AWS politiche gestite per Amazon Bedrock AgentCore

bedrock-agentcore(Amazon Bedrock Agent Core): consente ai principali l'accesso completo a tutte le risorse di Amazon Bedrock Agent Core.

iam(AWS Identity and Access Management): consente ai principali di elencare e ottenere informazioni su ruoli e policy e di passare i ruoli con "BedrockAgentCore" nel nome al servizio bedrock-agentcore. Consente inoltre di creare ruoli collegati ai servizi per CloudWatch Application Signals, AgentCore rete Amazon Bedrock, identità di runtime Amazon Bedrock e istanze di runtime. AgentCore AgentCore

secretsmanager(AWS Secrets Manager): consente ai principali di creare, aggiornare, recuperare ed eliminare segreti con nomi che iniziano con «bedrock-agentcore».

kms(Servizio di gestione delle AWS chiavi): consente ai principali di elencare e descrivere le chiavi e di decrittografare i dati e generare chiavi di dati all'interno dello stesso account quando vengono chiamati tramite il servizio Amazon Bedrock. AWS AgentCore Consente inoltre ai committenti di creare ed elencare le AWS concessioni KMS sulle chiavi gestite dai clienti che crittografano le AgentCore risorse, comprese le concessioni destinate ai AgentCore Policy Engine (e alle relative policy e generazioni di policy) in modo che i motori delle policy possano essere crittografati con una chiave gestita dal cliente.

s3(Amazon Simple Storage Service): consente ai principali di ottenere oggetti dai bucket S3 con nomi che iniziano con «bedrock-agentcore-gateway-» quando vengono chiamati tramite il servizio Amazon Bedrock. AgentCore

lambda(Lambda): consente ai principali di elencare le funzioni Lambda.AWS

logs(Amazon CloudWatch Logs): consente ai principali di accedere, interrogare e gestire i dati di log in gruppi di log relativi ad Amazon Bedrock AgentCore e Application Signals, inclusa la creazione di gruppi di log e stream.

application-autoscaling(Application Auto Scaling): consente ai responsabili di descrivere le politiche di scalabilità.

application-signals(Amazon CloudWatch Application Signals): consente ai responsabili di recuperare informazioni sui segnali delle applicazioni e iniziare l'individuazione.

autoscaling(Amazon EC2 Auto Scaling): consente ai responsabili di descrivere le risorse di Auto Scaling.

cloudwatch(Amazon CloudWatch): consente ai principali di recuperare ed elencare le metriche, generare query e accedere ad altre risorse. CloudWatch

oam(Amazon CloudWatch Observability Access Manager): consente ai committenti di elencare i sink.

rum(Amazon CloudWatch RUM): consente ai principali di recuperare ed elencare le risorse RUM.

synthetics(Amazon CloudWatch Synthetics): consente ai presidi di descrivere e ottenere informazioni sulle risorse di Synthetics.

xray(AWS X-Ray) — Consente ai principali di recuperare informazioni di tracciamento, gestire le destinazioni dei segmenti di tracciamento e utilizzare le regole di indicizzazione.

ecr(Amazon Elastic Container Registry): consente ai committenti di descrivere i repository, elencare le immagini e descrivere le immagini.

bedrock(Amazon Bedrock): consente ai principali di richiamare modelli di base e profili di inferenza per scopi di valutazione.

iam:CreateRolenon è inclusa. Quando crei determinate AgentCore risorse (ad esempio, harness o runtime) nella console, puoi scegliere che la console crei automaticamente il ruolo di esecuzione della risorsa per tuo conto. Ciò richiede iam:CreateRole autorizzazioni, che non sono incluse in questa policy gestita. Per ulteriori informazioni, vedere Troubleshooting iam: CreateRole authorization in the console.

iam:PassRoleè suddiviso in base al nome del ruolo. Quando si creano determinate AgentCore risorse (ad esempio, harness o runtime), è necessario disporre delle iam:PassRole autorizzazioni sul ruolo di esecuzione della risorsa. Questa policy gestita include solo iam:PassRole le autorizzazioni per i ruoli con nomi corrispondenti. *BedrockAgentCore* Per ulteriori informazioni, vedere Troubleshooting iam: PassRole authorization.

GetWorkloadAccessTokenForUserIdè incluso. Questa policy concede l'autorizzazione alla chiamataGetWorkloadAccessTokenForUserId, che consente l'emissione di token di accesso al carico di lavoro utilizzando una stringa identificativa utente fornita dal chiamante senza la verifica del token IdP. È adatto per scenari di sviluppo e avvio rapido. Per le implementazioni di produzione, crea policy IAM personalizzate che si limitano a concedere GetWorkloadAccessTokenForJWT (il che convalida la firma, l'emittente e la scadenza del JWT) e negano esplicitamente GetWorkloadAccessTokenForUserId se i tuoi carichi di lavoro hanno sempre un JWT disponibile. Per ulteriori informazioni, consulta Get workload access token. Ottieni il token di accesso al carico di lavoro

ec2(Amazon Elastic Compute Cloud): consente al servizio di creare, gestire ed eliminare interfacce di rete nel tuo VPC, assegnare e annullare l'assegnazione di indirizzi IP privati e descrivere le risorse VPC. Le interfacce di rete sono contrassegnate con "AmazonBedrockAgentCoreManaged" per garantire che il servizio gestisca solo le risorse che crea.

bedrock— Consente ai committenti di chiamare Amazon Bedrock and actions. Invokemodel InvokeModelWithResponseStream Ciò è necessario affinché un agente possa archiviare le memorie.

bedrock-mantle— Consente ai principali di chiamare le CallWithBearerToken azioni CreateInference and. Ciò è necessario affinché il servizio possa elaborare le memorie utilizzando i modelli Amazon Bedrock Mantle.

bedrock-agentcore(Amazon Bedrock Agent Core): consente al servizio di ottenere token di accesso al carico di lavoro per l'autenticazione JWT e l'autenticazione degli utenti. ID-based In particolare GetWorkloadAccessTokenGetWorkloadAccessTokenForJWT, consente e agisce sulla directory di GetWorkloadAccessTokenForUserId identità del carico di lavoro predefinita e sulle identità del carico di lavoro associate.

ec2(Amazon Elastic Compute Cloud): consente al servizio di descrivere le risorse di calcolo e di terminare le istanze, scollegare ed eliminare i volumi Amazon EBS ed eliminare i modelli di avvio gestiti dal servizio. L'accesso è limitato alle risorse che gestiscono, utilizzando la chiave di condizione AgentCore . ec2:ManagedResourceOperator

autoscaling(Amazon EC2 Auto Scaling): consente al servizio di descrivere ed eliminare i gruppi Auto Scaling che crea e di completare le azioni del ciclo di vita. L'accesso è limitato alle risorse contrassegnate con. bedrock-agentcore:capacity-provider-id

events(Amazon EventBridge): consente al servizio di rimuovere gli obiettivi e di eliminare le EventBridge regole che gestisce. L'accesso è limitato alle risorse con la chiave di events:ManagedBy condizione impostata subedrock-agentcore.amazonaws.com.

ec2(Amazon Elastic Compute Cloud): consente al servizio di descrivere, creare, etichettare e gestire le risorse EC2 che supportano un fornitore di capacità, inclusi modelli di lancio, flotte, istanze, interfacce di rete e volumi Amazon EBS. L'accesso alla creazione di risorse è disciplinato dal tag di bedrock-agentcore:capacity-provider-id richiesta e l'accesso alla gestione delle risorse esistenti è disciplinato dalla chiave di condizione. ec2:ManagedResourceOperator Le istanze vengono avviate solo dalle AMI. Amazon-owned

autoscaling(Amazon EC2 Auto Scaling): consente al servizio di creare e gestire i gruppi Auto Scaling che avviano le istanze. L'accesso è limitato ai gruppi Auto Scaling denominati con il prefisso e contrassegnati con. agentcore-managed-instances- bedrock-agentcore:capacity-provider-id

events(Amazon EventBridge): consente al servizio di creare e gestire EventBridge le regole (denominate con il agentcore-lifecycle-events- prefisso) che forniscono gli eventi del ciclo di vita dell'istanza.

iam— Consente al servizio di creare il ruolo collegato al servizio Auto Scaling e di passare il ruolo di istanza predefinito (con il AmazonBedrockAgentCoreCapacityProviderDefaultInstanceRole prefisso) e i ruoli di servizio aggiuntivi ad Amazon EC2. AgentCore

bedrock-agentcore(Amazon Bedrock AgentCore): consente a un'istanza di chiamare in PutSystemLogEvents modo che AgentCore possa raccogliere i log di sistema dall'istanza.