Les traductions sont fournies par des outils de traduction automatique. En cas de conflit entre le contenu d'une traduction et celui de la version originale en anglais, la version anglaise prévaudra.

Partage d'un registre entre comptes avec AWS RAM

Vous pouvez partager un registre d' AWS agents avec d'autres AWS comptes à l'aide de AWS Resource Access Manager (RAM). Grâce au partage de mémoire vive, des comptes extérieurs au vôtre peuvent découvrir, publier ou gérer des enregistrements de votre registre, sans être propriétaires du registre lui-même.

Lorsque vous partagez un registre, RAM crée et gère une politique basée sur les ressources en votre nom. Vous choisissez une autorisation gérée qui contrôle les actions que le compte client peut effectuer, et RAM s'occupe du reste.

Comment fonctionne le partage entre comptes

Cross-account le partage suit un processus en trois étapes :

Caractéristiques principales :

Conditions préalables

Avant de partager un registre, assurez-vous de remplir les conditions suivantes :

Dans le compte du propriétaire du registre :

Dans le compte du consommateur :

Pour le partage interne à l'organisation :

Autorisations gérées par RAM pour AWS Registre des agents

Lorsque vous partagez un registre, vous joignez une autorisation gérée par AWS RAM qui contrôle les actions que le compte client peut effectuer. AWS Le registre des agents fournit quatre autorisations gérées : une par défaut et trois basées sur les rôles. Ils vous permettent d'accorder l'accès minimum requis pour chaque cas d'utilisation.

AWSRAMDefaultPermissionAgentRegistryReadOnly

Il s'agit de l'autorisation par défaut pour le type de agent-registry:Registry ressource. Lorsque vous créez un partage de ressources sans spécifier d'autorisation, la RAM attache automatiquement cette autorisation. Il accorde un accès en lecture seule aux métadonnées et aux enregistrements du registre, à la fois pour les lectures dans le plan de contrôle et pour la découverte dans le plan de données, mais n'autorise pas la publication d'enregistrements ni l'invocation du point de terminaison du protocole MCP (Model Context Protocol) du registre.

Cas d'utilisation : partagez un registre à des fins de visibilité et d'audit. Le consommateur peut parcourir et effectuer des recherches dans le catalogue, mais ne peut pas publier, modifier ou invoquer des outils via le point de terminaison MCP.

Autorisations accordées :

AWSRAMPermissionAgentRegistryForConsumer

Cette autorisation permet d'accéder à la découverte du plan de données et d'invoquer le point de terminaison MCP du registre. Utilisez cette autorisation pour les consommateurs, qu'il s'agisse d'agents d'IA ou d'utilisateurs humains qui ont besoin de découvrir et d'utiliser des outils enregistrés dans le catalogue.

Cas d'utilisation : partagez un registre avec un compte dont les agents ont besoin pour découvrir des outils et les invoquer via le point de terminaison MCP. Le consommateur ne peut ni créer ni gérer de dossiers.

Autorisations accordées :

AWSRAMPermissionAgentRegistryForPublisher

Cette autorisation accorde tout ce que l'autorisation du consommateur accorde, ainsi qu'un accès au plan de contrôle pour créer, mettre à jour, supprimer et soumettre des enregistrements pour approbation. Utilisez cette autorisation pour le personnage d'éditeur, c'est-à-dire les créateurs d'un compte partagé qui fournissent des ressources à un registre centralisé.

Cas d'utilisation : partagez un registre avec une équipe qui doit publier des serveurs, des agents ou des outils MCP dans votre catalogue. L'éditeur peut gérer ses propres notices et en découvrir d'autres, mais ne peut ni approuver ni rejeter des notices.

Autorisations accordées :

AWSRAMPermissionAgentRegistryForAdmin

Cette autorisation accorde tout ce que l'autorisation d'éditeur accorde, ainsi que la possibilité d'approuver, de rejeter ou de rendre obsolètes des enregistrements. Utilisez cette autorisation pour le personnage d'administrateur, un administrateur délégué d'un autre compte qui gère le registre partagé pour le compte du propriétaire.

Cas d'utilisation : partagez un registre avec un compte qui gère le cycle de vie complet des enregistrements (publication, révision et approbation des enregistrements) sans posséder l'infrastructure de registre elle-même. L'administrateur ne peut ni mettre à jour ni supprimer le registre.

Autorisations accordées :

Choix d'une autorisation gérée

Création d'une autorisation gérée par le client

Pour les cas d'utilisation avancés, tels que la restriction de l'accès aux seuls enregistrements créés par un compte spécifique à l'aide de clés de condition, vous pouvez créer une autorisation RAM gérée par le client. Customer-managed les autorisations vous permettent de définir des Condition blocs personnalisés qui font référence aux clés de condition du registre des AWS agents.

Pour plus d'informations sur la création d'autorisations gérées par le client, consultez la section Ressources partageables dans le guide de l'utilisateur de AWS RAM.

Pour les clés de condition disponibles pour le registre des AWS agents, consultezClés de condition pour un accès précis aux enregistrements.

Partager un registre avec un autre compte

Seul le propriétaire du registre peut initier le partage.

Console

Le tableau de partage du registre indique l'association. Pour les actions externes, le statut de l'Association indique Associer jusqu'à ce que le consommateur accepte l'invitation.

AWS INTERFACE DE LIGNE DE COMMANDE (CLI)

Utilisez la create-resource-share commande pour créer un partage de ressources RAM avec l'ARN du registre et l'ID du compte client :

aws ram create-resource-share \
  --name "my-registry-share" \
  --resource-arns "arn:aws:agent-registry:us-east-1:111122223333:registry/MyRegistryId" \
  --principals "444455556666" \
  --permission-arns "arn:aws:ram::aws:permission/AWSRAMPermissionAgentRegistryForConsumer" \
  --allow-external-principals

Remplacez les éléments suivants :

Vérifiez que le partage est actif :

aws ram get-resource-share-associations \
  --association-type RESOURCE \
  --resource-arns "arn:aws:agent-registry:us-east-1:111122223333:registry/MyRegistryId"

Accepter une invitation de partage

Lorsqu'un registre est partagé avec un compte extérieur à l' AWS organisation du propriétaire, le compte client reçoit une invitation. Le consommateur doit accepter l'invitation avant de pouvoir accéder au registre partagé.

Console

Une fois que vous avez accepté, le registre partagé apparaît dans la liste des registres du consommateur. Vous pouvez également choisir Afficher les détails de l'invitation pour voir le partage dans la console AWS RAM.

AWS INTERFACE DE LIGNE DE COMMANDE (CLI)

Trouvez l'invitation en attente :

aws ram get-resource-share-invitations \
  --query 'resourceShareInvitations[?status==`PENDING`]'

Acceptez l'invitation en utilisant l'ARN d'invitation figurant dans la réponse :

aws ram accept-resource-share-invitation \
  --resource-share-invitation-arn "arn:aws:ram:us-east-1:111122223333:resource-share-invitation/12345678-abcd-efgh-ijkl-123456789012"

Refuser une invitation de partage

Si vous ne souhaitez pas accéder à un registre partagé, vous pouvez rejeter l'invitation. Le rejet d'une invitation signifie que vous n'aurez pas accès au registre partagé.

Console

AWS INTERFACE DE LIGNE DE COMMANDE (CLI)

Trouvez l'invitation en attente :

aws ram get-resource-share-invitations \
  --query 'resourceShareInvitations[?status==`PENDING`]'

Refuser l'invitation :

aws ram reject-resource-share-invitation \
  --resource-share-invitation-arn "arn:aws:ram:us-east-1:111122223333:resource-share-invitation/12345678-abcd-efgh-ijkl-123456789012"

Accédez à un registre partagé

Une fois le partage actif (en acceptant une invitation ou en l'acceptant automatiquement au niveau de l'organisation), le consommateur appelle les API du registre des AWS agents en utilisant ses propres informations d'identification par rapport à l'ARN de registre du propriétaire. Les opérations spécifiques disponibles dépendent de l'autorisation gérée associée au partage.

Exemple : découvrez des documents en tant que consommateur

# List approved records in the shared registry
aws agent-registry list-discoverable-registry-records \
  --registry-id "arn:aws:agent-registry:us-east-1:111122223333:registry/MyRegistryId"

# Search for tools
aws agent-registry search-discoverable-registry-records \
  --registry-ids "arn:aws:agent-registry:us-east-1:111122223333:registry/MyRegistryId" \
  --search-query "order management"

# Get full record details
aws agent-registry batch-get-discoverable-registry-record \
  --entries '[{"registryId":"arn:aws:agent-registry:us-east-1:111122223333:registry/MyRegistryId","recordIds":["arn:aws:agent-registry:us-east-1:111122223333:registry/MyRegistryId/record/MyRecordId"]}]'

Exemple : publier une notice en tant qu'éditeur

aws agent-registry-control create-registry-record \
  --registry-id "arn:aws:agent-registry:us-east-1:111122223333:registry/MyRegistryId" \
  --name "my-mcp-server" \
  --display-name "Order Management MCP Server" \
  --record-type MCP \
  --descriptors '{"mcpServer": {"data": "{\"name\": \"order-mgmt\", \"description\": \"Order management tools\", \"version\": \"1.0.0\"}", "dataSchemaVersion": "2025-12-11"}}' \
  --record-version "1.0"

Arrêter de partager avec un compte

Pour révoquer l'accès d'un consommateur à votre registre partagé, supprimez le compte du consommateur du partage de ressources.

Console

Le consommateur perd immédiatement l'accès au registre. Il peut y avoir un court délai de propagation (jusqu'à 30 secondes) avant que l'accès ne soit complètement révoqué.

AWS INTERFACE DE LIGNE DE COMMANDE (CLI)

Utilisez disassociate-resource-share pour supprimer un compte client du partage :

aws ram disassociate-resource-share \
  --resource-share-arn "arn:aws:ram:us-east-1:111122223333:resource-share/12345678-1234-1234-1234-123456789012" \
  --principals "444455556666"

Vérifiez que le principal est dissocié :

aws ram get-resource-share-associations \
  --association-type PRINCIPAL \
  --resource-share-arns "arn:aws:ram:us-east-1:111122223333:resource-share/12345678-1234-1234-1234-123456789012"

Pour supprimer l'intégralité du partage de ressources (suppression simultanée de tous les comptes de consommateurs) :

aws ram delete-resource-share \
  --resource-share-arn "arn:aws:ram:us-east-1:111122223333:resource-share/12345678-1234-1234-1234-123456789012"

Clés de condition pour un accès précis aux enregistrements

AWS Le registre des agents fournit deux clés de condition spécifiques au service. Vous pouvez utiliser ces clés dans les autorisations de RAM gérées par le client, les politiques d'identité IAM et les SCP pour contrôler l'accès au niveau des enregistrements individuels. Ils sont particulièrement utiles lorsque vous partagez un registre entre plusieurs comptes, lorsque vous souhaitez qu'un compte client agisse uniquement sur les enregistrements dont il est propriétaire ou qui proviennent de son propre compte, même si un autre compte est propriétaire du registre lui-même.

Les deux clés sont résolues au moment de l'autorisation à partir de l'enregistrement stocké et ne peuvent pas être définies à partir de la saisie d'une demande. Un consommateur ne peut donc pas les usurper pour accéder à des enregistrements appartenant à d'autres comptes.

Clés de condition des enregistrements de registre

Les clés de condition suivantes s'appliquent aux opérations au niveau de l'enregistrement répertoriées dans la colonne des opérations d'API.

Si vous devez conserver les enregistrements d'autres comptes totalement hors de la vue du consommateur, n'accordez pas les actions de recherche et de liste dans l'autorisation partagée.

Exemple : Restreindre l'accès aux enregistrements créés par le consommateur

L'autorisation RAM gérée par le client suivante permet à un consommateur de lire, de mettre à jour et de supprimer uniquement les enregistrements dont le compte du créateur correspond au compte du consommateur :

{
  "Effect": "Allow",
  "Action": [
    "agent-registry:GetDiscoverableRegistryRecord",
    "agent-registry:GetRegistryRecord",
    "agent-registry:UpdateRegistryRecord",
    "agent-registry:DeleteRegistryRecord"
  ],
  "Condition": {
    "StringEquals": {
      "agent-registry:RecordCreatorAccount": "${aws:PrincipalAccount}"
    }
  }
}

La variable ${aws:PrincipalAccount} de politique est résolue de manière dynamique au moment de l'évaluation : chaque consommateur ne peut accéder qu'aux enregistrements qu'il a lui-même créés, même dans un registre partagé.

Exemple : Restreindre l'accès aux enregistrements provenant du compte du consommateur

L'autorisation RAM gérée par le client suivante permet à un consommateur de lire uniquement les enregistrements dont la ressource source se trouve dans son propre compte, ce qui est utile lorsque des enregistrements sont détectés automatiquement à partir de ressources appartenant au consommateur :

{
  "Effect": "Allow",
  "Action": [
    "agent-registry:GetDiscoverableRegistryRecord",
    "agent-registry:GetRegistryRecord"
  ],
  "Condition": {
    "StringEquals": {
      "agent-registry:RecordSourceAccount": "${aws:PrincipalAccount}"
    }
  }
}

Pour obtenir des instructions sur la création d'une autorisation RAM gérée par le client, voir Création d'une autorisation gérée par le client dans le Guide de l'utilisateur de la AWS RAM.

Résolution des problèmes