AWS politiques gérées pour Amazon Bedrock AgentCore

bedrock-agentcore(Amazon Bedrock Agent Core) : permet aux administrateurs d'accéder pleinement à toutes les ressources Amazon Bedrock Agent Core.

iam(Gestion des AWS identités et des accès) : permet aux responsables de répertorier et d'obtenir des informations sur les rôles et les politiques, et de transmettre des rôles dont le nom comporte BedrockAgentCore « » au service bedrock-agentcore. Permet également de créer des rôles liés à des services pour les signaux CloudWatch d'application, le AgentCore réseau Amazon Bedrock, l'identité AgentCore d'exécution Amazon Bedrock et les instances d'exécution. AgentCore

secretsmanager(Gestionnaire de AWS secrets) : permet aux administrateurs de créer, de mettre à jour, de récupérer et de supprimer des secrets dont le nom commence par « bedrock-agentcore ».

kms(Service de gestion des AWS clés) : permet aux administrateurs de répertorier et de décrire les clés, de déchiffrer les données et de générer des clés de données au sein du même AWS compte lorsqu'il est appelé via le service Amazon AgentCore Bedrock. Permet également aux mandants de créer et de répertorier les AWS autorisations KMS sur les clés gérées par le client qui chiffrent les AgentCore ressources, y compris les autorisations limitées aux moteurs de AgentCore politiques (et à leurs politiques et générations de politiques) afin que les moteurs de politiques puissent être chiffrés avec une clé gérée par le client.

s3(Amazon Simple Storage Service) : permet aux principaux utilisateurs d'obtenir des objets à partir de compartiments S3 dont les noms commencent par « bedrock-agentcore-gateway- » lorsqu'ils sont appelés via le service Amazon Bedrock. AgentCore

lambda(AWS Lambda) — Permet aux administrateurs de répertorier les fonctions Lambda.

logs(Amazon CloudWatch Logs) : permet aux administrateurs d'accéder aux données des journaux, de les interroger et de les gérer dans des groupes de journaux liés à Amazon Bedrock AgentCore et à Application Signals, notamment en créant des groupes de journaux et des flux.

application-autoscaling(Application Auto Scaling) : permet aux administrateurs de décrire les politiques de dimensionnement.

application-signals(Amazon CloudWatch Application Signals) : permet aux administrateurs de récupérer des informations sur les signaux des applications et de lancer la découverte.

autoscaling(Amazon EC2 Auto Scaling) : permet aux administrateurs de décrire les ressources Auto Scaling.

cloudwatch(Amazon CloudWatch) — Permet aux administrateurs de récupérer et de répertorier des métriques, de générer des requêtes et d'accéder à d'autres CloudWatch ressources.

oam(Amazon CloudWatch Observability Access Manager) : permet aux administrateurs de répertorier les cuves.

rum(Amazon CloudWatch RUM) : permet aux administrateurs de récupérer et de répertorier les ressources RUM.

synthetics(Amazon CloudWatch Synthetics) : permet aux directeurs de décrire et d'obtenir des informations sur les ressources Synthetics.

xray(AWS X-Ray) — Permet aux administrateurs de récupérer les informations de suivi, de gérer les destinations des segments de trace et de travailler avec des règles d'indexation.

ecr(Amazon Elastic Container Registry) : permet aux administrateurs de décrire les référentiels, de répertorier les images et de décrire les images.

bedrock(Amazon Bedrock) : permet aux directeurs d'invoquer des modèles de base et des profils d'inférence à des fins d'évaluation.

iam:CreateRolen'est pas inclus. Lorsque vous créez certaines AgentCore ressources (par exemple, un harnais ou un environnement d'exécution) dans la console, vous pouvez choisir que la console crée automatiquement le rôle d'exécution de la ressource en votre nom. Cela nécessite iam:CreateRole des autorisations, qui ne sont pas incluses dans cette politique gérée. Pour plus d'informations, consultez la section Résolution des problèmes liés à iam : CreateRole autorisation dans la console.

iam:PassRoleest défini par nom de rôle. Lorsque vous créez certaines AgentCore ressources (par exemple, un harnais ou un environnement d'exécution), vous devez disposer d'iam:PassRoleautorisations sur le rôle d'exécution de la ressource. Cette politique gérée inclut uniquement iam:PassRole les autorisations pour les rôles dont les noms correspondent*BedrockAgentCore*. Pour plus d'informations, consultez Résolution des problèmes liés à iam : PassRole autorisation.

GetWorkloadAccessTokenForUserIdest inclus. Cette politique accorde l'autorisation d'appelerGetWorkloadAccessTokenForUserId, ce qui permet d'émettre des jetons d'accès à la charge de travail à l'aide d'une chaîne d'identifiant utilisateur fournie par l'appelant sans vérification du jeton IdP. Cela convient aux scénarios de développement et de démarrage rapide. Pour les déploiements en production, créez des politiques IAM personnalisées qui accordent uniquement GetWorkloadAccessTokenForJWT (ce qui valide la signature, l'émetteur et l'expiration du JWT) et refusent explicitement GetWorkloadAccessTokenForUserId si un JWT est toujours disponible pour vos charges de travail. Pour plus d'informations, voir Obtenir un jeton d'accès à la charge de travail.

ec2(Amazon Elastic Compute Cloud) : permet au service de créer, de gérer et de supprimer des interfaces réseau dans votre VPC, d'attribuer et d'annuler l'attribution d'adresses IP privées et de décrire les ressources du VPC. Les interfaces réseau sont marquées d'un « AmazonBedrockAgentCoreManaged » pour garantir que le service gère uniquement les ressources qu'il crée.

bedrock— Permet aux administrateurs d'appeler Amazon Bedrock Invokemodel et InvokeModelWithResponseStream de prendre des mesures. Cela est nécessaire pour qu'un agent puisse stocker des mémoires.

bedrock-mantle— Permet aux directeurs d'appeler les CallWithBearerToken actions CreateInference et. Cela est nécessaire pour que le service puisse traiter les mémoires à l'aide des modèles Amazon Bedrock Mantle.

bedrock-agentcore(Amazon Bedrock Agent Core) : permet au service d'obtenir des jetons d'accès à la charge de travail pour l'authentification JWT et l'authentification des utilisateurs ID-based . Autorise et GetWorkloadAccessToken GetWorkloadAccessTokenForUserId agit GetWorkloadAccessTokenForJWT spécifiquement sur le répertoire d'identités de charge de travail par défaut et ses identités de charge de travail associées.

ec2(Amazon Elastic Compute Cloud) : permet au service de décrire les ressources de calcul et de mettre fin aux instances, de détacher et de supprimer des volumes Amazon EBS et de supprimer les modèles de lancement gérés par le service. L'accès est limité aux ressources qui AgentCore gèrent à l'aide de la clé de ec2:ManagedResourceOperator condition.

autoscaling(Amazon EC2 Auto Scaling) : permet au service de décrire et de supprimer les groupes Auto Scaling qu'il crée et d'effectuer les actions du cycle de vie. L'accès est limité aux ressources étiquetées avecbedrock-agentcore:capacity-provider-id.

events(Amazon EventBridge) — Permet au service de supprimer des cibles et de supprimer les EventBridge règles qu'il gère. L'accès est limité aux ressources dont la clé de events:ManagedBy condition est définie sur. bedrock-agentcore.amazonaws.com

ec2(Amazon Elastic Compute Cloud) : permet au service de décrire, de créer, de baliser et de gérer les ressources EC2 qui soutiennent un fournisseur de capacité, notamment les modèles de lancement, les flottes, les instances, les interfaces réseau et les volumes Amazon EBS. L'accès à la création de ressources est limité par la balise de bedrock-agentcore:capacity-provider-id demande, et l'accès à la gestion des ressources existantes est limité par la clé de ec2:ManagedResourceOperator condition. Les instances sont lancées uniquement à partir d' Amazon-owned AMI.

autoscaling(Amazon EC2 Auto Scaling) : permet au service de créer et de gérer les groupes Auto Scaling qui lancent des instances. L'accès est limité aux groupes Auto Scaling nommés avec le agentcore-managed-instances- préfixe et balisés avec. bedrock-agentcore:capacity-provider-id

events(Amazon EventBridge) — Permet au service de créer et de gérer les EventBridge règles (nommées par le agentcore-lifecycle-events- préfixe) qui fournissent des événements liés au cycle de vie des instances.

iam— Permet au service de créer le rôle lié au service Auto Scaling et de transmettre le rôle d'instance par défaut (avec le AmazonBedrockAgentCoreCapacityProviderDefaultInstanceRole préfixe) et des rôles de AgentCore service supplémentaires à Amazon EC2.

bedrock-agentcore(Amazon Bedrock AgentCore) : autorise une instance à appeler PutSystemLogEvents AgentCore afin de collecter les journaux système de l'instance.