Configurare le autorizzazioni per AgentCore Gateway

Per utilizzare Amazon Bedrock AgentCore Gateway e le sue funzionalità, devi considerare le seguenti autorizzazioni:

Per ulteriori informazioni, scegli un argomento:

Generatore di gateway e autorizzazioni utente

Affinché un'identità sia in grado di creare, gestire o utilizzare i gateway, è necessario allegare una policy basata sull'identità all'identità IAM per consentirle di eseguire azioni Amazon Bedrock. AgentCore-related Per autorizzazioni complete, puoi utilizzare la policy gestita. BedrockAgentCoreFullAccess

Per una maggiore sicurezza e controllo, puoi creare una politica personalizzata riducendo le autorizzazioni nella politica di accesso completo. Ad esempio, la seguente politica consente a un'identità di eseguire azioni relative a AgentCore Gateway ma non ad altri AgentCore servizi, come AgentCore Runtime o AgentCore Browser:

{
"Version":"2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "bedrock-agentcore:*Gateway*",
        "bedrock-agentcore:*WorkloadIdentity",
        "bedrock-agentcore:*CredentialProvider",
        "bedrock-agentcore:*Token*",
        "bedrock-agentcore:*Access*"
      ],
      "Resource": "arn:aws:bedrock-agentcore:*:*:*gateway*"
    }
  ]
}

{
"Version":"2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "bedrock-agentcore:ListGateways",
        "bedrock-agentcore:GetGateway",
        "bedrock-agentcore:ListGatewayTargets",
        "bedrock-agentcore:GetGatewayTarget"
      ],
      "Resource": "arn:aws:bedrock-agentcore:*:*:*gateway*"
    }
  ]
}

Autorizzazioni di accesso al gateway (autorizzazione in entrata)

Oltre alle autorizzazioni relative al gateway, dovrai anche configurare le autorizzazioni per le identità per poter accedere al gateway durante la chiamata. Configurerai queste autorizzazioni quando configurerai l'autorizzazione in entrata.

AgentCore Autorizzazioni per i ruoli del servizio Gateway

Quando si crea un gateway, è necessario un ruolo di servizio con le autorizzazioni per assumere un ruolo IAM e accedere a AWS risorse e servizi esterni per conto del ruolo IAM. È possibile creare il ruolo di servizio nei seguenti modi:

Le autorizzazioni richieste per un ruolo di servizio si trovano nei seguenti argomenti:

Autorizzazioni affidabili

A un ruolo di servizio deve essere associata una policy di fiducia che consenta al AgentCore servizio di assumere un'identità IAM e di eseguire azioni per suo conto.

Di seguito è riportato un esempio di policy di fiducia che è possibile utilizzare.

{
"Version":"2012-10-17",
  "Statement": [
    {
      "Sid": "GatewayAssumeRolePolicy",
      "Effect": "Allow",
      "Principal": {
        "Service": "bedrock-agentcore.amazonaws.com"
      },
      "Action": "sts:AssumeRole",
      "Condition": {
        "StringEquals": {
          "aws:SourceAccount": "111122223333"
        },
        "ArnLike": {
          "aws:SourceArn": "arn:aws:bedrock-agentcore:us-east-1:111122223333:gateway/gateway-name-*"
        }
      }
    }
  ]
}

Autorizzazioni di autorizzazione in uscita

A seconda del tipo di autorizzazione in uscita utilizzata per le destinazioni del gateway, è necessario aggiungere autorizzazioni al ruolo di servizio per consentirgli di richiamare la destinazione. Queste autorizzazioni consentono al ruolo del servizio gateway di recuperare le credenziali di autorizzazione per richiamare la destinazione. È possibile eseguire questa operazione durante il processo di configurazione dell'autorizzazione in uscita.

Autorizzazioni di accesso AWS risorse

A seconda della configurazione del gateway o delle destinazioni che si sceglie di aggiungere al gateway, potrebbe essere necessario aggiungere autorizzazioni al ruolo del servizio gateway per consentirgli di accedere AWS alle risorse. I seguenti argomenti trattano alcune risorse a cui il ruolo del servizio gateway potrebbe aver bisogno di accedere:

{
"Version": "2012-10-17",
    "Statement": [{
        "Sid": "AmazonBedrockAgentCoreGatewayLambdaProd",
        "Effect": "Allow",
        "Action": [
            "lambda:InvokeFunction"
        ],
        "Resource": [
            "arn:aws:lambda:us-east-1:123456789012:function:FunctionName"
        ]
    }]
}

{
"Version":"2012-10-17",
    "Statement": [
        {
            "Sid": "LambdaAllowGatewayServiceRoleMyFunction",
            "Effect": "Allow",
            "Principal": {
              "AWS": "arn:aws:iam::123456789012:role/MyGatewayExecutionRole"
            },
            "Action": "lambda:InvokeFunction",
            "Resource":  "arn:aws:lambda:us-east-1:123456789012:function:MyFunction"
        }
     ]
}

{
"Version":"2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "dynamodb:GetItem",
        "dynamodb:PutItem",
        "dynamodb:UpdateItem",
        "dynamodb:DeleteItem",
        "dynamodb:Query",
        "dynamodb:Scan"
      ],
      "Resource": "arn:aws:dynamodb:*:*:table/*"
    }
  ]
}

Le migliori pratiche per le autorizzazioni Gateway