AWS kebijakan yang dikelola untuk Amazon Bedrock AgentCore

bedrock-agentcore(Amazon Bedrock Agent Core) - Memungkinkan kepala sekolah akses penuh ke semua sumber daya Amazon Bedrock Agent Core.

iam(AWS Identitas dan Manajemen Akses) - Memungkinkan kepala sekolah untuk membuat daftar dan mendapatkan informasi tentang peran dan kebijakan, dan untuk meneruskan peran dengan "BedrockAgentCore" dalam nama ke layanan bedrock-agentcore. Juga memungkinkan pembuatan peran terkait layanan untuk Sinyal CloudWatch Aplikasi, AgentCore jaringan Amazon Bedrock, identitas AgentCore runtime Amazon Bedrock, dan Instans Runtime. AgentCore

secretsmanager(Manajer AWS Rahasia) - Memungkinkan kepala sekolah untuk membuat, memperbarui, mengambil, dan menghapus rahasia dengan nama yang dimulai dengan “bedrock-agentcore”.

kms(Layanan Manajemen K AWS unci) - Memungkinkan kepala sekolah untuk membuat daftar dan menjelaskan kunci, dan mendekripsi data dan menghasilkan kunci data dalam AWS akun yang sama ketika dipanggil melalui layanan Amazon Bedrock AgentCore . Juga memungkinkan prinsipal untuk membuat dan membuat daftar hibah AWS KMS pada kunci yang dikelola pelanggan yang mengenkripsi AgentCore sumber daya, termasuk hibah yang dicakup ke mesin kebijakan AgentCore Kebijakan (dan kebijakan serta generasi kebijakan mereka) sehingga mesin kebijakan dapat dienkripsi dengan kunci yang dikelola pelanggan.

s3(Amazon Simple Storage Service) - Memungkinkan kepala sekolah untuk mendapatkan objek dari bucket S3 dengan nama yang dimulai dengan “bedrock-agentcore-gateway-” ketika dipanggil melalui layanan Amazon Bedrock. AgentCore

lambda(AWS Lambda) - Memungkinkan prinsipal untuk mencantumkan fungsi Lambda.

logs(Amazon CloudWatch Logs) - Memungkinkan kepala sekolah untuk mengakses, menanyakan, dan mengelola data log dalam grup log yang terkait dengan Amazon Bedrock AgentCore dan Sinyal Aplikasi, termasuk membuat grup log dan aliran.

application-autoscaling(Penskalaan Otomatis Aplikasi) - Memungkinkan prinsipal untuk menjelaskan kebijakan penskalaan.

application-signals(Sin CloudWatch yal Aplikasi Amazon) - Memungkinkan kepala sekolah untuk mengambil informasi tentang sinyal aplikasi dan memulai penemuan.

autoscaling(Amazon EC2 Auto Scaling) - Memungkinkan kepala sekolah untuk menggambarkan sumber daya Penskalaan Otomatis.

cloudwatch(Amazon CloudWatch) - Memungkinkan kepala sekolah untuk mengambil dan membuat daftar metrik, menghasilkan kueri, dan mengakses CloudWatch sumber daya lainnya.

oam(Amazon CloudWatch Observability Access Manager) - Memungkinkan kepala sekolah untuk membuat daftar wastafel.

rum(Amazon CloudWatch RUM) - Memungkinkan kepala sekolah untuk mengambil dan mencantumkan sumber daya RUM.

synthetics(Amazon CloudWatch Synthetics) - Memungkinkan kepala sekolah untuk menggambarkan dan mendapatkan informasi tentang sumber daya Synthetics.

xray(AWS X-Ray) - Memungkinkan kepala sekolah untuk mengambil informasi pelacakan, mengelola tujuan segmen pelacakan, dan bekerja dengan aturan pengindeksan.

ecr(Amazon Elastic Container Registry) - Memungkinkan kepala sekolah untuk menggambarkan repositori, daftar gambar, dan menggambarkan gambar.

bedrock(Amazon Bedrock) - Memungkinkan kepala sekolah untuk memanggil model dasar dan profil inferensi untuk tujuan evaluasi.

iam:CreateRoletidak termasuk. Saat Anda membuat AgentCore sumber daya tertentu (misalnya, harness atau runtime) di konsol, Anda dapat memilih konsol untuk membuat peran eksekusi sumber daya secara otomatis atas nama Anda. Ini memerlukan iam:CreateRole izin, yang tidak termasuk dalam kebijakan terkelola ini. Untuk informasi selengkapnya, lihat Mem ecahkan masalah iam: CreateRole otorisasi di konsol.

iam:PassRoledicakup oleh nama peran. Saat Anda membuat AgentCore sumber daya tertentu (misalnya, harness atau runtime), Anda harus memiliki iam:PassRole izin pada peran eksekusi sumber daya. Kebijakan terkelola ini hanya menyer iam:PassRole takan izin untuk peran dengan nama yang cocok*BedrockAgentCore*. Untuk informasi selengkapnya, lihat Memec ahkan masalah iam: PassRole otorisasi.

GetWorkloadAccessTokenForUserIdtermasuk. Kebijakan ini memberikan izin untuk memanggilGetWorkloadAccessTokenForUserId, yang memungkinkan penerbitan token akses beban kerja menggunakan string pengenal pengguna yang disediakan pemanggil tanpa verifikasi token IdP. Ini cocok untuk skenario pengembangan dan quickstart. Untuk penerapan produksi, buat kebijakan IAM khusus yang hanya memberikan GetWorkloadAccessTokenForJWT (yang memvalidasi tanda tangan, penerbit, dan kedaluwarsa JWT) dan secara eksplisit menolak GetWorkloadAccessTokenForUserId jika beban kerja Anda selalu memiliki JWT yang tersedia. Untuk informasi selengkapnya, lihat M endapatkan token akses beban kerja.

ec2(Amazon Elastic Compute Cloud) - Memungkinkan layanan untuk membuat, mengelola, dan menghapus antarmuka jaringan di VPC Anda, menetapkan dan membatalkan penetapan alamat IP pribadi, dan menjelaskan sumber daya VPC. Antarmuka jaringan ditandai dengan "AmazonBedrockAgentCoreManaged" untuk memastikan layanan hanya mengelola sumber daya yang dibuatnya.

bedrock— Memungkinkan kepala sekolah untuk memanggil Amazon Bedrock Invokemodel dan InvokeModelWithResponseStream tindakan. Ini diperlukan agar agen dapat menyimpan kenangan.

bedrock-mantle- Memungkinkan kepala sekolah untuk memanggil CallWithBearerToken tindakan CreateInference dan. Ini diperlukan agar layanan dapat memproses memori menggunakan model Amazon Bedrock Mantle.

bedrock-agentcore(Amazon Bedrock Agent Core) - Memungkinkan layanan untuk mendapatkan token akses beban kerja untuk otentikasi JWT dan otentikasi pengguna ID-based . Secara khusus memungkinkan GetWorkloadAccessTokenGetWorkloadAccessTokenForJWT,, dan GetWorkloadAccessTokenForUserId tindakan pada direktori identitas beban kerja default dan identitas beban kerja yang terkait.

ec2(Amazon Elastic Compute Cloud) — Memungkinkan layanan menjelaskan sumber daya komputasi dan menghentikan instans, melepaskan dan menghapus volume Amazon EBS, dan menghapus template peluncuran yang dikelola layanan. Akses dicakup ke sumber daya yang AgentCore mengelola, menggunakan kunci ec2:ManagedResourceOperator kondisi.

autoscaling(Amazon EC2 Auto Scaling) - Memungkinkan layanan menjelaskan dan menghapus grup Penskalaan Otomatis yang dibuatnya, dan untuk menyelesaikan tindakan siklus hidup. Akses dicakup ke sumber daya yang ditandai denganbedrock-agentcore:capacity-provider-id.

events(Amazon EventBridge) - Memungkinkan layanan untuk menghapus target dari, dan menghapus, EventBridge aturan yang dikelolanya. Akses dicakup ke sumber daya dengan kunci events:ManagedBy kondisi disetel kebedrock-agentcore.amazonaws.com.

ec2(Amazon Elastic Compute Cloud) - Memungkinkan layanan untuk menjelaskan, membuat, menandai, dan mengelola sumber daya EC2 yang mendukung penyedia kapasitas, termasuk templat peluncuran, armada, instans, antarmuka jaringan, dan volume Amazon EBS. Akses untuk membuat sumber daya dicakup oleh tag bedrock-agentcore:capacity-provider-id permintaan, dan akses untuk mengelola sumber daya yang ada dicakup oleh kunci ec2:ManagedResourceOperator kondisi. Instans diluncurkan hanya dari Amazon-owned AMI.

autoscaling(Amazon EC2 Auto Scaling) - Memungkinkan layanan untuk membuat dan mengelola grup Penskalaan Otomatis yang meluncurkan instans. Akses dicakup ke grup Penskalaan Otomatis yang diberi nama dengan agentcore-managed-instances- awalan dan ditandai denganbedrock-agentcore:capacity-provider-id.

events(Amazon EventBridge) — Memungkinkan layanan untuk membuat dan mengelola EventBridge aturan (dinamai dengan agentcore-lifecycle-events- awalan) yang mengirimkan peristiwa siklus hidup instans.

iam- Mengizinkan layanan membuat peran terkait layanan Auto Scaling dan meneruskan peran instans default (dengan AmazonBedrockAgentCoreCapacityProviderDefaultInstanceRole awalan) dan peran AgentCore layanan tambahan ke Amazon EC2.

bedrock-agentcore(Amazon Bedrock AgentCore) - Memungkinkan instance untuk memang PutSystemLogEvents gil sehingga AgentCore dapat mengumpulkan log sistem dari instance.