Praktik terbaik keamanan untuk AgentCore Runtime

• Memahami batas isolasi - Setiap sesi pengguna berjalan dalam microVM khusus dengan CPU, memori, dan sistem file yang terisolasi. Perintah dan kode agen tidak dapat mengakses beban kerja pelanggan lain atau lolos dari batas VM. Setelah sesi selesai, seluruh microVM dihentikan dan memori disanitasi.

• Menerapkan pemetaan sesi-ke-pengguna di backend Anda — tidak menerapkan pemetaan sesi-ke-pengguna. AgentCore Backend klien Anda harus menjaga hubungan antara pengguna dan ID sesi mereka, dan menerapkan manajemen siklus hidup seperti jumlah sesi maksimum per pengguna.

• Waspadai perilaku izin sistem file — Saat menggunakan sistem file persisten, izin disimpan tetapi tidak diberlakukan dalam sesi. chmoddan stat berfungsi dengan benar, tetapi pemeriksaan akses selalu berhasil karena agen berjalan sebagai satu-satunya pengguna di microVM.

• Memahami eksposur kredensyal dalam VM — Kode atau aktor apa pun yang berjalan di dalam microVM dapat mengakses kredensyal peran eksekusi dengan memanggil titik akhir metadata (MMDS). Cakupan izin peran eksekusi Anda dengan hati-hati. Untuk informasi selengkapnya, lihat Manajemen Kredensial.

• Jangan gunakan CLI-generated kebijakan dalam produksi — Kebijakan IAM yang dibuat oleh AgentCore CLI dirancang untuk tujuan pengembangan dan pengujian. Izin ini memberikan akses luas dan tidak cocok untuk produksi. Buat kebijakan IAM khusus yang membatasi izin hanya untuk sumber daya dan tindakan tertentu yang diperlukan. Untuk referensi selengkapnya, lihat Izin IAM untuk AgentCore Runtime.

• Izin lingkup untuk ARN runtime tertentu — Hindari pernyataan sumber daya wildcard. Gunakan ARN lengkap sumber daya runtime Anda di bidang kebijakan IAM. Resource

• Batasi InvokeAgentRuntimeForUser - Hanya kepala sekolah tepercaya yang harus memiliki izin ini. Cakupkan ke sumber daya runtime tertentu menggunakan kondisi sumber daya IAM.

• Tolak delegasi user-id jika tidak diperlukan — Untuk runtime di mana delegasi user-id tidak diperlukan, tolak tindakan secara eksplisit:

  {
     "Statement": [
        {
           "Sid": "DenyUserIdDelegation",
           "Effect": "Deny",
           "Action": "bedrock-agentcore:InvokeAgentRuntimeForUser",
           "Resource": "arn:aws:bedrock-agentcore:REGION:ACCOUNT_ID:runtime/*"
        }
     ]
  }

• Cegah eskalasi hak istimewa — Pastikan peran eksekusi yang terkait dengan runtime Anda memiliki hak istimewa yang sama atau lebih sedikit daripada prinsipal yang dapat memanggilnya. Untuk informasi selengkapnya, lihat Manajemen Kredensial.

• Gunakan kunci kondisi IAM untuk menerapkan penerapan VPC — Gunakan bedrock-agentcore:subnets dan bedrock-agentcore:securityGroups kondisi kunci untuk mengharuskan semua runtime diterapkan di VPC yang disetujui. Sebagai contoh, lihat Menggunakan kunci kondisi VPC dengan AgentCore Runtime.

• Gunakan IAM Access Analyzer — Validasi kebijakan IAM Anda untuk memastikan kebijakan tersebut mematuhi praktik terbaik dan prinsip hak istimewa yang paling tidak.

• Memahami otorisasi hierarkis — Untuk operasi API runtime sepertiInvokeAgentRuntime,InvokeAgentRuntimeCommand, danInvokeAgentRuntimeCommandShell, AWS mengevaluasi kebijakan pada runtime agen dan titik akhir agen. Keduanya harus memungkinkan tindakan.

• Konfigurasikan kedua sumber daya untuk akses lintas akun — Untuk memberikan akses lintas akun, buat kebijakan berbasis sumber daya pada runtime agen dan titik akhir agen. Jika salah satu sumber daya tidak memiliki izin eksplisit, permintaan ditolak.

• Ingat bahwa penolakan eksplisit selalu menang - Jika ada kebijakan (berbasis identitas atau berbasis sumber daya) secara eksplisit menyangkal suatu tindakan, akses ditolak terlepas dari kebijakan lainnya.

• Gunakan aws:SourceArn dan aws:SourceAccount — Tambahkan kondisi ini ke kebijakan kepercayaan peran eksekusi Anda untuk membatasi AgentCore sumber daya mana yang dapat mengambil peran:

  {
    "Statement": [
      {
        "Effect": "Allow",
        "Principal": {
          "Service": "bedrock-agentcore.amazonaws.com"
        },
        "Action": "sts:AssumeRole",
        "Condition": {
          "StringEquals": {
            "aws:SourceAccount": "123456789012"
          },
          "ArnLike": {
            "aws:SourceArn": "arn:aws:bedrock-agentcore:us-east-1:123456789012:*"
          }
        }
      }
    ]
  }

• Gunakan ARN lengkap jika memungkinkan — Jika Anda mengetahui sumber daya runtime tertentu, gunakan ARN lengkapnya sebagai pengganti wildcard. aws:SourceArn

• Policy-based otorisasi — Gunakan mesin kebijakan gateway untuk mengontrol penelepon mana yang dapat memanggil target mana dan dalam kondisi apa. Untuk informasi selengkapnya, lihat Menggunakan kebijakan untuk mengontrol akses ke target gateway.

• Guardrails — Terapkan Amazon Bedrock Guardrails melalui mesin kebijakan untuk menyaring permintaan dan tanggapan. Untuk informasi selengkapnya, lihat Menggunakan pagar pembatas dalam kebijakan.

• Pencegat permintaan dan respons — Memeriksa atau mengubah lalu lintas dengan fungsi Lambda pencegat yang dikonfigurasi pada gateway.

• Runtime IAM (SiGv4) — Lampirkan kebijakan berbasis sumber daya yang membatasi pemanggilan ke peran eksekusi gateway. Lihat Batasi pemanggilan masuk IAM (SiGv4) ke gateway Anda.

• Runtime OAuth (JWT) - Konfigurasikan allowedWorkloadConfiguration pada otorisasi runtime. Lihat Batasi pemanggilan ke gateway Anda.

• Pilih metode otentikasi yang tepat — Gunakan IAM SiGv4 untuk panggilan layanan-ke-layanan di dalamnya. AWS Gunakan otentikasi token pembawa JWT saat pengguna akhir mengautentikasi langsung melalui penyedia identitas. Runtime dapat mendukung satu metode pada satu waktu; membuat versi terpisah untuk jenis otentikasi yang berbeda.

• Lebih suka identifikasi JWT-based pengguna untuk produksi — Saat agen Anda mengambil token OAuth atas nama pengguna akhir, pilih jalur token pembawa JWT (GetWorkloadAccessTokenForJWT), yang memvalidasi penerbit token, tanda tangan, dan kedaluwarsa. UserId Jalur (GetWorkloadAccessTokenForUserId/X-Amzn-Bedrock-AgentCore-Runtime-User-Idheader) memperlakukan pengenal pengguna sebagai string buram tanpa verifikasi iDP — gunakan hanya untuk pengembangan, skenario mulai cepat, atau arsitektur perusahaan yang menyelesaikan identitas pengguna di hulu. Untuk informasi selengkapnya, lihat Mendapatkan token akses beban kerja.

• Konfigurasikan otorisasi JWT sepenuhnya — Saat menggunakan otentikasi JWT, konfigurasikan semua bidang validasi yang tersedia: URL penemuan, pemirsa yang diizinkan, klien yang diizinkan, cakupan yang diizinkan, dan klaim khusus yang diperlukan.

• Jangan pernah hardcode token dalam kode produksi — Gunakan mekanisme pengambilan token yang aman. Token hardcode adalah risiko keamanan dalam kontrol sumber dan artefak yang digunakan.

• Turunkan user-id dari prinsipal yang diautentikasi — Jika Anda menggunakan X-Amzn-Bedrock-AgentCore-Runtime-User-Id header, nilainya harus diturunkan dari konteks prinsipal yang diautentikasi (identitas pemanggil IAM atau klaim token pengguna), bukan dari nilai yang disediakan klien sewenang-wenang. Ini mencegah pengguna yang diautentikasi meniru pengguna lain.

• Tolak ForUserId di mana tidak diperlukan - Untuk beban kerja yang selalu memiliki JWT tersedia, bedrock-agentcore:GetWorkloadAccessTokenForUserId tolak secara eksplisit dan dalam kebijakan IAM. bedrock-agentcore:InvokeAgentRuntimeForUser Ini memastikan semua identifikasi pengguna melewati jalur JWT yang diverifikasi secara kriptografi.

• Konfigurasikan kebijakan titik akhir VPC untuk metode autentikasi Anda — Kebijakan titik akhir VPC hanya dapat membatasi penelepon berdasarkan prinsip IAM, bukan pengguna OAuth. Untuk OAuth-based permintaan, setel Principal ke * dalam kebijakan titik akhir. Untuk SigV4-based otentikasi, tentukan identitas IAM yang diizinkan.

• Gunakan AgentCore Identitas untuk otentikasi keluar — AgentCore Identity mengelola kredensyal OAuth dan kunci API dengan aman, mencegah eksposur kredensi dalam kode agen atau log. Gunakan untuk semua akses layanan pihak ketiga (Slack, GitHub, Zoom).

• Memahami eksposur kredenal MMDS - Layanan Metadata MicroVM (MMDS) menyediakan kredensyal peran eksekusi untuk kode apa pun yang berjalan di VM, mirip dengan IMDS EC2. Cakupan izin peran eksekusi hanya untuk apa yang dibutuhkan agen Anda.

• Aktifkan MmDSv2 — Mulai 30 Juni 2026, runtime agen Anda harus mengaktifkan MmDSv2. Runtime tanpa MmDSv2 diaktifkan tidak dapat dipanggil dan mengembalikan file. ValidationException Untuk mengaktifkan, panggil UpdateAgentRuntime dengan requireMMDSV2 disetel ke true inmetadataConfiguration. Untuk informasi selengkapnya tentang mengatasi kesalahan ini, lihat Pemecahan masalah MmDSv2 ValidationException .

• Jalankan kontainer sebagai pengguna non-root — Saat membuat gambar kontainer khusus, konfigurasikan untuk dijalankan sebagai pengguna non-root. Ini membatasi dampak potensi kerentanan eksekusi kode.

• Pisahkan kredensyal yang didelegasikan pengguna dan otonom — Gunakan autentikasi yang didelegasikan pengguna (Pemberian Kode Otorisasi) saat agen Anda bertindak atas nama pengguna tertentu. Gunakan autentikasi otonom (Client Credentials Grant) ketika agen beroperasi secara independen.

• Menyebarkan runtime di VPC untuk akses sumber daya pribadi — Konfigurasikan konektivitas VPC untuk mengakses database pribadi, API internal, dan layanan tanpa memaparkannya ke internet. Untuk detail konfigurasi, lihat Mengonfigurasi AgentCore Runtime untuk VPC.

• Gunakan AWS PrivateLink untuk akses API — Buat titik akhir VPC antarmuka untuk AgentCore data plane (com.amazonaws.region.bedrock-agentcore) dan control plane (com.amazonaws.region.bedrock-agentcore-control) untuk menghindari traversal internet. Untuk informasi selengkapnya, lihat Menggunakan AWS PrivateLink.

• Terapkan hak istimewa terkecil ke grup keamanan — Tentukan aturan keluar yang hanya mengizinkan lalu lintas minimum yang diperlukan. Jangan membuka akses keluar yang luas kecuali diperlukan.

• Konfigurasikan titik akhir VPC yang diperlukan untuk agen kontainer — Untuk agen VPC-mode kontainer, konfigurasikan titik akhir VPC untuk ECR (com.amazonaws.region.ecr.dkr,com.amazonaws.region.ecr.api), S3 (titik akhir com.amazonaws.region.s3 gateway), dan Log (). CloudWatch com.amazonaws.region.logs Titik akhir gateway S3 menghilangkan biaya pemrosesan data gateway NAT untuk tarikan lapisan gambar ECR.

• Cakupan kebijakan titik akhir gateway S3 untuk agen kontainer — Batasi kebijakan titik akhir gateway S3 hanya pada bucket yang digunakan Amazon ECR untuk penyimpanan lapisan gambar:

  {
    "Statement": [
      {
        "Sid": "AllowECRLayerAccess",
        "Principal": "*",
        "Action": [
          "s3:GetObject"
        ],
        "Effect": "Allow",
        "Resource": ["arn:aws:s3:::prod-region-starport-layer-bucket/*"]
      }
    ]
  }

  Ganti region dengan pengenal AWS Wilayah Anda (misalnya,us-east-2).

• Cakupan kebijakan titik akhir gateway S3 untuk agen penyebaran kode langsung — Untuk penerapan berbasis zip, batasi kebijakan ke bucket artefak kode milik layanan internal. Tambahkan aws:PrincipalServiceName kondisi untuk memastikan hanya kepala AgentCore layanan yang dapat mengakses bucket melalui kebijakan endpoint ini:

  {
    "Statement": [
      {
        "Effect": "Allow",
        "Principal": "*",
        "Action": "s3:GetObject",
        "Resource": [
          "arn:aws:s3:::acr-code-*-region-an",
          "arn:aws:s3:::acr-code-*-region-an/*"
        ],
        "Condition": {
          "StringEquals": {
            "aws:PrincipalServiceName": "bedrock-agentcore.amazonaws.com"
          }
        }
      }
    ]
  }

  Ganti region dengan pengenal AWS Wilayah Anda (misalnya,us-west-2). Bucket artefak AgentCore kode dibuat di bucket tujuan umum ruang nama regional Akun. Hanya AWS dapat memiliki nama bucket aktual yang digunakan oleh layanan. aws:PrincipalServiceNameKondisi ini memastikan bahwa hanya prinsipal AgentCore layanan yang dapat mengakses bucket melalui kebijakan endpoint ini. Jika Anda juga menggunakan sistem file persisten, tambahkan bucket penyimpanan sesi ke kebijakan ini. Untuk informasi selengkapnya, lihat Mengkonfigurasi AgentCore Runtime untuk VPC.

• Gunakan subnet pribadi dengan gateway NAT — Subnet publik tidak menyediakan akses internet untuk Runtime. AgentCore Selalu tempatkan ENI runtime di subnet pribadi dengan rute ke gateway NAT untuk akses internet keluar.

• Keamanan transportasi — Semua koneksi menggunakan TLS 1.2 atau lebih tinggi. WebSocket koneksi, termasukInvokeAgentRuntimeCommandShell, menggunakan WSS (WebSocket Aman) melalui HTTPS secara eksklusif. ws://Koneksi teks biasa tidak didukung.

• Menerapkan batas header - Header khusus dibatasi hingga 4KB per nilai dan 20 header per runtime. AuthorizationHeader dicadangkan untuk agen dengan akses masuk OAuth.

• Enkripsi dalam perjalanan — Semua komunikasi antara klien dan AgentCore Runtime, dan antara AgentCore Runtime dan dependensinya, dilindungi menggunakan TLS 1.2 atau lebih tinggi. Ini dikonfigurasi secara default dan tidak memerlukan pengaturan tambahan.

• Enkripsi saat istirahat — Data saat istirahat dienkripsi menggunakan kunci enkripsi yang AWS dimiliki dari AWS Key Management Service (AWS KMS) secara default.

• Gunakan TLS 1.3 jika memungkinkan — Meskipun TLS 1.2 adalah minimum, AWS merekomendasikan TLS 1.3 untuk meningkatkan keamanan dan kinerja.

• Aktifkan CloudTrail logging — AWS CloudTrail merekam panggilan API termasuk InvokeAgentRuntimeInvokeAgentRuntimeCommand,InvokeAgentRuntimeCommandShell,, dan operasi pesawat kontrol. Setiap catatan mencakup identitas pemanggil, stempel waktu, alamat IP sumber, dan status respons.

• Gunakan CloudWatch Log untuk audit perintah — AgentCore Runtime mengirimkan ID permintaan dan perintah input ke grup CloudWatch log Log agen Anda. Gunakan log ini untuk mempertahankan jejak audit perintah yang dijalankan dalam sesi Anda.

• Korelasikan log menggunakan ID permintaan — Gunakan ID permintaan untuk mengkorelasikan CloudTrail catatan (yang memanggil API) dengan CloudWatch Log (perintah apa yang dijalankan).

• Siapkan filter dan alarm metrik — Konfigurasikan filter metrik CloudWatch Log untuk mendeteksi pola perintah yang tidak terduga atau upaya akses yang tidak sah. Buat alarm untuk memberi tahu tim Anda tentang anomali.

• Log hubungan delegasi user-id — Saat menggunakan X-Amzn-Bedrock-AgentCore-Runtime-User-Id header, catat hubungan antara prinsipal IAM yang diautentikasi dan nilai user-id untuk tujuan audit.

• Aktifkan Log Aliran VPC — Untuk VPC-connected runtime, aktifkan VPC Flow Logs untuk mengaudit lalu lintas tingkat jaringan dan mengidentifikasi pola komunikasi yang tidak terduga.

• Tinjau CloudTrail log secara teratur - Tinjau log secara berkala untuk upaya akses yang tidak sah, terutama untuk beban kerja yang sensitif.

AWS tanggung jawab:

• Infrastruktur aman dan isolasi microVM di tingkat perangkat keras

• Penambalan kernel OS untuk semua mode penerapan

• Penambalan runtime bahasa untuk penerapan kode langsung

• Keamanan infrastruktur jaringan

• Ketersediaan dan ketahanan layanan

Tanggung jawab Anda:

• Keamanan kode agen dan manajemen ketergantungan

• Kontrol akses IAM dan kebijakan sumber daya

• Keamanan perintah yang dijalankan dalam sesi runtime

• Session-to-user pemetaan penegakan

• Pembaruan gambar kontainer (untuk penerapan kontainer) - bangun kembali dengan gambar dasar aman terbaru secara teratur

• Validasi input dan pencegahan injeksi yang cepat — termasuk memvalidasi InvokeHarness input saat menggunakan harness terkelola (lihat Harness membagikan batas kepercayaan Runtime) AgentCore

• Konfigurasi jaringan (grup keamanan, titik akhir VPC, tabel rute)

• InvokeAgentRuntimeCommand— One-shot, eksekusi perintah non-interaktif berakhir HTTP/2. Tindakan IAM:bedrock-agentcore:InvokeAgentRuntimeCommand.

• InvokeAgentRuntimeCommandShell— WebSocket Sesi shell interaktif dengan akses PTY persisten. Tindakan IAM:bedrock-agentcore:InvokeAgentRuntimeCommandShell.

• Memahami batas keamanan — Perintah memiliki akses penuh ke sistem file kontainer dan kredensyal atau rahasia yang dikonfigurasi dalam microVM. Batas isolasi adalah microVM itu sendiri. Di bawah model tanggung jawab bersama, Anda bertanggung jawab atas keamanan kode apa pun yang dieksekusi di wadah runtime Anda.

• Gunakan operasi deterministik untuk tugas deterministik — Gunakan InvokeAgentRuntimeCommand atau InvokeAgentRuntimeCommandShell untuk operasi seperti tes, git, dan build. Jangan merutekan operasi deterministik melalui LLM melalui. InvokeAgentRuntime

• Batasi siapa yang dapat menjalankan perintah — Gunakan kebijakan IAM untuk membatasi prinsipal mana yang dapat memanggil atau. InvokeAgentRuntimeCommand InvokeAgentRuntimeCommandShell Tidak semua pengguna yang dapat memanggil agen harus dapat menjalankan perintah arbitrer. Contoh sumber daya ARN:. arn:aws:bedrock-agentcore:us-west-2:123456789012:runtime/my-agent

• WebSocket shell menggunakan wss://only — InvokeAgentRuntimeCommandShell koneksi dibuat secara eksklusif melalui WSS (WebSocket Secure). ws://Koneksi teks biasa tidak didukung. Penelepon mengautentikasi melalui SiGv4 saat peningkatan. WebSocket

• Menjaga lalu lintas dalam jaringan Anda — Konfigurasikan titik akhir VPC untuk menghindari traversal internet untuk panggilan API eksekusi perintah.

• Tetapkan batas waktu yang sesuai - Konfigurasikan batas waktu perintah berdasarkan durasi eksekusi yang diharapkan untuk mencegah pemborosan sumber daya dari proses runaway.

• Batasi akses localhost dalam kode agen - Konfigurasikan agen Anda dan alat jaringan apa pun untuk mencegah akses tak terbatas ke localhost. Kode agen tidak boleh membuat panggilan HTTP arbitrer ke localhost kecuali diperlukan untuk integrasi tertentu.

• Allowlist hanya port yang diperlukan untuk pengaturan sespan - Jika arsitektur Anda menggunakan pola container-in-container atau sidecar di localhost, izinkan secara eksplisit hanya daftar port tertentu yang digunakan layanan sidecar Anda. Jangan membuka akses localhost yang luas.

• Alat jaringan audit untuk jangkauan localhost — Tinjau alat apa pun yang Anda berikan kepada agen Anda (seperti alat permintaan HTTP atau utilitas jaringan umum) untuk memastikan mereka tidak dapat membuat permintaan yang tidak diinginkan ke titik akhir localhost. Terapkan pemfilteran URL atau daftar yang diizinkan di tingkat alat.