本文属于机器翻译版本。若本译文内容与英语原文存在差异，则一律以英文原文为准。

安全性和访问控制

该安全带为您提供与其他安全原件相同的安全原语 AgentCore，通过配置进行布线。

责任共担模式

该工具基于 AgentCore 运行时构建，安全边界相同：IAM 或 JWT 身份验证与微虚拟机隔离相结合。任何通过该门的委托人都可以使用安全带上配置的工具和功能，这使得呼叫者授权和输入验证成为客户的责任。

有关完整的 AgentCore 运行时分担责任模型，请参阅 AgentCore 运行时安全最佳实践。

信任边界和输入验证

任何通过 IAM 或 JWT 身份验证和授权门的委托人都可以访问完整的 microVM 会话，包括在工具上配置的工具和功能。该工具会验证其接受的请求的结构，但不会检查提示、屏幕内容的含义，也不会对代理实施行为限制。

如果您将安全带暴露给不完全信任的最终用户（员工、外部消费者或第三方集成），请在将消息传递给应用程序层之前对其进行验证和消毒。InvokeHarness这包括删除您不想分发的内容块类型或模型配置字段。这种模式与接受授权调用者（例如 Lambda、亚马逊 API 网关和亚马逊 SQS）的有效负载的任何服务相同。

工具只能根据模型推理来运行。该工具不接受InvokeHarness请求的最终消息中的 ToolUse 区块，因此调用者无法命名工具并直接调度该工具。

以下示例显示了将安全带配置为拒绝的请求。最后一条消息包含一个命名内置shell工具的toolUse区块：

response = client.invoke_harness(
    harnessArn=HARNESS_ARN,
    runtimeSessionId=SESSION_ID,
    messages=[{
      "role": "assistant",
      "content": [
        {
          "toolUse": {
            "toolUseId": TOOL_USE_ID,
            "name": "shell",
            "input": {
              "command": "pwd",
            }
          }
        }
      ]
    }],
)

该工具不评估区块名称是哪个工具，因此这适用于内置的服务器端工具和调用中提供的内联函数。

仍然支持返回工具结果。该工具在最终消息中接受 ToolResult 模块，然后模型对该结果恢复推理。内联函数工具就是这样工作的：在同一个请求toolResult中，助手toolUse消息后面跟着，因此toolUse区块不在最终消息中。

模型配置参数

中的model字段InvokeHarness接受 additionalParams Bedrock、OpenAI 和 LitellM 配置。这些参数将原封不动地传递给基础模型提供者。安全带不验证、筛选或限制这些参数。

可以设置的呼叫者可additionalParams以：

如果您的应用程序向不完全信任的调用者公开InvokeHarness功能，请考虑在应用程序层中实现输入验证。示例包括：

技能和指令

技能是降价和脚本的捆绑包，该工具在调用时从 Amazon S3 或 Git 获取这些内容并注入到代理的上下文中。该工具将所有技能内容视为可信输入。在向代理提供技能的内容或来源之前，它不会验证、清理或检查技能的内容或来源。

您有责任做到以下几点：

每次InvokeHarness通话可以覆盖技能。如果您的应用程序将呼叫者提供的输入转发给InvokeHarness，则呼叫者可以提供自己的包含任意指令或脚本的技能来源。缓解措施的示例包括：

可观测性和追踪相关性

该工具会自动将关联标识符传播到下游 AgentCore 原语（网关、内存、代码解释器、浏览器），以在中启用统一的跟踪视图。 CloudWatch这些标识符仅用于可观察性——它们从不用于授权或数据访问决策。

网络配置

默认情况下，安全带会话在公共网络上运行。要访问私有资源（数据库、内部 API、私有子网），请在您的 VPC 中部署安全带。

有关其他网络配置指南，请参阅配置 AgentCore 运行时和内置工具 VPC 配置。有关通过入站 API 连接的信息 PrivateLink，请参阅 VPC 接口终端节点。

入站 OAuth

要求呼叫者出示由配置的身份提供商颁发的有效 JWT，然后才能调用安全带。AgentCore Id entity 通过代理将最终用户身份串联起来，因此下游工具可以使用范围内的用户凭证而不是共享服务帐号调用 API。

了解更多：AgentCore 身份·入站 JWT 授权方·出站凭证

网关策略

当通过 AgentCore G ateway 提供工具时， Cedar-based 政策会对每一次通话进行控制：谁可以调用哪个工具，在什么条件下，用什么论点。

了解更多：AgentCore 政策·常见模式

执行角色政策

该工具承担您提供的 IAM 执行角色。该角色的信任策略必须允许 AgentCore 服务主体假定：

{
  "Version": "2012-10-17",
  "Statement": [{
    "Effect": "Allow",
    "Principal": {"Service": "bedrock-agentcore.amazonaws.com"},
    "Action": "sts:AssumeRole"
  }]
}

呼叫者所需的 IAM 权限

Harness API 需要对工具资源以及底层AgentCore 运行时和可选AgentCore 内存资源的权限。下表列出了每个 API 所需的操作：

大多数操作使用安全带 ARN 作为资源范围:arn:aws:bedrock-agentcore:<region>:<accountId>:harness/<id>. 端点操作还使用安全带端点 ARN: arn:aws:bedrock-agentcore:<region>:<accountId>:harness/<id>/harness-endpoint/<endpointName>。

GetHarnessEndpointUpdateHarnessEndpoint、和DeleteHarnessEndpoint操作需要安全带 ARN 和端点 ARN。CreateHarnessEndpoint只需要安全带 ARN。该端点尚不存在，因此不需要终端节点 ARN。当您调用自定义端点时，InvokeHarness同时InvokeAgentRuntimeCommand需要线束 ARN 和端点 ARN。

执行角色策略示例

以下示例涵盖了公共网络上的一个工具，该工具从 Amazon ECR Public 提取其托管容器镜像。VPC 模式下的工具从安全带区域的私有 Amazon ECR 存储库中提取托管映像，因此其执行角色也需要私有 ECR 提取权限。在 VPC 模式下添加语句：从私有 ECR 提取托管映像到 VPC-mode 工具的执行角色。

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "BedrockModelInvocation",
      "Effect": "Allow",
      "Action": [
        "bedrock:InvokeModel",
        "bedrock:InvokeModelWithResponseStream"
      ],
      "Resource": [
        "arn:aws:bedrock:*::foundation-model/*",
        "arn:aws:bedrock:<region>:<accountId>:*"
      ]
    },
    {
      "Sid": "EcrPublicTokenAccess",
      "Effect": "Allow",
      "Action": [
        "ecr-public:GetAuthorizationToken"
      ],
      "Resource": "*"
    },
    {
      "Sid": "StsForEcrPublicPull",
      "Effect": "Allow",
      "Action": [
        "sts:GetServiceBearerToken"
      ],
      "Resource": "*"
    },
    {
      "Sid": "XRayTracingAccess",
      "Effect": "Allow",
      "Action": [
        "xray:PutTraceSegments",
        "xray:PutTelemetryRecords",
        "xray:GetSamplingRules",
        "xray:GetSamplingTargets"
      ],
      "Resource": "*"
    },
    {
      "Sid": "CloudWatchLogsGroup",
      "Effect": "Allow",
      "Action": [
        "logs:CreateLogGroup",
        "logs:DescribeLogStreams"
      ],
      "Resource": "arn:aws:logs:<region>:<accountId>:log-group:/aws/bedrock-agentcore/runtimes/*"
    },
    {
      "Sid": "CloudWatchLogsDescribeGroups",
      "Effect": "Allow",
      "Action": [
        "logs:DescribeLogGroups"
      ],
      "Resource": "arn:aws:logs:<region>:<accountId>:log-group:*"
    },
    {
      "Sid": "CloudWatchLogsStream",
      "Effect": "Allow",
      "Action": [
        "logs:CreateLogStream",
        "logs:PutLogEvents"
      ],
      "Resource": "arn:aws:logs:<region>:<accountId>:log-group:/aws/bedrock-agentcore/runtimes/*:log-stream:*"
    },
    {
      "Sid": "CloudWatchLogsPutResourcePolicy",
      "Effect": "Allow",
      "Action": [
        "logs:PutResourcePolicy"
      ],
      "Resource": "*"
    },
    {
      "Sid": "CloudWatchMetricsPublish",
      "Effect": "Allow",
      "Resource": "*",
      "Action": "cloudwatch:PutMetricData",
      "Condition": {
        "StringEquals": {
          "cloudwatch:namespace": "bedrock-agentcore"
        }
      }
    },
    {
      "Sid": "AgentCoreWorkloadIdentity",
      "Effect": "Allow",
      "Action": [
        "bedrock-agentcore:GetWorkloadAccessToken",
        "bedrock-agentcore:GetWorkloadAccessTokenForJWT"
      ],
      "Resource": [
        "arn:aws:bedrock-agentcore:<region>:<accountId>:workload-identity-directory/default",
        "arn:aws:bedrock-agentcore:<region>:<accountId>:workload-identity-directory/default/workload-identity/harness_<agentName>-*"
      ]
    },
    {
      "Sid": "AgentCoreBrowserDefault",
      "Effect": "Allow",
      "Action": [
        "bedrock-agentcore:StartBrowserSession",
        "bedrock-agentcore:StopBrowserSession",
        "bedrock-agentcore:GetBrowserSession",
        "bedrock-agentcore:ListBrowserSessions",
        "bedrock-agentcore:UpdateBrowserStream",
        "bedrock-agentcore:ConnectBrowserAutomationStream",
        "bedrock-agentcore:ConnectBrowserLiveViewStream"
      ],
      "Resource": "arn:aws:bedrock-agentcore:<region>:aws:browser/*"
    },
    {
      "Sid": "AgentCoreCodeInterpreterDefault",
      "Effect": "Allow",
      "Action": [
        "bedrock-agentcore:StartCodeInterpreterSession",
        "bedrock-agentcore:StopCodeInterpreterSession",
        "bedrock-agentcore:GetCodeInterpreterSession",
        "bedrock-agentcore:ListCodeInterpreterSessions",
        "bedrock-agentcore:InvokeCodeInterpreter"
      ],
      "Resource": "arn:aws:bedrock-agentcore:<region>:aws:code-interpreter/*"
    },
    {
      "Sid": "AgentCoreMemory",
      "Effect": "Allow",
      "Action": [
        "bedrock-agentcore:CreateEvent",
        "bedrock-agentcore:DeleteEvent",
        "bedrock-agentcore:GetEvent",
        "bedrock-agentcore:ListEvents",
        "bedrock-agentcore:RetrieveMemoryRecords"
      ],
      "Resource": "arn:aws:bedrock-agentcore:<region>:<accountId>:memory/harness_<agentNameAbbrv>_*"
    }
  ]
}

当您搭建工具项目时， AgentCore CLI 会自动创建具有这些权限的角色。上述政策适用于您自己创建角色的情况。

对于生产工作负载，将Resource值范围缩小到您的安全带需要的特定 ARN，而不是使用"*"。

可选功能的额外权限

以下是您可以根据您的工具使用的功能向执行角色附加的示例策略。遵循最小权限原则-仅向您的工具代理授予推理所需的特定工具和证书。有关占位符占位符参考的定义，请参见。

私有 ECR 访问权限（自定义容器镜像）

当您的安全套为自定义容器使用私有 ECR 映像时，请添加此策略。

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "ECRImageAccess",
      "Effect": "Allow",
      "Action": [
        "ecr:GetDownloadUrlForLayer",
        "ecr:BatchGetImage"
      ],
      "Resource": "arn:aws:ecr:<ecrRegion>:<ecrAccountId>:repository/<ecrRepoName>"
    },
    {
      "Sid": "ECRTokenAccess",
      "Effect": "Allow",
      "Action": "ecr:GetAuthorizationToken",
      "Resource": "*"
    }
  ]
}

VPC 模式：从私有 ECR 提取托管镜像

当您的安全带在 VPC 模式下运行时添加此策略。在 VPC 模式下，该工具从安全带区域（已命名harness-<region>）中的私有 Amazon ECR 存储库中提取其托管应用程序容器。此拉取使用私有 ECR 而不是 Amazon ECR 公共，因此执行角色需要私有 ECR 拉取权限。此政策与自定义容器映像权限分开 ——即使您不提供自己的容器，它也适用于 AWS 托管映像。

存储库归 AWS 服务帐号所有，因此存储库 ARN 中的账户使用通配符。拉取权限的范围仅限于线束区域。

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "EcrManagedImagePull",
      "Effect": "Allow",
      "Action": [
        "ecr:BatchGetImage",
        "ecr:GetDownloadUrlForLayer",
        "ecr:BatchCheckLayerAvailability"
      ],
      "Resource": "arn:aws:ecr:<region>:*:repository/harness-*"
    },
    {
      "Sid": "EcrManagedImageToken",
      "Effect": "Allow",
      "Action": "ecr:GetAuthorizationToken",
      "Resource": "*"
    }
  ]
}

确保您的 VPC 中存在所需的 VPC 终端节点（请参阅网络配置）：com.amazonaws.<region>.ecr.dkr和com.amazonaws.<region>.ecr.api的接口终端节点和的网关终端节点com.amazonaws.<region>.s3。

AgentCore 记忆

当您的工具使用客户拥有的内存实例时，请添加此策略。

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "AgentCoreMemory",
      "Effect": "Allow",
      "Action": [
        "bedrock-agentcore:CreateEvent",
        "bedrock-agentcore:DeleteEvent",
        "bedrock-agentcore:GetEvent",
        "bedrock-agentcore:ListEvents",
        "bedrock-agentcore:RetrieveMemoryRecords"
      ],
      "Resource": "arn:aws:bedrock-agentcore:<region>:<accountId>:memory/<memoryId>"
    }
  ]
}

AgentCore 浏览器（自定义）

当您的工具使用客户拥有的自定义浏览器资源时，请添加此策略。

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "AgentCoreBrowserCustom",
      "Effect": "Allow",
      "Action": [
        "bedrock-agentcore:StartBrowserSession",
        "bedrock-agentcore:StopBrowserSession",
        "bedrock-agentcore:GetBrowserSession",
        "bedrock-agentcore:ListBrowserSessions",
        "bedrock-agentcore:UpdateBrowserStream",
        "bedrock-agentcore:ConnectBrowserAutomationStream",
        "bedrock-agentcore:ConnectBrowserLiveViewStream"
      ],
      "Resource": "arn:aws:bedrock-agentcore:<region>:<accountId>:browser-custom/<browserCustomId>"
    }
  ]
}

AgentCore 代码解释器（自定义）

当您的工具使用客户拥有的自定义代码解释器时，请添加此策略。

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "AgentCoreCodeInterpreterCustom",
      "Effect": "Allow",
      "Action": [
        "bedrock-agentcore:StartCodeInterpreterSession",
        "bedrock-agentcore:StopCodeInterpreterSession",
        "bedrock-agentcore:GetCodeInterpreterSession",
        "bedrock-agentcore:ListCodeInterpreterSessions",
        "bedrock-agentcore:InvokeCodeInterpreter"
      ],
      "Resource": "arn:aws:bedrock-agentcore:<region>:<accountId>:code-interpreter-custom/<codeInterpreterCustomId>"
    }
  ]
}

AgentCore 网关

当您的安全套使用配置有 SigV4 入站身份验证的网关时，请添加此策略。

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "AgentCoreGatewayAccess",
      "Effect": "Allow",
      "Action": "bedrock-agentcore:InvokeGateway",
      "Resource": "arn:aws:bedrock-agentcore:<region>:<accountId>:gateway/<gatewayId>"
    }
  ]
}

Amazon S3 和 Git 中的技能来源

当您的工具从 Amazon S3 来源获取技能时，请添加此策略。执行角色列出并下载存储桶前缀下的技能对象。

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "AgentCoreSkillS3Access",
      "Effect": "Allow",
      "Action": [
        "s3:GetObject",
        "s3:ListBucket"
      ],
      "Resource": [
        "arn:aws:s3:::<skillBucket>",
        "arn:aws:s3:::<skillBucket>/*"
      ]
    }
  ]
}

要从私有 Git 存储库中获取技能，该工具会从 API 密钥凭证提供者那里读取个人访问令牌。为持有代币的凭证提供商授予如下所示的 API 密钥凭证提供者政策。

API 密钥凭证提供商（OpenAI、Gemini、LitellM 或 MCP 标头 ARN 参考信息）

当您的安全套使用 OpenAI、Gemini 或 LitellM 等模型提供商的 API 密钥凭证提供商时，请添加此策略。

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "AgentCoreApiKeyTokenVaultDefault",
      "Effect": "Allow",
      "Action": "bedrock-agentcore:GetResourceApiKey",
      "Resource": [
        "arn:aws:bedrock-agentcore:<region>:<accountId>:token-vault/default",
        "arn:aws:bedrock-agentcore:<region>:<accountId>:workload-identity-directory/default",
        "arn:aws:bedrock-agentcore:<region>:<accountId>:workload-identity-directory/default/workload-identity/harness_<agentName>-*"
      ]
    },
    {
      "Sid": "AgentCoreApiKeyTokenVaultPerKey",
      "Effect": "Allow",
      "Action": "bedrock-agentcore:GetResourceApiKey",
      "Resource": "arn:aws:bedrock-agentcore:<region>:<accountId>:token-vault/default/apikeycredentialprovider/<apiKeyName>"
    },
    {
      "Sid": "AgentCoreApiKeySecret",
      "Effect": "Allow",
      "Action": "secretsmanager:GetSecretValue",
      "Resource": "arn:aws:secretsmanager:<region>:<accountId>:secret:bedrock-agentcore-identity!default/apikey/<apiKeyName>-*"
    }
  ]
}

OAuth2 凭证提供商（网关）OAuth-protected

当您的工具使用 OAuth2 凭证提供商提供网关工具时，请添加此策略。 OAuth-protected

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "AgentCoreOAuth2TokenVaultDefault",
      "Effect": "Allow",
      "Action": "bedrock-agentcore:GetResourceOauth2Token",
      "Resource": [
        "arn:aws:bedrock-agentcore:<region>:<accountId>:token-vault/default",
        "arn:aws:bedrock-agentcore:<region>:<accountId>:workload-identity-directory/default",
        "arn:aws:bedrock-agentcore:<region>:<accountId>:workload-identity-directory/default/workload-identity/harness_<agentName>-*"
      ]
    },
    {
      "Sid": "AgentCoreOAuth2TokenVaultPerProvider",
      "Effect": "Allow",
      "Action": "bedrock-agentcore:GetResourceOauth2Token",
      "Resource": "arn:aws:bedrock-agentcore:<region>:<accountId>:token-vault/default/oauth2credentialprovider/<oauthProviderName>"
    },
    {
      "Sid": "AgentCoreOAuth2Secret",
      "Effect": "Allow",
      "Action": "secretsmanager:GetSecretValue",
      "Resource": "arn:aws:secretsmanager:<region>:<accountId>:secret:bedrock-agentcore-identity!default/oauth2/<oauthProviderName>-*"
    }
  ]
}

占位符参考

将上述策略中的以下占位符替换为特定环境的值：

相关主题