As traduções são geradas por tradução automática. Em caso de conflito entre o conteúdo da tradução e da versão original em inglês, a versão em inglês prevalecerá.

Principais conceitos

Antes de usar a política no Amazon Bedrock AgentCore, é importante entender os principais conceitos e componentes que funcionam juntos para fornecer governança baseada em políticas para seus agentes de IA.

Gateway

Um Amazon Bedrock AgentCore Gateway fornece um endpoint para se conectar a servidores MCP e converter APIs e lambda em ferramentas compatíveis com MCP, fornecendo um único ponto de acesso para um agente interagir com suas ferramentas. Um Gateway pode ter vários alvos, cada um representando uma ferramenta ou conjunto de ferramentas diferente.

Alvo do gateway

Um destino define as APIs ou a função Lambda que um Gateway fornecerá como ferramentas para um agente. Os alvos podem ser funções do Lambda, especificações OpenAPI, modelos Smithy ou outras definições de ferramentas.

Tipos principais

As políticas da Cedar usam diretores para representar a entidade que está fazendo uma solicitação de autorização. A política em AgentCore suporta dois tipos principais, dependendo de como seu AgentCore Gateway está configurado para autenticação:

Cedro

Cedar é uma linguagem de política de código aberto desenvolvida pela AWS para escrever e aplicar políticas de autorização. As políticas do Cedar são legíveis por humanos, analisáveis e podem ser validadas com base em um esquema. A Policy in AgentCore usa o Cedar para fornecer controle de acesso preciso e verificável para ferramentas de gateway.

Política de cedro

Uma política Cedar é uma declaração declarativa que permite ou proíbe o acesso às ferramentas de gateway. Cada política especifica quem (principal) pode realizar qual ação (invocação de ferramenta) em qual recurso (gateway) sob quais condições. As políticas são avaliadas para cada solicitação de invocação de ferramentas.

Dogwood

Dogwood é uma linguagem de política de código aberto no site da Dogwood Policy que é compatível com o Cedar: toda política válida do Cedar também é uma política válida do Dogwood, portanto, suas políticas existentes do Cedar funcionam inalteradas. Além das condições pontuais que você já pode expressar, o Dogwood também oferece suporte a condições temporais com reconhecimento de sessão e provedores de informações, como Guardrails, que fornecem sinais computados para uma política. As políticas da Dogwood são avaliadas em relação a uma sessão de política que agrupa solicitações relacionadas.

Políticas temporais

A maioria das políticas do Cedar é apátrida: cada solicitação é avaliada por si só. Uma política temporal adiciona condições que dependem do que aconteceu anteriormente na mesma sessão, como exigir uma aprovação prévia, limitar a frequência com que uma ação é executada ou manter um total em execução abaixo de um limite. As políticas temporais são escritas em Dogwood, que é compatível com o Cedar, e são avaliadas em uma sessão de política que agrupa solicitações relacionadas. Para obter mais informações, consulte Políticas temporais.

Barreiras de proteção

Guardrails são provedores de informações que uma política da Dogwood pode consultar on-line. No momento da avaliação, um guardrail computa um sinal de segurança de conteúdo para a solicitação, como um filtro de conteúdo, um ataque imediato ou uma pontuação de informações confidenciais, e a política permite ou proíbe a ação com base nesse resultado. Para obter mais informações, consulte Guardrails nas políticas.

Sessão de política

Uma sessão de política é uma sequência de invocações relacionadas do Gateway agrupadas em uma ID de sessão, que você fornece nas solicitações no cabeçalho. x-amzn-bedrock-agentcore-policy-session-id As políticas temporais são avaliadas em relação a uma sessão de política: uma condição temporal considera somente os eventos registrados para a mesma sessão da solicitação que está sendo autorizada. Para obter mais informações, consulte Sessões de políticas e propagação de identidade.

Mecanismo de políticas

O mecanismo de políticas é o componente principal da Política, pois armazena e avalia as políticas do Cedar. AgentCore Quando você cria políticas, elas se aplicam a todos os gateways associados ao mecanismo, desde que o escopo da política corresponda à solicitação. Para cada invocação de ferramenta, o mecanismo de políticas avalia todas as políticas aplicáveis em relação à solicitação para determinar se deve permitir ou negar o acesso. O mecanismo impõe automaticamente a semântica de negação padrão e proibição de vitórias.

Esquema de cedro

Um esquema Cedar define a estrutura de entidades, ações e contexto para validação de políticas. O mecanismo de políticas gera automaticamente um esquema a partir das definições da ferramenta do gateway, mapeando cada ferramenta para uma ação e definindo os parâmetros de entrada esperados. O esquema garante que as políticas sejam validadas no momento da criação, detectando erros antes da implantação.

Validação de cedro

A validação do Cedar verifica se as políticas estão sintaticamente corretas e estão em conformidade com o esquema. Quando você associa políticas a um gateway, o mecanismo de políticas as valida em relação ao esquema gerado automaticamente para garantir que elas façam referência a ações válidas, usem tipos de dados corretos e acessem somente campos de contexto definidos. A validação detecta erros antes que as políticas sejam implantadas, evitando falhas de autorização em tempo de execução.

Análise de cedro

A análise de cedro usa raciocínio automatizado para examinar políticas e detectar possíveis problemas. O Policy in AgentCore usa raciocínio automatizado para identificar políticas que sempre permitem (sem condições restringem o acesso) ou sempre negam (proíbem políticas sem exceções), ajudando a garantir que as políticas implementem o controle de acesso pretendido em vez de serem excessivamente permissivas ou desnecessariamente restritivas.

Serviço de criação de políticas

O serviço de criação de políticas converte automaticamente os requisitos de autorização de linguagem natural em políticas do Cedar. Quando você envia uma política de linguagem natural, o serviço gera código Cedar sintaticamente correto, o valida em relação ao esquema do gateway e executa análises automatizadas para detectar possíveis problemas. Isso garante que todas as políticas geradas sejam válidas e ajuda a identificar regras excessivamente permissivas ou restritivas antes da implantação.