AWS politiques gérées pour Amazon Bedrock AgentCore

bedrock-agentcore(Amazon Bedrock Agent Core) — Permet aux principaux un accès complet à toutes les ressources Amazon Bedrock Agent Core.

iam(AWS Identity and Access Management) — Permet aux principaux de répertorier et d'obtenir des informations sur les rôles et les politiques, et de transmettre les rôles dont le nom comporte BedrockAgentCore « » au service bedrock-agentcore. Permet également de créer des rôles liés à un service pour CloudWatch Application Signals, le AgentCore réseau Amazon Bedrock et l'identité d'exécution Amazon AgentCore Bedrock.

secretsmanager(AWS Secrets Manager) — Permet aux directeurs de créer, de mettre à jour, de récupérer et de supprimer des secrets dont le nom commence par « bedrock-agentcore ».

kms(Service de gestion des AWS clés) — Permet aux principaux de répertorier et de décrire les clés, et de déchiffrer les données d'un même AWS compte lorsqu'ils sont appelés via le service Amazon AgentCore Bedrock.

s3(Amazon Simple Storage Service) — Permet aux principaux d'obtenir des objets depuis des compartiments S3 dont le nom commence par « bedrock-agentcore-gateway- » lorsqu'ils sont appelés via le service Amazon Bedrock. AgentCore

lambda(AWS Lambda) — Permet aux principaux de répertorier les fonctions Lambda.

logs(Amazon CloudWatch Logs) — Permet aux principaux d'accéder aux données de journal, de les interroger et de les gérer dans des groupes de journaux liés à Amazon Bedrock AgentCore et à Application Signals, notamment en créant des groupes de journaux et des flux.

application-autoscaling(Application Auto Scaling) — Permet aux directeurs de décrire les politiques de dimensionnement.

application-signals(Amazon CloudWatch Application Signals) — Permet aux principaux de récupérer des informations sur les signaux des applications et de démarrer la découverte.

autoscaling(Amazon EC2 Auto Scaling) — Permet aux directeurs de décrire les ressources Auto Scaling.

cloudwatch(Amazon CloudWatch) — Permet aux principaux de récupérer et de répertorier les métriques, de générer des requêtes et d'accéder à d'autres CloudWatch ressources.

oam(Amazon CloudWatch Observability Access Manager) — Permet aux principaux de répertorier les récepteurs.

rum(Amazon CloudWatch RUM) — Permet aux principaux de récupérer et de répertorier les ressources RUM.

synthetics(Amazon CloudWatch Synthetics) — Permet aux directeurs de décrire et d'obtenir des informations sur les ressources Synthetics.

xray(AWS X-Ray) — Permet aux principaux de récupérer des informations de suivi, de gérer les destinations des segments de suivi et de travailler avec des règles d'indexation.

ecr(Amazon Elastic Container Registry) — Permet aux principaux de décrire les référentiels, de répertorier les images et de décrire les images.

bedrock(Amazon Bedrock) — Permet aux directeurs d'invoquer des modèles de base et des profils d'inférence à des fins d'évaluation.

iam:CreateRolen'est pas inclus. Lorsque vous créez certaines AgentCore ressources (par exemple, harnais ou runtime) dans la console, vous pouvez choisir que la console crée automatiquement le rôle d'exécution de la ressource en votre nom. Cela nécessite iam:CreateRole des autorisations, qui ne sont pas incluses dans cette politique gérée. Pour plus d'informations, voir Résolution des problèmes liés à iam : CreateRole autorisation dans la console.

iam:PassRoleest défini par nom de rôle. Lorsque vous créez certaines AgentCore ressources (par exemple, harnais ou runtime), vous devez disposer d'iam:PassRoleautorisations sur le rôle d'exécution de la ressource. Cette politique gérée inclut uniquement iam:PassRole les autorisations pour les rôles dont les noms correspondent*BedrockAgentCore*. Pour plus d'informations, voir Résolution des problèmes liés à iam : PassRole autorisation.

GetWorkloadAccessTokenForUserIdest inclus. Cette politique accorde l'autorisation d'appelGetWorkloadAccessTokenForUserId, ce qui permet d'émettre des jetons d'accès à la charge de travail à l'aide d'une chaîne d'identification utilisateur fournie par l'appelant sans vérification du jeton IdP. Cela convient aux scénarios de développement et de démarrage rapide. Pour les déploiements de production, créez des politiques IAM personnalisées qui accordent uniquement GetWorkloadAccessTokenForJWT (ce qui valide la signature, l'émetteur et l'expiration du JWT) et refusent explicitement GetWorkloadAccessTokenForUserId si un JWT est toujours disponible pour vos charges de travail. Pour plus d'informations, voir Obtenir un jeton d'accès à la charge de travail.

ec2(Amazon Elastic Compute Cloud) — Permet au service de créer, de gérer et de supprimer des interfaces réseau dans votre VPC, d'attribuer ou d'annuler l'attribution d'adresses IP privées et de décrire les ressources du VPC. Les interfaces réseau sont marquées d'un « AmazonBedrockAgentCoreManaged » pour garantir que le service gère uniquement les ressources qu'il crée.

bedrock— Permet aux directeurs d'appeler Amazon Bedrock Invokemodel et InvokeModelWithResponseStream d'agir. Cela est nécessaire pour qu'un agent puisse stocker des souvenirs.

bedrock-mantle— Permet aux directeurs d'appeler les CallWithBearerToken actions CreateInference et. Cela est nécessaire pour que le service puisse traiter les mémoires à l'aide des modèles Amazon Bedrock Mantle.

bedrock-agentcore(Amazon Bedrock Agent Core) — Permet au service d'obtenir des jetons d'accès à la charge de travail pour l'authentification JWT et l'authentification des utilisateurs ID-based . Autorise et GetWorkloadAccessToken agit GetWorkloadAccessTokenForJWT spécifiquement sur le répertoire GetWorkloadAccessTokenForUserId d'identité de charge de travail par défaut et sur les identités de charge de travail associées.