As traduções são geradas por tradução automática. Em caso de conflito entre o conteúdo da tradução e da versão original em inglês, a versão em inglês prevalecerá.

Use chaves de condição do IAM com o Amazon Bedrock AgentCore Gateway

Use as chaves de AgentCore-specific condição do Amazon Bedrock para controlar como você cria e configura gateways e destinos de gateway em sua organização. Essas chaves de condição se aplicam às operações do plano de controle. Eles são especialmente úteis em políticas de controle de serviços (SCPs) para impor os requisitos de segurança organizacional.

Por exemplo, você pode:

Chaves de condição do gateway

As seguintes chaves de condição se aplicam às UpdateGateway operações CreateGateway e.

Chaves de condição de destino do gateway

As seguintes chaves de condição se aplicam às UpdateGatewayTarget operações CreateGatewayTarget e.

Exemplo de política

Os exemplos a seguir mostram como usar chaves de condição em políticas do IAM e SCPs para impor controles organizacionais na configuração do gateway.

Exigir que os gateways usem um provedor de identidade específico

Use o SCP a seguir para negar a criação ou as atualizações do gateway quando o gateway não usa o URL de descoberta do provedor de identidade aprovado pela sua organização.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "EnforceGatewayIdP",
            "Effect": "Deny",
            "Action": [
                "bedrock-agentcore:CreateGateway",
                "bedrock-agentcore:UpdateGateway"
            ],
            "Resource": "*",
            "Condition": {
                "StringNotEquals": {
                    "bedrock-agentcore:DiscoveryUrl": "https://login.example.com/.well-known/openid-configuration"
                }
            }
        }
    ]
}

Restrinja os tipos de provedores de credenciais para alvos

Use o SCP a seguir para restringir os alvos do gateway aos tipos de provedores de credenciais aprovados. Com este exemplo, você restringe os destinos do gateway para usar somente a função do IAM do gateway ou as credenciais do IAM do chamador. Os destinos não podem usar chaves de API ou tokens OAuth gerenciados externamente.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "RestrictTargetCredentialTypes",
            "Effect": "Deny",
            "Action": [
                "bedrock-agentcore:CreateGatewayTarget",
                "bedrock-agentcore:UpdateGatewayTarget"
            ],
            "Resource": "*",
            "Condition": {
                "StringNotEquals": {
                    "bedrock-agentcore:CredentialProviderType": [
                        "GATEWAY_IAM_ROLE",
                        "CALLER_IAM_CREDENTIALS"
                    ]
                }
            }
        }
    ]
}

Restrinja os tipos de alvos MCP que podem ser criados

Use a política a seguir para negar a criação de alvos MCP que usam determinados tipos de configuração. Este exemplo impede que os alvos usem URLs diretas do servidor MCP.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "DenyDirectMcpServerTargets",
            "Effect": "Deny",
            "Action": [
                "bedrock-agentcore:CreateGatewayTarget",
                "bedrock-agentcore:UpdateGatewayTarget"
            ],
            "Resource": "*",
            "Condition": {
                "StringEquals": {
                    "bedrock-agentcore:McpTargetConfigurationType": "mcpServer"
                }
            }
        }
    ]
}

Exigir que os alvos usem endpoints privados

Use o SCP a seguir para negar a criação de destinos que não especificam um tipo de endpoint privado. Isso garante que todo o tráfego de destino permaneça em redes privadas.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "EnforcePrivateEndpoints",
            "Effect": "Deny",
            "Action": [
                "bedrock-agentcore:CreateGatewayTarget",
                "bedrock-agentcore:UpdateGatewayTarget"
            ],
            "Resource": "*",
            "Condition": {
                "Null": {
                    "bedrock-agentcore:PrivateEndpointType": "true"
                }
            }
        }
    ]
}

Exigir que os gateways usem uma chave KMS gerenciada pelo cliente

Use esse SCP para exigir que todos os gateways usem uma chave KMS gerenciada pelo cliente para criptografia em vez do serviço padrão.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "EnforceCustomerManagedKey",
            "Effect": "Deny",
            "Action": [
                "bedrock-agentcore:CreateGateway",
                "bedrock-agentcore:UpdateGateway"
            ],
            "Resource": "*",
            "Condition": {
                "Null": {
                    "bedrock-agentcore:KmsKeyArn": "true"
                }
            }
        }
    ]
}

Aplique sub-redes aprovadas para destinos de gateway

Use a política a seguir para restringir os destinos do gateway às sub-redes aprovadas. Para obter mais informações, consulte Usar chaves de condição do IAM com configurações de AgentCore VPC.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "EnforceApprovedSubnets",
            "Effect": "Deny",
            "Action": [
                "bedrock-agentcore:CreateGatewayTarget",
                "bedrock-agentcore:UpdateGatewayTarget"
            ],
            "Resource": "*",
            "Condition": {
                "ForAnyValue:StringNotEquals": {
                    "bedrock-agentcore:subnets": [
                        "subnet-0123456789abcdef0",
                        "subnet-0123456789abcdef1"
                    ]
                }
            }
        }
    ]
}