Utilizzo di ruoli collegati ai servizi per Amazon Bedrock AgentCore

Amazon Bedrock AgentCore utilizza ruoli AWS collegati al servizio Identity and Access Management (IAM). Un ruolo collegato al servizio è un tipo unico di ruolo IAM a cui è collegato direttamente. AgentCore Service-linked i ruoli sono predefiniti AgentCore e includono tutte le autorizzazioni richieste dal servizio per chiamare altri AWS servizi per tuo conto.

Un ruolo collegato al servizio semplifica l'utilizzo AgentCore perché non è necessario aggiungere manualmente le autorizzazioni necessarie. AgentCore definisce le autorizzazioni dei ruoli collegati ai servizi e, se non diversamente definito, solo può assumerne i ruoli. AgentCore Le autorizzazioni definite includono la policy di trust e la policy delle autorizzazioni. Una policy delle autorizzazioni specifica non può essere collegata a un’altra entità IAM.

È possibile eliminare i ruoli solo dopo aver eliminato le risorse correlate. In questo modo proteggi AgentCore le tue risorse perché non puoi rimuovere inavvertitamente l'autorizzazione ad accedere alle risorse.

AgentCore utilizza i seguenti ruoli collegati ai servizi:

AgentCore autorizzazioni relative ai ruoli collegati al servizio

ruolo collegato ai servizi di rete

AgentCore utilizza il ruolo collegato al servizio denominato AWSServiceRoleForBedrockAgentCoreNetwork per consentire AgentCore di creare e gestire interfacce di rete nel tuo VPC per tuo conto.

Ai fini dell’assunzione del ruolo, il ruolo collegato al servizio AWSServiceRoleForBedrockAgentCoreNetwork considera attendibili i seguenti servizi:

La politica di autorizzazione dei ruoli consente di AgentCore completare le seguenti azioni sulle risorse specificate:

È possibile visualizzare la politica completa all'indirizzo BedrockAgentCoreNetworkServiceRolePolicy.

{
"Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "AllowCreateEniInAnySubnet",
            "Effect": "Allow",
            "Action": "ec2:CreateNetworkInterface",
            "Resource": "arn:aws:ec2:*:*:subnet/*"
        },
        {
            "Sid": "AllowCreateEniWithSecurityGroups",
            "Effect": "Allow",
            "Action": "ec2:CreateNetworkInterface",
            "Resource": "arn:aws:ec2:*:*:security-group/*"
        },
        {
            "Sid": "AllowCreateEniWithBedrockManagedRequestTag",
            "Effect": "Allow",
            "Action": "ec2:CreateNetworkInterface",
            "Resource": "arn:aws:ec2:*:*:network-interface/*",
            "Condition": {
                "ForAllValues:StringEquals": {
                    "aws:TagKeys": [
                        "AmazonBedrockAgentCoreManaged"
                    ]
                },
                "StringEquals": {
                    "aws:RequestTag/AmazonBedrockAgentCoreManaged": "true"
                }
            }
        },
        {
            "Sid": "AllowTagEniOnCreate",
            "Effect": "Allow",
            "Action": "ec2:CreateTags",
            "Resource": "arn:aws:ec2:*:*:network-interface/*",
            "Condition": {
                "StringEquals": {
                    "ec2:CreateAction": "CreateNetworkInterface"
                }
            }
        },
        {
            "Sid": "AllowManageEniWhenBedrockManaged",
            "Effect": "Allow",
            "Action": [
                "ec2:DeleteNetworkInterface",
                "ec2:AssignPrivateIpAddresses",
                "ec2:UnassignPrivateIpAddresses",
                "ec2:CreateNetworkInterfacePermission"
            ],
            "Resource": "arn:aws:ec2:*:*:network-interface/*",
            "Condition": {
                "StringEquals": {
                    "aws:ResourceTag/AmazonBedrockAgentCoreManaged": "true"
                }
            }
        },
        {
            "Sid": "AllowGetSecurityGroupsForVpc",
            "Effect": "Allow",
            "Action": [
                "ec2:GetSecurityGroupsForVPC"
            ],
            "Resource": "arn:aws:ec2:*:*:vpc/*"
        },
        {
            "Sid": "AllowDescribeNetworkingResources",
            "Effect": "Allow",
            "Action": [
                "ec2:DescribeNetworkInterfaces",
                "ec2:DescribeSecurityGroups",
                "ec2:DescribeSubnets",
                "ec2:DescribeVpcs"
            ],
            "Resource": "*"
        }
    ]
}

Ruolo collegato al servizio di identità

AgentCore utilizza il ruolo collegato al servizio denominato AWSServiceRoleForBedrockAgentCoreRuntimeIdentity per consentire di gestire i token di accesso all'identità del carico AgentCore di lavoro e le credenziali OAuth per conto dell'utente.

Ai fini dell’assunzione del ruolo, il ruolo collegato al servizio AWSServiceRoleForBedrockAgentCoreRuntimeIdentity considera attendibili i seguenti servizi:

La politica di autorizzazione dei ruoli consente di completare queste azioni sulle risorse AgentCore specificate.

È possibile visualizzare la politica completa all'indirizzo BedrockAgentCoreRuntimeIdentityServiceRolePolicy.

{
"Version": "2012-10-17",
    "Statement": {
        "Sid": "AllowWorkloadIdentityAccess",
        "Effect": "Allow",
        "Action": [
            "bedrock-agentcore:GetWorkloadAccessToken",
            "bedrock-agentcore:GetWorkloadAccessTokenForJWT",
            "bedrock-agentcore:GetWorkloadAccessTokenForUserId"
        ],
        "Resource": [
            "arn:aws:bedrock-agentcore:*:*:workload-identity-directory/default",
            "arn:aws:bedrock-agentcore:*:*:workload-identity-directory/default/workload-identity/*"
        ]
    }
}

Per informazioni sulle modifiche a questa politica, consulta AgentCore gli aggiornamenti delle politiche AWS gestite.

Comprensione della funzionalità di identità

Il ruolo collegato al servizio viene utilizzato per supportare l'autenticazione OAuth e le funzionalità del token JWT bearer per le risorse di Runtime. AgentCore Questa funzionalità consente ai runtime degli agenti di gestire in modo sicuro le identità dei carichi di lavoro e di accedere a provider OAuth esterni per conto degli utenti.

Principali vantaggi della gestione delle identità

Come funziona la gestione delle identità

Quando richiami un AgentCore Runtime con autenticazione OAuth o token JWT bearer:

Migrazione da Legacy Approach

Il ruolo collegato ai servizi garantisce che gli utenti AgentCore possano accedere solo alle risorse di identità del carico di lavoro esplicitamente associate ai tempi di esecuzione degli agenti, mantenendo un isolamento sicuro e una chiara attribuzione delle risorse.

Per i dettagli sull'implementazione, consulta Autenticazione e autorizzazione con autenticazione in entrata e autenticazione in uscita.

Ruolo collegato al servizio Gateway

AgentCore utilizza il ruolo collegato al servizio denominato AWSServiceRoleForBedrockAgentCoreGatewayNetwork per consentire a AgentCore Gateway di creare e gestire le risorse Amazon VPC Lattice nel tuo account per tuo conto. Questo ruolo viene utilizzato quando si configura una destinazione gateway con un endpoint privato gestito, consentendo a AgentCore Gateway di configurare i gateway di risorse VPC Lattice necessari per la connettività privata alle risorse nel VPC.

Ai fini dell’assunzione del ruolo, il ruolo collegato al servizio AWSServiceRoleForBedrockAgentCoreGatewayNetwork considera attendibili i seguenti servizi:

La politica di autorizzazione dei ruoli consente di AgentCore completare le seguenti azioni sulle risorse specificate:

È possibile visualizzare la politica completa all'indirizzo BedrockAgentCoreGatewayNetworkServiceRolePolicy.

{
"Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "AllowSLRActionsForLattice",
            "Effect": "Allow",
            "Action": [
                "iam:CreateServiceLinkedRole"
            ],
            "Resource": [
                "arn:aws:iam::*:role/aws-service-role/vpc-lattice.amazonaws.com/AWSServiceRoleForVpcLattice"
            ],
            "Condition": {
                "StringEquals": {
                    "iam:AWSServiceName": "vpc-lattice.amazonaws.com"
                }
            }
        },
        {
            "Sid": "AllowResourceGatewayCreate",
            "Effect": "Allow",
            "Action": [
                "vpc-lattice:CreateResourceGateway",
                "vpc-lattice:TagResource"
            ],
            "Resource": [
                "arn:aws:vpc-lattice:*:*:resourcegateway/*"
            ],
            "Condition": {
                "StringEquals": {
                    "aws:RequestTag/BedrockAgentCoreGatewayManaged": "true",
                    "aws:ResourceTag/BedrockAgentCoreGatewayManaged": "true"
                }
            }
        },
        {
            "Sid": "AllowEC2PermissionsForResourceGatewayCreate",
            "Effect": "Allow",
            "Action": [
                "ec2:DescribeSubnets",
                "ec2:DescribeVpcs",
                "ec2:DescribeSecurityGroups"
            ],
            "Resource": [
                "*"
            ]
        },
        {
            "Sid": "AllowResourceGatewayDelete",
            "Effect": "Allow",
            "Action": [
                "vpc-lattice:DeleteResourceGateway",
                "vpc-lattice:GetResourceGateway"
            ],
            "Resource": [
                "*"
            ],
            "Condition": {
                "StringEquals": {
                    "aws:ResourceTag/BedrockAgentCoreGatewayManaged": "true"
                }
            }
        }
    ]
}

Comprensione della funzionalità Gateway Managed Lattice

Il ruolo collegato al servizio viene utilizzato per supportare la funzionalità di endpoint privati gestiti per le destinazioni Gateway. AgentCore Quando crei un target gateway con un endpoint privato gestito, AgentCore utilizza questo ruolo per creare e gestire i gateway di risorse VPC Lattice nel tuo account per tuo conto. Questi gateway di risorse gestite consentono la connettività privata tra il AgentCore gateway e le risorse nel VPC senza richiedere la configurazione manuale delle risorse VPC Lattice.

Principali vantaggi delle risorse gestite di Lattice

Come funzionano le risorse gestite di Lattice

Quando crei un target gateway con un endpoint privato gestito:

Ruolo collegato al servizio Identity Network

AgentCore utilizza il ruolo collegato al servizio denominato AWSServiceRoleForBedrockAgentCoreIdentity per consentire a AgentCore Identity di creare e gestire le risorse Amazon VPC Lattice nel tuo account per tuo conto. Questo ruolo viene utilizzato quando configuri un endpoint privato per un provider di identità privato, abilitando AgentCore Identity a configurare i gateway di risorse VPC Lattice necessari per la connettività privata ai provider di identità nel tuo VPC.

Ai fini dell’assunzione del ruolo, il ruolo collegato al servizio AWSServiceRoleForBedrockAgentCoreIdentity considera attendibili i seguenti servizi:

La politica di autorizzazione dei ruoli consente di AgentCore completare le seguenti azioni sulle risorse specificate:

È possibile visualizzare la politica completa all'indirizzo AWSBedrockAgentCoreIdentityNetworkServiceRolePolicy.

{
  "Version" : "2012-10-17",
  "Statement" : [
    {
      "Sid" : "AllowSLRActionsForLattice",
      "Effect" : "Allow",
      "Action" : [
        "iam:CreateServiceLinkedRole"
      ],
      "Resource" : [
        "arn:aws:iam::*:role/aws-service-role/vpc-lattice.amazonaws.com/AWSServiceRoleForVpcLattice"
      ],
      "Condition" : {
        "StringEquals" : {
          "iam:AWSServiceName" : "vpc-lattice.amazonaws.com"
        }
      }
    },
    {
      "Sid" : "AllowResourceGatewayCreate",
      "Effect" : "Allow",
      "Action" : [
        "vpc-lattice:CreateResourceGateway",
        "vpc-lattice:TagResource"
      ],
      "Resource" : [
        "arn:aws:vpc-lattice:*:*:resourcegateway/*"
      ],
      "Condition" : {
        "StringEquals" : {
          "aws:RequestTag/BedrockAgentCoreIdentityManaged" : "true",
          "aws:ResourceTag/BedrockAgentCoreIdentityManaged" : "true"
        }
      }
    },
    {
      "Sid" : "AllowEC2PermissionsForResourceGatewayCreate",
      "Effect" : "Allow",
      "Action" : [
        "ec2:DescribeSubnets",
        "ec2:DescribeVpcs",
        "ec2:DescribeSecurityGroups"
      ],
      "Resource" : [
        "*"
      ]
    },
    {
      "Sid" : "AllowResourceGatewayDelete",
      "Effect" : "Allow",
      "Action" : [
        "vpc-lattice:DeleteResourceGateway",
        "vpc-lattice:GetResourceGateway"
      ],
      "Resource" : [
        "*"
      ],
      "Condition" : {
        "StringEquals" : {
          "aws:ResourceTag/BedrockAgentCoreIdentityManaged" : "true"
        }
      }
    }
  ]
}

Comprensione della funzionalità Identity Network

Il ruolo collegato al servizio viene utilizzato per supportare la funzionalità di endpoint privato gestito per Identity. AgentCore Quando configuri un endpoint privato per un provider di identità privato, AgentCore utilizza questo ruolo per creare e gestire i gateway di risorse VPC Lattice nel tuo account per tuo conto. Questi gateway di risorse gestite consentono la connettività privata tra AgentCore Identity e provider di identità nel tuo VPC, come Keycloak con hosting autonomo o OIDC-compliant altri server di autorizzazione PingFederate, senza richiedere la configurazione manuale delle risorse VPC Lattice.

Come funzionano le risorse Lattice gestite per l'identità

Quando configuri un endpoint privato per un provider di identità privato:

Per ulteriori informazioni sulla configurazione dei provider di identità privati, consulta Connect to private identity provider nel tuo VPC.

Creazione di un ruolo collegato al servizio per AgentCore

Non è necessario creare manualmente ruoli collegati ai servizi. AgentCore li crea automaticamente quando necessario:

Se elimini un ruolo collegato al servizio e poi devi crearlo di nuovo, puoi utilizzare la stessa procedura per ricreare il ruolo nel tuo account. Quando crei le AgentCore risorse appropriate, AgentCore crea nuovamente il ruolo collegato al servizio.

Autorizzazioni necessarie per creare un ruolo collegato al servizio

Per consentire a un'entità IAM (come un utente, un gruppo o un ruolo) di creare, modificare o eliminare un ruolo collegato al servizio è necessario configurare le relative autorizzazioni. L'entità IAM deve disporre delle seguenti autorizzazioni:

Per il ruolo collegato ai servizi di rete

{
    "Action": "iam:CreateServiceLinkedRole",
    "Effect": "Allow",
    "Resource": "arn:aws:iam::*:role/aws-service-role/network.bedrock-agentcore.amazonaws.com/AWSServiceRoleForBedrockAgentCoreNetwork",
    "Condition": {
        "StringLike": {
            "iam:AWSServiceName": "network.bedrock-agentcore.amazonaws.com"
        }
    }
}

Per il ruolo collegato al servizio Identity

{
    "Sid": "CreateBedrockAgentCoreRuntimeIdentityServiceLinkedRolePermissions",
    "Effect": "Allow",
    "Action": "iam:CreateServiceLinkedRole",
    "Resource": "arn:aws:iam::*:role/aws-service-role/runtime-identity.bedrock-agentcore.amazonaws.com/AWSServiceRoleForBedrockAgentCoreRuntimeIdentity",
    "Condition": {
        "StringEquals": {
            "iam:AWSServiceName": "runtime-identity.bedrock-agentcore.amazonaws.com"
        }
    }
}

Per il ruolo collegato al servizio Gateway

{
    "Effect": "Allow",
    "Action": "iam:CreateServiceLinkedRole",
    "Resource": "arn:aws:iam::*:role/aws-service-role/bedrock-agentcore.amazonaws.com/AWSServiceRoleForBedrockAgentCoreGatewayNetwork",
    "Condition": {
        "StringEquals": {
            "iam:AWSServiceName": "bedrock-agentcore.amazonaws.com"
        }
    }
}

Per il ruolo collegato al servizio Identity Network

{
    "Effect": "Allow",
    "Action": "iam:CreateServiceLinkedRole",
    "Resource": "arn:aws:iam::*:role/aws-service-role/identity-network.bedrock-agentcore.amazonaws.com/AWSServiceRoleForBedrockAgentCoreIdentity",
    "Condition": {
        "StringEquals": {
            "iam:AWSServiceName": "identity-network.bedrock-agentcore.amazonaws.com"
        }
    }
}

Queste autorizzazioni sono già incluse nella politica gestita AWS . BedrockAgentCoreFullAccess

Modifica di un ruolo collegato al servizio per AgentCore

AgentCore non consente di modificare i ruoliAWSServiceRoleForBedrockAgentCoreNetwork, AWSServiceRoleForBedrockAgentCoreRuntimeIdentityAWSServiceRoleForBedrockAgentCoreGatewayNetwork, o collegati al AWSServiceRoleForBedrockAgentCoreIdentity servizio. Dopo avere creato un ruolo collegato al servizio, non sarà possibile modificarne il nome perché varie entità potrebbero farvi riferimento. È possibile tuttavia modificarne la descrizione utilizzando IAM. Per ulteriori informazioni, vedere Modifica di un ruolo collegato al servizio.

Eliminazione di un ruolo collegato al servizio per AgentCore

Se non è più necessario utilizzare una funzionalità o un servizio che richiede un ruolo collegato al servizio, ti consigliamo di eliminare il ruolo. In questo modo non sarà più presente un'entità non utilizzata che non viene monitorata e gestita attivamente. Tuttavia, è necessario eliminare tutte le AgentCore risorse che utilizzano il ruolo collegato al servizio prima di poter eliminare il ruolo:

Pulizia di un ruolo collegato ai servizi

Prima di utilizzare IAM per eliminare un ruolo collegato ai servizi, devi innanzitutto verificare che il ruolo non abbia sessioni attive ed eliminare tutte le risorse utilizzate dal ruolo.

Per verificare se il ruolo collegato al servizio ha una sessione attiva nella console IAM

Se desideri rimuovere un ruolo collegato al servizio, devi prima eliminare le risorse appropriate: AgentCore

Eliminazione manuale del ruolo collegato ai servizi

Utilizza la console IAM, la AWS CLI o l'API IAM per eliminare i ruoli collegati ai servizi. Per ulteriori informazioni, consulta Eliminazione di un ruolo collegato al servizio.