# Como o Amazon Bedrock AgentCore funciona com o IAM Antes de usar o IAM para gerenciar o acesso AgentCore, saiba com quais recursos do IAM estão disponíveis para uso AgentCore. | Recurso do IAM | AgentCore apoio | | --- | --- | | [Identity-based políticas](#security_iam_service-with-iam-id-based-policies) | Sim | | [Resource-based políticas](#security_iam_service-with-iam-resource-based-policies) | Parcial | | [Ações de políticas](#security_iam_service-with-iam-id-based-policies-actions) | Sim | | [Recursos de políticas](#security_iam_service-with-iam-id-based-policies-resources) | Sim | | [Chaves de condição de políticas](#security_iam_service-with-iam-id-based-policies-conditionkeys) | Sim | | [ACLs](#security_iam_service-with-iam-acls) | Não | | [ABAC (tags em políticas)](#security_iam_service-with-iam-tags) | Parcial | | [Credenciais temporárias](#security_iam_service-with-iam-roles-tempcreds) | Sim | | [Permissões de entidade principal](#security_iam_service-with-iam-principal-permissions) | Sim | | [Perfis de serviço](#security_iam_service-with-iam-roles-service) | Sim | | [Service-linked funções](#security_iam_service-with-iam-roles-service-linked) | Sim | Para ter uma visão de alto nível de como AgentCore e outros AWS serviços funcionam com a maioria dos recursos do IAM, consulte [AWS os serviços que funcionam com o IAM](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_aws-services-that-work-with-iam.html) no *Guia do usuário do IAM*. ## Identity-based políticas para AgentCore **Compatível com políticas baseadas em identidade:** sim Identity-based políticas são documentos de políticas de permissões JSON que você pode anexar a uma identidade, como um usuário do IAM, um grupo de usuários ou uma função. Essas políticas controlam quais ações os usuários e perfis podem realizar, em quais atributos e em que condições. Para saber como criar uma política baseada em identidade, consulte [Definir permissões personalizadas do IAM com as políticas gerenciadas pelo cliente](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies_create.html) no *Guia do Usuário do IAM*. Com as políticas baseadas em identidade do IAM, é possível especificar ações e recursos permitidos ou negados, assim como as condições sob as quais as ações são permitidas ou negadas. Para saber mais sobre todos os elementos que podem ser usados em uma política JSON, consulte [Referência de elemento de política JSON do IAM](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_elements.html) no *Guia do usuário do IAM*. ### Identity-based exemplos de políticas para AgentCore Para ver exemplos de políticas AgentCore baseadas em identidade, consulte [Identity-based exemplos de políticas para o Amazon](security_iam_id-based-policy-examples.md) Bedrock. AgentCore ## Resource-based políticas dentro AgentCore **Compatível com políticas baseadas em recursos:** Parcial Resource-based políticas são documentos de política JSON que você anexa a um recurso. São exemplos de políticas baseadas em recursos as *políticas de confiança de perfil* do IAM e as *políticas de bucket* do Amazon S3. Em serviços compatíveis com políticas baseadas em recursos, os administradores de serviço podem usá-las para controlar o acesso a um recurso específico. Para o atributo ao qual a política está anexada, a política define quais ações uma entidade principal especificado pode executar nesse atributo e em que condições. É necessário [especificar uma entidade principal](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_elements_principal.html) em uma política baseada em recursos. Os diretores podem incluir contas, usuários, funções, usuários federados ou AWS serviços. Para permitir o acesso entre contas, é possível especificar uma conta inteira ou as entidades do IAM em outra conta como a entidade principal em uma política baseada em recursos. Consulte mais informações em [Acesso a recursos entre contas no IAM](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies-cross-account-resource-access.html) no *Guia do usuário do IAM*. O Amazon Bedrock AgentCore oferece suporte a políticas baseadas em recursos para recursos do Agent Runtime e do Gateway. Essas políticas são anexadas diretamente aos seus recursos e definem quais diretores podem realizar ações sobre eles. Para saber como criar e gerenciar políticas baseadas em recursos para os AgentCore recursos do Amazon Bedrock, consulte Resource-based as políticas do [Amazon](resource-based-policies.md) Bedrock. AgentCore ### Resource-based exemplos de políticas dentro AgentCore Para ver exemplos de políticas AgentCore baseadas em recursos, consulte [Casos de uso e exemplos comuns](resource-based-policies.md#resource-based-policies-examples). ## Ações políticas para AgentCore **Compatível com ações de políticas:** sim Os administradores podem usar políticas AWS JSON para especificar quem tem acesso ao quê. Ou seja, qual **diretor** pode realizar **ações** sobre quais **recursos** e sob quais **condições**. O elemento `Action` de uma política JSON descreve as ações que podem ser usadas para permitir ou negar acesso em uma política. Incluem ações em uma política para conceder permissões para executar a operação associada. Para ver uma lista de AgentCore ações, consulte [Ações definidas pelo Amazon Bedrock AgentCore](https://docs.aws.amazon.com/IAM/latest/UserGuide/list_amazonbedrockagentcore.html#amazonbedrockagentcore-actions-as-permissions) na *Referência de autorização de serviço*. As ações de política AgentCore usam o seguinte prefixo antes da ação: ``` bedrock-agentcore ``` Para especificar várias ações em uma única declaração, separe-as com vírgulas. ``` "Action": [ "bedrock-agentcore:action1", "bedrock-agentcore:action2" ] ``` Para ver exemplos de políticas AgentCore baseadas em identidade, consulte [Identity-based exemplos de políticas para o Amazon](security_iam_id-based-policy-examples.md) Bedrock. AgentCore ## Recursos políticos para AgentCore **Compatível com recursos de políticas:** sim Os administradores podem usar políticas AWS JSON para especificar quem tem acesso ao quê. Ou seja, qual **diretor** pode realizar **ações** sobre quais **recursos** e sob quais **condições**. O elemento de política JSON `Resource` especifica o objeto ou os objetos aos quais a ação se aplica. Como prática recomendada, especifique um recurso usando seu [nome do recurso da Amazon (ARN)](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference-arns.html). Para ações que não oferecem suporte a permissões em nível de recurso, use um caractere curinga (\*) para indicar que a declaração se aplica a todos os recursos. ``` "Resource": "*" ``` Para ver uma lista dos tipos de AgentCore recursos e seus ARNs, consulte [Recursos definidos pelo Amazon Bedrock AgentCore na Referência](https://docs.aws.amazon.com/IAM/latest/UserGuide/list_amazonbedrockagentcore.html#amazonbedrockagentcore-resources-for-iam-policies) de *autorização de serviço*. Para saber com quais ações você pode especificar o ARN de cada recurso, consulte [Ações definidas pelo Amazon](https://docs.aws.amazon.com/IAM/latest/UserGuide/list_amazonbedrockagentcore.html#amazonbedrockagentcore-actions-as-permissions) Bedrock. AgentCore Para ver exemplos de políticas AgentCore baseadas em identidade, consulte [Identity-based exemplos de políticas para o Amazon](security_iam_id-based-policy-examples.md) Bedrock. AgentCore ## Chaves de condição de política para AgentCore **Compatível com chaves de condição de política específicas de serviço:** sim Os administradores podem usar políticas AWS JSON para especificar quem tem acesso ao quê. Ou seja, qual **diretor** pode realizar **ações** sobre quais **recursos** e sob quais **condições**. O elemento `Condition` especifica quando as instruções são executadas com base em critérios definidos. Você pode criar expressões condicionais que usam [operadores de condição](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_elements_condition_operators.html), como igual ou menor que, para combinar a condição na política com os valores na solicitação. Para ver todas as chaves de condição AWS globais, consulte as [chaves de contexto de condição AWS global](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_condition-keys.html) no *Guia do usuário do IAM*. Para ver uma lista de chaves de AgentCore condição, consulte [Chaves de condição do Amazon Bedrock AgentCore](https://docs.aws.amazon.com/IAM/latest/UserGuide/list_amazonbedrockagentcore.html#amazonbedrockagentcore-policy-keys) na *Referência de autorização de serviço*. Para saber com quais ações e recursos você pode usar uma chave de condição, consulte [Ações definidas pelo Amazon Bedrock AgentCore](https://docs.aws.amazon.com/IAM/latest/UserGuide/list_amazonbedrockagentcore.html#amazonbedrockagentcore-actions-as-permissions). As seguintes chaves de condição são especialmente úteis ao trabalhar com o Amazon Bedrock AgentCore: + `bedrock-agentcore:InboundJwtClaim/iss`- Você pode usar essa chave de condição para restringir o acesso às APIs que aceitam um JWT representando um usuário final para trabalhar com valores específicos de declaração do emissor (iss) presentes no JWT passado na solicitação. Você pode aplicar essa chave de condição às `CompleteResourceTokenAuth` operações `GetWorkloadAccessTokenForJwt` e. + `bedrock-agentcore:InboundJwtClaim/sub`- Você pode usar essa chave de condição para restringir o acesso às APIs que aceitam um JWT para trabalhar com valores de (sub) declaração de assunto específicos presentes no JWT passado na solicitação. Você pode aplicar essa chave de condição às `CompleteResourceTokenAuth` operações `GetWorkloadAccessTokenForJwt` e. + `bedrock-agentcore:InboundJwtClaim/aud`- Você pode usar essa chave de condição para restringir o acesso às APIs que aceitam um JWT para trabalhar com valores específicos de declaração de público (aud) presentes no JWT passado na solicitação. Você pode aplicar essa chave de condição às `CompleteResourceTokenAuth` operações `GetWorkloadAccessTokenForJwt` e. + `bedrock-agentcore:userid`- Você pode usar essa chave de condição para restringir o acesso às APIs que aceitam uma ID de usuário estática para funcionar somente com os valores de ID de usuário definidos em sua declaração de política. Você pode aplicar essa chave de condição às `CompleteResourceTokenAuth` operações `GetWorkloadAccessTokenForUserId` e. + `bedrock-agentcore:InboundJwtClaim/scope`- Você pode usar essa chave de condição para restringir o acesso com base na declaração de escopo no JWT passada na solicitação. + `bedrock-agentcore:InboundJwtClaim/client_id`- Você pode usar essa chave de condição para restringir o acesso às APIs que aceitam um JWT para trabalhar com valores de `client_id` declaração específicos presentes no JWT passado na solicitação. Essa chave só está disponível quando o JWT tem a `client_id` reivindicação exata e não está disponível quando as informações são comunicadas em outras reivindicações semelhantes. Você pode aplicar essa chave de condição às `CompleteResourceTokenAuth` operações `GetWorkloadAccessTokenForJwt` e. Para ver exemplos de políticas AgentCore baseadas em identidade, consulte [Identity-based exemplos de políticas para o Amazon](security_iam_id-based-policy-examples.md) Bedrock. AgentCore Para obter informações detalhadas sobre chaves de condição para AgentCore recursos específicos, consulte os tópicos a seguir: + [Use as chaves de condição do IAM com o Amazon Bedrock AgentCore Gateway](security-gateway-condition-keys.md) — chaves de condição para as operações `CreateGateway``UpdateGateway`,`CreateGatewayTarget`, e de `UpdateGatewayTarget` API. + [Use chaves de condição do IAM com configurações de AgentCore VPC](security-vpc-condition.md) — chaves de VPC-related condição para AgentCore tempo de execução, ferramentas integradas e destinos de gateway. ## ACLs em AgentCore **Compatível com ACLs:** não As listas de controle de acesso (ACLs) controlam quais entidades principais (membros, usuários ou perfis da conta) têm permissões para acessar um recurso. As ACLs são semelhantes às políticas baseadas em recursos, embora não usem o formato de documento de política JSON. ## ABAC com AgentCore **Compatível com ABAC (tags em políticas):** parcial Attribute-based controle de acesso (ABAC) é uma estratégia de autorização que define permissões com base em atributos chamados de tags. Você pode anexar tags a entidades e AWS recursos do IAM e, em seguida, criar políticas ABAC para permitir operações quando a tag do diretor corresponder à tag no recurso. Para controlar o acesso com base em tags, você fornece informações de tag no [elemento condicional](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_elements_condition.html) de uma política usando as chaves de `aws:TagKeys` condição `aws:ResourceTag/key-name``aws:RequestTag/key-name`, ou. Se um serviço for compatível com as três chaves de condição para cada tipo de recurso, o valor será **Sim** para o serviço. Se um serviço for compatível com as três chaves de condição somente para alguns tipos de recursos, o valor será **Parcial** Para saber mais sobre o ABAC, consulte [Definir permissões com autorização do ABAC](https://docs.aws.amazon.com/IAM/latest/UserGuide/introduction_attribute-based-access-control.html) no *Guia do usuário do IAM*. Para visualizar um tutorial com etapas para configurar o ABAC, consulte [Usar controle de acesso por atributo (ABAC)](https://docs.aws.amazon.com/IAM/latest/UserGuide/tutorial_attribute-based-access-control.html) no *Guia do usuário do IAM*. ## Usando credenciais temporárias com AgentCore **Compatível com credenciais temporárias:** sim As credenciais temporárias fornecem acesso de curto prazo aos AWS recursos e são criadas automaticamente quando você usa a federação ou troca de funções. AWS recomenda que você gere credenciais temporárias dinamicamente em vez de usar chaves de acesso de longo prazo. Para obter mais informações, consulte [Credenciais de segurança temporárias no IAM](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_credentials_temp.html) e [AWS serviços que funcionam com o IAM](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_aws-services-that-work-with-iam.html) no *Guia do usuário do IAM*. ## Cross-service permissões principais para AgentCore **Compatibilidade com o recurso de encaminhamento de sessões de acesso (FAS):** sim As sessões de acesso direto (FAS) usam as permissões do principal chamando um AWS serviço, combinadas com o AWS serviço solicitante para fazer solicitações aos serviços posteriores. Para obter detalhes da política ao fazer solicitações de FAS, consulte [Sessões de acesso direto](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_forward_access_sessions.html). ## Funções de serviço para AgentCore **Compatível com perfis de serviço:** sim O perfil de serviço é um [perfil do IAM](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles.html) que um serviço assume para executar ações em seu nome. Um administrador do IAM pode criar, modificar e excluir um perfil de serviço do IAM. Para obter mais informações, consulte [Criar uma função para delegar permissões a um AWS serviço](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles_create_for-service.html) no *Guia do usuário do IAM*. **Atenção** Alterar as permissões de uma função de serviço pode interromper AgentCore a funcionalidade. Edite as funções de serviço somente quando AgentCore fornecer orientação para fazer isso. ## Service-linked funções para AgentCore **Compatibilidade com perfis vinculados a serviços:** sim Uma função vinculada ao serviço é um tipo de função de serviço vinculada a um AWS serviço. O serviço pode assumir a função de realizar uma ação em seu nome. Service-linked as funções aparecem na sua AWS conta e são de propriedade do serviço. Um administrador do IAM pode visualizar, mas não editar as permissões para perfis vinculados ao serviço. Para obter detalhes sobre como criar ou gerenciar perfis vinculados a serviços, consulte [Serviços da AWS que funcionam com o IAM](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_aws-services-that-work-with-iam.html). Encontre um serviço na tabela que inclua um `Yes` na coluna de **Service-linked função**. Escolha o link **Sim** para visualizar a documentação do perfil vinculado a serviço desse serviço.