Configurare le autorizzazioni per AgentCore Gateway

Per utilizzare Amazon Bedrock AgentCore Gateway e le sue funzionalità, devi considerare le seguenti autorizzazioni:

Per ulteriori informazioni, scegli un argomento:

Gateway builder e autorizzazioni utente

Affinché un'identità sia in grado di creare, gestire o utilizzare i gateway, è necessario allegare una policy basata sull'identità all'identità IAM per consentirle di eseguire azioni Amazon Bedrock. AgentCore-related Per autorizzazioni complete, puoi utilizzare la policy gestita. BedrockAgentCoreFullAccess

Per una maggiore sicurezza e controllo, puoi creare la tua politica personalizzata riducendo le autorizzazioni nella politica di accesso completo. Ad esempio, la seguente politica consente a un'identità di eseguire azioni relative a AgentCore Gateway ma non ad altri AgentCore servizi, come AgentCore Runtime o AgentCore Browser:

{
"Version":"2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "bedrock-agentcore:*Gateway*",
        "bedrock-agentcore:*WorkloadIdentity",
        "bedrock-agentcore:*CredentialProvider",
        "bedrock-agentcore:*Token*",
        "bedrock-agentcore:*Access*"
      ],
      "Resource": "arn:aws:bedrock-agentcore:*:*:*gateway*"
    }
  ]
}

La seguente politica personalizzata è più restrittiva e consente solo l'accesso in lettura ai gateway, alle destinazioni dei gateway e ai limiti di velocità:

{
"Version":"2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "bedrock-agentcore:ListGateways",
        "bedrock-agentcore:GetGateway",
        "bedrock-agentcore:ListGatewayTargets",
        "bedrock-agentcore:GetGatewayTarget",
        "bedrock-agentcore:ListGatewayRateLimits",
        "bedrock-agentcore:GetGatewayRateLimit"
      ],
      "Resource": "arn:aws:bedrock-agentcore:*:*:*gateway*"
    }
  ]
}

La seguente politica personalizzata consente a un'identità di gestire i limiti di velocità su un gateway senza poter modificare il gateway o i suoi obiettivi:

{
"Version":"2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "bedrock-agentcore:CreateGatewayRateLimit",
        "bedrock-agentcore:GetGatewayRateLimit",
        "bedrock-agentcore:UpdateGatewayRateLimit",
        "bedrock-agentcore:DeleteGatewayRateLimit",
        "bedrock-agentcore:ListGatewayRateLimits",
        "bedrock-agentcore:BatchPutGatewayRateLimits"
      ],
      "Resource": "arn:aws:bedrock-agentcore:*:*:*gateway*"
    }
  ]
}

Autorizzazioni di accesso al gateway (autorizzazione in entrata)

Oltre alle autorizzazioni relative al gateway, è necessario configurare anche le autorizzazioni per le identità per poter accedere al gateway durante la chiamata. Configurerai queste autorizzazioni quando configuri l'autorizzazione in entrata. Configura l'autorizzazione in entrata per il tuo gateway

AgentCore Autorizzazioni relative al ruolo del servizio Gateway

Quando si crea un gateway, è necessario un ruolo di servizio che disponga delle autorizzazioni per assumere un ruolo IAM e accedere a AWS risorse e servizi esterni per conto del ruolo IAM. È possibile creare il ruolo di servizio nei seguenti modi:

Le autorizzazioni richieste per un ruolo di servizio sono riportate nei seguenti argomenti:

Autorizzazioni attendibili

A un ruolo di servizio deve essere allegata una politica di fiducia che consenta al AgentCore servizio di assumere un'identità IAM ed eseguire azioni per suo conto.

Di seguito è riportato un esempio di politica di fiducia che è possibile utilizzare.

{
"Version":"2012-10-17",
  "Statement": [
    {
      "Sid": "GatewayAssumeRolePolicy",
      "Effect": "Allow",
      "Principal": {
        "Service": "bedrock-agentcore.amazonaws.com"
      },
      "Action": "sts:AssumeRole",
      "Condition": {
        "StringEquals": {
          "aws:SourceAccount": "111122223333"
        },
        "ArnLike": {
          "aws:SourceArn": "arn:aws:bedrock-agentcore:us-east-1:111122223333:gateway/gateway-name-*"
        }
      }
    }
  ]
}

Autorizzazioni di autorizzazione in uscita

A seconda del tipo di autorizzazione in uscita utilizzata per le destinazioni del gateway, è necessario aggiungere autorizzazioni al ruolo del servizio per consentirgli di richiamare la destinazione. Queste autorizzazioni consentono al ruolo del servizio gateway di recuperare le credenziali di autorizzazione per richiamare la destinazione. È possibile eseguire questa operazione durante il processo di impostazione dell'autorizzazione in uscita.

Autorizzazioni di accesso AWS risorse

A seconda della configurazione del gateway o delle destinazioni che si sceglie di aggiungere al gateway, potrebbe essere necessario aggiungere autorizzazioni al ruolo del servizio del gateway per consentirgli di accedere AWS alle risorse. I seguenti argomenti riguardano alcune risorse a cui il ruolo del servizio gateway potrebbe aver bisogno di accedere:

{
"Version": "2012-10-17",
    "Statement": [{
        "Sid": "AmazonBedrockAgentCoreGatewayLambdaProd",
        "Effect": "Allow",
        "Action": [
            "lambda:InvokeFunction"
        ],
        "Resource": [
            "arn:aws:lambda:us-east-1:123456789012:function:FunctionName"
        ]
    }]
}

{
"Version":"2012-10-17",
    "Statement": [
        {
            "Sid": "LambdaAllowGatewayServiceRoleMyFunction",
            "Effect": "Allow",
            "Principal": {
              "AWS": "arn:aws:iam::123456789012:role/MyGatewayExecutionRole"
            },
            "Action": "lambda:InvokeFunction",
            "Resource":  "arn:aws:lambda:us-east-1:123456789012:function:MyFunction"
        }
     ]
}

{
"Version":"2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "dynamodb:GetItem",
        "dynamodb:PutItem",
        "dynamodb:UpdateItem",
        "dynamodb:DeleteItem",
        "dynamodb:Query",
        "dynamodb:Scan"
      ],
      "Resource": "arn:aws:dynamodb:*:*:table/*"
    }
  ]
}

Procedure consigliate per le autorizzazioni Gateway