AWS kebijakan terkelola untuk Amazon Bedrock AgentCore

bedrock-agentcore(Amazon Bedrock Agent Core) - Memungkinkan prinsipal akses penuh ke semua sumber daya Amazon Bedrock Agent Core.

iam(AWS Identity and Access Management) - Memungkinkan kepala sekolah untuk membuat daftar dan mendapatkan informasi tentang peran dan kebijakan, dan untuk meneruskan peran dengan "BedrockAgentCore" dalam nama ke layanan bedrock-agentcore. Juga memungkinkan pembuatan peran terkait layanan untuk Sinyal CloudWatch Aplikasi, AgentCore jaringan Amazon Bedrock, dan identitas runtime Amazon Bedrock AgentCore .

secretsmanager(AWS Secrets Manager) — Memungkinkan prinsipal untuk membuat, memperbarui, mengambil, dan menghapus rahasia dengan nama yang dimulai dengan “bedrock-agentcore”.

kms(Layanan Manajemen AWS Kunci) - Memungkinkan kepala sekolah untuk membuat daftar dan mendeskripsikan kunci, dan mendekripsi data dalam AWS akun yang sama saat dipanggil melalui layanan Amazon Bedrock. AgentCore

s3(Amazon Simple Storage Service) — Memungkinkan prinsipal untuk mendapatkan objek dari bucket S3 dengan nama yang dimulai dengan “bedrock-agentcore-gateway-” ketika dipanggil melalui layanan Amazon Bedrock. AgentCore

lambda(AWS Lambda) - Memungkinkan kepala sekolah untuk mencantumkan fungsi Lambda.

logs(Amazon CloudWatch Logs) - Memungkinkan prinsipal untuk mengakses, menanyakan, dan mengelola data log dalam grup log yang terkait dengan Amazon Bedrock AgentCore dan Sinyal Aplikasi, termasuk membuat grup log dan aliran.

application-autoscaling(Application Auto Scaling) - Memungkinkan prinsipal untuk menggambarkan kebijakan penskalaan.

application-signals(Amazon CloudWatch Application Signals) - Memungkinkan prinsipal untuk mengambil informasi tentang sinyal aplikasi dan memulai penemuan.

autoscaling(Amazon EC2 Auto Scaling) — Memungkinkan prinsipal menjelaskan sumber daya Auto Scaling.

cloudwatch(Amazon CloudWatch) - Memungkinkan prinsipal untuk mengambil dan mencantumkan metrik, menghasilkan kueri, dan mengakses sumber daya lainnya. CloudWatch

oam(Amazon CloudWatch Observability Access Manager) - Memungkinkan kepala sekolah untuk membuat daftar sink.

rum(Amazon CloudWatch RUM) - Memungkinkan kepala sekolah untuk mengambil dan mencantumkan sumber daya RUM.

synthetics(Amazon CloudWatch Synthetics) - Memungkinkan prinsipal untuk mendeskripsikan dan mendapatkan informasi tentang sumber daya Synthetics.

xray(AWS X-Ray) - Memungkinkan prinsipal untuk mengambil informasi jejak, mengelola tujuan segmen penelusuran, dan bekerja dengan aturan pengindeksan.

ecr(Amazon Elastic Container Registry) - Memungkinkan prinsipal untuk mendeskripsikan repositori, mencantumkan gambar, dan mendeskripsikan gambar.

bedrock(Amazon Bedrock) - Memungkinkan kepala sekolah untuk memanggil model fondasi dan profil inferensi untuk tujuan evaluasi.

iam:CreateRoletidak termasuk. Saat Anda membuat AgentCore sumber daya tertentu (misalnya, harness atau runtime) di konsol, Anda dapat memilih konsol untuk membuat peran eksekusi sumber daya secara otomatis atas nama Anda. Ini memerlukan iam:CreateRole izin, yang tidak termasuk dalam kebijakan terkelola ini. Untuk informasi selengkapnya, lihat Pemecahan masalah iam: CreateRole otorisasi di konsol.

iam:PassRoledicakup oleh nama peran. Saat Anda membuat AgentCore sumber daya tertentu (misalnya, harness atau runtime), Anda harus memiliki iam:PassRole izin pada peran eksekusi sumber daya. Kebijakan terkelola ini hanya menyertakan iam:PassRole izin untuk peran dengan nama yang cocok*BedrockAgentCore*. Untuk informasi selengkapnya, lihat Pemecahan masalah iam: otorisasi. PassRole

GetWorkloadAccessTokenForUserIddisertakan. Kebijakan ini memberikan izin untuk meneleponGetWorkloadAccessTokenForUserId, yang memungkinkan penerbitan token akses beban kerja menggunakan string pengenal pengguna yang disediakan pemanggil tanpa verifikasi token IDP. Ini cocok untuk skenario pengembangan dan quickstart. Untuk penerapan produksi, buat kebijakan IAM khusus yang hanya memberikan GetWorkloadAccessTokenForJWT (yang memvalidasi tanda tangan, penerbit, dan kedaluwarsa JWT) dan tolak secara eksplisit jika beban kerja Anda selalu memiliki JWT yang tersedia. GetWorkloadAccessTokenForUserId Untuk informasi selengkapnya, lihat Mendapatkan token akses beban kerja.

ec2(Amazon Elastic Compute Cloud) — Memungkinkan layanan membuat, mengelola, dan menghapus antarmuka jaringan di VPC Anda, menetapkan dan membatalkan penetapan alamat IP pribadi, dan menjelaskan sumber daya VPC. Antarmuka jaringan ditandai dengan "AmazonBedrockAgentCoreManaged" untuk memastikan layanan hanya mengelola sumber daya yang dibuatnya.

bedrock— Memungkinkan kepala sekolah untuk memanggil Amazon Bedrock Invokemodel dan tindakan. InvokeModelWithResponseStream Ini diperlukan agar agen dapat menyimpan kenangan.

bedrock-mantle— Memungkinkan kepala sekolah untuk memanggil dan tindakan. CreateInference CallWithBearerToken Ini diperlukan agar layanan dapat memproses memori menggunakan model Amazon Bedrock Mantle.

bedrock-agentcore(Amazon Bedrock Agent Core) - Memungkinkan layanan untuk mendapatkan token akses beban kerja untuk otentikasi JWT dan otentikasi pengguna. ID-based Secara khusus memungkinkan GetWorkloadAccessTokenGetWorkloadAccessTokenForJWT,, dan GetWorkloadAccessTokenForUserId tindakan pada direktori identitas beban kerja default dan identitas beban kerja yang terkait.