View a markdown version of this page

Risoluzione dei problemi relativi all' AgentCore identità e all'accesso ad Amazon Bedrock - Amazon Bedrock AgentCore
Non sono autorizzato a eseguire alcuna azione in AgentCoreNon sono autorizzato a eseguire iam: PassRoleNon sono autorizzato a eseguire iam: CreateRole nella consoleVoglio consentire l'accesso a persone esterne al mio AWS account per accedere alle mie AgentCore risorse

Risoluzione dei problemi relativi all' AgentCore identità e all'accesso ad Amazon Bedrock

Utilizza le seguenti informazioni per aiutarti a diagnosticare e risolvere i problemi più comuni che potresti riscontrare quando lavori con AgentCore un IAM.

Non sono autorizzato a eseguire alcuna azione in AgentCore

Se ricevi un messaggio di errore indicante che non sei autorizzato a eseguire un'azione, le tue politiche devono essere aggiornate per consentirti di eseguire l'azione.

L'errore di esempio seguente si verifica quando l'utente mateojackson IAM tenta di utilizzare la console per visualizzare i dettagli su una my-example-widget risorsa fittizia ma non dispone delle autorizzazioni fittiziebedrock-agentcore:GetWidget.

User: arn:aws:iam::123456789012:user/mateojackson is not authorized to perform: bedrock-agentcore:GetWidget on resource: my-example-widget

In questo caso, la policy per l’utente mateojackson deve essere aggiornata per consentire l’accesso alla risorsa my-example-widget utilizzando l’azione bedrock-agentcore:GetWidget.

Se hai bisogno di aiuto, contatta il tuo amministratore. AWS L’amministratore è la persona che ti ha fornito le credenziali di accesso.

Non sono autorizzato a eseguire iam: PassRole

Se ricevi un messaggio di errore indicante che non sei autorizzato a eseguire l'iam:PassRoleazione, le tue politiche devono essere aggiornate per consentirti di assegnare un ruolo a AgentCore.

Alcuni AWS servizi consentono di trasferire un ruolo esistente a quel servizio anziché creare un nuovo ruolo di servizio o un ruolo collegato al servizio. Per eseguire questa operazione, è necessario disporre delle autorizzazioni per trasmettere il ruolo al servizio.

L'errore di esempio seguente si verifica quando un utente IAM denominato marymajor cerca di utilizzare la console per eseguire un'operazione in AgentCore. Tuttavia, l’azione richiede che il servizio disponga delle autorizzazioni concesse da un ruolo di servizio. Mary non dispone delle autorizzazioni per trasmettere il ruolo al servizio.

User: arn:aws:iam::123456789012:user/marymajor is not authorized to perform: iam:PassRole

In questo caso, le policy di Mary devono essere aggiornate per poter eseguire l’operazione iam:PassRole.

Se hai bisogno di aiuto, contatta il tuo AWS amministratore. L’amministratore è la persona che ti ha fornito le credenziali di accesso.

Non sono autorizzato a eseguire iam: CreateRole nella console

Se ricevi un messaggio di errore indicante che non sei autorizzato a eseguire l'iam:CreateRoleazione durante la creazione di una AgentCore risorsa nella Console di AWS gestione, devi aggiungere ulteriori autorizzazioni al tuo utente o ruolo IAM.

L'errore di esempio seguente si verifica quando si crea un harness e la console tenta di creare automaticamente il ruolo di esecuzione per conto dell'utente:

User: arn:aws:iam::123456789012:assumed-role/MyConsoleRole/user is not authorized to perform: iam:CreateRole on resource: arn:aws:iam::123456789012:role/service-role/AmazonBedrockAgentCoreHarnessDefaultServiceRole-abc12 because no identity-based policy allows the iam:CreateRole action

Per risolvere il problema, procedi in uno dei seguenti modi:

  • Aggiungi una policy in linea: aggiungi una policy al tuo utente o ruolo IAM che conceda le autorizzazioni necessarie alla console per creare ruoli di esecuzione per tuo conto:

    {
"Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": "iam:CreateRole",
      "Resource": "arn:aws:iam::123456789012:role/service-role/AmazonBedrockAgentCore*"
    },
    {
      "Effect": "Allow",
      "Action": "iam:CreatePolicy",
      "Resource": "arn:aws:iam::123456789012:policy/service-role/AmazonBedrockAgentCore*"
    },
    {
      "Effect": "Allow",
      "Action": "iam:AttachRolePolicy",
      "Resource": "arn:aws:iam::123456789012:role/service-role/AmazonBedrockAgentCore*",
      "Condition": {
        "ArnLike": {
          "iam:PolicyARN": "arn:aws:iam::123456789012:policy/service-role/AmazonBedrockAgentCore*"
        }
      }
    }
  ]
}

  • Crea il ruolo di esecuzione manualmente: crea il ruolo prima di creare la risorsa nella console, quindi seleziona il ruolo esistente invece di consentire alla console di crearne uno automaticamente. Per i criteri di attendibilità e le autorizzazioni richiesti, consulta Ruolo di esecuzione per l'esecuzione di un agente in AgentCore Runtime.

Voglio consentire l'accesso a persone esterne al mio AWS account per accedere alle mie AgentCore risorse

È possibile creare un ruolo con il quale utenti in altri account o persone esterne all’organizzazione possono accedere alle tue risorse. È possibile specificare chi è attendibile per l’assunzione del ruolo. Per servizi che supportano policy basate su risorse o liste di controllo degli accessi (ACL), utilizzare tali policy per concedere alle persone l’accesso alle proprie risorse.

Per maggiori informazioni, consulta gli argomenti seguenti: