View a markdown version of this page

Rôle d'exécution du portail de consentement - Base rocheuse de l'Amazonie AgentCore
Politique d’approbationPolitique d’autorisations

Les traductions sont fournies par des outils de traduction automatique. En cas de conflit entre le contenu d'une traduction et celui de la version originale en anglais, la version anglaise prévaudra.

Rôle d'exécution du portail de consentement

Un portail de consentement assume un rôle IAM que vous transmettez executionRoleArn lorsque vous créez le portail. Le service Consent Portal assume ce rôle pour lire les configurations de la passerelle et du fournisseur d'informations d'identification OAuth2 et pour récupérer le secret du client OAuth. Avant de créer un portail de consentement, créez ce rôle d'exécution avec la politique de confiance et la politique d'autorisations décrites dans cette rubrique. Vous fournissez l'ARN du rôle comme executionRoleArn lorsque vous créez un portail de consentement avec la console ou lorsque vous créez un portail de consentement avec l' AWS interface de ligne de commande. Pour plus d'informations sur la création d'un rôle IAM, consultez la section Création d'un rôle IAM.

Le rôle d'exécution du portail de consentement doit inclure la politique de confiance suivante, qui permet au responsable du service Consent Portal d'assumer ce rôle. bedrock-agentcore.amazonaws.com Les aws:SourceArn conditions aws:SourceAccount et limitent le compte et le portail de consentement qui peuvent assumer ce rôle, évitant ainsi le problème de confusion entre les sous-ministres.

Dans la politique, remplacez :

  • us-east-1avec la AWS région que vous utilisez

  • 123456789012avec votre identifiant AWS de compte

  • consent-portal-idavec l'identifiant de votre portail de consentement

{
"Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "ConsentPortalAssumeRolePolicy",
      "Effect": "Allow",
      "Principal": {
        "Service": "bedrock-agentcore.amazonaws.com"
      },
      "Action": "sts:AssumeRole",
      "Condition": {
        "StringEquals": {
          "aws:SourceAccount": "123456789012"
        },
        "ArnLike": {
          "aws:SourceArn": "arn:aws:bedrock-agentcore:us-east-1:123456789012:consent-portal/consent-portal-id"
        }
      }
    }
  ]
}
Note

Comme vous ne connaîtrez pas l'ARN du portail de consentement avant de créer le portail, vous pouvez omettre ce Condition champ lorsque vous créez le rôle d'exécution pour la première fois. Après avoir créé le portail de consentement, ajoutez à nouveau le Condition champ à la politique en tant que meilleure pratique de sécurité et procédez comme suit :

  • Remplacez la valeur de la clé de aws:SourceAccount condition par l'ID du compte auquel appartient le portail de consentement.

  • Remplacez la valeur de la clé de aws:SourceArn condition par l'ARN du portail de consentement.

Associez la politique d'autorisations en ligne suivante au rôle d'exécution. Il accorde les actions requises par le portail de consentement pour lire les configurations de la passerelle et du fournisseur d'informations d'identification OAuth2 et pour récupérer le secret du client OAuth.

Dans la politique, remplacez :

  • us-east-1avec la AWS région que vous utilisez

  • 123456789012avec votre identifiant AWS de compte

  • gateway-idavec l'identifiant de la passerelle desservie par le portail de consentement

{
"Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "bedrock-agentcore:GetGateway",
        "bedrock-agentcore:GetGatewayTarget",
        "bedrock-agentcore:ListGatewayTargets"
      ],
      "Resource": "arn:aws:bedrock-agentcore:us-east-1:123456789012:gateway/gateway-id"
    },
    {
      "Effect": "Allow",
      "Action": [
        "bedrock-agentcore:GetOauth2CredentialProvider",
        "bedrock-agentcore:ListOauth2CredentialProviders"
      ],
      "Resource": [
        "arn:aws:bedrock-agentcore:us-east-1:123456789012:token-vault/default/oauth2credentialprovider/*",
        "arn:aws:bedrock-agentcore:us-east-1:123456789012:token-vault/default"
      ]
    },
    {
      "Effect": "Allow",
      "Action": [
        "bedrock-agentcore:CompleteResourceTokenAuth",
        "bedrock-agentcore:GetResourceOauth2Token",
        "bedrock-agentcore:GetWorkloadAccessTokenForJWT"
      ],
      "Resource": "*"
    },
    {
      "Effect": "Allow",
      "Action": [
        "secretsmanager:GetSecretValue"
      ],
      "Resource": [
        "arn:aws:secretsmanager:us-east-1:123456789012:secret:bedrock-agentcore-identity!default/oauth2/*"
      ],
      "Condition": {
        "StringEquals": {
          "aws:ResourceTag/aws:secretsmanager:owningService": "bedrock-agentcore-identity"
        }
      }
    }
  ]
}