Segurança e controles de acesso

O chicote oferece as mesmas primitivas de segurança do resto AgentCore, conectadas por configuração.

Modelo de responsabilidade compartilhada

O arnês é construído em AgentCore Runtime. O limite de segurança é o mesmo: autenticação IAM ou JWT combinada com isolamento de microVM. O chicote não adiciona uma camada de segurança entre o chamador e a microVM.

Para ver o modelo completo AgentCore de responsabilidade compartilhada do Runtime, consulte Melhores práticas de segurança para o AgentCore Runtime.

Limite de confiança e validação de entrada

Todas InvokeHarness as InvokeAgentRuntimeCommand informações fornecidas são confiáveis. Qualquer principal que passe pela porta de autenticação e autorização do IAM ou do JWT tem acesso à sessão completa do microVM, incluindo as ferramentas e os recursos configurados no chicote. O equipamento não limpa a entrada, filtra blocos de conteúdo nem impõe restrições comportamentais.

Se você expor o arnês a usuários finais nos quais não confia totalmente (funcionários, consumidores externos ou integrações de terceiros), valide e limpe as mensagens em sua camada de aplicativo antes de passá-las para. InvokeHarness Isso inclui remover tipos de blocos de conteúdo ou campos de configuração do modelo que você não deseja que sejam enviados. Esse é o mesmo padrão de qualquer serviço que aceita cargas de chamadores autorizados, como Lambda, Amazon API Gateway e Amazon SQS.

Parâmetros de configuração do modelo

O model campo em InvokeHarness aceita additionalParams as configurações Bedrock, OpenAI e LiteLM. Esses parâmetros são passados inalterados para o provedor do modelo subjacente. O arnês não valida, filtra ou restringe esses parâmetros.

Os chamadores que podem configurar additionalParams podem:

Se seu aplicativo expõe InvokeHarness recursos a chamadores nos quais você não confia totalmente, considere implementar a validação de entrada em sua camada de aplicativo. Os exemplos incluem:

Habilidades e instruções

As habilidades são pacotes de markdown e scripts que o equipamento obtém do Amazon S3 ou do Git no momento da invocação e injeta no contexto do agente. O arnês trata todo o conteúdo da habilidade como uma entrada confiável. Ele não valida, higieniza ou inspeciona o conteúdo ou a fonte das habilidades antes de fornecê-las ao agente.

Você é responsável por:

As habilidades podem ser substituídas por chamada. InvokeHarness Se seu aplicativo encaminhar a entrada fornecida pelo chamador paraInvokeHarness, um chamador poderá fornecer suas próprias fontes de habilidades contendo instruções ou scripts arbitrários. Exemplos de mitigações incluem:

Observabilidade e correlação de traços

O equipamento propaga automaticamente os identificadores de correlação para os AgentCore primitivos posteriores (gateway, memória, interpretador de código, navegador) para permitir visualizações unificadas de rastreamento. CloudWatch Esses identificadores são usados apenas para fins de observabilidade — eles nunca são usados para decisões de autorização ou acesso a dados.

Configuração de rede

Por padrão, as sessões de controle são executadas na rede pública. Para acessar recursos privados (bancos de dados, APIs internas, sub-redes privadas), implante o chicote em sua VPC.

Para obter mais orientações sobre configuração de rede, consulte Configurar o AgentCore Runtime e as ferramentas integradas de configuração de VPC. Para conectividade de API de entrada via PrivateLink, consulte endpoints da interface VPC.

OAuth de entrada

Exija que os chamadores apresentem um JWT válido emitido por um provedor de identidade configurado antes de poderem invocar o chicote. AgentCore A identidade conecta a identidade do usuário final por meio do agente, para que as ferramentas downstream possam chamar APIs com credenciais de usuário com escopo definido em vez de uma conta de serviço compartilhada.

Saiba mais: AgentCore Identidade · autorizador JWT de entrada · credenciais de saída

Políticas de gateway

Quando as ferramentas são fornecidas pelo AgentCore Gateway, Cedar-based as políticas bloqueiam cada chamada: quem pode chamar qual ferramenta, sob quais condições, com quais argumentos.

Saiba mais: AgentCore Política · padrões comuns

Política de função de execução

O equipamento pressupõe uma função de execução do IAM que você fornece. A política de confiança da função deve permitir que o diretor do AgentCore serviço a assuma:

{
  "Version": "2012-10-17",
  "Statement": [{
    "Effect": "Allow",
    "Principal": {"Service": "bedrock-agentcore.amazonaws.com"},
    "Action": "sts:AssumeRole"
  }]
}

Permissões de IAM necessárias para chamadores

As APIs de aproveitamento exigem permissões tanto no recurso de controle quanto no tempo de AgentCore execução subjacente e nos recursos opcionais AgentCore de memória. A tabela a seguir lista as ações necessárias para cada API:

A maioria das ações usa o ARN do arnês como escopo do recurso:. arn:aws:bedrock-agentcore:<region>:<accountId>:harness/<id> As ações do endpoint também usam o ARN do endpoint de arness:. arn:aws:bedrock-agentcore:<region>:<accountId>:harness/<id>/harness-endpoint/<endpointName>

As DeleteHarnessEndpoint açõesGetHarnessEndpoint,UpdateHarnessEndpoint, e exigem tanto o ARN do arnês quanto o ARN do endpoint. CreateHarnessEndpointrequer somente o arnês ARN. O endpoint ainda não existe, então nenhum ARN do endpoint é necessário. Quando você invoca um endpoint personalizado InvokeHarness e InvokeAgentRuntimeCommand exige o ARN do harness e o ARN do endpoint.

Exemplo de política de função de execução

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "BedrockModelInvocation",
      "Effect": "Allow",
      "Action": [
        "bedrock:InvokeModel",
        "bedrock:InvokeModelWithResponseStream"
      ],
      "Resource": [
        "arn:aws:bedrock:*::foundation-model/*",
        "arn:aws:bedrock:<region>:<accountId>:*"
      ]
    },
    {
      "Sid": "EcrPublicTokenAccess",
      "Effect": "Allow",
      "Action": [
        "ecr-public:GetAuthorizationToken"
      ],
      "Resource": "*"
    },
    {
      "Sid": "StsForEcrPublicPull",
      "Effect": "Allow",
      "Action": [
        "sts:GetServiceBearerToken"
      ],
      "Resource": "*"
    },
    {
      "Sid": "XRayTracingAccess",
      "Effect": "Allow",
      "Action": [
        "xray:PutTraceSegments",
        "xray:PutTelemetryRecords",
        "xray:GetSamplingRules",
        "xray:GetSamplingTargets"
      ],
      "Resource": "*"
    },
    {
      "Sid": "CloudWatchLogsGroup",
      "Effect": "Allow",
      "Action": [
        "logs:CreateLogGroup",
        "logs:DescribeLogStreams"
      ],
      "Resource": "arn:aws:logs:<region>:<accountId>:log-group:/aws/bedrock-agentcore/runtimes/*"
    },
    {
      "Sid": "CloudWatchLogsDescribeGroups",
      "Effect": "Allow",
      "Action": [
        "logs:DescribeLogGroups"
      ],
      "Resource": "arn:aws:logs:<region>:<accountId>:log-group:*"
    },
    {
      "Sid": "CloudWatchLogsStream",
      "Effect": "Allow",
      "Action": [
        "logs:CreateLogStream",
        "logs:PutLogEvents"
      ],
      "Resource": "arn:aws:logs:<region>:<accountId>:log-group:/aws/bedrock-agentcore/runtimes/*:log-stream:*"
    },
    {
      "Sid": "CloudWatchMetricsPublish",
      "Effect": "Allow",
      "Resource": "*",
      "Action": "cloudwatch:PutMetricData",
      "Condition": {
        "StringEquals": {
          "cloudwatch:namespace": "bedrock-agentcore"
        }
      }
    },
    {
      "Sid": "AgentCoreWorkloadIdentity",
      "Effect": "Allow",
      "Action": [
        "bedrock-agentcore:GetWorkloadAccessToken",
        "bedrock-agentcore:GetWorkloadAccessTokenForJWT"
      ],
      "Resource": [
        "arn:aws:bedrock-agentcore:<region>:<accountId>:workload-identity-directory/default",
        "arn:aws:bedrock-agentcore:<region>:<accountId>:workload-identity-directory/default/workload-identity/harness_<agentName>-*"
      ]
    },
    {
      "Sid": "AgentCoreBrowserDefault",
      "Effect": "Allow",
      "Action": [
        "bedrock-agentcore:StartBrowserSession",
        "bedrock-agentcore:StopBrowserSession",
        "bedrock-agentcore:GetBrowserSession",
        "bedrock-agentcore:ListBrowserSessions",
        "bedrock-agentcore:UpdateBrowserStream",
        "bedrock-agentcore:ConnectBrowserAutomationStream",
        "bedrock-agentcore:ConnectBrowserLiveViewStream"
      ],
      "Resource": "arn:aws:bedrock-agentcore:<region>:aws:browser/*"
    },
    {
      "Sid": "AgentCoreCodeInterpreterDefault",
      "Effect": "Allow",
      "Action": [
        "bedrock-agentcore:StartCodeInterpreterSession",
        "bedrock-agentcore:StopCodeInterpreterSession",
        "bedrock-agentcore:GetCodeInterpreterSession",
        "bedrock-agentcore:ListCodeInterpreterSessions",
        "bedrock-agentcore:InvokeCodeInterpreter"
      ],
      "Resource": "arn:aws:bedrock-agentcore:<region>:aws:code-interpreter/*"
    }
  ]
}

A AgentCore CLI cria uma função com essas permissões automaticamente quando você cria um projeto de arnês. A política acima é para casos em que você mesmo cria a função.

Para cargas de trabalho de produção, defina Resource os valores até os ARNs específicos que seu equipamento precisa, em vez de usar. "*"

Permissões adicionais para recursos opcionais

Abaixo estão exemplos de políticas que você pode acrescentar à sua função de execução com base nos recursos que seu equipamento usa. Siga o princípio do menor privilégio: conceda ao seu agente de arnês apenas as ferramentas e credenciais específicas de que ele precisa para inferência. Consulte Referência de espaço reservado para obter as definições de espaço reservado.

Acesso privado ao ECR (imagens de contêiner personalizadas)

Adicione essa política quando seu equipamento usa uma imagem ECR privada para um contêiner personalizado.

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "ECRImageAccess",
      "Effect": "Allow",
      "Action": [
        "ecr:GetDownloadUrlForLayer",
        "ecr:BatchGetImage"
      ],
      "Resource": "arn:aws:ecr:<ecrRegion>:<ecrAccountId>:repository/<ecrRepoName>"
    },
    {
      "Sid": "ECRTokenAccess",
      "Effect": "Allow",
      "Action": "ecr:GetAuthorizationToken",
      "Resource": "*"
    }
  ]
}

AgentCore Memória

Adicione essa política quando seu equipamento usar uma instância de memória de propriedade do cliente.

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "AgentCoreMemory",
      "Effect": "Allow",
      "Action": [
        "bedrock-agentcore:CreateEvent",
        "bedrock-agentcore:DeleteEvent",
        "bedrock-agentcore:GetEvent",
        "bedrock-agentcore:ListEvents",
        "bedrock-agentcore:RetrieveMemoryRecords"
      ],
      "Resource": "arn:aws:bedrock-agentcore:<region>:<accountId>:memory/<memoryId>"
    }
  ]
}

AgentCore Navegador (personalizado)

Adicione essa política quando seu equipamento usa um recurso de navegador personalizado de propriedade do cliente.

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "AgentCoreBrowserCustom",
      "Effect": "Allow",
      "Action": [
        "bedrock-agentcore:StartBrowserSession",
        "bedrock-agentcore:StopBrowserSession",
        "bedrock-agentcore:GetBrowserSession",
        "bedrock-agentcore:ListBrowserSessions",
        "bedrock-agentcore:UpdateBrowserStream",
        "bedrock-agentcore:ConnectBrowserAutomationStream",
        "bedrock-agentcore:ConnectBrowserLiveViewStream"
      ],
      "Resource": "arn:aws:bedrock-agentcore:<region>:<accountId>:browser-custom/<browserCustomId>"
    }
  ]
}

AgentCore Interpretador de código (personalizado)

Adicione essa política quando seu equipamento usa um intérprete de código personalizado de propriedade do cliente.

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "AgentCoreCodeInterpreterCustom",
      "Effect": "Allow",
      "Action": [
        "bedrock-agentcore:StartCodeInterpreterSession",
        "bedrock-agentcore:StopCodeInterpreterSession",
        "bedrock-agentcore:GetCodeInterpreterSession",
        "bedrock-agentcore:ListCodeInterpreterSessions",
        "bedrock-agentcore:InvokeCodeInterpreter"
      ],
      "Resource": "arn:aws:bedrock-agentcore:<region>:<accountId>:code-interpreter-custom/<codeInterpreterCustomId>"
    }
  ]
}

AgentCore Gateway

Adicione essa política quando seu equipamento usar um gateway configurado com autenticação de entrada SigV4.

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "AgentCoreGatewayAccess",
      "Effect": "Allow",
      "Action": "bedrock-agentcore:InvokeGateway",
      "Resource": "arn:aws:bedrock-agentcore:<region>:<accountId>:gateway/<gatewayId>"
    }
  ]
}

Fontes de habilidades no Amazon S3 e no Git

Adicione essa política quando seu equipamento buscar uma habilidade de uma fonte do Amazon S3. A função de execução lista e baixa os objetos de habilidade sob o prefixo bucket.

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "AgentCoreSkillS3Access",
      "Effect": "Allow",
      "Action": [
        "s3:GetObject",
        "s3:ListBucket"
      ],
      "Resource": [
        "arn:aws:s3:::<skillBucket>",
        "arn:aws:s3:::<skillBucket>/*"
      ]
    }
  ]
}

Para obter uma habilidade em um repositório Git privado, o equipamento lê um token de acesso pessoal de um provedor de credenciais de chave de API. Conceda a política de provedor de credenciais de chave de API mostrada abaixo para o provedor de credenciais que contém o token.

Provedor de credenciais de chave de API (referências ARN de cabeçalho OpenAI, Gemini, LiteLM ou MCP)

Adicione essa política quando seu equipamento usa um provedor de credenciais de chave de API para provedores de modelos como OpenAI, Gemini ou LiteLM.

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "AgentCoreApiKeyTokenVaultDefault",
      "Effect": "Allow",
      "Action": "bedrock-agentcore:GetResourceApiKey",
      "Resource": [
        "arn:aws:bedrock-agentcore:<region>:<accountId>:token-vault/default",
        "arn:aws:bedrock-agentcore:<region>:<accountId>:workload-identity-directory/default",
        "arn:aws:bedrock-agentcore:<region>:<accountId>:workload-identity-directory/default/workload-identity/harness_<agentName>-*"
      ]
    },
    {
      "Sid": "AgentCoreApiKeyTokenVaultPerKey",
      "Effect": "Allow",
      "Action": "bedrock-agentcore:GetResourceApiKey",
      "Resource": "arn:aws:bedrock-agentcore:<region>:<accountId>:token-vault/default/apikeycredentialprovider/<apiKeyName>"
    },
    {
      "Sid": "AgentCoreApiKeySecret",
      "Effect": "Allow",
      "Action": "secretsmanager:GetSecretValue",
      "Resource": "arn:aws:secretsmanager:<region>:<accountId>:secret:bedrock-agentcore-identity!default/apikey/<apiKeyName>-*"
    }
  ]
}

Provedor de credenciais OAuth2 (Gateway) OAuth-protected

Adicione essa política quando seu equipamento usa um provedor de credenciais OAuth2 para ferramentas de gateway. OAuth-protected

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "AgentCoreOAuth2TokenVaultDefault",
      "Effect": "Allow",
      "Action": "bedrock-agentcore:GetResourceOauth2Token",
      "Resource": [
        "arn:aws:bedrock-agentcore:<region>:<accountId>:token-vault/default",
        "arn:aws:bedrock-agentcore:<region>:<accountId>:workload-identity-directory/default",
        "arn:aws:bedrock-agentcore:<region>:<accountId>:workload-identity-directory/default/workload-identity/harness_<agentName>-*"
      ]
    },
    {
      "Sid": "AgentCoreOAuth2TokenVaultPerProvider",
      "Effect": "Allow",
      "Action": "bedrock-agentcore:GetResourceOauth2Token",
      "Resource": "arn:aws:bedrock-agentcore:<region>:<accountId>:token-vault/default/oauth2credentialprovider/<oauthProviderName>"
    },
    {
      "Sid": "AgentCoreOAuth2Secret",
      "Effect": "Allow",
      "Action": "secretsmanager:GetSecretValue",
      "Resource": "arn:aws:secretsmanager:<region>:<accountId>:secret:bedrock-agentcore-identity!default/oauth2/<oauthProviderName>-*"
    }
  ]
}

Referência de espaço reservado

Substitua os seguintes espaços reservados nas políticas acima por valores específicos do seu ambiente:

Tópicos relacionados