安全性和存取控制

該機制為您提供與 AgentCore 其他部分相同的安全基本概念，以組態連接。

共同責任模型

繫帶建置在 AgentCore 執行期上。安全界限相同：IAM 或 JWT 身分驗證結合 microVM 隔離。繫帶不會在發起人和 microVM 之間新增安全層。

如需完整的 AgentCore 執行期共同責任模型，請參閱 AgentCore 執行期的安全最佳實務。

信任界限和輸入驗證

所有 InvokeHarness和 InvokeAgentRuntimeCommand輸入都受信任。任何傳遞 IAM 或 JWT 身分驗證和授權閘道的委託人都可以存取完整的 microVM 工作階段，包括在集合上設定的工具和功能。繫帶不會淨化輸入、篩選內容區塊或強制執行行為限制。

如果您向未完全信任的最終使用者公開 （員工、外部消費者或第三方整合），請在將訊息傳遞至 之前，先驗證並淨化應用程式層中的訊息InvokeHarness。這包括分割內容區塊類型或您不希望分派的模型組態欄位。此模式與任何接受來自授權發起人承載的服務相同，例如 Lambda、Amazon API Gateway 和 Amazon SQS。

模型組態參數

中的 model 欄位InvokeHarnessadditionalParams接受 Bedrock、OpenAI 和 LiteLLM 組態。這些參數會以不變的方式傳遞至基礎模型提供者。繫帶不會驗證、篩選或限制這些參數。

可以設定的來電者additionalParams可以：

如果您的應用程式向未完全信任的發起人公開InvokeHarness功能，請考慮在應用程式層中實作輸入驗證。範例包括：

技能和指示

技能是在調用時從 Amazon S3 或 Git 擷取的 Markdown 和指令碼套件，並注入代理程式的內容。繫帶會將所有技能內容視為信任的輸入。在將技能的內容或來源提供給客服人員之前，不會對其進行驗證、淨化或檢查。

您負責：

每個InvokeHarness呼叫都可以覆寫技能。如果您的應用程式轉送發起人提供的輸入到 InvokeHarness，發起人可以提供自己的技能來源，其中包含任意指示或指令碼。緩解措施的範例包括：

可觀測性和追蹤相互關聯性

該機制會自動將相互關聯識別符傳播到下游 AgentCore 基本概念 （閘道、記憶體、程式碼解譯器、瀏覽器），以在 CloudWatch 中啟用統一追蹤檢視。這些識別符僅用於可觀測性，絕不會用於授權或資料存取決策。

網路組態

根據預設，掛載工作階段會在公有網路上執行。若要存取私有資源 （資料庫、內部 APIs、私有子網路），請在 VPC 中部署繫帶。

如需其他網路組態指引，請參閱設定 AgentCore 執行期和內建工具 VPC 組態。如需透過 PrivateLink 的傳入 API 連線，請參閱 VPC 介面端點。

傳入 OAuth

要求發起人出示由已設定身分提供者發出的有效 JWT，然後才能叫用該集合。AgentCore Identity 透過代理程式執行最終使用者身分，因此下游工具可以使用範圍使用者憑證呼叫 APIs，而不是共用服務帳戶。

進一步了解：AgentCore Identity · 傳入 JWT 授權方 · 傳出憑證

閘道政策

透過 AgentCore Gateway 提供工具時，以 Cedar 為基礎的政策會觸發每次呼叫：誰可以呼叫哪個工具、哪些條件、哪些引數。

進一步了解：AgentCore 政策 · 常見模式

執行角色政策

繫帶會擔任您提供的 IAM 執行角色。角色的信任政策必須允許 AgentCore 服務主體擔任該角色：

{
  "Version": "2012-10-17",
  "Statement": [{
    "Effect": "Allow",
    "Principal": {"Service": "bedrock-agentcore.amazonaws.com"},
    "Action": "sts:AssumeRole"
  }]
}

呼叫者所需的 IAM 許可

Harness APIs需要對集合資源和基礎 AgentCore 執行期和選用 AgentCore 記憶體資源的許可。下表列出每個 API 所需的動作：

大多數動作都會使用繫帶 ARN 做為資源範圍：arn:aws:bedrock-agentcore:<region>:<accountId>:harness/<id>。端點動作也會使用繫帶端點 ARN：arn:aws:bedrock-agentcore:<region>:<accountId>:harness/<id>/harness-endpoint/<endpointName>。

GetHarnessEndpoint、 UpdateHarnessEndpoint和 DeleteHarnessEndpoint動作需要繫帶 ARN 和端點 ARN。 CreateHarnessEndpoint只需要繫帶 ARN。端點尚不存在，因此不需要端點 ARN。當您叫用自訂端點時， InvokeHarness 會同時InvokeAgentRuntimeCommand需要繫帶 ARN 和端點 ARN。

範例執行角色政策

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "BedrockModelInvocation",
      "Effect": "Allow",
      "Action": [
        "bedrock:InvokeModel",
        "bedrock:InvokeModelWithResponseStream"
      ],
      "Resource": [
        "arn:aws:bedrock:*::foundation-model/*",
        "arn:aws:bedrock:<region>:<accountId>:*"
      ]
    },
    {
      "Sid": "EcrPublicTokenAccess",
      "Effect": "Allow",
      "Action": [
        "ecr-public:GetAuthorizationToken"
      ],
      "Resource": "*"
    },
    {
      "Sid": "StsForEcrPublicPull",
      "Effect": "Allow",
      "Action": [
        "sts:GetServiceBearerToken"
      ],
      "Resource": "*"
    },
    {
      "Sid": "XRayTracingAccess",
      "Effect": "Allow",
      "Action": [
        "xray:PutTraceSegments",
        "xray:PutTelemetryRecords",
        "xray:GetSamplingRules",
        "xray:GetSamplingTargets"
      ],
      "Resource": "*"
    },
    {
      "Sid": "CloudWatchLogsGroup",
      "Effect": "Allow",
      "Action": [
        "logs:CreateLogGroup",
        "logs:DescribeLogStreams"
      ],
      "Resource": "arn:aws:logs:<region>:<accountId>:log-group:/aws/bedrock-agentcore/runtimes/*"
    },
    {
      "Sid": "CloudWatchLogsDescribeGroups",
      "Effect": "Allow",
      "Action": [
        "logs:DescribeLogGroups"
      ],
      "Resource": "arn:aws:logs:<region>:<accountId>:log-group:*"
    },
    {
      "Sid": "CloudWatchLogsStream",
      "Effect": "Allow",
      "Action": [
        "logs:CreateLogStream",
        "logs:PutLogEvents"
      ],
      "Resource": "arn:aws:logs:<region>:<accountId>:log-group:/aws/bedrock-agentcore/runtimes/*:log-stream:*"
    },
    {
      "Sid": "CloudWatchMetricsPublish",
      "Effect": "Allow",
      "Resource": "*",
      "Action": "cloudwatch:PutMetricData",
      "Condition": {
        "StringEquals": {
          "cloudwatch:namespace": "bedrock-agentcore"
        }
      }
    },
    {
      "Sid": "AgentCoreWorkloadIdentity",
      "Effect": "Allow",
      "Action": [
        "bedrock-agentcore:GetWorkloadAccessToken",
        "bedrock-agentcore:GetWorkloadAccessTokenForJWT"
      ],
      "Resource": [
        "arn:aws:bedrock-agentcore:<region>:<accountId>:workload-identity-directory/default",
        "arn:aws:bedrock-agentcore:<region>:<accountId>:workload-identity-directory/default/workload-identity/harness_<agentName>-*"
      ]
    },
    {
      "Sid": "AgentCoreBrowserDefault",
      "Effect": "Allow",
      "Action": [
        "bedrock-agentcore:StartBrowserSession",
        "bedrock-agentcore:StopBrowserSession",
        "bedrock-agentcore:GetBrowserSession",
        "bedrock-agentcore:ListBrowserSessions",
        "bedrock-agentcore:UpdateBrowserStream",
        "bedrock-agentcore:ConnectBrowserAutomationStream",
        "bedrock-agentcore:ConnectBrowserLiveViewStream"
      ],
      "Resource": "arn:aws:bedrock-agentcore:<region>:aws:browser/*"
    },
    {
      "Sid": "AgentCoreCodeInterpreterDefault",
      "Effect": "Allow",
      "Action": [
        "bedrock-agentcore:StartCodeInterpreterSession",
        "bedrock-agentcore:StopCodeInterpreterSession",
        "bedrock-agentcore:GetCodeInterpreterSession",
        "bedrock-agentcore:ListCodeInterpreterSessions",
        "bedrock-agentcore:InvokeCodeInterpreter"
      ],
      "Resource": "arn:aws:bedrock-agentcore:<region>:aws:code-interpreter/*"
    }
  ]
}

當您堆疊繫帶專案時，AgentCore CLI 會自動建立具有這些許可的角色。上述政策適用於您自己建立角色的情況。

對於生產工作負載，將Resource值範圍縮小到您設備所需的特定 ARNs，而不是使用 "*"。

選用功能的其他許可

以下是範例政策，您可以根據您繫帶使用的功能，將其附加到您的執行角色。遵循最低權限原則 - 僅授予您的繫帶代理程式推論所需的特定工具和登入資料。如需預留位置定義預留位置參考，請參閱 。

私有 ECR 存取 （自訂容器映像）

當您的繫帶使用自訂容器的私有 ECR 映像時，請新增此政策。

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "ECRImageAccess",
      "Effect": "Allow",
      "Action": [
        "ecr:GetDownloadUrlForLayer",
        "ecr:BatchGetImage"
      ],
      "Resource": "arn:aws:ecr:<ecrRegion>:<ecrAccountId>:repository/<ecrRepoName>"
    },
    {
      "Sid": "ECRTokenAccess",
      "Effect": "Allow",
      "Action": "ecr:GetAuthorizationToken",
      "Resource": "*"
    }
  ]
}

AgentCore 記憶體

當您的繫帶使用客戶擁有的記憶體執行個體時，請新增此政策。

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "AgentCoreMemory",
      "Effect": "Allow",
      "Action": [
        "bedrock-agentcore:CreateEvent",
        "bedrock-agentcore:DeleteEvent",
        "bedrock-agentcore:GetEvent",
        "bedrock-agentcore:ListEvents",
        "bedrock-agentcore:RetrieveMemoryRecords"
      ],
      "Resource": "arn:aws:bedrock-agentcore:<region>:<accountId>:memory/<memoryId>"
    }
  ]
}

AgentCore 瀏覽器 （自訂）

當您的繫帶使用客戶擁有的自訂瀏覽器資源時，請新增此政策。

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "AgentCoreBrowserCustom",
      "Effect": "Allow",
      "Action": [
        "bedrock-agentcore:StartBrowserSession",
        "bedrock-agentcore:StopBrowserSession",
        "bedrock-agentcore:GetBrowserSession",
        "bedrock-agentcore:ListBrowserSessions",
        "bedrock-agentcore:UpdateBrowserStream",
        "bedrock-agentcore:ConnectBrowserAutomationStream",
        "bedrock-agentcore:ConnectBrowserLiveViewStream"
      ],
      "Resource": "arn:aws:bedrock-agentcore:<region>:<accountId>:browser-custom/<browserCustomId>"
    }
  ]
}

AgentCore 程式碼解譯器 （自訂）

當您的繫帶使用客戶擁有的自訂程式碼解譯器時，請新增此政策。

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "AgentCoreCodeInterpreterCustom",
      "Effect": "Allow",
      "Action": [
        "bedrock-agentcore:StartCodeInterpreterSession",
        "bedrock-agentcore:StopCodeInterpreterSession",
        "bedrock-agentcore:GetCodeInterpreterSession",
        "bedrock-agentcore:ListCodeInterpreterSessions",
        "bedrock-agentcore:InvokeCodeInterpreter"
      ],
      "Resource": "arn:aws:bedrock-agentcore:<region>:<accountId>:code-interpreter-custom/<codeInterpreterCustomId>"
    }
  ]
}

AgentCore Gateway

當您的繫帶使用以 SigV4 傳入身分驗證設定的閘道時，請新增此政策。

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "AgentCoreGatewayAccess",
      "Effect": "Allow",
      "Action": "bedrock-agentcore:InvokeGateway",
      "Resource": "arn:aws:bedrock-agentcore:<region>:<accountId>:gateway/<gatewayId>"
    }
  ]
}

Amazon S3 和 Git 中的技能來源

當您的繫帶從 Amazon S3 來源擷取技能時，請新增此政策。執行角色會列出並下載儲存貯體字首下的技能物件。

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "AgentCoreSkillS3Access",
      "Effect": "Allow",
      "Action": [
        "s3:GetObject",
        "s3:ListBucket"
      ],
      "Resource": [
        "arn:aws:s3:::<skillBucket>",
        "arn:aws:s3:::<skillBucket>/*"
      ]
    }
  ]
}

若要從私有 Git 儲存庫擷取技能，集合會從 API 金鑰登入資料提供者讀取個人存取字符。針對保留字符的登入資料提供者，授予如下所示的 API 金鑰登入資料提供者政策。

API 金鑰登入資料提供者 (OpenAI、Gemini、LiteLLM 或 MCP 標頭 ARN 參考）

當您的繫帶使用適用於 OpenAI、Gemini 或 LiteLLM 等模型提供者的 API 金鑰登入資料提供者時，請新增此政策。

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "AgentCoreApiKeyTokenVaultDefault",
      "Effect": "Allow",
      "Action": "bedrock-agentcore:GetResourceApiKey",
      "Resource": [
        "arn:aws:bedrock-agentcore:<region>:<accountId>:token-vault/default",
        "arn:aws:bedrock-agentcore:<region>:<accountId>:workload-identity-directory/default",
        "arn:aws:bedrock-agentcore:<region>:<accountId>:workload-identity-directory/default/workload-identity/harness_<agentName>-*"
      ]
    },
    {
      "Sid": "AgentCoreApiKeyTokenVaultPerKey",
      "Effect": "Allow",
      "Action": "bedrock-agentcore:GetResourceApiKey",
      "Resource": "arn:aws:bedrock-agentcore:<region>:<accountId>:token-vault/default/apikeycredentialprovider/<apiKeyName>"
    },
    {
      "Sid": "AgentCoreApiKeySecret",
      "Effect": "Allow",
      "Action": "secretsmanager:GetSecretValue",
      "Resource": "arn:aws:secretsmanager:<region>:<accountId>:secret:bedrock-agentcore-identity!default/apikey/<apiKeyName>-*"
    }
  ]
}

OAuth2 登入資料提供者 (OAuth 保護的閘道）

當您的繫帶針對 OAuth 保護的閘道工具使用 OAuth2 登入資料提供者時，請新增此政策。 OAuth

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "AgentCoreOAuth2TokenVaultDefault",
      "Effect": "Allow",
      "Action": "bedrock-agentcore:GetResourceOauth2Token",
      "Resource": [
        "arn:aws:bedrock-agentcore:<region>:<accountId>:token-vault/default",
        "arn:aws:bedrock-agentcore:<region>:<accountId>:workload-identity-directory/default",
        "arn:aws:bedrock-agentcore:<region>:<accountId>:workload-identity-directory/default/workload-identity/harness_<agentName>-*"
      ]
    },
    {
      "Sid": "AgentCoreOAuth2TokenVaultPerProvider",
      "Effect": "Allow",
      "Action": "bedrock-agentcore:GetResourceOauth2Token",
      "Resource": "arn:aws:bedrock-agentcore:<region>:<accountId>:token-vault/default/oauth2credentialprovider/<oauthProviderName>"
    },
    {
      "Sid": "AgentCoreOAuth2Secret",
      "Effect": "Allow",
      "Action": "secretsmanager:GetSecretValue",
      "Resource": "arn:aws:secretsmanager:<region>:<accountId>:secret:bedrock-agentcore-identity!default/oauth2/<oauthProviderName>-*"
    }
  ]
}

預留位置參考

將上述政策中的下列預留位置取代為您的環境特有的值：

相關主題