为 AgentCore Gateway 设置权限

要使用亚马逊 Bedrock AgentCore Gateway 及其功能，您需要考虑以下权限：

选择一个主题以了解更多信息：

网关生成器和用户权限

为了使身份能够创建、管理或使用网关，您需要将基于身份的策略附加到 IAM 身份以允许其执行 A mazon Bedrock 操作。 AgentCore-related 要获得全面权限，您可以使用BedrockAgentCoreFullAccess托管策略。

为了提高安全性和控制力，您可以通过减少完全访问策略中的权限来创建自己的自定义策略。例如，以下策略允许身份执行与 AgentCore Gateway 相关的操作，但不允许与其他 AgentCore 服务（例如 AgentCore 运行时或 AgentCore 浏览器）相关的操作：

{
"Version":"2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "bedrock-agentcore:*Gateway*",
        "bedrock-agentcore:*WorkloadIdentity",
        "bedrock-agentcore:*CredentialProvider",
        "bedrock-agentcore:*Token*",
        "bedrock-agentcore:*Access*"
      ],
      "Resource": "arn:aws:bedrock-agentcore:*:*:*gateway*"
    }
  ]
}

以下自定义策略更为严格，仅允许对网关、网关目标和速率限制进行读取访问：

{
"Version":"2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "bedrock-agentcore:ListGateways",
        "bedrock-agentcore:GetGateway",
        "bedrock-agentcore:ListGatewayTargets",
        "bedrock-agentcore:GetGatewayTarget",
        "bedrock-agentcore:ListGatewayRateLimits",
        "bedrock-agentcore:GetGatewayRateLimit"
      ],
      "Resource": "arn:aws:bedrock-agentcore:*:*:*gateway*"
    }
  ]
}

以下自定义策略允许身份在不修改网关或其目标的情况下管理网关的速率限制：

{
"Version":"2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "bedrock-agentcore:CreateGatewayRateLimit",
        "bedrock-agentcore:GetGatewayRateLimit",
        "bedrock-agentcore:UpdateGatewayRateLimit",
        "bedrock-agentcore:DeleteGatewayRateLimit",
        "bedrock-agentcore:ListGatewayRateLimits",
        "bedrock-agentcore:BatchPutGatewayRateLimits"
      ],
      "Resource": "arn:aws:bedrock-agentcore:*:*:*gateway*"
    }
  ]
}

网关访问权限（入站授权）

除了与网关相关的权限外，您还需要为身份配置权限，以便能够在调用期间访问网关。在设置入站授权时，您将配置这些权限。

AgentCore 网关服务角色权限

创建网关时，您需要一个有权代入 IAM 角色并代表 IAM 角色访问 AWS 资源和外部服务的服务角色。您可以通过以下方式创建服务角色：

服务角色所需的权限见以下主题：

信任权限

服务角色必须附加信任策略，允许该 AgentCore 服务假设 IAM 身份并代表其执行操作。

以下是您可以使用的信任策略示例。

{
"Version":"2012-10-17",
  "Statement": [
    {
      "Sid": "GatewayAssumeRolePolicy",
      "Effect": "Allow",
      "Principal": {
        "Service": "bedrock-agentcore.amazonaws.com"
      },
      "Action": "sts:AssumeRole",
      "Condition": {
        "StringEquals": {
          "aws:SourceAccount": "111122223333"
        },
        "ArnLike": {
          "aws:SourceArn": "arn:aws:bedrock-agentcore:us-east-1:111122223333:gateway/gateway-name-*"
        }
      }
    }
  ]
}

出站授权权限

根据您对网关目标使用的出站授权类型，您需要向服务角色添加权限以允许其调用目标。这些权限允许网关服务角色检索用于调用目标的授权证书。您可以在设置出站授权的过程中执行此操作。

访问权限 AWS 资源

根据您的网关设置或选择添加到网关的目标，您可能需要向网关服务角色添加权限以允许其访问 AWS 资源。以下主题涵盖了您的网关服务角色可能需要访问的一些资源：

{
"Version": "2012-10-17",
    "Statement": [{
        "Sid": "AmazonBedrockAgentCoreGatewayLambdaProd",
        "Effect": "Allow",
        "Action": [
            "lambda:InvokeFunction"
        ],
        "Resource": [
            "arn:aws:lambda:us-east-1:123456789012:function:FunctionName"
        ]
    }]
}

{
"Version":"2012-10-17",
    "Statement": [
        {
            "Sid": "LambdaAllowGatewayServiceRoleMyFunction",
            "Effect": "Allow",
            "Principal": {
              "AWS": "arn:aws:iam::123456789012:role/MyGatewayExecutionRole"
            },
            "Action": "lambda:InvokeFunction",
            "Resource":  "arn:aws:lambda:us-east-1:123456789012:function:MyFunction"
        }
     ]
}

{
"Version":"2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "dynamodb:GetItem",
        "dynamodb:PutItem",
        "dynamodb:UpdateItem",
        "dynamodb:DeleteItem",
        "dynamodb:Query",
        "dynamodb:Scan"
      ],
      "Resource": "arn:aws:dynamodb:*:*:table/*"
    }
  ]
}

网关权限最佳实践