为 AgentCore 网关设置权限

要使用 Amazon Bedrock AgentCore Gateway 及其功能，您需要考虑以下权限：

选择一个主题以了解更多信息：

网关生成器和用户权限

为了使身份能够创建、管理或使用网关，您需要将基于身份的策略附加到 IAM 身份，以允许其执行 A mazon Bedro AgentCore-related ck 操作。要获得全面权限，您可以使用BedrockAgentCoreFullAccess托管策略。

为了提高安全性和控制力，您可以通过减少完全访问策略中的权限来创建自己的自定义策略。例如，以下策略允许身份执行与 Gate AgentCore way 相关的操作，但不允许执行与其他 AgentCore 服务（例如 AgentCore Runtime 或 B AgentCore rowser）相关的操作：

{
"Version":"2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "bedrock-agentcore:*Gateway*",
        "bedrock-agentcore:*WorkloadIdentity",
        "bedrock-agentcore:*CredentialProvider",
        "bedrock-agentcore:*Token*",
        "bedrock-agentcore:*Access*"
      ],
      "Resource": "arn:aws:bedrock-agentcore:*:*:*gateway*"
    }
  ]
}

{
"Version":"2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "bedrock-agentcore:ListGateways",
        "bedrock-agentcore:GetGateway",
        "bedrock-agentcore:ListGatewayTargets",
        "bedrock-agentcore:GetGatewayTarget"
      ],
      "Resource": "arn:aws:bedrock-agentcore:*:*:*gateway*"
    }
  ]
}

网关访问权限（入站授权）

除了与网关相关的权限外，您还需要为身份配置权限，以便能够在调用期间访问网关。您将在设置入站授权时配置这些权限。

AgentCore 网关服务角色权限

创建网关时，您需要一个有权代替 IAM 角色并有权代表该 IAM 角色访问 AWS 资源和外部服务的服务角色。您可以通过以下方式创建服务角色：

以下主题中列出了服务角色所需的权限：

信任权限

服务角色必须附加信任策略，该策略允许该 AgentCore 服务假设 IAM 身份并代表其执行操作。

以下是您可以使用的信任策略示例。

{
"Version":"2012-10-17",
  "Statement": [
    {
      "Sid": "GatewayAssumeRolePolicy",
      "Effect": "Allow",
      "Principal": {
        "Service": "bedrock-agentcore.amazonaws.com"
      },
      "Action": "sts:AssumeRole",
      "Condition": {
        "StringEquals": {
          "aws:SourceAccount": "111122223333"
        },
        "ArnLike": {
          "aws:SourceArn": "arn:aws:bedrock-agentcore:us-east-1:111122223333:gateway/gateway-name-*"
        }
      }
    }
  ]
}

出站授权权限

根据您对网关目标使用的出站授权类型，您需要为服务角色添加权限以允许其调用目标。这些权限允许网关服务角色检索用于调用目标的授权凭证。您可以在设置出站授权的过程中执行此操作。

访问权限 AWS 资源

根据您的网关设置或您选择添加到网关的目标，您可能需要向网关服务角色添加权限以允许其访问 AWS 资源。以下主题涵盖了您的网关服务角色可能需要访问的一些资源：

{
"Version": "2012-10-17",
    "Statement": [{
        "Sid": "AmazonBedrockAgentCoreGatewayLambdaProd",
        "Effect": "Allow",
        "Action": [
            "lambda:InvokeFunction"
        ],
        "Resource": [
            "arn:aws:lambda:us-east-1:123456789012:function:FunctionName"
        ]
    }]
}

{
"Version":"2012-10-17",
    "Statement": [
        {
            "Sid": "LambdaAllowGatewayServiceRoleMyFunction",
            "Effect": "Allow",
            "Principal": {
              "AWS": "arn:aws:iam::123456789012:role/MyGatewayExecutionRole"
            },
            "Action": "lambda:InvokeFunction",
            "Resource":  "arn:aws:lambda:us-east-1:123456789012:function:MyFunction"
        }
     ]
}

{
"Version":"2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "dynamodb:GetItem",
        "dynamodb:PutItem",
        "dynamodb:UpdateItem",
        "dynamodb:DeleteItem",
        "dynamodb:Query",
        "dynamodb:Scan"
      ],
      "Resource": "arn:aws:dynamodb:*:*:table/*"
    }
  ]
}

网关权限的最佳实践