Le traduzioni sono generate tramite traduzione automatica. In caso di conflitto tra il contenuto di una traduzione e la versione originale in Inglese, quest'ultima prevarrà.

AgentCore Gateway e policy nelle autorizzazioni AgentCore IAM

Questa guida fornisce le autorizzazioni IAM necessarie per l'utilizzo di Amazon Bedrock AgentCore Gateway con Policy in AgentCore per un controllo granulare delle autorizzazioni utilizzando le politiche Cedar.

Panoramica di

Quando si integra Amazon Bedrock AgentCore Gateway con Policy in AgentCore, sono necessari due ruoli IAM distinti:

Entrambi i ruoli hanno scopi diversi e richiedono autorizzazioni specifiche. Il ruolo di esecuzione del gateway richiede le autorizzazioni per eseguire le operazioni di Amazon Bedrock AgentCore Gateway, mentre il ruolo di gestione delle risorse richiede le autorizzazioni per configurare e gestire Amazon Bedrock AgentCore Gateway e la policy nelle risorse. AgentCore

Ruolo di esecuzione del gateway

Il ruolo di esecuzione del gateway viene assunto dal servizio Amazon Bedrock AgentCore Gateway durante l'elaborazione delle richieste. Questo ruolo richiede le autorizzazioni per:

Policy di attendibilità

Il Gateway Execution Role deve considerare attendibile il responsabile del servizio. bedrock-agentcore.amazonaws.com

{
"Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "AllowBedrockAgentCoreAssumeRole",
      "Effect": "Allow",
      "Principal": {
        "Service": "bedrock-agentcore.amazonaws.com"
      },
      "Action": "sts:AssumeRole",
      "Condition": {
        "StringEquals": {
          "aws:SourceAccount": "123456789012"
        },
        "ArnLike": {
          "aws:SourceArn": "arn:aws:bedrock-agentcore:us-east-1:123456789012:*"
        }
      }
    }
  ]
}

Policy di autorizzazione

Questa politica concede ad Amazon Bedrock AgentCore Gateway le autorizzazioni necessarie per valutare le politiche Cedar tramite Policy in. AgentCore Le autorizzazioni sono suddivise in due dichiarazioni secondo i principi del privilegio minimo.

{
"Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "PolicyEngineConfiguration",
      "Effect": "Allow",
      "Action": [
        "bedrock-agentcore:GetPolicyEngine"
      ],
      "Resource": [
        "arn:aws:bedrock-agentcore:us-east-1:123456789012:policy-engine/<policy-engine-id>"
      ]
    },
    {
      "Sid": "PolicyEngineAuthorization",
      "Effect": "Allow",
      "Action": [
        "bedrock-agentcore:AuthorizeAction",
        "bedrock-agentcore:PartiallyAuthorizeActions"
      ],
      "Resource": [
        "arn:aws:bedrock-agentcore:us-east-1:123456789012:policy-engine/<policy-engine-id>",
        "arn:aws:bedrock-agentcore:us-east-1:123456789012:gateway/<gateway-id>"
      ]
    }
  ]
}

Autorizzazioni IAM per le politiche temporali

Le policy temporali richiedono che il Gateway diffonda l'identità della sessione del chiamante attraverso la richiesta generando un Workload Access Token (WAT). Sul flusso in entrata AWS IAM, questa nuova generazione di chiamate. GetWorkloadAccessToken Assegna il ruolo di esecuzione del gatewaybedrock-agentcore:GetWorkloadAccessToken, con ambito alla directory workload-identity del gateway. Aggiungi questa autorizzazione in aggiunta alle tre autorizzazioni Policy (AuthorizeAction,PartiallyAuthorizeActions,GetPolicyEngine) già documentate in questa pagina. Questa autorizzazione è richiesta solo quando la politica temporale è attiva (viene fornito un ID di sessione della policy ed è allegato un Policy Engine); non è necessaria quando la politica temporale è disabilitata.

Aggiungere la seguente dichiarazione alla politica di autorizzazione del Gateway Execution Role:

{
  "Sid": "PolicySessionWorkloadIdentity",
  "Effect": "Allow",
  "Action": [
    "bedrock-agentcore:GetWorkloadAccessToken"
  ],
  "Resource": [
    "arn:aws:bedrock-agentcore:us-east-1:123456789012:workload-identity-directory/default",
    "arn:aws:bedrock-agentcore:us-east-1:123456789012:workload-identity-directory/default/workload-identity/<gatewayId>*"
  ]
}

Senza questa autorizzazione, le invocazioni dello strumento hanno esito negativo nella fase di creazione del token (attivaGetWorkloadAccessToken) una volta AccessDenied abilitata la politica temporale. Per la produzione, sostituiscilo <gatewayId> con lo specifico Gateway ID per seguire i principi del privilegio minimo.

Per una panoramica di questo requisito nel contesto delle considerazioni relative alle politiche temporali, vedi Autorizzazioni IAM richieste. Autorizzazioni IAM richieste

Ruolo di gestione delle risorse

Il ruolo di gestione delle risorse viene utilizzato dagli amministratori per creare e gestire Amazon Bedrock AgentCore Gateway and Policy nelle AgentCore risorse. Questo ruolo richiede le autorizzazioni per:

Questo ruolo è separato dal ruolo di esecuzione del gateway ed è necessario solo quando si imposta o si modifica Amazon Bedrock AgentCore Gateway e Policy nelle configurazioni. AgentCore

Policy di autorizzazione

{
"Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "GatewayManagement",
      "Effect": "Allow",
      "Action": [
        "bedrock-agentcore:CreateGateway",
        "bedrock-agentcore:UpdateGateway",
        "bedrock-agentcore:GetGateway",
        "bedrock-agentcore:DeleteGateway",
        "bedrock-agentcore:ListGateways",
        "bedrock-agentcore:InvokeGateway",
        "bedrock-agentcore:CreateGatewayTarget",
        "bedrock-agentcore:UpdateGatewayTarget",
        "bedrock-agentcore:GetGatewayTarget",
        "bedrock-agentcore:DeleteGatewayTarget",
        "bedrock-agentcore:ListGatewayTargets"
      ],
      "Resource": [
        "arn:aws:bedrock-agentcore:us-east-1:123456789012:gateway/*"
      ]
    },
    {
      "Sid": "PolicyEngineManagement",
      "Effect": "Allow",
      "Action": [
        "bedrock-agentcore:CreatePolicyEngine",
        "bedrock-agentcore:UpdatePolicyEngine",
        "bedrock-agentcore:GetPolicyEngine",
        "bedrock-agentcore:DeletePolicyEngine",
        "bedrock-agentcore:ListPolicyEngines"
      ],
      "Resource": [
        "arn:aws:bedrock-agentcore:us-east-1:123456789012:policy-engine/*"
      ]
    },
    {
      "Sid": "PolicyManagement",
      "Effect": "Allow",
      "Action": [
        "bedrock-agentcore:CreatePolicy",
        "bedrock-agentcore:UpdatePolicy",
        "bedrock-agentcore:GetPolicy",
        "bedrock-agentcore:DeletePolicy",
        "bedrock-agentcore:ListPolicies"
      ],
      "Resource": [
        "arn:aws:bedrock-agentcore:us-east-1:123456789012:policy-engine/*/policy/*"
      ]
    },
    {
      "Sid": "PolicyGeneration",
      "Effect": "Allow",
      "Action": [
        "bedrock-agentcore:StartPolicyGeneration",
        "bedrock-agentcore:GetPolicyGeneration",
        "bedrock-agentcore:ListPolicyGenerations",
        "bedrock-agentcore:ListPolicyGenerationAssets"
      ],
      "Resource": [
        "arn:aws:bedrock-agentcore:us-east-1:123456789012:policy-engine/*/policy-generation/*"
      ]
    },
    {
      "Sid": "IAMPassRole",
      "Effect": "Allow",
      "Action": [
        "iam:PassRole"
      ],
      "Resource": [
        "arn:aws:iam::123456789012:role/*BedrockAgentCore*"
      ],
      "Condition": {
        "StringEquals": {
          "iam:PassedToService": "bedrock-agentcore.amazonaws.com"
        }
      }
    },
    {
      "Sid": "IAMReadAccess",
      "Effect": "Allow",
      "Action": [
        "iam:GetRole",
        "iam:GetRolePolicy",
        "iam:ListAttachedRolePolicies",
        "iam:ListRolePolicies"
      ],
      "Resource": [
        "arn:aws:iam::123456789012:role/*"
      ]
    },
    {
      "Sid": "PolicyScopeManagement",
      "Effect": "Allow",
      "Action": [
        "bedrock-agentcore:ManageResourceScopedPolicy",
        "bedrock-agentcore:ManageAdminPolicy"
      ],
      "Resource": [
        "arn:aws:bedrock-agentcore:us-east-1:123456789012:gateway/*"
      ]
    }
  ]
}

Quando sono necessari gli aggiornamenti dei ruoli?

Determina se è necessario aggiungere una policy in materia di AgentCore autorizzazioni al ruolo di esecuzione di Amazon Bedrock AgentCore Gateway in base alla modalità di creazione di Amazon Bedrock AgentCore Gateway.

Risoluzione dei problemi

Questa sezione tratta i problemi più comuni durante la configurazione delle autorizzazioni IAM per Amazon Bedrock Gateway con Policy in. AgentCore AgentCore

InternalServerException Durante la valutazione delle politiche

Sintomo: Gateway ritorna InternalServerException - Policy evaluation failed quando si collega un Policy Engine a un Gateway esistente e tutte le chiamate agli strumenti vengono negate per impostazione predefinita anche con i criteri di autorizzazione configurati.

Causa principale: nel ruolo di esecuzione del gateway manca la policy richiesta nelle autorizzazioni. AgentCore Senza queste autorizzazioni, il Gateway non può eseguire l'autorizzazione delle policy.

Soluzione: assicurati che il ruolo di esecuzione del gateway includa queste tre autorizzazioni:

{
  "Effect": "Allow",
  "Action": [
    "bedrock-agentcore:PartiallyAuthorizeActions",
    "bedrock-agentcore:AuthorizeAction",
    "bedrock-agentcore:GetPolicyEngine"
  ],
  "Resource": [
    "arn:aws:bedrock-agentcore:REGION:ACCOUNT:policy-engine/*",
    "arn:aws:bedrock-agentcore:REGION:ACCOUNT:gateway/*"
  ]
}

«Autorizzazioni insufficienti per chiamare il gateway» su CreatePolicy

Sintomo: CreatePolicy restituisce apolicyId, ma la policy passa quindi a CREATE_FAILED withInsufficient permissions to call gateway with ID <gateway-id>, anche quando il Gateway Execution Role haAuthorizeAction,PartiallyAuthorizeActions, e. GetPolicyEngine

Causa principale: il divario riguarda il ruolo di gestione delle risorse che chiamaCreatePolicy, non il ruolo di esecuzione del gateway. La convalida delle policy chiama il Gateway (autorizzato comebedrock-agentcore:InvokeGateway); l'errore nomina il Gateway ma la correzione riguarda il ruolo di creazione delle policy.

Soluzione: aggiungere bedrock-agentcore:InvokeGateway (con ambito all'ARN del gateway) al ruolo di gestione delle risorse:

{
  "Effect": "Allow",
  "Action": [
    "bedrock-agentcore:InvokeGateway"
  ],
  "Resource": [
    "arn:aws:bedrock-agentcore:us-east-1:123456789012:gateway/<gateway-id>"
  ]
}

Guasti silenziosi in modalità LOG_ONLY

Sintomo: il Policy Engine sembra funzionare in modalità LOG_ONLY ma fallisce silenziosamente senza messaggi di errore appropriati.

Causa principale: bedrock-agentcore:GetPolicyEngine l'autorizzazione mancante causa errori silenziosi che si manifestano solo quando si passa alla modalità ENFORCED.

Soluzione: includete sempre il ruolo bedrock-agentcore:GetPolicyEngine di esecuzione del gateway, anche quando utilizzate la modalità LOG_ONLY per i test.

Errore relativo al Policy Engine non trovato

Sintomo: Amazon Bedrock AgentCore Gateway restituisce errori che indicano che non è in grado di trovare o accedere al motore delle policy.

Causa principale: la policy del Gateway Execution Role utilizza modelli ARN errati o manca la risorsa del motore delle policy.

Soluzione: assicurati che sia il motore delle policy che gli ARN del gateway siano inclusi nell'array di risorse:

"Resource": [
  "arn:aws:bedrock-agentcore:us-east-1:123456789012:policy-engine/<policy-engine-id>",
  "arn:aws:bedrock-agentcore:us-east-1:123456789012:gateway/<gateway-id>"
]

Suggerimenti per il debug

Esempio: creazione di entrambi i ruoli IAM

L'esempio seguente dimostra come creare entrambi i ruoli IAM richiesti utilizzando la AWS CLI.

Fase 1: creazione del ruolo di esecuzione del gateway

# Create the trust policy file
cat > gateway-trust-policy.json <<EOF
{
"Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Principal": {
        "Service": "bedrock-agentcore.amazonaws.com"
      },
      "Action": "sts:AssumeRole",
      "Condition": {
        "StringEquals": {
          "aws:SourceAccount": "123456789012"
        },
        "ArnLike": {
          "aws:SourceArn": "arn:aws:bedrock-agentcore:us-east-1:123456789012:*"
        }
      }
    }
  ]
}
EOF

# Create the IAM role
aws iam create-role \
  --role-name MyGatewayExecutionRole \
  --assume-role-policy-document file://gateway-trust-policy.json

Passaggio 2: attribuire le autorizzazioni al ruolo di esecuzione del gateway

# Create the permission policy file
cat > gateway-permissions.json <<EOF
{
"Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "PolicyEngineConfiguration",
      "Effect": "Allow",
      "Action": [
        "bedrock-agentcore:GetPolicyEngine"
      ],
      "Resource": [
        "arn:aws:bedrock-agentcore:us-east-1:123456789012:policy-engine/*"
      ]
    },
    {
      "Sid": "PolicyEngineAuthorization",
      "Effect": "Allow",
      "Action": [
        "bedrock-agentcore:AuthorizeAction",
        "bedrock-agentcore:PartiallyAuthorizeActions"
      ],
      "Resource": [
        "arn:aws:bedrock-agentcore:us-east-1:123456789012:policy-engine/*",
        "arn:aws:bedrock-agentcore:us-east-1:123456789012:gateway/*"
      ]
    }
  ]
}
EOF

# Attach the policy to the role
aws iam put-role-policy \
  --role-name MyGatewayExecutionRole \
  --policy-name GatewayPolicyEnginePermissions \
  --policy-document file://gateway-permissions.json

Fase 3: Passaggi successivi

Dopo aver configurato il ruolo di esecuzione con le AgentCore autorizzazioni Policy richieste, procedi con la creazione e la configurazione delle risorse Policy. Per una guida dettagliata, fare riferimento a:

Best practice