Le traduzioni sono generate tramite traduzione automatica. In caso di conflitto tra il contenuto di una traduzione e la versione originale in Inglese, quest'ultima prevarrà.

Crittografa il tuo motore AgentCore di policy con una chiave KMS gestita dal cliente

La policy in AgentCore prevede la crittografia predefinita per proteggere i dati sensibili dei clienti archiviati utilizzando chiavi AWS di crittografia di proprietà. Come ulteriore livello di protezione, Policy in AgentCore consente di crittografare i motori delle policy utilizzando le AWS chiavi gestite dal cliente (CMK) del AWS Key Management Service (KMS). Questa funzionalità garantisce la protezione dei dati sensibili tramite crittografia a riposo, che consente di:

Le sezioni seguenti spiegano come configurare la crittografia per i nuovi motori di policy e gestire le chiavi di crittografia.

AWS Tipi di chiavi KMS per Policy in AgentCore

Policy in AgentCore si integra con AWS KMS per gestire le chiavi di crittografia utilizzate per crittografare e decrittografare i dati dei clienti. Per ulteriori informazioni sui tipi e gli stati delle chiavi, consulta i concetti di AWS Key Management Service nella KMS Developer Guide. AWS Quando crei un nuovo motore di policy, puoi scegliere tra i seguenti tipi di chiave AWS KMS per crittografare i tuoi dati:

AWS chiave posseduta

Il tipo di crittografia predefinito. Policy in AgentCore possiede la chiave senza costi aggiuntivi per l'utente e crittografa i dati delle risorse inattivi al momento della creazione. Non è richiesta alcuna configurazione aggiuntiva nel codice o nelle applicazioni per crittografare o decrittografare i dati utilizzando la chiave di proprietà di Policy in. AgentCore Non è necessario visualizzare, gestire, utilizzare o controllare queste chiavi. Per ulteriori informazioni, consulta le chiavi AWS possedute nella AWS KMS Developer Guide.

Chiave gestita dal cliente

Tu crei, possiedi e gestisci la chiave nel tuo AWS account. Hai il pieno controllo della chiave KMS. AWS Per le chiavi gestite dal cliente si applicano le tariffe KMS. Per ulteriori informazioni, consulta la pagina dei prezzi di AWS KMS. Per ulteriori informazioni sui tipi di chiavi, consulta le chiavi gestite dal cliente nella AWS KMS Developer Guide.

Quando si specifica una chiave gestita dal cliente per la crittografia di un motore di policy, Policy in AgentCore crittografa il policy engine e tutte le relative risorse secondarie (policy, generazioni di policy) con quella chiave. Per crittografare un motore di policy utilizzando una chiave gestita dal cliente, devi concedere l'accesso a Policy in AgentCore nella tua policy chiave. Una policy chiave è una policy basata sulle risorse da allegare alla chiave gestita dal cliente per controllarne l'accesso. Per maggiori dettagli, consulta Autorizzazione all'uso della chiave AWS KMS per Policy in. AgentCore

Inoltre, per creare un motore di policy crittografato con una chiave gestita dal cliente o per effettuare chiamate API a un motore di policy crittografato da una chiave gestita dal cliente, anche l'utente o il ruolo IAM che effettua la chiamata deve avere accesso alla chiave. Se Policy in non AgentCore è in grado di accedere alla chiave, qualsiasi decisione di autorizzazione che coinvolga risorse crittografate da tale chiave verrà negata. Se non si ha accesso alla chiave, non sarà possibile leggere, aggiornare o eliminare le risorse crittografate da tale chiave e qualsiasi chiamata di creazione per utilizzare la chiave per la crittografia avrà esito negativo.

Utilizzo AWS KMS e chiavi dati con Policy in AgentCore

La funzionalità Policy in AgentCore encryption at rest utilizza una chiave KMS e una gerarchia di chiavi di dati per proteggere i dati delle risorse.

Policy in AgentCore utilizza un modello basato sulle sovvenzioni per accedere alla chiave gestita dal cliente. Quando si crea un motore di policy con una chiave gestita dal cliente, Policy in AgentCore esegue i seguenti passaggi:

Le due sovvenzioni hanno scopi diversi:

Entrambe le concessioni sono vincolate dal contesto di crittografia che utilizza la chiaveaws:bedrock-agentcore-policy:policy-engine-arn, che lega le concessioni alla specifica risorsa del motore delle politiche.

Quando si elimina un motore di policy con una chiave gestita dal cliente, Policy in ritira AgentCore automaticamente entrambe le sovvenzioni.

Autorizzazione all'uso del tuo AWS Chiave KMS per Policy in AgentCore

Per utilizzare una chiave gestita dal cliente con Policy in AgentCore, la policy chiave AWS KMS deve concedere le autorizzazioni al tuo account. AWS Quando crei un motore di policy, Policy in AgentCore chiama kms:CreateGrant utilizzando la tua identità tramite una Forward Access Session (FAS). Di conseguenza, la policy chiave deve concedere tutte kms:CreateGrant le altre autorizzazioni richieste al titolare dell'account (non al responsabile del servizio) e utilizza la kms:ViaService condizione per garantire che la chiave venga utilizzata solo tramite Policy in. AgentCore

Come minimo, Policy in AgentCore richiede le seguenti autorizzazioni su una chiave gestita dal cliente:

Comprensione del contesto di origine

Il contesto di origine fornisce informazioni sul chiamante di origine che tenta di eseguire azioni AWS KMS su una determinata chiave. Ciò impedisce la confusione o l'uso improprio dei dati crittografati associando il contesto alla fonte dei dati.

Quando Policy in AgentCore esegue operazioni AWS KMS tramite sovvenzioni per conto dell'utente, il contesto di origine identifica la AgentCore risorsa Policy in che ha avviato la richiesta. Puoi utilizzare il contesto di origine come condizioni aggiuntive per le operazioni basate sulle sovvenzioni nella tua policy chiave per limitare l'utilizzo delle chiavi alle richieste provenienti da account o risorse specifici.

Ad esempio, puoi aggiungere aws:SourceArn condizioni alle operazioni aws:SourceAccount e alle dichiarazioni di convalida del KMS nella tua policy chiave per garantire che tali operazioni abbiano esito positivo solo quando la richiesta proviene dal tuo account e per le risorse del tuo motore di policy:

{
  "Sid": "Allow Policy for KMS operations with source context",
  "Effect": "Allow",
  "Principal": {
    "AWS": "arn:aws:iam::111122223333:root"
  },
  "Action": [
    "kms:Decrypt",
    "kms:GenerateDataKey"
  ],
  "Resource": "*",
  "Condition": {
    "StringEquals": {
      "kms:ViaService": "bedrock-agentcore.us-east-1.amazonaws.com",
      "aws:SourceAccount": "111122223333"
    },
    "StringLike": {
      "aws:SourceArn": "arn:aws:bedrock-agentcore:us-east-1:111122223333:policy-engine/*",
      "kms:EncryptionContext:aws:bedrock-agentcore-policy:policy-engine-arn": "arn:aws*:bedrock-agentcore:*:*:policy-engine/*"
    }
  }
}

Questa politica chiave consente a Policy in di AgentCore effettuare chiamate AWS KMS per tuo conto tramite sovvenzioni, se l'account di origine è lo stesso dell'account in cui risiede questa chiave KMS. Questi valori devono essere verificabili quando si controllano i registri di CloudTrail controllo della chiave KMS. Per ulteriori informazioni sulle chiavi di AWS condizione globali, consulta Using aws: SourceArn or aws: SourceAccount condition keys nella AWS KMS Developer Guide.

Comprendere kms: ViaService

La chiave kms:ViaService condizionale limita l'uso di una chiave KMS alle richieste provenienti da servizi specifici AWS . Questa chiave di condizione si applica alle Forward Access Sessions (FAS). Per maggiori informazioni sukms:ViaService, consulta kms: ViaService nella KMS Developer AWS Guide.

Nella politica chiave, il kms:ViaService valore segue il formatobedrock-agentcore.REGION.amazonaws.com, dove REGION è la AWS regione in cui viene creato il motore delle politiche (ad esempio,bedrock-agentcore.us-east-1.amazonaws.com).

Comprendere il contesto della crittografia

Il contesto di crittografia è un insieme di coppie chiave-valore che contengono dati autenticati aggiuntivi per i controlli di integrità della crittografia. Quando si include un contesto di crittografia in una richiesta di crittografia dei dati, AWS KMS associa crittograficamente il contesto di crittografia ai dati crittografati. Per decrittografare i dati, è necessario passare lo stesso contesto di crittografia. Per ulteriori informazioni, consulta Contesto di crittografia nella AWS KMS Developer Guide.

Policy in AgentCore utilizza il seguente contesto di crittografia in tutte le operazioni crittografiche AWS KMS e può essere verificato nei CloudTrail log quando Policy in AgentCore effettua chiamate AWS KMS per conto dell'utente per i processi di crittografia e decrittografia:

{
  "aws:bedrock-agentcore-policy:policy-engine-arn": "arn:aws:bedrock-agentcore:REGION:ACCOUNT_ID:policy-engine/POLICY_ENGINE_ID"
}

Puoi utilizzare questo contesto di crittografia nelle tue condizioni politiche chiave per limitare i motori di policy che possono utilizzare la chiave. Ad esempio, la policy chiave nella sezione seguente utilizza una kms:EncryptionContext condizione per consentire l'utilizzo della chiave solo per le risorse del motore delle policy.

Completa AWS Policy della chiave KMS

In base ai concetti delle sezioni precedenti, il seguente esempio di politica chiave fornisce le autorizzazioni necessarie per crittografare un motore di policy e utilizzare un motore di policy crittografato. La policy contiene le chiavi di condizione per conformarsi alle best practice di sicurezza.

{
"Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "Allow Policy to create grants",
      "Effect": "Allow",
      "Principal": {
        "AWS": "arn:aws:iam::111122223333:role/ExampleRole"
      },
      "Action": "kms:CreateGrant",
      "Resource": "*",
      "Condition": {
        "StringEquals": {
          "kms:ViaService": "bedrock-agentcore.us-east-1.amazonaws.com",
          "kms:GrantConstraintType": "EncryptionContextSubset"
        },
        "StringLike": {
          "kms:EncryptionContext:aws:bedrock-agentcore-policy:policy-engine-arn": "arn:aws*:bedrock-agentcore:*:*:policy-engine/*"
        },
        "ForAllValues:StringEquals": {
          "kms:GrantOperations": [
            "Encrypt",
            "Decrypt",
            "GenerateDataKey",
            "GenerateDataKeyWithoutPlaintext",
            "ReEncryptFrom",
            "ReEncryptTo"
          ]
        }
      }
    },
    {
      "Sid": "Allow Policy for KMS operations",
      "Effect": "Allow",
      "Principal": {
        "AWS": "arn:aws:iam::111122223333:role/ExampleRole"
      },
      "Action": [
        "kms:Decrypt",
        "kms:GenerateDataKey"
      ],
      "Resource": "*",
      "Condition": {
        "StringEquals": {
          "kms:ViaService": "bedrock-agentcore.us-east-1.amazonaws.com"
        },
        "StringLike": {
          "kms:EncryptionContext:aws:bedrock-agentcore-policy:policy-engine-arn": "arn:aws*:bedrock-agentcore:*:*:policy-engine/*"
        }
      }
    },
    {
      "Sid": "Allow Policy for KMS validation",
      "Effect": "Allow",
      "Principal": {
        "AWS": "arn:aws:iam::111122223333:role/ExampleRole"
      },
      "Action": "kms:DescribeKey",
      "Resource": "*",
      "Condition": {
        "StringEquals": {
          "kms:ViaService": "bedrock-agentcore.us-east-1.amazonaws.com"
        }
      }
    }
  ]
}

La politica contiene le seguenti dichiarazioni:

Prerequisiti per la crittografia del motore delle policy

Prima di crittografare il motore delle policy, assicurati di aver soddisfatto i seguenti prerequisiti:

Per ulteriori informazioni sul controllo delle autorizzazioni IAM per una chiave KMS, consulta l'accesso e le autorizzazioni delle chiavi KMS nella KMS Developer Guide. AWS

Creazione di un motore di policy crittografato

Prima di creare un motore di policy crittografato, assicurati che la chiave gestita dal cliente che stai utilizzando abbia le dichiarazioni politiche chiave corrette impostate per Policy in AgentCore per utilizzare la chiave per la crittografia e la decrittografia. Per le autorizzazioni richieste, consulta Autorizzazione dell'uso della chiave AWS KMS per Policy in AgentCore.

Per crittografare il tuo motore di policy utilizzando la AWS CLI, includi il --encryption-key-arn parametro quando invii una richiesta: create-policy-engine

aws bedrock-agentcore-control create-policy-engine \
  --name "MyPolicyEngine" \
  --description "Policy engine with customer-managed encryption" \
  --encryption-key-arn "arn:aws:kms:us-east-1:123456789012:key/1234abcd-12ab-34cd-56ef-1234567890ab"

La risposta include l'ARN e lo stato del policy engine:

{
  "policyEngineId": "MyPolicyEngine-abc123",
  "name": "MyPolicyEngine",
  "description": "Policy engine with customer-managed encryption",
  "policyEngineArn": "arn:aws:bedrock-agentcore:us-east-1:123456789012:policy-engine/MyPolicyEngine-abc123",
  "status": "CREATING",
  "statusReasons": [],
  "encryptionKeyArn": "arn:aws:kms:us-east-1:123456789012:key/1234abcd-12ab-34cd-56ef-1234567890ab",
  "createdAt": "2026-02-24T12:00:00Z",
  "updatedAt": "2026-02-24T12:00:00Z"
}

Limitazioni

Le seguenti limitazioni si applicano alla crittografia delle chiavi gestita dal cliente per i motori delle policy:

Risoluzione dei problemi

Questa sezione descrive gli errori più comuni relativi alla chiave gestita dal cliente che potresti riscontrare durante l'utilizzo di Policy in AgentCore e fornisce le procedure di risoluzione dei problemi per risolverli.

Accesso negato: AWS Problema di autorizzazione KMS

Errore: «Accesso negato per la chiave KMS specificata. Verifica che la politica chiave conceda le autorizzazioni richieste.»

Ciò potrebbe significare che il chiamante non dispone dei permessi di azione kms: * richiesti nella policy IAM o nella policy delle chiavi AWS KMS, oppure che la chiave a cui si fa riferimento non esiste o non esiste più.

Per risolvere questo problema:

Eccezione di convalida: AWS Configurazione delle chiavi KMS

Errore: «La chiave KMS specificata non è utilizzabile. Verifica che la chiave sia abilitata e non sia in attesa di eliminazione.»

Ciò significa che la chiave a cui si fa riferimento non può essere utilizzata per la crittografia delle chiavi gestita dal cliente a causa della sua configurazione attuale. Le ragioni possibili sono:

Per risolvere questo problema: verifica che la chiave soddisfi i prerequisiti descritti in Prerequisiti per la crittografia del tuo motore di policy.