Le traduzioni sono generate tramite traduzione automatica. In caso di conflitto tra il contenuto di una traduzione e la versione originale in Inglese, quest'ultima prevarrà.

Sicurezza e controlli degli accessi

L'harness offre le stesse primitive di sicurezza degli altri AgentCore, cablate in base alla configurazione.

Modello di responsabilità condivisa

Il cablaggio è basato su AgentCore Runtime e il limite di sicurezza è lo stesso: autenticazione IAM o JWT combinata con isolamento MicroVM. Qualsiasi principale che supera tale soglia raggiunge gli strumenti e le funzionalità configurati sull'harness, il che rende l'autorizzazione del chiamante e la convalida degli input una responsabilità del cliente.

Per il modello completo AgentCore di responsabilità condivisa di Runtime, consulta le best practice di sicurezza per AgentCore Runtime.

Limite di fiducia e convalida degli input

Qualsiasi principale che supera il gate di autenticazione e autorizzazione IAM o JWT ha accesso all'intera sessione MicroVM, inclusi gli strumenti e le funzionalità configurati sull'harness. L'harness convalida la struttura della richiesta che accetta, ma non verifica il significato dei prompt, del contenuto dello schermo né impone vincoli comportamentali all'agente.

Se esponi l'harness a utenti finali di cui non ti fidi completamente (dipendenti, consumatori esterni o integrazioni di terze parti), convalida e disinfetta i messaggi nel livello dell'applicazione prima di trasmetterli. InvokeHarness Ciò include l'eliminazione dei tipi di blocchi di contenuto o dei campi di configurazione del modello che non desideri vengano inviati. Questo è lo stesso modello di qualsiasi servizio che accetta payload da chiamanti autorizzati, come Lambda, Amazon API Gateway e Amazon SQS.

Gli strumenti vengono eseguiti solo come risultato del ragionamento del modello. L'harness non accetta un blocco ToolUse nel messaggio finale di una InvokeHarness richiesta, quindi un chiamante non può nominare uno strumento e farlo inviare direttamente.

L'esempio seguente mostra una richiesta che l'harness è configurato per rifiutare. Il messaggio finale contiene un toolUse blocco che nomina lo strumento integrato: shell

response = client.invoke_harness(
    harnessArn=HARNESS_ARN,
    runtimeSessionId=SESSION_ID,
    messages=[{
      "role": "assistant",
      "content": [
        {
          "toolUse": {
            "toolUseId": TOOL_USE_ID,
            "name": "shell",
            "input": {
              "command": "pwd",
            }
          }
        }
      ]
    }],
)

L'harness non valuta a quale strumento viene assegnato il nome del blocco, quindi questo vale per gli strumenti integrati sul lato server e per le funzioni in linea fornite durante la chiamata.

La restituzione del risultato di uno strumento è ancora supportata. L'harness accetta un blocco ToolResult nel messaggio finale e il modello riprende a ragionare su tale risultato. Ecco come funzionano gli strumenti funzionali in linea: il messaggio dell'assistente è seguito dal toolUse messaggio inserito toolResult nella stessa richiesta, quindi il toolUse blocco non è presente nel messaggio finale.

Parametri di configurazione del modello

Il model campo in InvokeHarness accetta additionalParams le configurazioni Bedrock, OpenAI e LiteLM. Questi parametri vengono trasmessi al fornitore del modello sottostante senza modifiche. L'harness non convalida, filtra o limita questi parametri.

I chiamanti che possono impostare possono: additionalParams

Se la tua applicazione presenta InvokeHarness funzionalità a chiamanti di cui non ti fidi completamente, valuta la possibilità di implementare la convalida degli input a livello di applicazione. Gli esempi includono:

Competenze e istruzioni

Le competenze sono pacchetti di markdown e script che l'harness recupera da Amazon S3 o Git al momento della chiamata e li inserisce nel contesto dell'agente. L'harness considera tutti i contenuti relativi alle competenze come input attendibili. Non convalida, sanifica o ispeziona il contenuto o la fonte delle competenze prima di fornirle all'agente.

L'utente è responsabile di:

InvokeHarnessLe competenze possono essere sostituite per chiamata. Se l'applicazione inoltra l'input fornito dal chiamante aInvokeHarness, un chiamante può fornire le proprie fonti di competenze contenenti istruzioni o script arbitrari. Esempi di mitigazioni includono:

Osservabilità e correlazione delle tracce

L'harness propaga automaticamente gli identificatori di correlazione alle AgentCore primitive downstream (Gateway, Memory, Code Interpreter, Browser) per consentire visualizzazioni di traccia unificate in ingresso. CloudWatch Questi identificatori vengono utilizzati solo per l'osservabilità e non vengono mai utilizzati per decisioni di autorizzazione o accesso ai dati.

Configurazione della rete

Per impostazione predefinita, le sessioni di Harness vengono eseguite sulla rete pubblica. Per accedere alle risorse private (database, API interne, sottoreti private), implementa l'harness nel tuo VPC.

Per ulteriori indicazioni sulla configurazione della rete, consulta Configure AgentCore Runtime e la configurazione VPC degli strumenti integrati. Per la connettività API in entrata tramite PrivateLink, consulta gli endpoint dell'interfaccia VPC.

OAuth in entrata

Richiedi ai chiamanti di presentare un JWT valido emesso da un provider di identità configurato prima di poter richiamare l'harness. AgentCore L'identità trasmette l'identità dell'utente finale tramite l'agente, in modo che gli strumenti a valle possano chiamare le API con credenziali utente con ambito anziché un account di servizio condiviso.

Per saperne di più: AgentCore Identità · autorizzatore JWT in entrata · credenziali in uscita https://docs.aws.amazon.com/bedrock-agentcore/latest/devguide/identity-outbound-credential-provider.html

Politiche del gateway

Quando gli strumenti vengono forniti tramite AgentCore Gateway, Cedar-based le policy annullano ogni chiamata: chi può chiamare quale strumento, in quali condizioni, con quali argomenti.

Per saperne di più: AgentCore Politica · modelli comuni

Politica del ruolo di esecuzione

L'harness assume un ruolo di esecuzione IAM fornito dall'utente. La politica di fiducia del ruolo deve consentire al responsabile del AgentCore servizio di assumerlo:

{
  "Version": "2012-10-17",
  "Statement": [{
    "Effect": "Allow",
    "Principal": {"Service": "bedrock-agentcore.amazonaws.com"},
    "Action": "sts:AssumeRole"
  }]
}

Autorizzazioni IAM richieste per i chiamanti

Le API Harness richiedono autorizzazioni sia sulla risorsa Harness che sulle risorse di Runtime e di memoria opzionali sottostanti AgentCore . AgentCore La tabella seguente elenca le azioni richieste per ciascuna API:

La maggior parte delle azioni utilizza Harness ARN come ambito delle risorse:. arn:aws:bedrock-agentcore:<region>:<accountId>:harness/<id> Le azioni sugli endpoint utilizzano anche l'ARN dell'endpoint harness:. arn:aws:bedrock-agentcore:<region>:<accountId>:harness/<id>/harness-endpoint/<endpointName>

Le DeleteHarnessEndpoint azioni GetHarnessEndpointUpdateHarnessEndpoint, e richiedono sia l'Harness ARN che l'Endpoint ARN. CreateHarnessEndpointrichiede solo l'arn del cablaggio. L'endpoint non esiste ancora, quindi non è necessario alcun ARN dell'endpoint. Quando si richiama un endpoint personalizzato InvokeHarness e si InvokeAgentRuntimeCommand richiedono sia l'Harness ARN che l'Endpoint ARN.

Esempio di politica relativa ai ruoli di esecuzione

L'esempio seguente riguarda un cablaggio sulla rete pubblica, che estrae l'immagine del contenitore gestito da Amazon ECR Public. Un harness in modalità VPC estrae l'immagine gestita da un repository Amazon ECR privato nella regione harness, quindi il suo ruolo di esecuzione richiede anche autorizzazioni di pull ECR private. Aggiungi le istruzioni in modalità VPC: estrazione dell'immagine gestita da un ECR privato al ruolo di esecuzione di un harness. VPC-mode

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "BedrockModelInvocation",
      "Effect": "Allow",
      "Action": [
        "bedrock:InvokeModel",
        "bedrock:InvokeModelWithResponseStream"
      ],
      "Resource": [
        "arn:aws:bedrock:*::foundation-model/*",
        "arn:aws:bedrock:<region>:<accountId>:*"
      ]
    },
    {
      "Sid": "EcrPublicTokenAccess",
      "Effect": "Allow",
      "Action": [
        "ecr-public:GetAuthorizationToken"
      ],
      "Resource": "*"
    },
    {
      "Sid": "StsForEcrPublicPull",
      "Effect": "Allow",
      "Action": [
        "sts:GetServiceBearerToken"
      ],
      "Resource": "*"
    },
    {
      "Sid": "XRayTracingAccess",
      "Effect": "Allow",
      "Action": [
        "xray:PutTraceSegments",
        "xray:PutTelemetryRecords",
        "xray:GetSamplingRules",
        "xray:GetSamplingTargets"
      ],
      "Resource": "*"
    },
    {
      "Sid": "CloudWatchLogsGroup",
      "Effect": "Allow",
      "Action": [
        "logs:CreateLogGroup",
        "logs:DescribeLogStreams"
      ],
      "Resource": "arn:aws:logs:<region>:<accountId>:log-group:/aws/bedrock-agentcore/runtimes/*"
    },
    {
      "Sid": "CloudWatchLogsDescribeGroups",
      "Effect": "Allow",
      "Action": [
        "logs:DescribeLogGroups"
      ],
      "Resource": "arn:aws:logs:<region>:<accountId>:log-group:*"
    },
    {
      "Sid": "CloudWatchLogsStream",
      "Effect": "Allow",
      "Action": [
        "logs:CreateLogStream",
        "logs:PutLogEvents"
      ],
      "Resource": "arn:aws:logs:<region>:<accountId>:log-group:/aws/bedrock-agentcore/runtimes/*:log-stream:*"
    },
    {
      "Sid": "CloudWatchLogsPutResourcePolicy",
      "Effect": "Allow",
      "Action": [
        "logs:PutResourcePolicy"
      ],
      "Resource": "*"
    },
    {
      "Sid": "CloudWatchMetricsPublish",
      "Effect": "Allow",
      "Resource": "*",
      "Action": "cloudwatch:PutMetricData",
      "Condition": {
        "StringEquals": {
          "cloudwatch:namespace": "bedrock-agentcore"
        }
      }
    },
    {
      "Sid": "AgentCoreWorkloadIdentity",
      "Effect": "Allow",
      "Action": [
        "bedrock-agentcore:GetWorkloadAccessToken",
        "bedrock-agentcore:GetWorkloadAccessTokenForJWT"
      ],
      "Resource": [
        "arn:aws:bedrock-agentcore:<region>:<accountId>:workload-identity-directory/default",
        "arn:aws:bedrock-agentcore:<region>:<accountId>:workload-identity-directory/default/workload-identity/harness_<agentName>-*"
      ]
    },
    {
      "Sid": "AgentCoreBrowserDefault",
      "Effect": "Allow",
      "Action": [
        "bedrock-agentcore:StartBrowserSession",
        "bedrock-agentcore:StopBrowserSession",
        "bedrock-agentcore:GetBrowserSession",
        "bedrock-agentcore:ListBrowserSessions",
        "bedrock-agentcore:UpdateBrowserStream",
        "bedrock-agentcore:ConnectBrowserAutomationStream",
        "bedrock-agentcore:ConnectBrowserLiveViewStream"
      ],
      "Resource": "arn:aws:bedrock-agentcore:<region>:aws:browser/*"
    },
    {
      "Sid": "AgentCoreCodeInterpreterDefault",
      "Effect": "Allow",
      "Action": [
        "bedrock-agentcore:StartCodeInterpreterSession",
        "bedrock-agentcore:StopCodeInterpreterSession",
        "bedrock-agentcore:GetCodeInterpreterSession",
        "bedrock-agentcore:ListCodeInterpreterSessions",
        "bedrock-agentcore:InvokeCodeInterpreter"
      ],
      "Resource": "arn:aws:bedrock-agentcore:<region>:aws:code-interpreter/*"
    },
    {
      "Sid": "AgentCoreMemory",
      "Effect": "Allow",
      "Action": [
        "bedrock-agentcore:CreateEvent",
        "bedrock-agentcore:DeleteEvent",
        "bedrock-agentcore:GetEvent",
        "bedrock-agentcore:ListEvents",
        "bedrock-agentcore:RetrieveMemoryRecords"
      ],
      "Resource": "arn:aws:bedrock-agentcore:<region>:<accountId>:memory/harness_<agentNameAbbrv>_*"
    }
  ]
}

La AgentCore CLI crea automaticamente un ruolo con queste autorizzazioni quando si crea uno scaffold di un progetto Harness. La politica sopra riportata è valida per i casi in cui il ruolo è stato creato dall'utente.

Per i carichi di lavoro di produzione, stabilisci Resource i valori in base agli ARN specifici di cui hai bisogno il cablaggio anziché utilizzarli. "*"

Autorizzazioni aggiuntive per funzionalità opzionali

Di seguito sono riportati alcuni esempi di policy che puoi aggiungere al tuo ruolo di esecuzione in base alle funzionalità utilizzate dal tuo harness. Segui il principio del privilegio minimo: concedi al tuo harness agent solo gli strumenti e le credenziali specifici necessari per l'inferenza. Vedi per le definizioni Riferimento segnaposto dei segnaposto.

Accesso ECR privato (immagini dei contenitori personalizzate)

Aggiungi questa politica quando il cablaggio utilizza un'immagine ECR privata per un contenitore personalizzato.

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "ECRImageAccess",
      "Effect": "Allow",
      "Action": [
        "ecr:GetDownloadUrlForLayer",
        "ecr:BatchGetImage"
      ],
      "Resource": "arn:aws:ecr:<ecrRegion>:<ecrAccountId>:repository/<ecrRepoName>"
    },
    {
      "Sid": "ECRTokenAccess",
      "Effect": "Allow",
      "Action": "ecr:GetAuthorizationToken",
      "Resource": "*"
    }
  ]
}

Modalità VPC: estrazione dell'immagine gestita da un ECR privato

Aggiungi questa policy quando il cablaggio funziona in modalità VPC. In modalità VPC, l'harness estrae il contenitore di applicazioni gestite da un repository Amazon ECR privato nella regione dell'harness (denominata). harness-<region> Questo pull utilizza un ECR privato anziché Amazon ECR Public, quindi il ruolo di esecuzione richiede autorizzazioni di pull ECR private. Questa policy è separata dalle autorizzazioni personalizzate per le immagini del contenitore: si applica all'immagine AWS gestita anche quando non fornisci il tuo contenitore.

Il repository è di proprietà di un account di AWS servizio, pertanto l'account nell'ARN del repository è contrassegnato come wildcard. Le autorizzazioni pull sono limitate alla regione Harness.

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "EcrManagedImagePull",
      "Effect": "Allow",
      "Action": [
        "ecr:BatchGetImage",
        "ecr:GetDownloadUrlForLayer",
        "ecr:BatchCheckLayerAvailability"
      ],
      "Resource": "arn:aws:ecr:<region>:*:repository/harness-*"
    },
    {
      "Sid": "EcrManagedImageToken",
      "Effect": "Allow",
      "Action": "ecr:GetAuthorizationToken",
      "Resource": "*"
    }
  ]
}

Assicurati che nel tuo VPC siano presenti gli endpoint VPC richiesti (vedi Configurazione di rete): endpoint di interfaccia per com.amazonaws.<region>.ecr.dkr e e com.amazonaws.<region>.ecr.api un endpoint gateway per. com.amazonaws.<region>.s3

AgentCore Memoria

Aggiungi questa policy quando il tuo harness utilizza un'istanza di memoria di proprietà del cliente.

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "AgentCoreMemory",
      "Effect": "Allow",
      "Action": [
        "bedrock-agentcore:CreateEvent",
        "bedrock-agentcore:DeleteEvent",
        "bedrock-agentcore:GetEvent",
        "bedrock-agentcore:ListEvents",
        "bedrock-agentcore:RetrieveMemoryRecords"
      ],
      "Resource": "arn:aws:bedrock-agentcore:<region>:<accountId>:memory/<memoryId>"
    }
  ]
}

AgentCore Browser (personalizzato)

Aggiungi questa politica quando Harness utilizza una risorsa browser personalizzata di proprietà del cliente.

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "AgentCoreBrowserCustom",
      "Effect": "Allow",
      "Action": [
        "bedrock-agentcore:StartBrowserSession",
        "bedrock-agentcore:StopBrowserSession",
        "bedrock-agentcore:GetBrowserSession",
        "bedrock-agentcore:ListBrowserSessions",
        "bedrock-agentcore:UpdateBrowserStream",
        "bedrock-agentcore:ConnectBrowserAutomationStream",
        "bedrock-agentcore:ConnectBrowserLiveViewStream"
      ],
      "Resource": "arn:aws:bedrock-agentcore:<region>:<accountId>:browser-custom/<browserCustomId>"
    }
  ]
}

AgentCore Code Interpreter (personalizzato)

Aggiungi questa politica quando il tuo cablaggio utilizza un interprete di codice personalizzato di proprietà del cliente.

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "AgentCoreCodeInterpreterCustom",
      "Effect": "Allow",
      "Action": [
        "bedrock-agentcore:StartCodeInterpreterSession",
        "bedrock-agentcore:StopCodeInterpreterSession",
        "bedrock-agentcore:GetCodeInterpreterSession",
        "bedrock-agentcore:ListCodeInterpreterSessions",
        "bedrock-agentcore:InvokeCodeInterpreter"
      ],
      "Resource": "arn:aws:bedrock-agentcore:<region>:<accountId>:code-interpreter-custom/<codeInterpreterCustomId>"
    }
  ]
}

AgentCore Gateway

Aggiungi questa politica quando il cablaggio utilizza un gateway configurato con l'autenticazione in entrata SIGv4.

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "AgentCoreGatewayAccess",
      "Effect": "Allow",
      "Action": "bedrock-agentcore:InvokeGateway",
      "Resource": "arn:aws:bedrock-agentcore:<region>:<accountId>:gateway/<gatewayId>"
    }
  ]
}

Fonti di competenze in Amazon S3 e Git

Aggiungi questa policy quando il tuo harness recupera una skill da una fonte Amazon S3. Il ruolo di esecuzione elenca e scarica gli oggetti delle abilità con il prefisso bucket.

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "AgentCoreSkillS3Access",
      "Effect": "Allow",
      "Action": [
        "s3:GetObject",
        "s3:ListBucket"
      ],
      "Resource": [
        "arn:aws:s3:::<skillBucket>",
        "arn:aws:s3:::<skillBucket>/*"
      ]
    }
  ]
}

Per recuperare una skill da un repository Git privato, l'harness legge un token di accesso personale da un fornitore di credenziali di chiave API. Concedi la politica del fornitore di credenziali della chiave API mostrata di seguito per il provider di credenziali che detiene il token.

Fornitore di credenziali con chiave API (riferimenti ARN all'intestazione OpenAI, Gemini, LiteLM o MCP)

Aggiungi questa policy quando il tuo harness utilizza un fornitore di credenziali con chiave API per fornitori di modelli come OpenAI, Gemini o LiteLLM.

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "AgentCoreApiKeyTokenVaultDefault",
      "Effect": "Allow",
      "Action": "bedrock-agentcore:GetResourceApiKey",
      "Resource": [
        "arn:aws:bedrock-agentcore:<region>:<accountId>:token-vault/default",
        "arn:aws:bedrock-agentcore:<region>:<accountId>:workload-identity-directory/default",
        "arn:aws:bedrock-agentcore:<region>:<accountId>:workload-identity-directory/default/workload-identity/harness_<agentName>-*"
      ]
    },
    {
      "Sid": "AgentCoreApiKeyTokenVaultPerKey",
      "Effect": "Allow",
      "Action": "bedrock-agentcore:GetResourceApiKey",
      "Resource": "arn:aws:bedrock-agentcore:<region>:<accountId>:token-vault/default/apikeycredentialprovider/<apiKeyName>"
    },
    {
      "Sid": "AgentCoreApiKeySecret",
      "Effect": "Allow",
      "Action": "secretsmanager:GetSecretValue",
      "Resource": "arn:aws:secretsmanager:<region>:<accountId>:secret:bedrock-agentcore-identity!default/apikey/<apiKeyName>-*"
    }
  ]
}

Provider di credenziali OAuth2 (Gateway) OAuth-protected

Aggiungi questa policy quando il tuo harness utilizza un provider di credenziali OAuth2 per gli strumenti di gateway. OAuth-protected

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "AgentCoreOAuth2TokenVaultDefault",
      "Effect": "Allow",
      "Action": "bedrock-agentcore:GetResourceOauth2Token",
      "Resource": [
        "arn:aws:bedrock-agentcore:<region>:<accountId>:token-vault/default",
        "arn:aws:bedrock-agentcore:<region>:<accountId>:workload-identity-directory/default",
        "arn:aws:bedrock-agentcore:<region>:<accountId>:workload-identity-directory/default/workload-identity/harness_<agentName>-*"
      ]
    },
    {
      "Sid": "AgentCoreOAuth2TokenVaultPerProvider",
      "Effect": "Allow",
      "Action": "bedrock-agentcore:GetResourceOauth2Token",
      "Resource": "arn:aws:bedrock-agentcore:<region>:<accountId>:token-vault/default/oauth2credentialprovider/<oauthProviderName>"
    },
    {
      "Sid": "AgentCoreOAuth2Secret",
      "Effect": "Allow",
      "Action": "secretsmanager:GetSecretValue",
      "Resource": "arn:aws:secretsmanager:<region>:<accountId>:secret:bedrock-agentcore-identity!default/oauth2/<oauthProviderName>-*"
    }
  ]
}

Riferimento segnaposto

Sostituisci i seguenti segnaposti nelle politiche precedenti con valori specifici per il tuo ambiente:

Argomenti correlati