Praktik terbaik keamanan untuk AgentCore Runtime

• Memahami batas isolasi — Setiap sesi pengguna berjalan di microVM khusus dengan CPU, memori, dan sistem file yang terisolasi. Perintah dan kode agen tidak dapat mengakses beban kerja pelanggan lain atau keluar dari batas VM. Setelah sesi selesai, seluruh microVM dihentikan dan memori dibersihkan.

• Menerapkan pemetaan sesi-ke-pengguna di backend Anda — AgentCore tidak menerapkan pemetaan sesi-ke-pengguna. Backend klien Anda harus menjaga hubungan antara pengguna dan ID sesi mereka, dan menerapkan manajemen siklus hidup seperti jumlah sesi maksimum per pengguna.

• Waspadai perilaku izin sistem file — Saat menggunakan sistem file persist en, izin disimpan tetapi tidak diberlakukan dalam sesi. chmoddan stat bekerja dengan benar, tetapi pemeriksaan akses selalu berhasil karena agen berjalan sebagai satu-satunya pengguna di microVM.

• Memahami eksposur kredenSIAL dalam VM — Setiap kode atau aktor yang berjalan di dalam microVM dapat mengakses kredentif peran eksekusi dengan memanggil titik akhir metadata (MMDS). Lingkup izin peran eksekusi Anda dengan hati-hati. Untuk informasi selengkapnya, lihat Manajemen KredenSIAL.

• Jangan gunakan CLI-generated kebijakan dalam produksi — Kebijakan IAM yang dibuat oleh AgentCore CLI dirancang untuk tujuan pengembangan dan pengujian. Izin ini memberikan akses luas dan tidak cocok untuk produksi. Buat kebijakan IAM khusus yang membatasi izin hanya pada sumber daya dan tindakan tertentu yang diperlukan. Untuk referensi lengkapnya, lihat Iz in IAM untuk AgentCore Runtime.

• Izin cakupan untuk ARN runtime tertentu — Hindari pernyataan sumber daya wildcard. Gunakan ARN lengkap sumber daya runtime Anda di Resource bidang kebijakan IAM.

• Batasi InvokeAgentRuntimeForUser - Hanya prinsipal tepercaya yang harus memiliki izin ini. Cakupan ke sumber daya runtime tertentu menggunakan kondisi sumber daya IAM.

• Tolak delegasi id pengguna jika tidak diperlukan — Untuk runtime di mana delegasi id pengguna tidak diperlukan, tolak tindakan secara eksplisit:

  {
     "Statement": [
        {
           "Sid": "DenyUserIdDelegation",
           "Effect": "Deny",
           "Action": "bedrock-agentcore:InvokeAgentRuntimeForUser",
           "Resource": "arn:aws:bedrock-agentcore:REGION:ACCOUNT_ID:runtime/*"
        }
     ]
  }

• Mencegah eskalasi hak istimewa — Pastikan bahwa peran eksekusi yang terkait dengan runtime Anda memiliki hak istimewa yang sama atau lebih sedikit daripada kepala sekolah yang dapat memanggilnya. Untuk informasi selengkapnya, lihat Manajemen KredenSIAL.

• Gunakan kunci kondisi IAM untuk menerapkan penerapan VPC — Gunakan bedrock-agentcore:subnets dan kunci bedrock-agentcore:securityGroups kondisi untuk mengharuskan semua runtime digunakan di VPC yang disetujui. Sebagai contoh, lihat Menggunakan kunci kondisi VPC dengan AgentCore Runtime.

• Gunakan Penganalisis Akses IAM — Validasi kebijakan IAM Anda untuk memastikan kebijakan tersebut mematuhi praktik terbaik dan prinsip hak istimewa terendah.

• Memahami otorisasi hierarkis — Untuk operasi API runtime seperti InvokeAgentRuntimeInvokeAgentRuntimeCommand,InvokeAgentRuntimeCommandShell, dan, AWS mengevaluasi kebijakan pada runtime agen dan titik akhir agen. Keduanya harus mengizinkan tindakan.

• Konfigurasikan kedua sumber daya untuk akses lintas akun — Untuk memberikan akses lintas akun, buat kebijakan berbasis sumber daya pada runtime agen dan titik akhir agen. Jika salah satu sumber daya tidak memiliki izin eksplisit, permintaan ditolak.

• Ingatlah bahwa penolakan eksplisit selalu menang — Jika ada kebijakan (berbasis identitas atau berbasis sumber daya) secara eksplisit menolak tindakan, akses ditolak terlepas dari kebijakan lainnya.

• Gunakan aws:SourceArn dan aws:SourceAccount — Tambahkan kondisi ini ke kebijakan kepercayaan peran eksekusi Anda untuk membatasi AgentCore sumber daya mana yang dapat mengambil peran tersebut:

  {
    "Statement": [
      {
        "Effect": "Allow",
        "Principal": {
          "Service": "bedrock-agentcore.amazonaws.com"
        },
        "Action": "sts:AssumeRole",
        "Condition": {
          "StringEquals": {
            "aws:SourceAccount": "123456789012"
          },
          "ArnLike": {
            "aws:SourceArn": "arn:aws:bedrock-agentcore:us-east-1:123456789012:*"
          }
        }
      }
    ]
  }

• Gunakan ARN penuh bila memungkinkan — Jika Anda mengetahui sumber daya runtime tertentu, gunakan ARN lengkapnya sebagai aws:SourceArn pengganti wildcard.

• Terapkan jenis string pada bidang prompt —Penerimaan titik masuk payload Anda diurai dari JSON arbitrer. Seorang pemanggil dapat mengirim nilai non-string (seperti daftar atau objek) di prompt bidang. Jika kerangka kerja agen Anda menerima blok konten non-string — terutama toolUse blok — kerangka kerja mungkin mengirimkan alat secara langsung. Ini melewati penalaran model, pagar pembatas, dan penegakan cepat sistem. Selalu validasi bahwa prompt adalah string sebelum meneruskannya ke agen:

  @app.entrypoint
  def invoke(payload, context):
      user_message = payload.get("prompt", "")
      if not isinstance(user_message, str) or not user_message.strip():
          return {"error": "Invalid input: 'prompt' must be a non-empty string"}
      result = agent(user_message)
      return {"response": result.message}

• Tolak atau hapus blok toolUse konten — Jika agen Anda menerima array pesan terstruktur (untuk percakapan multi-putaran), filter blok toolUse konten apa pun dari pesan yang disediakan pengguna. toolUseBlok dalam riwayat pesan dapat menyebabkan loop peristiwa kerangka kerja agen untuk mengeksekusi alat bernama segera tanpa evaluasi model.

• Validasi struktur muatan dengan skema —Gunakan Pydantic, Zod, atau pustaka skema yang setara untuk menegakkan bahwa badan permintaan sesuai dengan struktur yang Anda harapkan. Tentukan prompt sebagai str (tidakAny) dalam skema Anda:

  from pydantic import BaseModel
  
  class InvocationRequest(BaseModel):
      prompt: str  # Enforces string type at the schema level

• Jangan mengandalkan nilai default sebagai validasi —Pola seperti payload.get("prompt", "Hello") menyediakan default tetapi tidak menolak input non-string. Nilai yang dikembalikan adalah apa pun yang dikirim pemanggil, yang mungkin berupa dict atau list yang berisi blok konten.

• Policy-based otorisasi — Gunakan mesin kebijakan gateway untuk mengontrol pemanggil mana yang dapat memanggil target mana dan dalam kondisi apa. Untuk informasi selengkapnya, lihat Menggunakan kebijakan untuk mengontrol akses ke target gateway.

• Guardrails — Terapkan Amazon Bedrock Guardrails melalui mesin kebijakan untuk menyaring permintaan dan tanggapan. Untuk informasi selengkapnya, lihat Menggunakan pagar pembatas dalam kebijakan.

• Pencegat permintaan dan respons — Periksa atau ubah lalu lintas dengan fungsi pencegat Lambda yang dikonfigurasi pada gateway.

• Runtime IAM (SIGv4) — Lampirkan kebijakan berbasis sumber daya yang membatasi pemanggilan ke peran eksekusi gateway. Lihat Membatasi panggilan masuk IAM (SIGv4) ke gateway Anda.

• Runtime OAuth (JWT) — Konfigurasikan allowedWorkloadConfiguration pada otorizer runtime. Lihat Mem batasi pemanggilan ke gateway Anda.

• Pilih metode otentikasi yang tepat — Gunakan IAM SIGv4 untuk panggilan layanan-ke-layanan di dalamnya. AWS Gunakan otentikasi token pembawa JWT saat pengguna akhir mengotentikasi langsung melalui penyedia identitas. Runtime dapat mendukung satu metode pada satu waktu; membuat versi terpisah untuk jenis otentikasi yang berbeda.

• Lebih suka identifikasi JWT-based pengguna untuk produksi — Saat agen Anda mengambil token OAuth atas nama pengguna akhir, pilih jalur token pembawa JWT (GetWorkloadAccessTokenForJWT), yang memvalidasi penerbit, tanda tangan, dan kedaluwarsa token. Jal UserId ur (GetWorkloadAccessTokenForUserId/X-Amzn-Bedrock-AgentCore-Runtime-User-Idheader) memperlakukan pengidentifikasi pengguna sebagai string buram tanpa verifikasi IdP — gunakan hanya untuk pengembangan, skenario awal cepat, atau arsitektur perusahaan yang menyelesaikan identitas pengguna di hulu. Untuk informasi selengkapnya, lihat M endapatkan token akses beban kerja.

• Konfigurasikan otorisasi JWT sepenuhnya - Saat menggunakan otentikasi JWT, konfigurasikan semua bidang validasi yang tersedia: URL penemuan, audiens yang diizinkan, klien yang diizinkan, cakupan yang diizinkan, dan klaim kustom yang diperlukan.

• Jangan pernah hardcode token dalam kode produksi — Gunakan mekanisme pengambilan token yang aman. Token hardcode adalah risiko keamanan dalam kontrol sumber dan artefak yang digunakan.

• Turunkan id pengguna dari prinsipal yang diautentikasi — Jika Anda menggunakan X-Amzn-Bedrock-AgentCore-Runtime-User-Id header, nilainya harus diturunkan dari konteks prinsipal yang diautentikasi (identitas pemanggil IAM atau klaim token pengguna), bukan dari nilai yang disediakan klien secara arbitrer. Ini mencegah pengguna yang diautentikasi menyamar sebagai pengguna lain.

• Tolak ForUserId jika tidak diperlukan - Untuk beban kerja yang selalu memiliki JWT tersedia, tolak secara eksplisit bedrock-agentcore:GetWorkloadAccessTokenForUserId dan bedrock-agentcore:InvokeAgentRuntimeForUser dalam kebijakan IAM. Ini memastikan semua identifikasi pengguna melewati jalur JWT yang diverifikasi secara kriptografis.

• Konfigurasikan kebijakan titik akhir VPC untuk metode autentikasi Anda — Kebijakan titik akhir VPC hanya dapat membatasi pemanggil berdasarkan prinsipal IAM, bukan pengguna OAuth. Untuk OAuth-based permintaan, set Principal el ke * dalam kebijakan titik akhir. Untuk SigV4-based otentikasi, tentukan identitas IAM yang diizinkan.

• Gunakan AgentCore Identitas untuk otentikasi keluar — AgentCore Identity mengelola kredenSIAL OAuth dan kunci API dengan aman, mencegah paparan kredenSIAL dalam kode agen atau log. Gunakan untuk semua akses layanan pihak ketiga (Slack, GitHub, Zoom).

• Memahami eksposur kredensi MMDS — Layanan Metadata MicroVM (MMDS) menyediakan kredentif peran eksekusi untuk kode apa pun yang berjalan di VM, mirip dengan IMDS EC2. Cakupan izin peran eksekusi hanya untuk apa yang dibutuhkan agen Anda.

• Aktifkan MMDSv2 — Mulai 30 Juni 2026, runtime agen Anda harus mengaktifkan MMDSv2. Runtime tanpa MMDSv2 diaktifkan tidak dapat dipanggil dan mengembalikan a. ValidationException Untuk mengaktifkan, panggil UpdateAgentRuntime dengan requireMMDSV2 set to true inmetadataConfiguration. Untuk informasi selengkapnya tentang menyelesaikan kesalahan ini, lihat pemecahan masalah MMDSv2. ValidationException

• Jalankan kontainer sebagai pengguna non-root — Saat membuat gambar kontainer khusus, konfigurasikan agar dijalankan sebagai pengguna non-root. Ini membatasi dampak potensi kerentanan eksekusi kode.

• Pisahkan kredentif yang didelegasikan pengguna dan otonom — Gunakan otentikasi yang didelegasikan pengguna (Pemberian Kode Otorisasi) saat agen Anda bertindak atas nama pengguna tertentu. Gunakan otentikasi otonom (Client Credentials Grant) saat agen beroperasi secara independen.

• Menyebarkan runtime di VPC untuk akses sumber daya pribadi — Konfigurasikan konektivitas VPC untuk mengakses database pribadi, API internal, dan layanan tanpa mengeksposnya ke internet. Untuk detail konfigurasi, lihat Meng onfigurasi AgentCore Runtime untuk VPC.

• Gunakan AWS PrivateLink untuk akses API - Buat titik akhir VPC antarmuka untuk bidang AgentCore data (com.amazonaws.region.bedrock-agentcore) dan bidang kontrol (com.amazonaws.region.bedrock-agentcore-control) untuk menghindari penjelajahan internet. Untuk informasi selengkapnya, lihat Gunakan AWS PrivateLink.

• Terapkan hak istimewa terkecil ke grup keamanan — Tentukan aturan keluar yang hanya mengizinkan lalu lintas minimum yang diperlukan. Jangan membuka akses keluar luas kecuali diperlukan.

• Konfigurasikan titik akhir VPC yang diperlukan untuk agen kontainer — Untuk agen VPC-mode kontainer, konfigurasikan titik akhir VPC untuk ECR (com.amazonaws.region.ecr.dkr,com.amazonaws.region.ecr.api), S3 (titik akhir com.amazonaws.region.s3 gateway), dan CloudWatch Log (). com.amazonaws.region.logs Titik akhir gateway S3 menghilangkan biaya pemrosesan data gateway NAT untuk penarikan lapisan gambar ECR.

• Cakupan kebijakan titik akhir gateway S3 untuk agen kontainer — Batasi kebijakan titik akhir gateway S3 hanya ke bucket yang digunakan Amazon ECR untuk penyimpanan lapisan gambar:

  {
    "Statement": [
      {
        "Sid": "AllowECRLayerAccess",
        "Principal": "*",
        "Action": [
          "s3:GetObject"
        ],
        "Effect": "Allow",
        "Resource": ["arn:aws:s3:::prod-region-starport-layer-bucket/*"]
      }
    ]
  }

  Ganti region dengan pengen AWS al Wilayah Anda (misalnya,us-east-2).

• Cakupan kebijakan titik akhir gateway S3 untuk agen penerapan kode langsung — Untuk penerapan berbasis zip, batasi kebijakan ke bucket artefak kode milik layanan internal. Tambahkan aws:PrincipalServiceName kondisi untuk memastikan hanya prinsipal AgentCore layanan yang dapat mengakses bucket melalui kebijakan titik akhir ini:

  {
    "Statement": [
      {
        "Effect": "Allow",
        "Principal": "*",
        "Action": "s3:GetObject",
        "Resource": [
          "arn:aws:s3:::acr-code-*-region-an",
          "arn:aws:s3:::acr-code-*-region-an/*"
        ],
        "Condition": {
          "StringEquals": {
            "aws:PrincipalServiceName": "bedrock-agentcore.amazonaws.com"
          }
        }
      }
    ]
  }

  Ganti region dengan pengen AWS al Wilayah Anda (misalnya,us-west-2). Buc AgentCore ket artefak kode dibuat di bucket tujuan umum namespace regional Akun. Hanya AWS dapat memiliki nama bucket aktual yang digunakan oleh layanan. aws:PrincipalServiceNameKondisi ini memastikan bahwa hanya prinsipal AgentCore layanan yang dapat mengakses bucket melalui kebijakan titik akhir ini. Jika Anda juga menggunakan sistem file persist en, tambahkan bucket penyimpanan sesi ke kebijakan ini. Untuk informasi selengkapnya, lihat Meng onfigurasi AgentCore Runtime untuk VPC.

• Gunakan subnet pribadi dengan NAT gateway — Subnet publik tidak menyediakan akses internet untuk Runtime. AgentCore Selalu tempatkan ENI runtime di subnet pribadi dengan rute ke gateway NAT untuk akses internet keluar.

• Keamanan transportasi — Semua koneksi menggunakan TLS 1.2 atau lebih tinggi. WebSocket koneksi, termasukInvokeAgentRuntimeCommandShell, menggunakan WSS (WebSocket Secure) melalui HTTPS secara eksklusif. Kon ws:// eksi plaintext tidak didukung.

• Menerapkan batas header - Header khusus dibatasi hingga 4KB per nilai dan 20 header per runtime. AuthorizationHeader dicadangkan untuk agen dengan akses masuk OAuth.

• Enkripsi dalam transit — Semua komunikasi antara klien dan AgentCore Runtime, dan antara AgentCore Runtime dan dependensinya, dilindungi menggunakan TLS 1.2 atau lebih tinggi. Ini dikonfigurasi secara default dan tidak memerlukan pengaturan tambahan.

• Enkripsi saat diam — Data diam dienkripsi menggunakan kunci enkripsi yang AWS dimiliki dari AWS Key Management Service (AWS KMS) secara default.

• Gunakan TLS 1.3 jika memungkinkan — Meskipun TLS 1.2 adalah minimum, AWS merekomendasikan TLS 1.3 untuk peningkatan keamanan dan kinerja.

• Akti CloudTrail fkan logging — AWS CloudTrail merekam panggilan API termasuk InvokeAgentRuntimeInvokeAgentRuntimeCommand,InvokeAgentRuntimeCommandShell,, dan operasi pesawat kontrol. Setiap catatan mencakup identitas pemanggil, stempel waktu, alamat IP sumber, dan status respons.

• Gunakan CloudWatch Log untuk audit perintah — AgentCore Runtime mengirimkan ID permintaan dan perintah input ke grup log CloudWatch log agen Anda. Gunakan log ini untuk memelihara jejak audit perintah yang dieksekusi dalam sesi Anda.

• Korelasikan log menggunakan ID permintaan — Gunakan ID permintaan untuk mengkorelasikan CloudTrail catatan (siapa yang memanggil API) dengan CloudWatch Log (perintah apa yang dijalankan).

• Menyiapkan filter dan alarm metrik — Konfigurasikan filter metrik CloudWatch Log untuk mendeteksi pola perintah yang tidak terduga atau upaya akses yang tidak sah. Buat alarm untuk memberi tahu tim Anda tentang anomali.

• Log hubungan delegasi id pengguna — Saat menggunakan X-Amzn-Bedrock-AgentCore-Runtime-User-Id header, catat hubungan antara prinsipal IAM yang diautentikasi dan nilai id pengguna untuk tujuan audit.

• Aktifkan Log Aliran VPC — Untuk VPC-connected runtime, aktifkan Log Aliran VPC untuk mengaudit lalu lintas tingkat jaringan dan mengidentifikasi pola komunikasi yang tidak terduga.

• Tinjau CloudTrail log secara berkala — Tinjau log secara berkala untuk upaya akses yang tidak sah, terutama untuk beban kerja sensitif.

AWS tanggung jawab:

• Infrastruktur aman dan isolasi microVM di tingkat perangkat keras

• Patching kernel OS untuk semua mode penerapan

• Penambalan runtime bahasa untuk penerapan kode langsung

• Keamanan infrastruktur jaringan

• Ketersediaan dan ketahanan layanan

Tanggung jawab Anda:

• Keamanan kode agen dan manajemen ketergantungan

• Kontrol akses IAM dan kebijakan sumber daya

• Keamanan perintah yang dieksekusi dalam sesi runtime

• Session-to-user penegakan pemetaan

• Pembaruan gambar kontainer (untuk penerapan kontainer) - bangun kembali dengan image dasar aman terbaru secara teratur

• Validasi input dan pencegahan injeksi cepat — termasuk memvalidasi InvokeHarness input saat menggunakan harness terkelola (lihat Harness berbagi batas kepercayaan AgentCore Runtime)

• Konfigurasi jaringan (grup keamanan, titik akhir VPC, tabel rute)

• InvokeAgentRuntimeCommand— One-shot, eksekusi perintah non-interaktif berakhir HTTP/2. Tindakan IAM:bedrock-agentcore:InvokeAgentRuntimeCommand.

• InvokeAgentRuntimeCommandShell— WebSocket Sesi shell interaktif dengan akses PTY persisten. Tindakan IAM:bedrock-agentcore:InvokeAgentRuntimeCommandShell.

• Memahami batas keamanan - Perintah memiliki akses penuh ke sistem file kontainer dan kredenSIAL atau rahasia yang dikonfigurasi dalam MicroVM. Batas isolasi adalah microVM itu sendiri. Di bawah model tanggung jawab bersama, Anda bertanggung jawab atas keamanan kode apa pun yang dieksekusi dalam wadah runtime Anda.

• Gunakan operasi deterministik untuk tugas deterministik — Gunakan InvokeAgentRuntimeCommand atau InvokeAgentRuntimeCommandShell untuk operasi seperti tes, git, dan build. Jangan merutekan operasi deterministik melalui LLM via. InvokeAgentRuntime

• Batasi siapa yang dapat menjalankan perintah — Gunakan kebijakan IAM untuk membatasi kepala sekolah mana yang dapat memanggil InvokeAgentRuntimeCommand atau. InvokeAgentRuntimeCommandShell Tidak semua pengguna yang dapat memanggil agen harus dapat menjalankan perintah arbitrer. Contoh sumber daya ARN:arn:aws:bedrock-agentcore:us-west-2:123456789012:runtime/my-agent.

• WebSocket shell hanya menggunakan wss://— InvokeAgentRuntimeCommandShell koneksi dibuat secara eksklusif melalui WSS (WebSocket Secure). Kon ws:// eksi plaintext tidak didukung. Penelepon mengotentikasi melalui SIGv4 saat upgrade. WebSocket

• Menjaga lalu lintas dalam jaringan Anda — Konfigurasikan titik akhir VPC untuk menghindari penjelajahan internet untuk panggilan API eksekusi perintah.

• Tetapkan batas waktu yang sesuai — Konfigurasikan batas waktu perintah berdasarkan durasi eksekusi yang diharapkan untuk mencegah pemborosan sumber daya dari proses yang tidak berjalan.

• Batasi akses localhost dalam kode agen - Konfigurasikan agen Anda dan alat jaringan apa pun untuk mencegah akses tidak terbatas ke localhost. Kode agen tidak boleh membuat panggilan HTTP sewenang-wenang ke localhost kecuali diperlukan untuk integrasi tertentu.

• Izinkan daftar hanya port yang diperlukan untuk pengaturan sidecar — Jika arsitektur Anda menggunakan pola container-in-container atau sidecar di localhost, secara eksplisit hanya mengizinkan daftar port tertentu yang digunakan layanan sidecar Anda. Jangan membuka akses localhost yang luas.

• Alat jaringan audit untuk jangkauan localhost — Tinjau alat apa pun yang Anda berikan kepada agen Anda (seperti alat permintaan HTTP atau utilitas jaringan umum) untuk memastikan mereka tidak dapat membuat permintaan yang tidak diinginkan ke titik akhir localhost. Terapkan pemfilteran URL atau allowlisting di tingkat alat.