Siapkan izin untuk AgentCore Gateway

Untuk menggunakan Amazon Bedrock AgentCore Gateway dan kemampuannya, Anda harus mempertimbangkan izin berikut:

Pilih topik untuk mempelajari lebih lanjut:

Pembuat gateway dan izin pengguna

Agar identitas dapat membuat, mengelola, atau menggunakan gateway, Anda perlu melampirkan kebijakan berbasis identitas ke identitas IAM untuk memungkinkannya melakukan tindakan Amazon Bedrock. AgentCore-related Untuk izin komprehensif, Anda dapat menggunakan kebijakan BedrockAgentCoreFullAccessterkelola.

Untuk keamanan dan kontrol yang lebih baik, Anda dapat membuat kebijakan kustom sendiri dengan mengurangi izin dalam kebijakan akses penuh. Misalnya, kebijakan berikut memungkinkan identitas untuk melakukan tindakan yang terkait dengan AgentCore Gateway tetapi tidak dengan AgentCore layanan lain, seperti AgentCore Runtime atau AgentCore Browser:

{
"Version":"2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "bedrock-agentcore:*Gateway*",
        "bedrock-agentcore:*WorkloadIdentity",
        "bedrock-agentcore:*CredentialProvider",
        "bedrock-agentcore:*Token*",
        "bedrock-agentcore:*Access*"
      ],
      "Resource": "arn:aws:bedrock-agentcore:*:*:*gateway*"
    }
  ]
}

{
"Version":"2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "bedrock-agentcore:ListGateways",
        "bedrock-agentcore:GetGateway",
        "bedrock-agentcore:ListGatewayTargets",
        "bedrock-agentcore:GetGatewayTarget"
      ],
      "Resource": "arn:aws:bedrock-agentcore:*:*:*gateway*"
    }
  ]
}

Izin akses gateway (otorisasi masuk)

Selain izin terkait gateway, Anda juga perlu mengonfigurasi izin untuk identitas agar dapat mengakses gateway selama pemanggilan. Anda akan mengonfigurasi izin ini saat menyiapkan otorisasi masuk.

AgentCore Izin peran layanan gateway

Saat membuat gateway, Anda memerlukan peran layanan yang memiliki izin untuk mengambil peran IAM dan mengakses AWS sumber daya dan layanan eksternal atas nama peran IAM. Anda dapat membuat peran layanan dengan cara berikut:

Izin yang diperlukan untuk peran layanan ada dalam topik berikut:

Izin kepercayaan

Peran layanan harus memiliki kebijakan kepercayaan yang dilampirkan yang memungkinkan AgentCore layanan untuk mengambil identitas IAM dan melakukan tindakan atas namanya.

Berikut ini adalah contoh kebijakan kepercayaan yang dapat Anda gunakan.

{
"Version":"2012-10-17",
  "Statement": [
    {
      "Sid": "GatewayAssumeRolePolicy",
      "Effect": "Allow",
      "Principal": {
        "Service": "bedrock-agentcore.amazonaws.com"
      },
      "Action": "sts:AssumeRole",
      "Condition": {
        "StringEquals": {
          "aws:SourceAccount": "111122223333"
        },
        "ArnLike": {
          "aws:SourceArn": "arn:aws:bedrock-agentcore:us-east-1:111122223333:gateway/gateway-name-*"
        }
      }
    }
  ]
}

Izin otorisasi keluar

Bergantung pada jenis otorisasi keluar yang Anda gunakan untuk target gateway, Anda perlu menambahkan izin ke peran layanan untuk memungkinkannya memanggil target. Izin ini memungkinkan peran layanan gateway untuk mengambil kredensi otorisasi untuk memanggil target. Anda dapat melakukan ini dalam proses pengaturan otorisasi keluar.

Izin untuk mengakses AWS sumber daya

Bergantung pada pengaturan gateway atau target yang Anda pilih untuk ditambahkan ke gateway, Anda mungkin perlu menambahkan izin ke peran layanan gateway untuk memungkinkannya mengakses AWS sumber daya. Topik berikut mencakup beberapa sumber daya yang mungkin perlu diakses oleh peran layanan gateway Anda:

{
"Version": "2012-10-17",
    "Statement": [{
        "Sid": "AmazonBedrockAgentCoreGatewayLambdaProd",
        "Effect": "Allow",
        "Action": [
            "lambda:InvokeFunction"
        ],
        "Resource": [
            "arn:aws:lambda:us-east-1:123456789012:function:FunctionName"
        ]
    }]
}

{
"Version":"2012-10-17",
    "Statement": [
        {
            "Sid": "LambdaAllowGatewayServiceRoleMyFunction",
            "Effect": "Allow",
            "Principal": {
              "AWS": "arn:aws:iam::123456789012:role/MyGatewayExecutionRole"
            },
            "Action": "lambda:InvokeFunction",
            "Resource":  "arn:aws:lambda:us-east-1:123456789012:function:MyFunction"
        }
     ]
}

{
"Version":"2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "dynamodb:GetItem",
        "dynamodb:PutItem",
        "dynamodb:UpdateItem",
        "dynamodb:DeleteItem",
        "dynamodb:Query",
        "dynamodb:Scan"
      ],
      "Resource": "arn:aws:dynamodb:*:*:table/*"
    }
  ]
}

Praktik terbaik untuk izin Gateway