AWS políticas gerenciadas para o Amazon Bedrock AgentCore

bedrock-agentcore(Amazon Bedrock Agent Core) — Permite que os diretores tenham acesso total a todos os recursos do Amazon Bedrock Agent Core.

iam(AWS Identity and Access Management) — Permite que os diretores listem e obtenham informações sobre funções e políticas e passem funções com "BedrockAgentCore" no nome para o serviço bedrock-agentcore. Também permite criar funções vinculadas a serviços para CloudWatch Application Signals, AgentCore rede Amazon Bedrock e identidade de tempo de execução do Amazon Bedrock AgentCore .

secretsmanager(AWS Secrets Manager) — Permite que os diretores criem, atualizem, recuperem e excluam segredos com nomes que começam com “bedrock-agentcore”.

kms(Serviço de gerenciamento de AWS chaves) — Permite que os diretores listem e descrevam chaves e descriptografem dados na mesma AWS conta quando chamados por meio do serviço Amazon Bedrock. AgentCore

s3(Amazon Simple Storage Service) — Permite que os diretores obtenham objetos de buckets do S3 com nomes que começam com “bedrock-agentcore-gateway-” quando chamados por meio do serviço Amazon Bedrock. AgentCore

lambda(AWS Lambda) — Permite que os diretores listem as funções do Lambda.

logs(Amazon CloudWatch Logs) — Permite que os diretores acessem, consultem e gerenciem dados de log em grupos de log relacionados ao Amazon Bedrock AgentCore e ao Application Signals, incluindo a criação de grupos e fluxos de log.

application-autoscaling(Application Auto Scaling) — Permite que os diretores descrevam as políticas de escalabilidade.

application-signals(Amazon CloudWatch Application Signals) — Permite que os diretores recuperem informações sobre os sinais do aplicativo e iniciem a descoberta.

autoscaling(Amazon EC2 Auto Scaling) — Permite que os diretores descrevam os recursos do Auto Scaling.

cloudwatch(Amazon CloudWatch) — Permite que os diretores recuperem e listem métricas, gerem consultas e acessem outros recursos. CloudWatch

oam(Amazon CloudWatch Observability Access Manager) — Permite que os diretores listem coletores.

rum(Amazon CloudWatch RUM) — Permite que os diretores recuperem e listem recursos do RUM.

synthetics(Amazon CloudWatch Synthetics) — Permite que os diretores descrevam e obtenham informações sobre os recursos da Synthetics.

xray(AWS X-Ray) — Permite que os diretores recuperem informações de rastreamento, gerenciem destinos de segmentos de rastreamento e trabalhem com regras de indexação.

ecr(Amazon Elastic Container Registry) — permite que os diretores descrevam repositórios, listem imagens e descrevam imagens.

bedrock(Amazon Bedrock) — Permite que os diretores invoquem modelos básicos e perfis de inferência para fins de avaliação.

iam:CreateRolenão está incluído. Ao criar determinados AgentCore recursos (por exemplo, harness ou runtime) no console, você pode escolher que o console crie automaticamente a função de execução do recurso em seu nome. Isso requer iam:CreateRole permissões, que não estão incluídas nessa política gerenciada. Para obter mais informações, consulte Solução de problemas do iam: CreateRole autorização no console.

iam:PassRoletem como escopo o nome da função. Ao criar determinados AgentCore recursos (por exemplo, harness ou runtime), você deve ter iam:PassRole permissões na função de execução do recurso. Essa política gerenciada inclui apenas iam:PassRole permissões para funções com nomes correspondentes*BedrockAgentCore*. Para obter mais informações, consulte Solução de problemas de iam: PassRole autorização.

GetWorkloadAccessTokenForUserIdestá incluído. Essa política concede permissão para fazer chamadasGetWorkloadAccessTokenForUserId, o que permite emitir tokens de acesso à carga de trabalho usando uma string de identificação de usuário fornecida pelo chamador sem a verificação do token IdP. Isso é adequado para cenários de desenvolvimento e início rápido. Para implantações de produção, crie políticas personalizadas do IAM que apenas concedam GetWorkloadAccessTokenForJWT (que validam a assinatura, o emissor e a expiração do JWT) e neguem explicitamente GetWorkloadAccessTokenForUserId se suas cargas de trabalho sempre têm um JWT disponível. Para obter mais informações, consulte Obter token de acesso à carga de trabalho.

ec2(Amazon Elastic Compute Cloud) — Permite que o serviço crie, gerencie e exclua interfaces de rede na sua VPC, atribua e cancele a atribuição de endereços IP privados e descreva os recursos da VPC. As interfaces de rede são marcadas com "AmazonBedrockAgentCoreManaged" para garantir que o serviço gerencie somente os recursos criados por ele.

bedrock— Permite que os diretores chamem a Amazon Bedrock Invokemodel and InvokeModelWithResponseStream actions. Isso é necessário para que um agente possa armazenar memórias.

bedrock-mantle— Permite que os diretores chamem as CallWithBearerToken ações CreateInference e. Isso é necessário para que o serviço possa processar memórias usando os modelos Amazon Bedrock Mantle.

bedrock-agentcore(Amazon Bedrock Agent Core) — Permite que o serviço obtenha tokens de acesso à carga de trabalho para autenticação JWT e autenticação de usuários. ID-based Permite especificamenteGetWorkloadAccessToken,GetWorkloadAccessTokenForJWT, e GetWorkloadAccessTokenForUserId ações no diretório de identidade de carga de trabalho padrão e suas identidades de carga de trabalho associadas.