Batasi akses langsung ke Memori

Kebijakan kontrol akses yang halus pada gateway Anda mengatur permintaan yang tiba melalui gateway. Mereka tidak menghentikan prinsipal yang memiliki izin IAM pada sumber daya Memori dari memanggil bidang data Memori secara langsung dan melewati gateway. Untuk memastikan Memori hanya dapat dijangkau melalui gateway Anda, lampirkan kebijakan berbasis sumber daya ke sumber daya Memori yang memungkinkan akses hanya ketika permintaan diteruskan oleh gateway tersebut. Ini adalah kebijakan berbasis sumber daya JSON tentang Memori, bukan kebijakan Cedar, dan ini melengkapi kebijakan Cedar di gateway Anda.

Gateway mencap kunci aws:SourceArn kondisi dengan ARN gateway-nya pada setiap permintaan yang diteruskan, dalam kedua mode kredensi keluar. Kebijakan berbasis sumber daya berikut mengizinkan akses Memori hanya jika aws:SourceArn cocok dengan ARN gateway Anda. Ganti contoh akun, Wilayah, id sumber daya, dan prinsipal pemanggil dengan milik Anda sendiri.

{
"Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "AllowOnlyThroughGateway",
      "Effect": "Allow",
      "Principal": {
        "AWS": "arn:aws:iam::123456789012:role/CallerRole"
      },
      "Action": "bedrock-agentcore:*",
      "Resource": "arn:aws:bedrock-agentcore:us-east-1:123456789012:memory/<memory-id>",
      "Condition": {
        "ArnEquals": {
          "aws:SourceArn": "arn:aws:bedrock-agentcore:us-east-1:123456789012:gateway/<gateway-id>"
        }
      }
    }
  ]
}