Les traductions sont fournies par des outils de traduction automatique. En cas de conflit entre le contenu d'une traduction et celui de la version originale en anglais, la version anglaise prévaudra.

AgentCore Passerelle et politique dans les AgentCore autorisations IAM

Ce guide fournit les autorisations IAM requises pour utiliser Amazon Bedrock AgentCore Gateway avec Policy in AgentCore pour un contrôle des autorisations précis à l'aide des politiques Cedar.

Vue d’ensemble

Lors de l'intégration d'Amazon Bedrock AgentCore Gateway à Policy in AgentCore, deux rôles IAM distincts sont requis :

Les deux rôles ont des objectifs différents et nécessitent des autorisations spécifiques. Le rôle d'exécution de passerelle nécessite des autorisations pour exécuter les opérations d'Amazon Bedrock AgentCore Gateway, tandis que le rôle de gestion des ressources a besoin d'autorisations pour configurer et gérer Amazon Bedrock AgentCore Gateway et la politique en AgentCore matière de ressources.

Rôle d'exécution de la passerelle

Le rôle d'exécution de la passerelle est assumé par le service Amazon Bedrock AgentCore Gateway lors du traitement des demandes. Ce rôle nécessite des autorisations pour :

Stratégie d’approbation

Le rôle d'exécution de la passerelle doit faire confiance au principal du bedrock-agentcore.amazonaws.com service.

{
"Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "AllowBedrockAgentCoreAssumeRole",
      "Effect": "Allow",
      "Principal": {
        "Service": "bedrock-agentcore.amazonaws.com"
      },
      "Action": "sts:AssumeRole",
      "Condition": {
        "StringEquals": {
          "aws:SourceAccount": "123456789012"
        },
        "ArnLike": {
          "aws:SourceArn": "arn:aws:bedrock-agentcore:us-east-1:123456789012:*"
        }
      }
    }
  ]
}

Stratégie d'autorisation

Cette politique accorde à Amazon Bedrock AgentCore Gateway les autorisations nécessaires pour évaluer les politiques de Cedar via Policy in AgentCore. Les autorisations sont divisées en deux déclarations selon les principes du moindre privilège.

{
"Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "PolicyEngineConfiguration",
      "Effect": "Allow",
      "Action": [
        "bedrock-agentcore:GetPolicyEngine"
      ],
      "Resource": [
        "arn:aws:bedrock-agentcore:us-east-1:123456789012:policy-engine/<policy-engine-id>"
      ]
    },
    {
      "Sid": "PolicyEngineAuthorization",
      "Effect": "Allow",
      "Action": [
        "bedrock-agentcore:AuthorizeAction",
        "bedrock-agentcore:PartiallyAuthorizeActions"
      ],
      "Resource": [
        "arn:aws:bedrock-agentcore:us-east-1:123456789012:policy-engine/<policy-engine-id>",
        "arn:aws:bedrock-agentcore:us-east-1:123456789012:gateway/<gateway-id>"
      ]
    }
  ]
}

Autorisations IAM pour les politiques temporelles

Les politiques temporelles obligent la passerelle à propager l'identité de session de l'appelant à travers la demande en émettant un jeton d'accès à la charge de travail (WAT). Sur le flux entrant AWS IAM, cette monnaie appelle. GetWorkloadAccessToken Accordez le rôle d'exécution de la passerellebedrock-agentcore:GetWorkloadAccessToken, limité au répertoire d'identité de la charge de travail de la passerelle. Ajoutez cette autorisation en plus des trois autorisations de stratégie (AuthorizeAction,PartiallyAuthorizeActions,GetPolicyEngine) déjà documentées sur cette page. Cette autorisation n'est requise que lorsque la politique temporelle est active (un ID de session de politique est fourni et un moteur de stratégie est attaché) ; elle n'est pas nécessaire lorsque la politique temporelle est désactivée.

Ajoutez la déclaration suivante à la politique d'autorisation du rôle d'exécution de la passerelle :

{
  "Sid": "PolicySessionWorkloadIdentity",
  "Effect": "Allow",
  "Action": [
    "bedrock-agentcore:GetWorkloadAccessToken"
  ],
  "Resource": [
    "arn:aws:bedrock-agentcore:us-east-1:123456789012:workload-identity-directory/default",
    "arn:aws:bedrock-agentcore:us-east-1:123456789012:workload-identity-directory/default/workload-identity/<gatewayId>*"
  ]
}

Sans cette autorisation, les appels à l'outil échouent à l'étape tokenmint (AccessDeniedactivéGetWorkloadAccessToken) une fois que la politique temporelle est activée. Pour la production, remplacez-le <gatewayId> par l'ID de passerelle spécifique afin de respecter le principe du moindre privilège.

Pour un aperçu de cette exigence dans le contexte des considérations de politique temporelle, consultez la section Autorisations IAM requises.

Rôle de gestion des ressources

Le rôle de gestion des ressources est utilisé par les administrateurs pour créer et gérer Amazon Bedrock AgentCore Gateway et la politique en matière de AgentCore ressources. Ce rôle nécessite des autorisations pour :

Ce rôle est distinct du rôle d'exécution de la passerelle et n'est nécessaire que lors de la configuration ou de la modification d'Amazon Bedrock AgentCore Gateway and Policy dans les AgentCore configurations.

Stratégie d'autorisation

{
"Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "GatewayManagement",
      "Effect": "Allow",
      "Action": [
        "bedrock-agentcore:CreateGateway",
        "bedrock-agentcore:UpdateGateway",
        "bedrock-agentcore:GetGateway",
        "bedrock-agentcore:DeleteGateway",
        "bedrock-agentcore:ListGateways",
        "bedrock-agentcore:InvokeGateway",
        "bedrock-agentcore:CreateGatewayTarget",
        "bedrock-agentcore:UpdateGatewayTarget",
        "bedrock-agentcore:GetGatewayTarget",
        "bedrock-agentcore:DeleteGatewayTarget",
        "bedrock-agentcore:ListGatewayTargets"
      ],
      "Resource": [
        "arn:aws:bedrock-agentcore:us-east-1:123456789012:gateway/*"
      ]
    },
    {
      "Sid": "PolicyEngineManagement",
      "Effect": "Allow",
      "Action": [
        "bedrock-agentcore:CreatePolicyEngine",
        "bedrock-agentcore:UpdatePolicyEngine",
        "bedrock-agentcore:GetPolicyEngine",
        "bedrock-agentcore:DeletePolicyEngine",
        "bedrock-agentcore:ListPolicyEngines"
      ],
      "Resource": [
        "arn:aws:bedrock-agentcore:us-east-1:123456789012:policy-engine/*"
      ]
    },
    {
      "Sid": "PolicyManagement",
      "Effect": "Allow",
      "Action": [
        "bedrock-agentcore:CreatePolicy",
        "bedrock-agentcore:UpdatePolicy",
        "bedrock-agentcore:GetPolicy",
        "bedrock-agentcore:DeletePolicy",
        "bedrock-agentcore:ListPolicies"
      ],
      "Resource": [
        "arn:aws:bedrock-agentcore:us-east-1:123456789012:policy-engine/*/policy/*"
      ]
    },
    {
      "Sid": "PolicyGeneration",
      "Effect": "Allow",
      "Action": [
        "bedrock-agentcore:StartPolicyGeneration",
        "bedrock-agentcore:GetPolicyGeneration",
        "bedrock-agentcore:ListPolicyGenerations",
        "bedrock-agentcore:ListPolicyGenerationAssets"
      ],
      "Resource": [
        "arn:aws:bedrock-agentcore:us-east-1:123456789012:policy-engine/*/policy-generation/*"
      ]
    },
    {
      "Sid": "IAMPassRole",
      "Effect": "Allow",
      "Action": [
        "iam:PassRole"
      ],
      "Resource": [
        "arn:aws:iam::123456789012:role/*BedrockAgentCore*"
      ],
      "Condition": {
        "StringEquals": {
          "iam:PassedToService": "bedrock-agentcore.amazonaws.com"
        }
      }
    },
    {
      "Sid": "IAMReadAccess",
      "Effect": "Allow",
      "Action": [
        "iam:GetRole",
        "iam:GetRolePolicy",
        "iam:ListAttachedRolePolicies",
        "iam:ListRolePolicies"
      ],
      "Resource": [
        "arn:aws:iam::123456789012:role/*"
      ]
    },
    {
      "Sid": "PolicyScopeManagement",
      "Effect": "Allow",
      "Action": [
        "bedrock-agentcore:ManageResourceScopedPolicy",
        "bedrock-agentcore:ManageAdminPolicy"
      ],
      "Resource": [
        "arn:aws:bedrock-agentcore:us-east-1:123456789012:gateway/*"
      ]
    }
  ]
}

Quand les mises à jour des rôles sont-elles requises ?

Déterminez si une politique d' AgentCore autorisations doit être ajoutée au rôle d'exécution d'Amazon Bedrock AgentCore Gateway en fonction de la façon dont Amazon Bedrock AgentCore Gateway a été créé.

Résolution des problèmes

Cette section aborde les problèmes courants liés à la configuration des autorisations IAM pour Amazon Bedrock AgentCore Gateway avec Policy in. AgentCore

InternalServerException Au cours de l'évaluation des politiques

Symptôme : Gateway revient InternalServerException - Policy evaluation failed lors de l'attachement d'un moteur de politique à une passerelle existante, et toutes les invocations d'outils sont refusées par défaut, même si des politiques d'autorisation sont configurées.

Cause principale : le rôle d'exécution de la passerelle ne dispose pas de la politique requise dans AgentCore les autorisations. Sans ces autorisations, la passerelle ne peut pas effectuer d'autorisation de politique.

Solution : assurez-vous que le rôle d'exécution de la passerelle inclut les trois autorisations suivantes :

{
  "Effect": "Allow",
  "Action": [
    "bedrock-agentcore:PartiallyAuthorizeActions",
    "bedrock-agentcore:AuthorizeAction",
    "bedrock-agentcore:GetPolicyEngine"
  ],
  "Resource": [
    "arn:aws:bedrock-agentcore:REGION:ACCOUNT:policy-engine/*",
    "arn:aws:bedrock-agentcore:REGION:ACCOUNT:gateway/*"
  ]
}

« Autorisations insuffisantes pour appeler la passerelle » sur CreatePolicy

Symptôme : CreatePolicy renvoie unepolicyId, mais la politique passe ensuite à CREATE_FAILED withInsufficient permissions to call gateway with ID <gateway-id>, même lorsque le rôle d'exécution de la passerelle possède AuthorizeActionPartiallyAuthorizeActions, etGetPolicyEngine.

Cause première : l'écart réside dans le rôle de gestion des ressources qui appelleCreatePolicy, et non dans le rôle d'exécution de la passerelle. La validation de la politique appelle la passerelle (autorisée en tant quebedrock-agentcore:InvokeGateway) ; l'erreur nomme la passerelle mais le correctif concerne le rôle de création de stratégie.

Solution : ajoutez bedrock-agentcore:InvokeGateway (limité à l'ARN de la passerelle) au rôle de gestion des ressources :

{
  "Effect": "Allow",
  "Action": [
    "bedrock-agentcore:InvokeGateway"
  ],
  "Resource": [
    "arn:aws:bedrock-agentcore:us-east-1:123456789012:gateway/<gateway-id>"
  ]
}

Pannes silencieuses en mode LOG_ONLY

Symptôme : le moteur de politique semble fonctionner en mode LOG_ONLY mais échoue silencieusement sans message d'erreur approprié.

Cause principale : bedrock-agentcore:GetPolicyEngine L'absence d'autorisation entraîne des défaillances silencieuses qui apparaissent uniquement lors du passage en mode ENFORCED.

Solution : incluez bedrock-agentcore:GetPolicyEngine toujours le rôle d'exécution de la passerelle, même lorsque vous utilisez le mode LOG_ONLY pour les tests.

Erreur Policy Engine introuvable

Symptôme : Amazon Bedrock AgentCore Gateway renvoie des erreurs indiquant qu'il ne peut pas trouver ou accéder au moteur de politiques.

Cause principale : la politique du rôle d'exécution de la passerelle utilise des modèles ARN incorrects ou ne dispose pas de la ressource du moteur de politiques.

Solution : Assurez-vous que les ARN du moteur de politique ET de la passerelle sont inclus dans le tableau de ressources :

"Resource": [
  "arn:aws:bedrock-agentcore:us-east-1:123456789012:policy-engine/<policy-engine-id>",
  "arn:aws:bedrock-agentcore:us-east-1:123456789012:gateway/<gateway-id>"
]

Conseils de débogage

Exemple : création des deux rôles IAM

L'exemple suivant montre comment créer les deux rôles IAM requis à l'aide de l' AWS interface de ligne de commande.

Étape 1 : Création d'un rôle d'exécution de passerelle

# Create the trust policy file
cat > gateway-trust-policy.json <<EOF
{
"Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Principal": {
        "Service": "bedrock-agentcore.amazonaws.com"
      },
      "Action": "sts:AssumeRole",
      "Condition": {
        "StringEquals": {
          "aws:SourceAccount": "123456789012"
        },
        "ArnLike": {
          "aws:SourceArn": "arn:aws:bedrock-agentcore:us-east-1:123456789012:*"
        }
      }
    }
  ]
}
EOF

# Create the IAM role
aws iam create-role \
  --role-name MyGatewayExecutionRole \
  --assume-role-policy-document file://gateway-trust-policy.json

Étape 2 : Associer des autorisations au rôle d'exécution de la passerelle

# Create the permission policy file
cat > gateway-permissions.json <<EOF
{
"Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "PolicyEngineConfiguration",
      "Effect": "Allow",
      "Action": [
        "bedrock-agentcore:GetPolicyEngine"
      ],
      "Resource": [
        "arn:aws:bedrock-agentcore:us-east-1:123456789012:policy-engine/*"
      ]
    },
    {
      "Sid": "PolicyEngineAuthorization",
      "Effect": "Allow",
      "Action": [
        "bedrock-agentcore:AuthorizeAction",
        "bedrock-agentcore:PartiallyAuthorizeActions"
      ],
      "Resource": [
        "arn:aws:bedrock-agentcore:us-east-1:123456789012:policy-engine/*",
        "arn:aws:bedrock-agentcore:us-east-1:123456789012:gateway/*"
      ]
    }
  ]
}
EOF

# Attach the policy to the role
aws iam put-role-policy \
  --role-name MyGatewayExecutionRole \
  --policy-name GatewayPolicyEnginePermissions \
  --policy-document file://gateway-permissions.json

Étape 3 : Prochaines étapes

Après avoir configuré le rôle d'exécution avec la politique requise dans AgentCore les autorisations, procédez à la création et à la configuration des ressources de stratégie. Pour obtenir des conseils détaillés, consultez :

Bonnes pratiques