Le traduzioni sono generate tramite traduzione automatica. In caso di conflitto tra il contenuto di una traduzione e la versione originale in Inglese, quest'ultima prevarrà.
Comprendere la gestione delle credenziali in Amazon Bedrock AgentCore
Servizio di metadati MicroVM (MMDS)
Quando configuri un ruolo di esecuzione con Amazon Bedrock AgentCore Browser, AgentCore Code Interpreter o AgentCore Runtime, l'elaborazione sottostante utilizza MMDS per accedere alle credenziali, in modo simile a come le istanze EC2 utilizzano l'Instance Metadata Service (IMDS). https://docs.aws.amazon.com/AWSEC2/latest/UserGuide/configuring-instance-metadata-service.html Ciò consente al servizio all'interno della VM di recuperare credenziali temporanee per operazioni come l'accesso a S3. AWS Ciò è indipendente dalla modalità di rete in cui è in esecuzione AgentCore Code Interpreter, AgentCore Browser o AgentCore Runtime.
Importante
Quando configurate le autorizzazioni del ruolo di esecuzione, fate attenzione poiché qualsiasi codice o attore in esecuzione all'interno della VM può accedere a queste credenziali chiamando l'endpoint dei metadati.
Procedure consigliate per l'impostazione dei ruoli
-
Segui il principio del privilegio minimo quando configuri il ruolo di esecuzione. Soprattutto quando si utilizzano questi strumenti con gli LLM, che possono generare codice arbitrario, è fondamentale limitare le autorizzazioni solo a ciò che si intende.
-
Evita l'escalation dei privilegi assicurandoti che il ruolo di esecuzione associato alla risorsa abbia privilegi uguali o inferiori rispetto agli utenti che possono richiamarlo.
Ogni AgentCore servizio richiede le proprie autorizzazioni per il ruolo di esecuzione. Definisci il ruolo del servizio utilizzato dalla risorsa e consulta la documentazione di sicurezza del servizio per conoscere le autorizzazioni richieste. Ad esempio, vedi Best practice di sicurezza per AgentCore Runtime e Security and access controls for the harness.
