보안 및 액세스 제어

이 하네스는 구성에 따라 연결된 나머지 AgentCore와 동일한 보안 프리미티브를 제공합니다.

공동 책임 모델

이 하네스는 AgentCore 런타임을 기반으로 합니다. 보안 경계는 동일합니다. 즉, microVM 격리와 결합된 IAM 또는 JWT 인증입니다. 하네스는 호출자와 microVM 사이에 보안 계층을 추가하지 않습니다.

전체 AgentCore 런타임 공동 책임 모델은 AgentCore 런타임의 보안 모범 사례를 참조하세요.

신뢰 경계 및 입력 검증

모든 InvokeHarness 및 InvokeAgentRuntimeCommand 입력을 신뢰할 수 있습니다. IAM 또는 JWT 인증 및 권한 부여 게이트를 전달하는 모든 보안 주체는 하네스에 구성된 도구 및 기능을 포함하여 전체 microVM 세션에 액세스할 수 있습니다. 하네스는 입력을 삭제하거나, 콘텐츠 블록을 필터링하거나, 동작 제약 조건을 적용하지 않습니다.

완전히 신뢰하지 않는 최종 사용자(직원, 외부 소비자 또는 타사 통합)에게 하네스를 노출하는 경우에 전달하기 전에 애플리케이션 계층에서 메시지를 검증하고 삭제합니다InvokeHarness. 여기에는 전송하지 않으려는 콘텐츠 블록 유형 또는 모델 구성 필드 제거가 포함됩니다. 이는 Lambda, Amazon API Gateway 및 Amazon SQS와 같은 승인된 호출자의 페이로드를 수락하는 모든 서비스와 동일한 패턴입니다.

모델 구성 파라미터

의 model 필드는 additionalParams Bedrock, OpenAI 및 LiteLLM 구성을 InvokeHarness 허용합니다. 이러한 파라미터는 변경되지 않고 기본 모델 공급자에게 전달됩니다. 하네스는 이러한 파라미터를 검증, 필터링 또는 제한하지 않습니다.

를 설정할 수 있는 호출자는 다음을 additionalParams 수행할 수 있습니다.

애플리케이션이 완전히 신뢰하지 않는 호출자에게 InvokeHarness 기능을 노출하는 경우 애플리케이션 계층에서 입력 검증을 구현하는 것이 좋습니다. 그러한 예는 다음과 같습니다.

기술 및 지침

스킬은 호출 시 하네스가 Amazon S3 또는 Git에서 가져와 에이전트의 컨텍스트에 주입하는 마크다운 및 스크립트 번들입니다. 하네스는 모든 스킬 콘텐츠를 신뢰할 수 있는 입력으로 취급합니다. 에이전트에게 제공하기 전에 콘텐츠 또는 기술 소스를 검증, 삭제 또는 검사하지 않습니다.

다음과 같은 작업을 담당합니다.

InvokeHarness 통화당 스킬을 재정의할 수 있습니다. 애플리케이션이 호출자 제공 입력을에 전달하는 경우 호출InvokeHarness자는 임의의 지침 또는 스크립트가 포함된 자체 스킬 소스를 제공할 수 있습니다. 완화 조치의 예는 다음과 같습니다.

관찰성 및 추적 상관관계

이 하네스는 상관관계 식별자를 다운스트림 AgentCore 프리미티브(게이트웨이, 메모리, 코드 해석기, 브라우저)에 자동으로 전파하여 CloudWatch에서 통합 트레이스 보기를 활성화합니다. 이러한 식별자는 관찰성에만 사용되며 권한 부여 또는 데이터 액세스 결정에는 사용되지 않습니다.

네트워크 구성

기본적으로 하네스 세션은 퍼블릭 네트워크에서 실행됩니다. 프라이빗 리소스(데이터베이스, 내부 APIs, 프라이빗 서브넷)에 액세스하려면 VPC에 하네스를 배포합니다.

추가 네트워크 구성 지침은 AgentCore 런타임 구성 및 기본 제공 도구 VPC 구성을 참조하세요. PrivateLink를 통한 인바운드 API 연결은 VPC 인터페이스 엔드포인트를 참조하세요.

인바운드 OAuth

호출자가 구성된 자격 증명 공급자가 발급한 유효한 JWT를 제시하도록 요구합니다. AgentCore 자격 증명은 에이전트를 통해 최종 사용자 자격 증명을 스레드하므로 다운스트림 도구는 공유 서비스 계정 대신 범위가 지정된 사용자 자격 증명으로 APIs를 호출할 수 있습니다.

자세히 알아보기: AgentCore 자격 증명 · 인바운드 JWT 권한 부여자 · 아웃바운드 자격 증명

게이트웨이 정책

AgentCore Gateway를 통해 도구가 제공되는 경우 Cedar 기반 정책은 모든 호출, 즉 어떤 도구, 어떤 조건, 어떤 인수를 호출할 수 있는지를 게이트합니다.

자세히 알아보기: AgentCore 정책·일반 패턴

실행 역할 정책

하네스는 사용자가 제공하는 IAM 실행 역할을 수임합니다. 역할의 신뢰 정책은 AgentCore 서비스 보안 주체가 이를 수임하도록 허용해야 합니다.

{
  "Version": "2012-10-17",
  "Statement": [{
    "Effect": "Allow",
    "Principal": {"Service": "bedrock-agentcore.amazonaws.com"},
    "Action": "sts:AssumeRole"
  }]
}

호출자에게 필요한 IAM 권한

하네스 APIs 하네스 리소스와 기본 AgentCore 런타임 및 선택적 AgentCore 메모리 리소스 모두에 대한 권한이 필요합니다. 다음 표에는 각 API에 필요한 작업이 나열되어 있습니다.

대부분의 작업은 하네스 ARN을 리소스 범위로 사용합니다arn:aws:bedrock-agentcore:<region>:<accountId>:harness/<id>. 엔드포인트 작업은 하네스 엔드포인트 ARN 도 사용합니다arn:aws:bedrock-agentcore:<region>:<accountId>:harness/<id>/harness-endpoint/<endpointName>.

GetHarnessEndpoint, UpdateHarnessEndpoint및 DeleteHarnessEndpoint 작업에는 하네스 ARN과 엔드포인트 ARN이 모두 필요합니다. 에는 하네스 ARN만 CreateHarnessEndpoint 필요합니다. 엔드포인트가 아직 존재하지 않으므로 엔드포인트 ARN이 필요하지 않습니다. 사용자 지정 엔드포인트를 호출InvokeHarness하고 하네스 ARN과 엔드포인트 ARN이 모두 InvokeAgentRuntimeCommand 필요합니다.

샘플 실행 역할 정책

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "BedrockModelInvocation",
      "Effect": "Allow",
      "Action": [
        "bedrock:InvokeModel",
        "bedrock:InvokeModelWithResponseStream"
      ],
      "Resource": [
        "arn:aws:bedrock:*::foundation-model/*",
        "arn:aws:bedrock:<region>:<accountId>:*"
      ]
    },
    {
      "Sid": "EcrPublicTokenAccess",
      "Effect": "Allow",
      "Action": [
        "ecr-public:GetAuthorizationToken"
      ],
      "Resource": "*"
    },
    {
      "Sid": "StsForEcrPublicPull",
      "Effect": "Allow",
      "Action": [
        "sts:GetServiceBearerToken"
      ],
      "Resource": "*"
    },
    {
      "Sid": "XRayTracingAccess",
      "Effect": "Allow",
      "Action": [
        "xray:PutTraceSegments",
        "xray:PutTelemetryRecords",
        "xray:GetSamplingRules",
        "xray:GetSamplingTargets"
      ],
      "Resource": "*"
    },
    {
      "Sid": "CloudWatchLogsGroup",
      "Effect": "Allow",
      "Action": [
        "logs:CreateLogGroup",
        "logs:DescribeLogStreams"
      ],
      "Resource": "arn:aws:logs:<region>:<accountId>:log-group:/aws/bedrock-agentcore/runtimes/*"
    },
    {
      "Sid": "CloudWatchLogsDescribeGroups",
      "Effect": "Allow",
      "Action": [
        "logs:DescribeLogGroups"
      ],
      "Resource": "arn:aws:logs:<region>:<accountId>:log-group:*"
    },
    {
      "Sid": "CloudWatchLogsStream",
      "Effect": "Allow",
      "Action": [
        "logs:CreateLogStream",
        "logs:PutLogEvents"
      ],
      "Resource": "arn:aws:logs:<region>:<accountId>:log-group:/aws/bedrock-agentcore/runtimes/*:log-stream:*"
    },
    {
      "Sid": "CloudWatchMetricsPublish",
      "Effect": "Allow",
      "Resource": "*",
      "Action": "cloudwatch:PutMetricData",
      "Condition": {
        "StringEquals": {
          "cloudwatch:namespace": "bedrock-agentcore"
        }
      }
    },
    {
      "Sid": "AgentCoreWorkloadIdentity",
      "Effect": "Allow",
      "Action": [
        "bedrock-agentcore:GetWorkloadAccessToken",
        "bedrock-agentcore:GetWorkloadAccessTokenForJWT"
      ],
      "Resource": [
        "arn:aws:bedrock-agentcore:<region>:<accountId>:workload-identity-directory/default",
        "arn:aws:bedrock-agentcore:<region>:<accountId>:workload-identity-directory/default/workload-identity/harness_<agentName>-*"
      ]
    },
    {
      "Sid": "AgentCoreBrowserDefault",
      "Effect": "Allow",
      "Action": [
        "bedrock-agentcore:StartBrowserSession",
        "bedrock-agentcore:StopBrowserSession",
        "bedrock-agentcore:GetBrowserSession",
        "bedrock-agentcore:ListBrowserSessions",
        "bedrock-agentcore:UpdateBrowserStream",
        "bedrock-agentcore:ConnectBrowserAutomationStream",
        "bedrock-agentcore:ConnectBrowserLiveViewStream"
      ],
      "Resource": "arn:aws:bedrock-agentcore:<region>:aws:browser/*"
    },
    {
      "Sid": "AgentCoreCodeInterpreterDefault",
      "Effect": "Allow",
      "Action": [
        "bedrock-agentcore:StartCodeInterpreterSession",
        "bedrock-agentcore:StopCodeInterpreterSession",
        "bedrock-agentcore:GetCodeInterpreterSession",
        "bedrock-agentcore:ListCodeInterpreterSessions",
        "bedrock-agentcore:InvokeCodeInterpreter"
      ],
      "Resource": "arn:aws:bedrock-agentcore:<region>:aws:code-interpreter/*"
    }
  ]
}

AgentCore CLI는 하네스 프로젝트를 스캐폴드할 때 이러한 권한이 있는 역할을 자동으로 생성합니다. 위의 정책은 역할을 직접 생성하는 경우에 적용됩니다.

프로덕션 워크로드의 경우를 사용하는 대신 하네스에 필요한 특정 ARNs까지 Resource 값의 범위를 좁힙니다"*".

선택적 기능에 대한 추가 권한

다음은 하네스에서 사용하는 기능에 따라 실행 역할에 추가할 수 있는 샘플 정책입니다. 최소 권한 원칙 준수 - 추론에 필요한 특정 도구와 자격 증명만 하네스 에이전트에 부여합니다. 자리 표시자 정의자리 표시자 참조는 섹션을 참조하세요.

프라이빗 ECR 액세스(사용자 지정 컨테이너 이미지)

하네스가 사용자 지정 컨테이너에 프라이빗 ECR 이미지를 사용하는 경우이 정책을 추가합니다.

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "ECRImageAccess",
      "Effect": "Allow",
      "Action": [
        "ecr:GetDownloadUrlForLayer",
        "ecr:BatchGetImage"
      ],
      "Resource": "arn:aws:ecr:<ecrRegion>:<ecrAccountId>:repository/<ecrRepoName>"
    },
    {
      "Sid": "ECRTokenAccess",
      "Effect": "Allow",
      "Action": "ecr:GetAuthorizationToken",
      "Resource": "*"
    }
  ]
}

AgentCore 메모리

하네스가 고객 소유 메모리 인스턴스를 사용하는 경우이 정책을 추가합니다.

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "AgentCoreMemory",
      "Effect": "Allow",
      "Action": [
        "bedrock-agentcore:CreateEvent",
        "bedrock-agentcore:DeleteEvent",
        "bedrock-agentcore:GetEvent",
        "bedrock-agentcore:ListEvents",
        "bedrock-agentcore:RetrieveMemoryRecords"
      ],
      "Resource": "arn:aws:bedrock-agentcore:<region>:<accountId>:memory/<memoryId>"
    }
  ]
}

AgentCore 브라우저(사용자 지정)

하네스가 고객 소유의 사용자 지정 브라우저 리소스를 사용하는 경우이 정책을 추가합니다.

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "AgentCoreBrowserCustom",
      "Effect": "Allow",
      "Action": [
        "bedrock-agentcore:StartBrowserSession",
        "bedrock-agentcore:StopBrowserSession",
        "bedrock-agentcore:GetBrowserSession",
        "bedrock-agentcore:ListBrowserSessions",
        "bedrock-agentcore:UpdateBrowserStream",
        "bedrock-agentcore:ConnectBrowserAutomationStream",
        "bedrock-agentcore:ConnectBrowserLiveViewStream"
      ],
      "Resource": "arn:aws:bedrock-agentcore:<region>:<accountId>:browser-custom/<browserCustomId>"
    }
  ]
}

AgentCore 코드 해석기(사용자 지정)

하네스가 고객 소유의 사용자 지정 코드 인터프리터를 사용하는 경우이 정책을 추가합니다.

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "AgentCoreCodeInterpreterCustom",
      "Effect": "Allow",
      "Action": [
        "bedrock-agentcore:StartCodeInterpreterSession",
        "bedrock-agentcore:StopCodeInterpreterSession",
        "bedrock-agentcore:GetCodeInterpreterSession",
        "bedrock-agentcore:ListCodeInterpreterSessions",
        "bedrock-agentcore:InvokeCodeInterpreter"
      ],
      "Resource": "arn:aws:bedrock-agentcore:<region>:<accountId>:code-interpreter-custom/<codeInterpreterCustomId>"
    }
  ]
}

AgentCore 게이트웨이

하네스가 SigV4 인바운드 인증으로 구성된 게이트웨이를 사용하는 경우이 정책을 추가합니다.

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "AgentCoreGatewayAccess",
      "Effect": "Allow",
      "Action": "bedrock-agentcore:InvokeGateway",
      "Resource": "arn:aws:bedrock-agentcore:<region>:<accountId>:gateway/<gatewayId>"
    }
  ]
}

Amazon S3 및 Git의 스킬 소스

하네스가 Amazon S3 소스에서 스킬을 가져올 때이 정책을 추가합니다. 실행 역할은 버킷 접두사 아래에 스킬 객체를 나열하고 다운로드합니다.

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "AgentCoreSkillS3Access",
      "Effect": "Allow",
      "Action": [
        "s3:GetObject",
        "s3:ListBucket"
      ],
      "Resource": [
        "arn:aws:s3:::<skillBucket>",
        "arn:aws:s3:::<skillBucket>/*"
      ]
    }
  ]
}

프라이빗 Git 리포지토리에서 스킬을 가져오기 위해 하네스는 API 키 자격 증명 공급자로부터 개인 액세스 토큰을 읽습니다. 토큰을 보유한 자격 증명 공급자에 대해 아래에 표시된 API 키 자격 증명 공급자 정책을 부여합니다.

API 키 자격 증명 공급자(OpenAI, Gemini, LiteLLM 또는 MCP 헤더 ARN 참조)

하네스가 OpenAI, Gemini 또는 LiteLLM과 같은 모델 공급자에 API 키 자격 증명 공급자를 사용하는 경우이 정책을 추가합니다.

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "AgentCoreApiKeyTokenVaultDefault",
      "Effect": "Allow",
      "Action": "bedrock-agentcore:GetResourceApiKey",
      "Resource": [
        "arn:aws:bedrock-agentcore:<region>:<accountId>:token-vault/default",
        "arn:aws:bedrock-agentcore:<region>:<accountId>:workload-identity-directory/default",
        "arn:aws:bedrock-agentcore:<region>:<accountId>:workload-identity-directory/default/workload-identity/harness_<agentName>-*"
      ]
    },
    {
      "Sid": "AgentCoreApiKeyTokenVaultPerKey",
      "Effect": "Allow",
      "Action": "bedrock-agentcore:GetResourceApiKey",
      "Resource": "arn:aws:bedrock-agentcore:<region>:<accountId>:token-vault/default/apikeycredentialprovider/<apiKeyName>"
    },
    {
      "Sid": "AgentCoreApiKeySecret",
      "Effect": "Allow",
      "Action": "secretsmanager:GetSecretValue",
      "Resource": "arn:aws:secretsmanager:<region>:<accountId>:secret:bedrock-agentcore-identity!default/apikey/<apiKeyName>-*"
    }
  ]
}

OAuth2 자격 증명 공급자(OAuth 보호 게이트웨이)

하네스가 OAuth 보호 게이트웨이 도구에 OAuth2 자격 증명 공급자를 사용하는 경우이 정책을 추가합니다. OAuth

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "AgentCoreOAuth2TokenVaultDefault",
      "Effect": "Allow",
      "Action": "bedrock-agentcore:GetResourceOauth2Token",
      "Resource": [
        "arn:aws:bedrock-agentcore:<region>:<accountId>:token-vault/default",
        "arn:aws:bedrock-agentcore:<region>:<accountId>:workload-identity-directory/default",
        "arn:aws:bedrock-agentcore:<region>:<accountId>:workload-identity-directory/default/workload-identity/harness_<agentName>-*"
      ]
    },
    {
      "Sid": "AgentCoreOAuth2TokenVaultPerProvider",
      "Effect": "Allow",
      "Action": "bedrock-agentcore:GetResourceOauth2Token",
      "Resource": "arn:aws:bedrock-agentcore:<region>:<accountId>:token-vault/default/oauth2credentialprovider/<oauthProviderName>"
    },
    {
      "Sid": "AgentCoreOAuth2Secret",
      "Effect": "Allow",
      "Action": "secretsmanager:GetSecretValue",
      "Resource": "arn:aws:secretsmanager:<region>:<accountId>:secret:bedrock-agentcore-identity!default/oauth2/<oauthProviderName>-*"
    }
  ]
}

자리 표시자 참조

위 정책의 다음 자리 표시자를 환경에 맞는 값으로 바꿉니다.

관련 주제