Sicurezza e controlli degli accessi

Il cablaggio offre le stesse primitive di sicurezza del resto AgentCore, cablate in base alla configurazione.

Modello di responsabilità condivisa

L'imbracatura è basata su Runtime. AgentCore Il limite di sicurezza è lo stesso: autenticazione IAM o JWT combinata con isolamento MicroVM. Il cablaggio non aggiunge un livello di sicurezza tra il chiamante e la microVM.

Per il modello completo AgentCore di responsabilità condivisa di Runtime, consulta le migliori pratiche di sicurezza per AgentCore Runtime.

Convalida dei limiti di fiducia e degli input

Tutti gli InvokeAgentRuntimeCommand input InvokeHarness sono attendibili. Qualsiasi principale che supera la porta di autenticazione e autorizzazione IAM o JWT ha accesso alla sessione MicroVM completa, inclusi gli strumenti e le funzionalità configurati sul cablaggio. L'harness non elimina gli input, filtra i blocchi di contenuto o impone vincoli comportamentali.

Se esponi il sistema a utenti finali di cui non ti fidi completamente (dipendenti, consumatori esterni o integrazioni di terze parti), convalida e ripulisci i messaggi a livello applicativo prima di trasmetterli. InvokeHarness Ciò include l'eliminazione dei tipi di blocchi di contenuto o dei campi di configurazione del modello che non desiderate vengano inviati. Questo è lo stesso schema di qualsiasi servizio che accetta payload da chiamanti autorizzati, come Lambda, Amazon API Gateway e Amazon SQS.

Parametri di configurazione del modello

Il model field in InvokeHarness accetta additionalParams configurazioni Bedrock, OpenAI e LiteLLM. Questi parametri vengono trasmessi invariati al fornitore del modello sottostante. Il cablaggio non convalida, filtra o limita questi parametri.

I chiamanti che possono impostare possono: additionalParams

Se la tua applicazione rivela InvokeHarness funzionalità a chiamanti di cui non ti fidi completamente, prendi in considerazione l'implementazione della convalida degli input a livello di applicazione. Gli esempi includono:

Competenze e istruzioni

Le skill sono pacchetti di markdown e script che l'harness recupera da Amazon S3 o Git al momento della chiamata e inserisce nel contesto dell'agente. L'harness tratta tutti i contenuti relativi alle competenze come input affidabili. Non convalida, disinfetta o ispeziona il contenuto o la fonte delle competenze prima di fornirli all'agente.

L'utente è responsabile di:

InvokeHarnessLe abilità possono essere sostituite per chiamata. Se l'applicazione inoltra l'input fornito dal chiamante aInvokeHarness, quest'ultimo può fornire le proprie fonti di competenze contenenti istruzioni o script arbitrari. Alcuni esempi di mitigazioni includono:

Osservabilità e correlazione delle tracce

L'harness propaga automaticamente gli identificatori di correlazione alle AgentCore primitive downstream (Gateway, Memory, Code Interpreter, Browser) per abilitare viste di traccia unificate in. CloudWatch Questi identificatori vengono utilizzati solo per l'osservabilità e non vengono mai utilizzati per decisioni di autorizzazione o accesso ai dati.

Configurazione della rete

Per impostazione predefinita, le sessioni di cablaggio vengono eseguite sulla rete pubblica. Per accedere a risorse private (database, API interne, sottoreti private), implementa il cablaggio nel tuo VPC.

Per ulteriori indicazioni sulla configurazione della rete, consulta Configure AgentCore Runtime e configurazione VPC degli strumenti integrati. Per la connettività API in entrata tramite PrivateLink, consulta Endpoint dell'interfaccia VPC.

OAuth in entrata

Richiedi ai chiamanti di presentare un JWT valido emesso da un provider di identità configurato prima di poter richiamare l'harness. AgentCore Identity trasferisce l'identità dell'utente finale tramite l'agente, in modo che gli strumenti a valle possano richiamare le API con credenziali utente specifiche anziché un account di servizio condiviso.

Ulteriori informazioni: AgentCore Identità · Autorizzatore JWT in entrata · credenziali in uscita

Politiche del gateway

Quando gli strumenti vengono forniti tramite AgentCore Gateway, Cedar-based le policy bloccano ogni chiamata: chi può chiamare quale strumento, a quali condizioni, con quali argomenti.

Per saperne di più: AgentCore Politica · modelli comuni

Politica sul ruolo di esecuzione

L'harness presuppone un ruolo di esecuzione IAM fornito dall'utente. La politica di fiducia del ruolo deve consentire al responsabile del AgentCore servizio di assumerlo:

{
  "Version": "2012-10-17",
  "Statement": [{
    "Effect": "Allow",
    "Principal": {"Service": "bedrock-agentcore.amazonaws.com"},
    "Action": "sts:AssumeRole"
  }]
}

Autorizzazioni IAM richieste per i chiamanti

Le API Harness richiedono autorizzazioni sia sulla risorsa harness che sul Runtime sottostante AgentCore e sulle risorse di memoria opzionali. AgentCore La tabella seguente elenca le azioni richieste per ogni API:

La maggior parte delle azioni utilizza l'harness ARN come ambito delle risorse:. arn:aws:bedrock-agentcore:<region>:<accountId>:harness/<id> Le azioni degli endpoint utilizzano anche l'endpoint di cablaggio ARN:. arn:aws:bedrock-agentcore:<region>:<accountId>:harness/<id>/harness-endpoint/<endpointName>

Le DeleteHarnessEndpoint azioni GetHarnessEndpointUpdateHarnessEndpoint, e richiedono sia l'ARN del cablaggio che l'ARN dell'endpoint. CreateHarnessEndpointrichiede solo l'imbracatura ARN. L'endpoint non esiste ancora, quindi non è necessario alcun ARN dell'endpoint. Quando richiami un endpoint personalizzato InvokeHarness e InvokeAgentRuntimeCommand richiedi sia l'ARN del cablaggio che l'ARN dell'endpoint.

Esempio di politica del ruolo di esecuzione

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "BedrockModelInvocation",
      "Effect": "Allow",
      "Action": [
        "bedrock:InvokeModel",
        "bedrock:InvokeModelWithResponseStream"
      ],
      "Resource": [
        "arn:aws:bedrock:*::foundation-model/*",
        "arn:aws:bedrock:<region>:<accountId>:*"
      ]
    },
    {
      "Sid": "EcrPublicTokenAccess",
      "Effect": "Allow",
      "Action": [
        "ecr-public:GetAuthorizationToken"
      ],
      "Resource": "*"
    },
    {
      "Sid": "StsForEcrPublicPull",
      "Effect": "Allow",
      "Action": [
        "sts:GetServiceBearerToken"
      ],
      "Resource": "*"
    },
    {
      "Sid": "XRayTracingAccess",
      "Effect": "Allow",
      "Action": [
        "xray:PutTraceSegments",
        "xray:PutTelemetryRecords",
        "xray:GetSamplingRules",
        "xray:GetSamplingTargets"
      ],
      "Resource": "*"
    },
    {
      "Sid": "CloudWatchLogsGroup",
      "Effect": "Allow",
      "Action": [
        "logs:CreateLogGroup",
        "logs:DescribeLogStreams"
      ],
      "Resource": "arn:aws:logs:<region>:<accountId>:log-group:/aws/bedrock-agentcore/runtimes/*"
    },
    {
      "Sid": "CloudWatchLogsDescribeGroups",
      "Effect": "Allow",
      "Action": [
        "logs:DescribeLogGroups"
      ],
      "Resource": "arn:aws:logs:<region>:<accountId>:log-group:*"
    },
    {
      "Sid": "CloudWatchLogsStream",
      "Effect": "Allow",
      "Action": [
        "logs:CreateLogStream",
        "logs:PutLogEvents"
      ],
      "Resource": "arn:aws:logs:<region>:<accountId>:log-group:/aws/bedrock-agentcore/runtimes/*:log-stream:*"
    },
    {
      "Sid": "CloudWatchMetricsPublish",
      "Effect": "Allow",
      "Resource": "*",
      "Action": "cloudwatch:PutMetricData",
      "Condition": {
        "StringEquals": {
          "cloudwatch:namespace": "bedrock-agentcore"
        }
      }
    },
    {
      "Sid": "AgentCoreWorkloadIdentity",
      "Effect": "Allow",
      "Action": [
        "bedrock-agentcore:GetWorkloadAccessToken",
        "bedrock-agentcore:GetWorkloadAccessTokenForJWT"
      ],
      "Resource": [
        "arn:aws:bedrock-agentcore:<region>:<accountId>:workload-identity-directory/default",
        "arn:aws:bedrock-agentcore:<region>:<accountId>:workload-identity-directory/default/workload-identity/harness_<agentName>-*"
      ]
    },
    {
      "Sid": "AgentCoreBrowserDefault",
      "Effect": "Allow",
      "Action": [
        "bedrock-agentcore:StartBrowserSession",
        "bedrock-agentcore:StopBrowserSession",
        "bedrock-agentcore:GetBrowserSession",
        "bedrock-agentcore:ListBrowserSessions",
        "bedrock-agentcore:UpdateBrowserStream",
        "bedrock-agentcore:ConnectBrowserAutomationStream",
        "bedrock-agentcore:ConnectBrowserLiveViewStream"
      ],
      "Resource": "arn:aws:bedrock-agentcore:<region>:aws:browser/*"
    },
    {
      "Sid": "AgentCoreCodeInterpreterDefault",
      "Effect": "Allow",
      "Action": [
        "bedrock-agentcore:StartCodeInterpreterSession",
        "bedrock-agentcore:StopCodeInterpreterSession",
        "bedrock-agentcore:GetCodeInterpreterSession",
        "bedrock-agentcore:ListCodeInterpreterSessions",
        "bedrock-agentcore:InvokeCodeInterpreter"
      ],
      "Resource": "arn:aws:bedrock-agentcore:<region>:aws:code-interpreter/*"
    }
  ]
}

La AgentCore CLI crea automaticamente un ruolo con queste autorizzazioni quando si impalcatura un progetto Harness. La politica di cui sopra si riferisce ai casi in cui il ruolo viene creato da soli.

Per i carichi di lavoro di produzione, limitate Resource i valori agli ARN specifici di cui il sistema di cablaggio ha bisogno anziché utilizzarli. "*"

Autorizzazioni aggiuntive per funzionalità opzionali

Di seguito sono riportati alcuni esempi di policy che è possibile aggiungere al proprio ruolo di esecuzione in base alle funzionalità utilizzate dall'harness. Segui il principio del privilegio minimo: concedi al tuo harness agent solo gli strumenti e le credenziali specifici di cui ha bisogno per l'inferenza. Vedi per le definizioni Riferimento segnaposto dei segnaposto.

Accesso ECR privato (immagini di contenitori personalizzate)

Aggiungi questa politica quando il tuo cablaggio utilizza un'immagine ECR privata per un contenitore personalizzato.

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "ECRImageAccess",
      "Effect": "Allow",
      "Action": [
        "ecr:GetDownloadUrlForLayer",
        "ecr:BatchGetImage"
      ],
      "Resource": "arn:aws:ecr:<ecrRegion>:<ecrAccountId>:repository/<ecrRepoName>"
    },
    {
      "Sid": "ECRTokenAccess",
      "Effect": "Allow",
      "Action": "ecr:GetAuthorizationToken",
      "Resource": "*"
    }
  ]
}

AgentCore Memoria

Aggiungi questa policy quando il sistema di cablaggio utilizza un'istanza di memoria di proprietà del cliente.

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "AgentCoreMemory",
      "Effect": "Allow",
      "Action": [
        "bedrock-agentcore:CreateEvent",
        "bedrock-agentcore:DeleteEvent",
        "bedrock-agentcore:GetEvent",
        "bedrock-agentcore:ListEvents",
        "bedrock-agentcore:RetrieveMemoryRecords"
      ],
      "Resource": "arn:aws:bedrock-agentcore:<region>:<accountId>:memory/<memoryId>"
    }
  ]
}

AgentCore Browser (personalizzato)

Aggiungi questa politica quando il sistema di cablaggio utilizza una risorsa browser personalizzata di proprietà del cliente.

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "AgentCoreBrowserCustom",
      "Effect": "Allow",
      "Action": [
        "bedrock-agentcore:StartBrowserSession",
        "bedrock-agentcore:StopBrowserSession",
        "bedrock-agentcore:GetBrowserSession",
        "bedrock-agentcore:ListBrowserSessions",
        "bedrock-agentcore:UpdateBrowserStream",
        "bedrock-agentcore:ConnectBrowserAutomationStream",
        "bedrock-agentcore:ConnectBrowserLiveViewStream"
      ],
      "Resource": "arn:aws:bedrock-agentcore:<region>:<accountId>:browser-custom/<browserCustomId>"
    }
  ]
}

AgentCore Interprete di codice (personalizzato)

Aggiungi questa policy quando il tuo sistema di cablaggio utilizza un interprete di codice personalizzato di proprietà del cliente.

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "AgentCoreCodeInterpreterCustom",
      "Effect": "Allow",
      "Action": [
        "bedrock-agentcore:StartCodeInterpreterSession",
        "bedrock-agentcore:StopCodeInterpreterSession",
        "bedrock-agentcore:GetCodeInterpreterSession",
        "bedrock-agentcore:ListCodeInterpreterSessions",
        "bedrock-agentcore:InvokeCodeInterpreter"
      ],
      "Resource": "arn:aws:bedrock-agentcore:<region>:<accountId>:code-interpreter-custom/<codeInterpreterCustomId>"
    }
  ]
}

AgentCore Gateway

Aggiungi questa policy quando il tuo harness utilizza un gateway configurato con l'autenticazione in entrata SigV4.

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "AgentCoreGatewayAccess",
      "Effect": "Allow",
      "Action": "bedrock-agentcore:InvokeGateway",
      "Resource": "arn:aws:bedrock-agentcore:<region>:<accountId>:gateway/<gatewayId>"
    }
  ]
}

Fonti di competenze in Amazon S3 e Git

Aggiungi questa policy quando il tuo harness recupera una skill da una fonte Amazon S3. Il ruolo di esecuzione elenca e scarica gli oggetti delle abilità sotto il prefisso bucket.

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "AgentCoreSkillS3Access",
      "Effect": "Allow",
      "Action": [
        "s3:GetObject",
        "s3:ListBucket"
      ],
      "Resource": [
        "arn:aws:s3:::<skillBucket>",
        "arn:aws:s3:::<skillBucket>/*"
      ]
    }
  ]
}

Per recuperare una skill da un repository Git privato, l'harness legge un token di accesso personale da un provider di credenziali di chiave API. Concedi la politica del fornitore di credenziali per le chiavi API mostrata di seguito per il provider di credenziali che detiene il token.

Provider di credenziali per chiavi API (riferimenti ARN dell'intestazione OpenAI, Gemini, LiteLLM o MCP)

Aggiungi questa policy quando il tuo harness utilizza un provider di credenziali di chiavi API per fornitori di modelli come OpenAI, Gemini o LiteLLM.

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "AgentCoreApiKeyTokenVaultDefault",
      "Effect": "Allow",
      "Action": "bedrock-agentcore:GetResourceApiKey",
      "Resource": [
        "arn:aws:bedrock-agentcore:<region>:<accountId>:token-vault/default",
        "arn:aws:bedrock-agentcore:<region>:<accountId>:workload-identity-directory/default",
        "arn:aws:bedrock-agentcore:<region>:<accountId>:workload-identity-directory/default/workload-identity/harness_<agentName>-*"
      ]
    },
    {
      "Sid": "AgentCoreApiKeyTokenVaultPerKey",
      "Effect": "Allow",
      "Action": "bedrock-agentcore:GetResourceApiKey",
      "Resource": "arn:aws:bedrock-agentcore:<region>:<accountId>:token-vault/default/apikeycredentialprovider/<apiKeyName>"
    },
    {
      "Sid": "AgentCoreApiKeySecret",
      "Effect": "Allow",
      "Action": "secretsmanager:GetSecretValue",
      "Resource": "arn:aws:secretsmanager:<region>:<accountId>:secret:bedrock-agentcore-identity!default/apikey/<apiKeyName>-*"
    }
  ]
}

Provider di credenziali OAuth2 (Gateway) OAuth-protected

Aggiungi questa policy quando il tuo harness utilizza un provider di credenziali OAuth2 per gli strumenti gateway. OAuth-protected

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "AgentCoreOAuth2TokenVaultDefault",
      "Effect": "Allow",
      "Action": "bedrock-agentcore:GetResourceOauth2Token",
      "Resource": [
        "arn:aws:bedrock-agentcore:<region>:<accountId>:token-vault/default",
        "arn:aws:bedrock-agentcore:<region>:<accountId>:workload-identity-directory/default",
        "arn:aws:bedrock-agentcore:<region>:<accountId>:workload-identity-directory/default/workload-identity/harness_<agentName>-*"
      ]
    },
    {
      "Sid": "AgentCoreOAuth2TokenVaultPerProvider",
      "Effect": "Allow",
      "Action": "bedrock-agentcore:GetResourceOauth2Token",
      "Resource": "arn:aws:bedrock-agentcore:<region>:<accountId>:token-vault/default/oauth2credentialprovider/<oauthProviderName>"
    },
    {
      "Sid": "AgentCoreOAuth2Secret",
      "Effect": "Allow",
      "Action": "secretsmanager:GetSecretValue",
      "Resource": "arn:aws:secretsmanager:<region>:<accountId>:secret:bedrock-agentcore-identity!default/oauth2/<oauthProviderName>-*"
    }
  ]
}

Riferimento segnaposto

Sostituisci i seguenti segnaposto nelle politiche precedenti con valori specifici del tuo ambiente:

Argomenti correlati