View a markdown version of this page

ワークロード ID について - Amazon Bedrock AgentCore
ワークロード ID の作成方法

ワークロード ID について

ワークロード ID は、 AWS 環境内のエージェントのデジタル ID を表します。さまざまなデプロイ環境や認証スキームにまたがって保持される安定したアンカーポイントとして機能し、 AWS リソースアクセスに IAM ロールを使用しているか、外部サービス統合に OAuth2 トークンを使用しているか、サードパーティーのツールアクセスに API キーを使用しているかにかかわらず、エージェントは一貫したアイデンティティを維持できます。ID システムは、認証および認可オペレーションの統合インターフェイスを提供しながら、複数の認証情報タイプの管理の複雑さを抽象化します。

ワークロード ID は、安全な認証情報ストレージ用のトークンボールト (「安全な認証情報ストレージ」を参照）、外部サービスアクセス用のリソース認証情報プロバイダー (「認証情報プロバイダーの設定AgentCore 」を参照）、一元管理用の AgentCore Identity ディレクトリなど、より広範な AgentCore Identity フレームワークとシームレスに統合されます。ディレクトリの詳細については、「エージェント ID ディレクトリについて」を参照してください。

ワークロード ID の作成方法

ワークロード ID は、いくつかのシナリオで自動的に作成され、必要に応じて手動で作成することもできます。これらの ID は、エージェントに認証情報へのアクセスを許可するワークロードアクセストークンを取得するために使用されます。認証フローでのワークロード ID の使用方法の詳細については、「ワークロードアクセストークンの取得」を参照してください。

ランタイムとゲートウェイによる自動作成

  • AgentCore ランタイムを使用してエージェントをデプロイすると、ワークロード ID が自動的に作成され、エージェントに関連付けられます。

  • AgentCore Gateway は、ゲートウェイサービスを介してデプロイされたエージェントのワークロード ID を自動的に作成します。

  • これらの自動的に作成された ID は サービスによって管理され、デプロイ環境に必要な設定が含まれます。

  • ワークロード ID ARN はデプロイレスポンスで返され、IAM ポリシーとアクセスコントロールに使用できます。

カスタムデプロイの手動作成

  • Runtime または Gateway でホストされていないエージェント (セルフホストまたはハイブリッドデプロイなど) の場合、ワークロード ID を手動で作成できます。

  • CreateWorkloadIdentity API または AWS CLI を使用して、カスタムエージェントデプロイの ID を作成する

  • 手動作成では、ID 名とメタデータを制御できます。

  • このアプローチは、特定の ID 名が必要な場合や、既存の ID 管理システムと統合する場合に最適です。

各アプローチを使用するタイミング

  • AgentCore Runtime または Gateway を介してデプロイするときに自動作成を使用してセットアップを簡素化する

  • 特定の ID 名が必要な場合や、非標準環境にエージェントをデプロイする場合は、手動作成を使用します。

  • 手動作成は、シナリオのテストや、異なる環境で同じエージェントに複数の ID が必要な場合にも役立ちます。

ワークロード ID は、エージェントに認証情報へのアクセスを許可するワークロードアクセストークンを取得するために使用されます。認証フローでのワークロード ID の使用方法の詳細については、「ワークロードアクセストークンの取得」を参照してください。

ワークロード ID を作成したら、それらを使用して認証情報プロバイダーへのアクセスを制御できます。きめ細かなアクセスコントロールの実装については、「ワークロードアイデンティティによる認証情報プロバイダーへのアクセスのスコープダウン」を参照してください。