges de travail

Exemple de politique IAM pour l'accès aux annuaires 

{
"Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "ListWorkloadIdentities",
      "Effect": "Allow",
      "Action": [
        "bedrock-agentcore:ListWorkloadIdentities"
      ],
      "Resource": [
        "arn:aws:bedrock-agentcore:*:*:workload-identity-directory/default"
      ]
    },
    {
      "Sid": "ManageSpecificWorkloadIdentity",
      "Effect": "Allow",
      "Action": [
        "bedrock-agentcore:GetWorkloadIdentity",
        "bedrock-agentcore:CreateWorkloadIdentity",
        "bedrock-agentcore:DeleteWorkloadIdentity"
      ],
      "Resource": [
        "arn:aws:bedrock-agentcore:*:*:workload-identity-directory/default/workload-identity/my-agent-*"
      ]
    }
  ]
}