Sécurité et contrôles d'accès

Le harnais vous fournit les mêmes primitives de sécurité que le reste AgentCore, intégrées par configuration.

Modèle de responsabilité partagée

Le harnais est construit sur AgentCore Runtime. La limite de sécurité est la même : authentification IAM ou JWT combinée à l'isolation microVM. Le harnais n'ajoute pas de couche de sécurité entre l'appelant et la microVM.

Pour le modèle de responsabilité partagée complet du AgentCore Runtime, voir Bonnes pratiques en matière de sécurité pour AgentCore Runtime.

Limite de confiance et validation des entrées

Toutes InvokeHarness les InvokeAgentRuntimeCommand entrées sont fiables. Tout principal qui passe le portail d'authentification et d'autorisation IAM ou JWT a accès à la session microVM complète, y compris aux outils et fonctionnalités configurés sur le harnais. Le harnais ne nettoie pas les entrées, ne filtre pas les blocs de contenu et n'impose pas de contraintes comportementales.

Si vous exposez le harnais à des utilisateurs finaux auxquels vous ne faites pas entièrement confiance (employés, consommateurs externes ou intégrations tierces), validez et nettoyez les messages dans votre couche applicative avant de les transmettre. InvokeHarness Cela inclut la suppression des types de blocs de contenu ou des champs de configuration du modèle que vous ne souhaitez pas distribuer. Il s'agit du même schéma que tout service qui accepte des charges utiles provenant d'appelants autorisés, tels que Lambda, Amazon API Gateway et Amazon SQS.

Paramètres de configuration du modèle

Le model champ InvokeHarness accepte additionalParams les configurations Bedrock, OpenAI et LitellM. Ces paramètres sont transmis sans modification au fournisseur du modèle sous-jacent. Le harnais ne valide pas, ne filtre pas et ne restreint pas ces paramètres.

Les appelants qui peuvent configurer additionalParams peuvent :

Si votre application expose des InvokeHarness fonctionnalités à des appelants auxquels vous ne faites pas entièrement confiance, envisagez d'implémenter la validation des entrées dans votre couche d'application. En voici quelques exemples :

Compétences et instructions

Les compétences sont des ensembles de balises et de scripts que le harnais extrait d'Amazon S3 ou Git au moment de l'invocation et injecte dans le contexte de l'agent. Le harnais traite toutes les compétences comme des données fiables. Il ne valide, ne nettoie ni n'inspecte le contenu ou la source des compétences avant de les fournir à l'agent.

Vous êtes responsable de :

Les compétences peuvent être annulées par appel. InvokeHarness Si votre application transmet les informations fournies par l'appelantInvokeHarness, celui-ci peut fournir ses propres sources de compétences contenant des instructions ou des scripts arbitraires. Voici des exemples de mesures d'atténuation :

Observabilité et corrélation des traces

Le harnais propage automatiquement les identifiants de corrélation vers les AgentCore primitives situées en aval (passerelle, mémoire, interpréteur de code, navigateur) pour permettre des vues de trace unifiées dans. CloudWatch Ces identifiants ne sont utilisés qu'à des fins d'observabilité ; ils ne sont jamais utilisés pour les décisions d'autorisation ou d'accès aux données.

Configuration réseau

Par défaut, les sessions Harness s'exécutent sur le réseau public. Pour accéder à des ressources privées (bases de données, API internes, sous-réseaux privés), déployez le harnais dans votre VPC.

Pour obtenir des conseils supplémentaires sur la configuration du réseau, voir Configuration du AgentCore moteur d'exécution et des outils intégrés (VPC). Pour la connectivité aux API entrantes via PrivateLink, consultez la section Points de terminaison de l'interface VPC.

OAuth entrant

Exigez des appelants qu'ils présentent un JWT valide émis par un fournisseur d'identité configuré avant de pouvoir invoquer le harnais. AgentCore L'identité transmet l'identité de l'utilisateur final à l'agent, de sorte que les outils en aval peuvent appeler des API avec des informations d'identification utilisateur définies au lieu d'un compte de service partagé.

En savoir plus : AgentCore Identité · Autorisateur JWT entrant · informations d'identification sortantes

Politiques de passerelle

Lorsque des outils sont fournis via AgentCore Gateway, les Cedar-based politiques bloquent chaque appel : qui peut appeler quel outil, dans quelles conditions, avec quels arguments.

Pour en savoir plus : AgentCore Politique · modèles courants

Politique relative aux rôles d'exécution

Le harnais assume le rôle d'exécution IAM que vous fournissez. La politique de confiance du rôle doit permettre au directeur du AgentCore service de l'assumer :

{
  "Version": "2012-10-17",
  "Statement": [{
    "Effect": "Allow",
    "Principal": {"Service": "bedrock-agentcore.amazonaws.com"},
    "Action": "sts:AssumeRole"
  }]
}

Autorisations IAM requises pour les appelants

Les API Harness nécessitent des autorisations à la fois sur la ressource Harness, sur le AgentCore Runtime sous-jacent et sur les ressources de AgentCore mémoire facultatives. Le tableau suivant répertorie les actions requises pour chaque API :

La plupart des actions utilisent l'ARN du harnais comme étendue de la ressource :arn:aws:bedrock-agentcore:<region>:<accountId>:harness/<id>. Les actions du point de terminaison utilisent également l'ARN du point de terminaison du harnais :arn:aws:bedrock-agentcore:<region>:<accountId>:harness/<id>/harness-endpoint/<endpointName>.

Les DeleteHarnessEndpoint actions GetHarnessEndpointUpdateHarnessEndpoint, et nécessitent à la fois l'ARN du harnais et l'ARN du point de terminaison. CreateHarnessEndpointnécessite uniquement l'ARN du harnais. Le point de terminaison n'existe pas encore, donc aucun ARN de point de terminaison n'est nécessaire. Lorsque vous invoquez un point de terminaison personnalisé InvokeHarness et que vous avez InvokeAgentRuntimeCommand besoin à la fois de l'ARN du harnais et de l'ARN du point de terminaison.

Exemple de politique des rôles d'exécution

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "BedrockModelInvocation",
      "Effect": "Allow",
      "Action": [
        "bedrock:InvokeModel",
        "bedrock:InvokeModelWithResponseStream"
      ],
      "Resource": [
        "arn:aws:bedrock:*::foundation-model/*",
        "arn:aws:bedrock:<region>:<accountId>:*"
      ]
    },
    {
      "Sid": "EcrPublicTokenAccess",
      "Effect": "Allow",
      "Action": [
        "ecr-public:GetAuthorizationToken"
      ],
      "Resource": "*"
    },
    {
      "Sid": "StsForEcrPublicPull",
      "Effect": "Allow",
      "Action": [
        "sts:GetServiceBearerToken"
      ],
      "Resource": "*"
    },
    {
      "Sid": "XRayTracingAccess",
      "Effect": "Allow",
      "Action": [
        "xray:PutTraceSegments",
        "xray:PutTelemetryRecords",
        "xray:GetSamplingRules",
        "xray:GetSamplingTargets"
      ],
      "Resource": "*"
    },
    {
      "Sid": "CloudWatchLogsGroup",
      "Effect": "Allow",
      "Action": [
        "logs:CreateLogGroup",
        "logs:DescribeLogStreams"
      ],
      "Resource": "arn:aws:logs:<region>:<accountId>:log-group:/aws/bedrock-agentcore/runtimes/*"
    },
    {
      "Sid": "CloudWatchLogsDescribeGroups",
      "Effect": "Allow",
      "Action": [
        "logs:DescribeLogGroups"
      ],
      "Resource": "arn:aws:logs:<region>:<accountId>:log-group:*"
    },
    {
      "Sid": "CloudWatchLogsStream",
      "Effect": "Allow",
      "Action": [
        "logs:CreateLogStream",
        "logs:PutLogEvents"
      ],
      "Resource": "arn:aws:logs:<region>:<accountId>:log-group:/aws/bedrock-agentcore/runtimes/*:log-stream:*"
    },
    {
      "Sid": "CloudWatchMetricsPublish",
      "Effect": "Allow",
      "Resource": "*",
      "Action": "cloudwatch:PutMetricData",
      "Condition": {
        "StringEquals": {
          "cloudwatch:namespace": "bedrock-agentcore"
        }
      }
    },
    {
      "Sid": "AgentCoreWorkloadIdentity",
      "Effect": "Allow",
      "Action": [
        "bedrock-agentcore:GetWorkloadAccessToken",
        "bedrock-agentcore:GetWorkloadAccessTokenForJWT"
      ],
      "Resource": [
        "arn:aws:bedrock-agentcore:<region>:<accountId>:workload-identity-directory/default",
        "arn:aws:bedrock-agentcore:<region>:<accountId>:workload-identity-directory/default/workload-identity/harness_<agentName>-*"
      ]
    },
    {
      "Sid": "AgentCoreBrowserDefault",
      "Effect": "Allow",
      "Action": [
        "bedrock-agentcore:StartBrowserSession",
        "bedrock-agentcore:StopBrowserSession",
        "bedrock-agentcore:GetBrowserSession",
        "bedrock-agentcore:ListBrowserSessions",
        "bedrock-agentcore:UpdateBrowserStream",
        "bedrock-agentcore:ConnectBrowserAutomationStream",
        "bedrock-agentcore:ConnectBrowserLiveViewStream"
      ],
      "Resource": "arn:aws:bedrock-agentcore:<region>:aws:browser/*"
    },
    {
      "Sid": "AgentCoreCodeInterpreterDefault",
      "Effect": "Allow",
      "Action": [
        "bedrock-agentcore:StartCodeInterpreterSession",
        "bedrock-agentcore:StopCodeInterpreterSession",
        "bedrock-agentcore:GetCodeInterpreterSession",
        "bedrock-agentcore:ListCodeInterpreterSessions",
        "bedrock-agentcore:InvokeCodeInterpreter"
      ],
      "Resource": "arn:aws:bedrock-agentcore:<region>:aws:code-interpreter/*"
    }
  ]
}

La AgentCore CLI crée automatiquement un rôle doté de ces autorisations lorsque vous échafaudez un projet de harnais. La politique ci-dessus s'applique aux cas où vous créez le rôle vous-même.

Pour les charges de travail de production, définissez Resource les valeurs en fonction des ARN spécifiques dont votre harnais a besoin plutôt que d'utiliser. "*"

Autorisations supplémentaires pour les fonctionnalités optionnelles

Vous trouverez ci-dessous des exemples de politiques que vous pouvez ajouter à votre rôle d'exécution en fonction des fonctionnalités utilisées par votre harnais. Respectez le principe du moindre privilège : accordez à votre agent de harnais uniquement les outils et informations d'identification spécifiques dont il a besoin pour ses inférences. Voir Référence à un espace réservé pour les définitions des espaces réservés.

Accès ECR privé (images de conteneurs personnalisées)

Ajoutez cette politique lorsque votre harnais utilise une image ECR privée pour un conteneur personnalisé.

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "ECRImageAccess",
      "Effect": "Allow",
      "Action": [
        "ecr:GetDownloadUrlForLayer",
        "ecr:BatchGetImage"
      ],
      "Resource": "arn:aws:ecr:<ecrRegion>:<ecrAccountId>:repository/<ecrRepoName>"
    },
    {
      "Sid": "ECRTokenAccess",
      "Effect": "Allow",
      "Action": "ecr:GetAuthorizationToken",
      "Resource": "*"
    }
  ]
}

AgentCore Mémoire

Ajoutez cette politique lorsque votre harnais utilise une instance de mémoire appartenant au client.

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "AgentCoreMemory",
      "Effect": "Allow",
      "Action": [
        "bedrock-agentcore:CreateEvent",
        "bedrock-agentcore:DeleteEvent",
        "bedrock-agentcore:GetEvent",
        "bedrock-agentcore:ListEvents",
        "bedrock-agentcore:RetrieveMemoryRecords"
      ],
      "Resource": "arn:aws:bedrock-agentcore:<region>:<accountId>:memory/<memoryId>"
    }
  ]
}

AgentCore Navigateur (personnalisé)

Ajoutez cette politique lorsque votre harnais utilise une ressource de navigateur personnalisée appartenant au client.

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "AgentCoreBrowserCustom",
      "Effect": "Allow",
      "Action": [
        "bedrock-agentcore:StartBrowserSession",
        "bedrock-agentcore:StopBrowserSession",
        "bedrock-agentcore:GetBrowserSession",
        "bedrock-agentcore:ListBrowserSessions",
        "bedrock-agentcore:UpdateBrowserStream",
        "bedrock-agentcore:ConnectBrowserAutomationStream",
        "bedrock-agentcore:ConnectBrowserLiveViewStream"
      ],
      "Resource": "arn:aws:bedrock-agentcore:<region>:<accountId>:browser-custom/<browserCustomId>"
    }
  ]
}

AgentCore Interprète de code (personnalisé)

Ajoutez cette politique lorsque votre harnais utilise un interpréteur de code personnalisé appartenant au client.

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "AgentCoreCodeInterpreterCustom",
      "Effect": "Allow",
      "Action": [
        "bedrock-agentcore:StartCodeInterpreterSession",
        "bedrock-agentcore:StopCodeInterpreterSession",
        "bedrock-agentcore:GetCodeInterpreterSession",
        "bedrock-agentcore:ListCodeInterpreterSessions",
        "bedrock-agentcore:InvokeCodeInterpreter"
      ],
      "Resource": "arn:aws:bedrock-agentcore:<region>:<accountId>:code-interpreter-custom/<codeInterpreterCustomId>"
    }
  ]
}

Passerelle AgentCore

Ajoutez cette politique lorsque votre harnais utilise une passerelle configurée avec l'authentification entrante SigV4.

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "AgentCoreGatewayAccess",
      "Effect": "Allow",
      "Action": "bedrock-agentcore:InvokeGateway",
      "Resource": "arn:aws:bedrock-agentcore:<region>:<accountId>:gateway/<gatewayId>"
    }
  ]
}

Sources de compétences dans Amazon S3 et Git

Ajoutez cette politique lorsque votre harnais récupère une compétence depuis une source Amazon S3. Le rôle d'exécution répertorie et télécharge les objets de compétence sous le préfixe bucket.

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "AgentCoreSkillS3Access",
      "Effect": "Allow",
      "Action": [
        "s3:GetObject",
        "s3:ListBucket"
      ],
      "Resource": [
        "arn:aws:s3:::<skillBucket>",
        "arn:aws:s3:::<skillBucket>/*"
      ]
    }
  ]
}

Pour récupérer une compétence depuis un dépôt Git privé, le harnais lit un jeton d'accès personnel provenant d'un fournisseur d'informations d'identification de clé d'API. Accordez la politique de fournisseur d'informations d'identification de clé d'API indiquée ci-dessous pour le fournisseur d'informations d'identification qui détient le jeton.

Fournisseur d'informations d'identification de clé d'API (références ARN d'en-tête OpenAI, Gemini, LitellM ou MCP)

Ajoutez cette politique lorsque votre harnais utilise un fournisseur d'informations d'identification de clé d'API pour des fournisseurs de modèles tels qu'OpenAI, Gemini ou LitellM.

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "AgentCoreApiKeyTokenVaultDefault",
      "Effect": "Allow",
      "Action": "bedrock-agentcore:GetResourceApiKey",
      "Resource": [
        "arn:aws:bedrock-agentcore:<region>:<accountId>:token-vault/default",
        "arn:aws:bedrock-agentcore:<region>:<accountId>:workload-identity-directory/default",
        "arn:aws:bedrock-agentcore:<region>:<accountId>:workload-identity-directory/default/workload-identity/harness_<agentName>-*"
      ]
    },
    {
      "Sid": "AgentCoreApiKeyTokenVaultPerKey",
      "Effect": "Allow",
      "Action": "bedrock-agentcore:GetResourceApiKey",
      "Resource": "arn:aws:bedrock-agentcore:<region>:<accountId>:token-vault/default/apikeycredentialprovider/<apiKeyName>"
    },
    {
      "Sid": "AgentCoreApiKeySecret",
      "Effect": "Allow",
      "Action": "secretsmanager:GetSecretValue",
      "Resource": "arn:aws:secretsmanager:<region>:<accountId>:secret:bedrock-agentcore-identity!default/apikey/<apiKeyName>-*"
    }
  ]
}

Fournisseur d'informations d'identification OAuth2 (Gateway) OAuth-protected

Ajoutez cette politique lorsque votre harnais utilise un fournisseur d'informations d'identification OAuth2 pour les OAuth-protected outils de passerelle.

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "AgentCoreOAuth2TokenVaultDefault",
      "Effect": "Allow",
      "Action": "bedrock-agentcore:GetResourceOauth2Token",
      "Resource": [
        "arn:aws:bedrock-agentcore:<region>:<accountId>:token-vault/default",
        "arn:aws:bedrock-agentcore:<region>:<accountId>:workload-identity-directory/default",
        "arn:aws:bedrock-agentcore:<region>:<accountId>:workload-identity-directory/default/workload-identity/harness_<agentName>-*"
      ]
    },
    {
      "Sid": "AgentCoreOAuth2TokenVaultPerProvider",
      "Effect": "Allow",
      "Action": "bedrock-agentcore:GetResourceOauth2Token",
      "Resource": "arn:aws:bedrock-agentcore:<region>:<accountId>:token-vault/default/oauth2credentialprovider/<oauthProviderName>"
    },
    {
      "Sid": "AgentCoreOAuth2Secret",
      "Effect": "Allow",
      "Action": "secretsmanager:GetSecretValue",
      "Resource": "arn:aws:secretsmanager:<region>:<accountId>:secret:bedrock-agentcore-identity!default/oauth2/<oauthProviderName>-*"
    }
  ]
}

Référence à un espace réservé

Remplacez les espaces réservés suivants dans les politiques ci-dessus par des valeurs spécifiques à votre environnement :

Rubriques en relation