View a markdown version of this page

Amazon Bedrock AgentCore 자격 증명 및 액세스 문제 해결 - Amazon Bedrock AgentCore
AgentCore에서 작업을 수행할 권한이 없음iam:PassRole을 수행하도록 인증되지 않음콘솔에서 iam:CreateRole을 수행할 권한이 없음내 AWS 계정 외부의 사용자가 내 AgentCore 리소스에 액세스하도록 허용하고 싶습니다.

Amazon Bedrock AgentCore 자격 증명 및 액세스 문제 해결

다음 정보를 사용하여 AgentCore 및 IAM 작업 시 발생할 수 있는 일반적인 문제를 진단하고 수정할 수 있습니다.

AgentCore에서 작업을 수행할 권한이 없음

작업을 수행할 권한이 없다는 오류가 수신되면 작업을 수행할 수 있도록 정책을 업데이트해야 합니다.

다음 예제 오류는 mateojackson IAM 사용자가 콘솔을 사용하여 가상 my-example-widget 리소스에 대한 세부 정보를 보려고 하지만 가상 bedrock-agentcore:GetWidget 권한이 없는 경우에 발생합니다.

User: arn:aws:iam::123456789012:user/mateojackson is not authorized to perform: bedrock-agentcore:GetWidget on resource: my-example-widget

이 경우 bedrock-agentcore:GetWidget 작업을 사용하여 my-example-widget 리소스에 대한 액세스를 허용하도록 mateojackson 사용자에 대한 정책을 업데이트해야 합니다.

도움이 필요한 경우 AWS 관리자에게 문의하세요. 관리자는 로그인 자격 증명을 제공한 사람입니다.

iam:PassRole을 수행하도록 인증되지 않음

iam:PassRole 작업을 수행할 권한이 없다는 오류가 수신되면 AgentCore에 역할을 전달할 수 있도록 정책을 업데이트해야 합니다.

일부 AWS 서비스를 사용하면 새 서비스 역할 또는 서비스 연결 역할을 생성하는 대신 기존 역할을 해당 서비스에 전달할 수 있습니다. 이렇게 하려면 역할을 서비스에 전달할 권한이 있어야 합니다.

다음 예제 오류는 라는 IAM 사용자가 콘솔을 사용하여 AgentCore에서 작업을 수행하려고 marymajor 할 때 발생합니다. 하지만 작업을 수행하려면 서비스 역할이 부여한 권한이 서비스에 있어야 합니다. Mary는 서비스에 역할을 전달할 권한이 없습니다.

User: arn:aws:iam::123456789012:user/marymajor is not authorized to perform: iam:PassRole

이 경우, Mary가 iam:PassRole 작업을 수행할 수 있도록 Mary의 정책을 업데이트해야 합니다.

도움이 필요한 경우 AWS 관리자에게 문의하세요. 관리자는 로그인 자격 증명을 제공한 사람입니다.

콘솔에서 iam:CreateRole을 수행할 권한이 없음

AWS 관리 콘솔에서 AgentCore 리소스를 생성할 때 iam:CreateRole 작업을 수행할 권한이 없다는 오류가 수신되면 IAM 사용자 또는 역할에 추가 권한을 추가해야 합니다.

다음 예제 오류는 하네스를 생성하고 콘솔이 사용자를 대신하여 실행 역할을 자동 생성하려고 할 때 발생합니다.

User: arn:aws:iam::123456789012:assumed-role/MyConsoleRole/user is not authorized to perform: iam:CreateRole on resource: arn:aws:iam::123456789012:role/service-role/AmazonBedrockAgentCoreHarnessDefaultServiceRole-abc12 because no identity-based policy allows the iam:CreateRole action

이 문제를 해결하려면 다음 중 한 가지를 사용하십시오.

  • 인라인 정책 추가: 콘솔이 사용자를 대신하여 실행 역할을 생성하는 데 필요한 권한을 부여하는 정책을 IAM 사용자 또는 역할에 추가합니다.

    {
"Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": "iam:CreateRole",
      "Resource": "arn:aws:iam::123456789012:role/service-role/AmazonBedrockAgentCore*"
    },
    {
      "Effect": "Allow",
      "Action": "iam:CreatePolicy",
      "Resource": "arn:aws:iam::123456789012:policy/service-role/AmazonBedrockAgentCore*"
    },
    {
      "Effect": "Allow",
      "Action": "iam:AttachRolePolicy",
      "Resource": "arn:aws:iam::123456789012:role/service-role/AmazonBedrockAgentCore*",
      "Condition": {
        "ArnLike": {
          "iam:PolicyARN": "arn:aws:iam::123456789012:policy/service-role/AmazonBedrockAgentCore*"
        }
      }
    }
  ]
}

  • 수동으로 실행 역할 생성: 콘솔에서 리소스를 생성하기 전에 역할을 생성한 다음 콘솔에서 리소스를 자동으로 생성하도록 허용하는 대신 기존 역할을 선택합니다. 필요한 신뢰 정책 및 권한은 AgentCore 런타임에서 에이전트를 실행하기 위한 실행 역할을 참조하세요.

내 AWS 계정 외부의 사용자가 내 AgentCore 리소스에 액세스하도록 허용하고 싶습니다.

다른 계정의 사용자 또는 조직 외부의 사람이 리소스에 액세스할 때 사용할 수 있는 역할을 생성할 수 있습니다. 역할을 수임할 신뢰할 수 있는 사람을 지정할 수 있습니다. 리소스 기반 정책 또는 액세스 제어 목록(ACL)을 지원하는 서비스의 경우, 이러한 정책을 사용하여 다른 사람에게 리소스에 대한 액세스 권한을 부여할 수 있습니다.

자세한 내용은 다음을 참조하세요.