AgentCore Gateway에 대한 권한 설정

Amazon Bedrock AgentCore Gateway 및 해당 기능을 사용하려면 다음 권한을 고려해야 합니다.

주제 영역을 선택하여 자세히 알아보세요.

게이트웨이 빌더 및 사용자 권한

자격 증명이 게이트웨이를 생성, 관리 또는 사용할 수 있으려면 Amazon Bedrock AgentCore 관련 작업을 수행할 수 있도록 자격 증명 기반 정책을 IAM 자격 증명에 연결해야 합니다. 포괄적인 권한을 위해 BedrockAgentCoreFullAccess 관리형 정책을 사용할 수 있습니다.

보안 및 제어를 강화하기 위해 전체 액세스 정책의 권한을 줄여 사용자 지정 정책을 생성할 수 있습니다. 예를 들어 다음 정책은 자격 증명이 AgentCore Gateway와 관련된 작업을 수행할 수 있도록 허용하지만 AgentCore 런타임 또는 AgentCore 브라우저와 같은 다른 AgentCore 서비스는 수행할 수 없습니다.

{
"Version":"2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "bedrock-agentcore:*Gateway*",
        "bedrock-agentcore:*WorkloadIdentity",
        "bedrock-agentcore:*CredentialProvider",
        "bedrock-agentcore:*Token*",
        "bedrock-agentcore:*Access*"
      ],
      "Resource": "arn:aws:bedrock-agentcore:*:*:*gateway*"
    }
  ]
}

{
"Version":"2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "bedrock-agentcore:ListGateways",
        "bedrock-agentcore:GetGateway",
        "bedrock-agentcore:ListGatewayTargets",
        "bedrock-agentcore:GetGatewayTarget"
      ],
      "Resource": "arn:aws:bedrock-agentcore:*:*:*gateway*"
    }
  ]
}

게이트웨이 액세스 권한(인바운드 권한 부여)

게이트웨이 관련 권한 외에도 호출 중에 자격 증명이 게이트웨이에 액세스할 수 있도록 권한을 구성해야 합니다. 인바운드 권한 부여를 설정할 때 이러한 권한을 구성합니다.

AgentCore Gateway 서비스 역할 권한

게이트웨이를 생성할 때는 IAM 역할을 수임하고 IAM 역할을 대신하여 AWS 리소스 및 외부 서비스에 액세스할 수 있는 권한이 있는 서비스 역할이 필요합니다. 다음과 같은 방법으로 서비스 역할을 생성할 수 있습니다.

서비스 역할에 필요한 권한은 다음 주제에 나와 있습니다.

신뢰 권한

서비스 역할에는 AgentCore 서비스가 IAM 자격 증명을 수임하고 이를 대신하여 작업을 수행할 수 있도록 허용하는 신뢰 정책이 연결되어 있어야 합니다.

다음은 사용할 수 있는 신뢰 정책의 예입니다.

{
"Version":"2012-10-17",
  "Statement": [
    {
      "Sid": "GatewayAssumeRolePolicy",
      "Effect": "Allow",
      "Principal": {
        "Service": "bedrock-agentcore.amazonaws.com"
      },
      "Action": "sts:AssumeRole",
      "Condition": {
        "StringEquals": {
          "aws:SourceAccount": "111122223333"
        },
        "ArnLike": {
          "aws:SourceArn": "arn:aws:bedrock-agentcore:us-east-1:111122223333:gateway/gateway-name-*"
        }
      }
    }
  ]
}

아웃바운드 권한 부여 권한

게이트웨이 대상에 사용하는 아웃바운드 권한 부여 유형에 따라 서비스 역할에 대상을 호출할 수 있는 권한을 추가해야 합니다. 이러한 권한을 통해 게이트웨이 서비스 역할은 대상을 호출하기 위한 권한 부여 자격 증명을 검색할 수 있습니다. 아웃바운드 권한 부여를 설정하는 과정에서이 작업을 수행할 수 있습니다.

AWS 리소스에 액세스할 수 있는 권한

게이트웨이 설정 또는 게이트웨이에 추가하도록 선택한 대상에 따라 AWS 리소스에 액세스할 수 있도록 게이트웨이 서비스 역할에 권한을 추가해야 할 수 있습니다. 다음 주제에서는 게이트웨이 서비스 역할이 액세스해야 할 수 있는 일부 리소스를 다룹니다.

{
"Version": "2012-10-17",
    "Statement": [{
        "Sid": "AmazonBedrockAgentCoreGatewayLambdaProd",
        "Effect": "Allow",
        "Action": [
            "lambda:InvokeFunction"
        ],
        "Resource": [
            "arn:aws:lambda:us-east-1:123456789012:function:FunctionName"
        ]
    }]
}

{
"Version":"2012-10-17",
    "Statement": [
        {
            "Sid": "LambdaAllowGatewayServiceRoleMyFunction",
            "Effect": "Allow",
            "Principal": {
              "AWS": "arn:aws:iam::123456789012:role/MyGatewayExecutionRole"
            },
            "Action": "lambda:InvokeFunction",
            "Resource":  "arn:aws:lambda:us-east-1:123456789012:function:MyFunction"
        }
     ]
}

{
"Version":"2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "dynamodb:GetItem",
        "dynamodb:PutItem",
        "dynamodb:UpdateItem",
        "dynamodb:DeleteItem",
        "dynamodb:Query",
        "dynamodb:Scan"
      ],
      "Resource": "arn:aws:dynamodb:*:*:table/*"
    }
  ]
}

게이트웨이 권한 모범 사례