Concepts de base
Avant d'utiliser Policy dans Amazon Bedrock AgentCore, il est important de comprendre les concepts et composants clés qui fonctionnent ensemble pour fournir une gouvernance basée sur des politiques à vos agents d'intelligence artificielle.
Rubriques
Passerelle
Une AgentCore passerelle Amazon Bedrock fournit un point de terminaison permettant de se connecter aux serveurs MCP et de convertir des API et des outils Lambda en outils compatibles MCP, fournissant ainsi un point d'accès unique permettant à un agent d'interagir avec ses outils. Une passerelle peut avoir plusieurs cibles, chacune représentant un outil ou un ensemble d'outils différent.
Cible de passerelle
Une cible définit les API ou la fonction Lambda qu'une passerelle fournira en tant qu'outils à un agent. Les cibles peuvent être des fonctions Lambda, des spécifications OpenAPI, des modèles Smithy ou d'autres définitions d'outils.
Principaux types
Les politiques de Cedar utilisent des principes pour représenter l'entité qui fait une demande d'autorisation. Policy in AgentCore prend en charge deux types principaux en fonction de la configuration de votre AgentCore passerelle pour l'authentification :
-
AgentCore: : OAuthUser - Représente OAuth-authenticated les utilisateurs. Lorsqu'une AgentCore passerelle utilise l'autorisation OAuth, le principal est créé à partir de la réclamation du jeton JWT.
subLes principes OAuth prennent en charge les balises contenant des revendications JWT telles que le nom d'utilisateur, la portée, le rôle, etc. -
AgentCore: : IamEntity - Représente IAM-authenticated les appelants. Lorsqu'une AgentCore passerelle utilise l'autorisation AWS_IAM, le principal est créé à partir de l'identité IAM de l'appelant. Les principaux IAM ont un
idattribut contenant l'ARN IAM (formatarn:aws:sts::<account>:assumed-role/<role-name>: pour les rôles assumés), permettantprincipal ==une correspondance stable. Consultez les conditions de la politique pour plus de détails.
Cèdre
Cedar
Politique sur le cèdre
Une politique Cedar est une déclaration déclarative qui autorise ou interdit l'accès aux outils de passerelle. Chaque politique indique qui (principal) peut effectuer quelle action (appel d'outil) sur quelle ressource (passerelle) et dans quelles conditions. Les politiques sont évaluées pour chaque demande d'appel d'outil.
Moteur de politiques
Le moteur de politiques est le composant principal de Policy car AgentCore il stocke et évalue les politiques de Cedar. Lorsque vous créez des politiques, elles s'appliquent à toutes les passerelles associées au moteur, à condition que la portée de la politique corresponde à la demande. Pour chaque appel d'outil, le moteur de politiques évalue toutes les politiques applicables par rapport à la demande afin de déterminer s'il convient d'autoriser ou de refuser l'accès. Le moteur applique automatiquement les sémantiques default-deny et prohibid-wins.
Schéma Cedar
Un schéma Cedar définit la structure des entités, des actions et du contexte pour la validation des politiques. Le moteur de politiques génère automatiquement un schéma à partir des définitions d'outils de la passerelle, en mappant chaque outil à une action et en définissant les paramètres d'entrée attendus. Le schéma garantit que les politiques sont validées au moment de leur création, en détectant les erreurs avant le déploiement.
Validation Ced
La validation Cedar vérifie que les politiques sont syntaxiquement correctes et conformes au schéma. Lorsque vous associez des politiques à une passerelle, le moteur de politiques les valide par rapport au schéma généré automatiquement pour s'assurer qu'elles font référence à des actions valides, utilisent des types de données corrects et accèdent uniquement aux champs de contexte définis. La validation détecte les erreurs avant le déploiement des politiques, empêchant ainsi les échecs d'autorisation d'exécution.
Analyse du cèdre
Cedar Analysis utilise un raisonnement automatisé pour examiner les politiques et détecter les problèmes potentiels. Policy in AgentCore utilise un raisonnement automatique pour identifier les politiques qui autorisent toujours (aucune condition ne restreint l'accès) ou qui refusent toujours (interdisent les politiques sans exception), afin de garantir que les politiques mettent en œuvre le contrôle d'accès prévu plutôt que d'être trop permissives ou inutilement restrictives.
Service de création de politiques
Le service de création de politiques convertit automatiquement les exigences d'autorisation en langage naturel en politiques Cedar. Lorsque vous soumettez une politique de langage naturel, le service génère du code Cedar syntaxiquement correct, le valide par rapport au schéma de passerelle et exécute une analyse automatique pour détecter les problèmes potentiels. Cela garantit la validité de toutes les politiques générées et permet d'identifier les règles trop permissives ou restrictives avant le déploiement.
