AWS políticas gerenciadas para Amazon Bedrock AgentCore

bedrock-agentcore(Amazon Bedrock Agent Core) — Permite que os diretores tenham acesso total a todos os recursos do Amazon Bedrock Agent Core.

iam(Gerenciamento de AWS identidade e acesso) — permite que os diretores listem e obtenham informações sobre funções e políticas e passem funções com "BedrockAgentCore" no nome para o serviço básico do agente principal. Também permite criar funções vinculadas a serviços para sinais de CloudWatch aplicativos, AgentCore rede Amazon Bedrock, identidade de tempo de execução do Amazon Bedrock e instâncias AgentCore de tempo de execução. AgentCore

secretsmanager(Gerenciador de AWS segredos) — Permite que os diretores criem, atualizem, recuperem e excluam segredos com nomes que começam com “bedrock-agentcore”.

kms(Serviço de gerenciamento de AWS chaves) — Permite que os diretores listem e descrevam chaves, descriptografem dados e gerem chaves de dados na mesma AWS conta quando chamados pelo serviço Amazon Bedrock. AgentCore Também permite que os diretores criem e listem concessões de AWS KMS em chaves gerenciadas pelo cliente que criptografam AgentCore recursos, incluindo subsídios com escopo para mecanismos de AgentCore políticas (e suas políticas e gerações de políticas) para que os mecanismos de políticas possam ser criptografados com uma chave gerenciada pelo cliente.

s3(Amazon Simple Storage Service) — Permite que os diretores obtenham objetos dos buckets do S3 com nomes que começam com “bedrock-agentcore-gateway-” quando chamados pelo serviço Amazon Bedrock. AgentCore

lambda(AWS Lambda) — Permite que os diretores listem funções do Lambda.

logs(Amazon CloudWatch Logs) — Permite que os diretores acessem, consultem e gerenciem dados de log em grupos de log relacionados ao Amazon Bedrock AgentCore e Application Signals, incluindo a criação de grupos de logs e streams.

application-autoscaling(Application Auto Scaling) — Permite que os diretores descrevam as políticas de escalabilidade.

application-signals(Amazon CloudWatch Application Signals) — Permite que os diretores recuperem informações sobre os sinais do aplicativo e iniciem a descoberta.

autoscaling(Amazon EC2 Auto Scaling) — Permite que os diretores descrevam os recursos do Auto Scaling.

cloudwatch(Amazon CloudWatch) — Permite que os diretores recuperem e listem métricas, gerem consultas e acessem outros recursos. CloudWatch

oam(Amazon CloudWatch Observability Access Manager) — Permite que os diretores listem coletores.

rum(Amazon CloudWatch RUM) — Permite que os diretores recuperem e listem os recursos do RUM.

synthetics(Amazon CloudWatch Synthetics) — Permite que os diretores descrevam e obtenham informações sobre os recursos sintéticos.

xray(AWS X-Ray) — Permite que os diretores recuperem informações de rastreamento, gerenciem destinos de segmentos de rastreamento e trabalhem com regras de indexação.

ecr(Amazon Elastic Container Registry) — Permite que os diretores descrevam repositórios, listem imagens e descrevam imagens.

bedrock(Amazon Bedrock) — Permite que os diretores invoquem modelos básicos e perfis de inferência para fins de avaliação.

iam:CreateRolenão está incluído. Ao criar determinados AgentCore recursos (por exemplo, harness ou runtime) no console, você pode optar por que o console crie automaticamente a função de execução do recurso em seu nome. Isso requer iam:CreateRole permissões, que não estão incluídas nessa política gerenciada. Para obter mais informações, consulte Solução de problemas com iam: CreateRole autorização no console.

iam:PassRoletem como escopo o nome da função. Ao criar determinados AgentCore recursos (por exemplo, harness ou runtime), você deve ter iam:PassRole permissões na função de execução do recurso. Essa política gerenciada inclui somente iam:PassRole permissões para funções com nomes correspondentes*BedrockAgentCore*. Para obter mais informações, consulte Solução de problemas iam: PassRole autorização.

GetWorkloadAccessTokenForUserIdestá incluído. Essa política concede permissão para fazer chamadasGetWorkloadAccessTokenForUserId, o que permite emitir tokens de acesso à carga de trabalho usando uma string de identificador de usuário fornecida pelo chamador sem a verificação do token IdP. Isso é adequado para cenários de desenvolvimento e início rápido. Para implantações de produção, crie políticas de IAM personalizadas que apenas concedam GetWorkloadAccessTokenForJWT (o que valida a assinatura, o emissor e a expiração do JWT) e neguem explicitamente GetWorkloadAccessTokenForUserId se suas cargas de trabalho sempre têm um JWT disponível. Para obter mais informações, consulte Obter token de acesso à carga de trabalho.

ec2(Amazon Elastic Compute Cloud) — Permite que o serviço crie, gerencie e exclua interfaces de rede em sua VPC, atribua e cancele a atribuição de endereços IP privados e descreva os recursos da VPC. As interfaces de rede são marcadas com "AmazonBedrockAgentCoreManaged" para garantir que o serviço gerencie apenas os recursos criados por ele.

bedrock— Permite que os diretores chamem o Amazon Bedrock Invokemodel e InvokeModelWithResponseStream as ações. Isso é necessário para que um agente possa armazenar memórias.

bedrock-mantle— Permite que os diretores chamem CreateInference as CallWithBearerToken ações. Isso é necessário para que o serviço possa processar memórias usando os modelos Amazon Bedrock Mantle.

bedrock-agentcore(Amazon Bedrock Agent Core) — Permite que o serviço obtenha tokens de acesso à carga de trabalho para autenticação JWT e autenticação de usuário. ID-based EspecificamenteGetWorkloadAccessToken, permiteGetWorkloadAccessTokenForJWT, e GetWorkloadAccessTokenForUserId ações no diretório de identidade de carga de trabalho padrão e suas identidades de carga de trabalho associadas.

ec2(Amazon Elastic Compute Cloud) — Permite que o serviço descreva recursos de computação e encerre instâncias, separe e exclua volumes do Amazon EBS e exclua modelos de execução gerenciados pelo serviço. O acesso tem como escopo os recursos que AgentCore gerenciam, usando a chave de ec2:ManagedResourceOperator condição.

autoscaling(Amazon EC2 Auto Scaling) — Permite que o serviço descreva e exclua os grupos de Auto Scaling que ele cria e conclua as ações do ciclo de vida. O acesso é limitado aos recursos marcados combedrock-agentcore:capacity-provider-id.

events(Amazon EventBridge) — Permite que o serviço remova alvos e exclua as EventBridge regras que ele gerencia. O acesso tem como escopo os recursos com a chave de events:ManagedBy condição definida como. bedrock-agentcore.amazonaws.com

ec2(Amazon Elastic Compute Cloud) — Permite que o serviço descreva, crie, marque e gerencie os recursos do EC2 que apoiam um provedor de capacidade, incluindo modelos de lançamento, frotas, instâncias, interfaces de rede e volumes do Amazon EBS. O acesso para criar recursos é definido pela tag de bedrock-agentcore:capacity-provider-id solicitação, e o acesso para gerenciar recursos existentes é definido pela chave de ec2:ManagedResourceOperator condição. As instâncias são iniciadas somente a partir de Amazon-owned AMIs.

autoscaling(Amazon EC2 Auto Scaling) — Permite que o serviço crie e gerencie os grupos do Auto Scaling que iniciam instâncias. O acesso tem como escopo grupos do Auto Scaling nomeados com o agentcore-managed-instances- prefixo e marcados com. bedrock-agentcore:capacity-provider-id

events(Amazon EventBridge) — Permite que o serviço crie e gerencie as EventBridge regras (nomeadas com o agentcore-lifecycle-events- prefixo) que entregam eventos do ciclo de vida da instância.

iam— Permite que o serviço crie a função vinculada ao serviço do Auto Scaling e transmita a função de instância padrão (com o AmazonBedrockAgentCoreCapacityProviderDefaultInstanceRole prefixo) e as funções de AgentCore serviço adicionais para o Amazon EC2.

bedrock-agentcore(Amazon Bedrock AgentCore) — Permite que AgentCore uma instância chame PutSystemLogEvents para coletar registros do sistema da instância.