View a markdown version of this page

Memecahkan masalah identitas dan akses Amazon Bedrock AgentCore - Batuan Dasar Amazon AgentCore
Saya tidak berwenang untuk melakukan tindakan di AgentCoreSaya tidak berwenang untuk melakukan iam: PassRoleSaya tidak berwenang untuk melakukan iam: CreateRole di konsolSaya ingin mengizinkan orang di luar saya AWS akun untuk mengakses AgentCore sumber daya saya

Memecahkan masalah identitas dan akses Amazon Bedrock AgentCore

Gunakan informasi berikut untuk membantu Anda mendiagnosis dan memperbaiki masalah umum yang mungkin Anda temui saat bekerja dengan AgentCore dan IAM.

Saya tidak berwenang untuk melakukan tindakan di AgentCore

Jika Anda menerima kesalahan bahwa Anda tidak berwenang untuk melakukan tindakan, kebijakan Anda harus diperbarui untuk memungkinkan Anda melakukan tindakan.

Contoh kesalahan berikut terjadi ketika pengguna mateojackson IAM mencoba menggunakan konsol untuk melihat detail tentang my-example-widget sumber daya fiksi tetapi tidak memiliki izin bedrock-agentcore:GetWidget fiksi.

User: arn:aws:iam::123456789012:user/mateojackson is not authorized to perform: bedrock-agentcore:GetWidget on resource: my-example-widget

Dalam hal ini, kebijakan untuk pengguna mateojackson harus diperbarui untuk mengizinkan akses ke sumber daya my-example-widget dengan menggunakan tindakan bedrock-agentcore:GetWidget.

Jika Anda memerlukan bantuan, hubungi AWS administrator Anda. Administrator Anda adalah orang yang memberi Anda kredensial masuk.

Saya tidak berwenang untuk melakukan iam: PassRole

Jika Anda menerima kesalahan yang tidak diizinkan untuk melakukan iam:PassRole tindakan, kebijakan Anda harus diperbarui agar Anda dapat meneruskan peran AgentCore.

Beberapa AWS layanan memungkinkan Anda untuk meneruskan peran yang ada ke layanan tersebut alih-alih membuat peran layanan baru atau peran terkait layanan. Untuk melakukannya, Anda harus memiliki izin untuk meneruskan peran ke layanan.

Contoh kesalahan berikut terjadi ketika pengguna IAM bernama marymajor mencoba menggunakan konsol tersebut untuk melakukan tindakan di AgentCore. Namun, tindakan tersebut memerlukan layanan untuk mendapatkan izin yang diberikan oleh peran layanan. Mary tidak memiliki izin untuk meneruskan peran tersebut pada layanan.

User: arn:aws:iam::123456789012:user/marymajor is not authorized to perform: iam:PassRole

Dalam hal ini, kebijakan Mary harus diperbarui untuk memungkinkannya melakukan iam:PassRole tindakan.

Jika Anda memerlukan bantuan, hubungi AWS administrator Anda. Administrator Anda adalah orang yang memberi Anda kredensial masuk.

Saya tidak berwenang untuk melakukan iam: CreateRole di konsol

Jika Anda menerima kesalahan bahwa Anda tidak diizinkan untuk melakukan iam:CreateRole tindakan saat membuat AgentCore sumber daya di Konsol AWS Manajemen, Anda perlu menambahkan izin tambahan ke pengguna atau peran IAM Anda.

Contoh kesalahan berikut terjadi saat Anda membuat harness dan konsol mencoba membuat peran eksekusi secara otomatis atas nama Anda:

User: arn:aws:iam::123456789012:assumed-role/MyConsoleRole/user is not authorized to perform: iam:CreateRole on resource: arn:aws:iam::123456789012:role/service-role/AmazonBedrockAgentCoreHarnessDefaultServiceRole-abc12 because no identity-based policy allows the iam:CreateRole action

Untuk mengatasi masalah ini, lakukan salah satu hal berikut:

  • Menambahkan kebijakan sebaris: Tambahkan kebijakan ke pengguna IAM atau peran yang memberikan izin yang diperlukan bagi konsol untuk membuat peran eksekusi atas nama Anda:

    {
"Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": "iam:CreateRole",
      "Resource": "arn:aws:iam::123456789012:role/service-role/AmazonBedrockAgentCore*"
    },
    {
      "Effect": "Allow",
      "Action": "iam:CreatePolicy",
      "Resource": "arn:aws:iam::123456789012:policy/service-role/AmazonBedrockAgentCore*"
    },
    {
      "Effect": "Allow",
      "Action": "iam:AttachRolePolicy",
      "Resource": "arn:aws:iam::123456789012:role/service-role/AmazonBedrockAgentCore*",
      "Condition": {
        "ArnLike": {
          "iam:PolicyARN": "arn:aws:iam::123456789012:policy/service-role/AmazonBedrockAgentCore*"
        }
      }
    }
  ]
}

  • Buat peran eksekusi secara manual: Buat peran sebelum membuat sumber daya di konsol, lalu pilih peran yang ada alih-alih mengizinkan konsol untuk membuatnya secara otomatis. Untuk kebijakan kepercayaan dan izin yang diperlukan, lihat Peran eksekusi untuk menjalankan agen di AgentCore Runtime.

Saya ingin mengizinkan orang di luar saya AWS akun untuk mengakses AgentCore sumber daya saya

Anda dapat membuat peran yang dapat digunakan pengguna di akun lain atau orang-orang di luar organisasi Anda untuk mengakses sumber daya Anda. Anda dapat menentukan siapa saja yang dipercaya untuk mengambil peran tersebut. Untuk layanan yang mendukung kebijakan berbasis sumber daya atau daftar kontrol akses (ACL), Anda dapat menggunakan kebijakan tersebut untuk memberi orang akses ke sumber daya Anda.

Untuk mempelajari selengkapnya, periksa referensi berikut: