Menyiapkan izin untuk AgentCore Gateway

Untuk menggunakan Amazon Bedrock AgentCore Gateway dan kemampuannya, Anda harus mempertimbangkan izin berikut:

Pilih topik untuk mempelajari lebih lanjut:

Pembuat gateway dan izin pengguna

Agar identitas dapat membuat, mengelola, atau menggunakan gateway, Anda harus melampirkan kebijakan berbasis identitas ke identitas IAM agar dapat melakukan tindakan Amazon Bedrock. AgentCore-related Untuk izin komprehensif, Anda dapat menggunakan kebijakan ter BedrockAgentCoreFullAccess kelola.

Untuk keamanan dan kontrol yang lebih baik, Anda dapat membuat kebijakan kustom Anda sendiri dengan mengurangi izin dalam kebijakan akses penuh. Misalnya, kebijakan berikut mengizinkan identitas untuk melakukan tindakan yang terkait dengan AgentCore Gateway tetapi tidak ke AgentCore layanan lain, seperti AgentCore Runtime atau AgentCore Browser:

{
"Version":"2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "bedrock-agentcore:*Gateway*",
        "bedrock-agentcore:*WorkloadIdentity",
        "bedrock-agentcore:*CredentialProvider",
        "bedrock-agentcore:*Token*",
        "bedrock-agentcore:*Access*"
      ],
      "Resource": "arn:aws:bedrock-agentcore:*:*:*gateway*"
    }
  ]
}

Kebijakan kustom berikut adalah kebijakan yang lebih ketat yang hanya mengizinkan akses baca ke gateway, target gateway, dan batas tarif:

{
"Version":"2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "bedrock-agentcore:ListGateways",
        "bedrock-agentcore:GetGateway",
        "bedrock-agentcore:ListGatewayTargets",
        "bedrock-agentcore:GetGatewayTarget",
        "bedrock-agentcore:ListGatewayRateLimits",
        "bedrock-agentcore:GetGatewayRateLimit"
      ],
      "Resource": "arn:aws:bedrock-agentcore:*:*:*gateway*"
    }
  ]
}

Kebijakan kustom berikut memungkinkan identitas untuk mengelola batas tarif pada gateway tanpa dapat mengubah gateway atau targetnya:

{
"Version":"2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "bedrock-agentcore:CreateGatewayRateLimit",
        "bedrock-agentcore:GetGatewayRateLimit",
        "bedrock-agentcore:UpdateGatewayRateLimit",
        "bedrock-agentcore:DeleteGatewayRateLimit",
        "bedrock-agentcore:ListGatewayRateLimits",
        "bedrock-agentcore:BatchPutGatewayRateLimits"
      ],
      "Resource": "arn:aws:bedrock-agentcore:*:*:*gateway*"
    }
  ]
}

Izin akses gateway (otorisasi masuk)

Selain izin terkait gateway, Anda juga perlu mengonfigurasi izin untuk identitas agar dapat mengakses gateway selama pemanggilan. Anda akan mengonfigurasi izin ini saat mengatur otorisasi masuk.

AgentCore Izin peran layanan gateway

Saat membuat gateway, Anda memerlukan peran layanan yang memiliki izin untuk mengambil peran IAM dan untuk mengakses AWS sumber daya dan layanan eksternal atas nama peran IAM. Anda dapat membuat peran layanan dengan cara berikut:

Izin yang diperlukan untuk peran layanan ada dalam topik berikut:

Izin kepercayaan

Peran layanan harus memiliki kebijakan kepercayaan yang dilamp irkan yang memungkinkan AgentCore layanan mengambil identitas IAM dan melakukan tindakan atas namanya.

Berikut ini adalah contoh kebijakan kepercayaan yang dapat Anda gunakan.

{
"Version":"2012-10-17",
  "Statement": [
    {
      "Sid": "GatewayAssumeRolePolicy",
      "Effect": "Allow",
      "Principal": {
        "Service": "bedrock-agentcore.amazonaws.com"
      },
      "Action": "sts:AssumeRole",
      "Condition": {
        "StringEquals": {
          "aws:SourceAccount": "111122223333"
        },
        "ArnLike": {
          "aws:SourceArn": "arn:aws:bedrock-agentcore:us-east-1:111122223333:gateway/gateway-name-*"
        }
      }
    }
  ]
}

Izin otorisasi keluar

Bergantung pada jenis otorisasi keluar yang Anda gunakan untuk target gateway, Anda perlu menambahkan izin ke peran layanan untuk mengizinkannya memanggil target. Izin ini memungkinkan peran layanan gateway untuk mengambil kredentif otorisasi untuk memanggil target. Anda dapat melakukan ini dalam proses pengaturan otor isasi keluar.

Izin untuk mengakses AWS sumber daya

Bergantung pada pengaturan gateway atau target yang Anda pilih untuk ditambahkan ke gateway, Anda mungkin perlu menambahkan izin ke peran layanan gateway untuk mengizinkannya mengakses AWS sumber daya. Topik berikut mencakup beberapa sumber daya yang mungkin perlu diakses oleh peran layanan gateway Anda:

{
"Version": "2012-10-17",
    "Statement": [{
        "Sid": "AmazonBedrockAgentCoreGatewayLambdaProd",
        "Effect": "Allow",
        "Action": [
            "lambda:InvokeFunction"
        ],
        "Resource": [
            "arn:aws:lambda:us-east-1:123456789012:function:FunctionName"
        ]
    }]
}

{
"Version":"2012-10-17",
    "Statement": [
        {
            "Sid": "LambdaAllowGatewayServiceRoleMyFunction",
            "Effect": "Allow",
            "Principal": {
              "AWS": "arn:aws:iam::123456789012:role/MyGatewayExecutionRole"
            },
            "Action": "lambda:InvokeFunction",
            "Resource":  "arn:aws:lambda:us-east-1:123456789012:function:MyFunction"
        }
     ]
}

{
"Version":"2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "dynamodb:GetItem",
        "dynamodb:PutItem",
        "dynamodb:UpdateItem",
        "dynamodb:DeleteItem",
        "dynamodb:Query",
        "dynamodb:Scan"
      ],
      "Resource": "arn:aws:dynamodb:*:*:table/*"
    }
  ]
}

Praktik terbaik untuk izin Gateway