View a markdown version of this page

Risoluzione dei problemi di AgentCore identità e accesso ad Amazon Bedrock - Fondamento Amazon AgentCore
Non sono autorizzato a eseguire un'azione in AgentCoreNon sono autorizzato a svolgere attività come: PassRoleNon sono autorizzato a eseguire iam: CreateRole nella consoleVoglio consentire l'accesso a persone esterne alla mia AWS account per accedere alle mie AgentCore risorse

Le traduzioni sono generate tramite traduzione automatica. In caso di conflitto tra il contenuto di una traduzione e la versione originale in Inglese, quest'ultima prevarrà.

Risoluzione dei problemi di AgentCore identità e accesso ad Amazon Bedrock

Utilizza le seguenti informazioni per aiutarti a diagnosticare e risolvere i problemi più comuni che potresti riscontrare lavorando con AgentCore uno IAM.

Non sono autorizzato a eseguire un'azione in AgentCore

Se ricevi un messaggio di errore indicante che non sei autorizzato a eseguire un'azione, le tue politiche devono essere aggiornate per consentirti di eseguire l'azione.

Il seguente errore di esempio si verifica quando l'utente mateojackson IAM tenta di utilizzare la console per visualizzare i dettagli su una my-example-widget risorsa fittizia ma non dispone delle autorizzazioni fittiziebedrock-agentcore:GetWidget.

User: arn:aws:iam::123456789012:user/mateojackson is not authorized to perform: bedrock-agentcore:GetWidget on resource: my-example-widget

In questo caso, la policy per l’utente mateojackson deve essere aggiornata per consentire l’accesso alla risorsa my-example-widget utilizzando l’azione bedrock-agentcore:GetWidget.

Se hai bisogno di aiuto, contatta il tuo amministratore. AWS L’amministratore è la persona che ti ha fornito le credenziali di accesso.

Non sono autorizzato a svolgere attività come: PassRole

Se ricevi un errore che indica che non sei autorizzato a eseguire l'iam:PassRoleazione, le tue politiche devono essere aggiornate per consentirti di passare un ruolo AgentCore.

Alcuni AWS servizi consentono di passare un ruolo esistente a quel servizio invece di creare un nuovo ruolo di servizio o un ruolo collegato al servizio. Per eseguire questa operazione, è necessario disporre delle autorizzazioni per trasmettere il ruolo al servizio.

L'errore di esempio seguente si verifica quando un utente IAM denominato marymajor cerca di utilizzare la console per eseguire un'operazione in AgentCore. Tuttavia, l’azione richiede che il servizio disponga delle autorizzazioni concesse da un ruolo di servizio. Mary non dispone delle autorizzazioni per trasmettere il ruolo al servizio.

User: arn:aws:iam::123456789012:user/marymajor is not authorized to perform: iam:PassRole

In questo caso, le policy di Mary devono essere aggiornate per poter eseguire l’operazione iam:PassRole.

Se hai bisogno di aiuto, contatta il tuo AWS amministratore. L’amministratore è la persona che ti ha fornito le credenziali di accesso.

Non sono autorizzato a eseguire iam: CreateRole nella console

Se ricevi un messaggio di errore indicante che non sei autorizzato a eseguire l'iam:CreateRoleazione durante la creazione di una AgentCore risorsa nella Console di AWS gestione, devi aggiungere autorizzazioni aggiuntive al tuo utente o ruolo IAM.

Il seguente errore di esempio si verifica quando crei un harness e la console tenta di creare automaticamente il ruolo di esecuzione per tuo conto:

User: arn:aws:iam::123456789012:assumed-role/MyConsoleRole/user is not authorized to perform: iam:CreateRole on resource: arn:aws:iam::123456789012:role/service-role/AmazonBedrockAgentCoreHarnessDefaultServiceRole-abc12 because no identity-based policy allows the iam:CreateRole action

Per risolvere il problema, procedi in uno dei seguenti modi:

  • Aggiungi una policy in linea: aggiungi una policy al tuo utente o ruolo IAM che conceda le autorizzazioni necessarie alla console per creare ruoli di esecuzione per tuo conto:

    {
"Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": "iam:CreateRole",
      "Resource": "arn:aws:iam::123456789012:role/service-role/AmazonBedrockAgentCore*"
    },
    {
      "Effect": "Allow",
      "Action": "iam:CreatePolicy",
      "Resource": "arn:aws:iam::123456789012:policy/service-role/AmazonBedrockAgentCore*"
    },
    {
      "Effect": "Allow",
      "Action": "iam:AttachRolePolicy",
      "Resource": "arn:aws:iam::123456789012:role/service-role/AmazonBedrockAgentCore*",
      "Condition": {
        "ArnLike": {
          "iam:PolicyARN": "arn:aws:iam::123456789012:policy/service-role/AmazonBedrockAgentCore*"
        }
      }
    }
  ]
}

  • Crea il ruolo di esecuzione manualmente: crea il ruolo prima di creare la risorsa nella console, quindi seleziona il ruolo esistente invece di consentire alla console di crearne uno automaticamente. Per i criteri e le autorizzazioni di attendibilità richiesti, vedi Ruolo di esecuzione per l'esecuzione di un agente in AgentCore Runtime.

Voglio consentire l'accesso a persone esterne alla mia AWS account per accedere alle mie AgentCore risorse

È possibile creare un ruolo con il quale utenti in altri account o persone esterne all’organizzazione possono accedere alle tue risorse. È possibile specificare chi è attendibile per l’assunzione del ruolo. Per servizi che supportano policy basate su risorse o liste di controllo degli accessi (ACL), utilizzare tali policy per concedere alle persone l’accesso alle proprie risorse.

Per maggiori informazioni, consulta gli argomenti seguenti: