本文為英文版的機器翻譯版本，如內容有任何歧義或不一致之處，概以英文版為準。

安全性和存取控制

該機制為您提供與 AgentCore 其他部分相同的安全基本概念，以組態連接。

共同責任模型

繫帶是以 AgentCore 執行期為基礎，且安全界限相同：IAM 或 JWT 身分驗證與 microVM 隔離結合。任何傳遞該閘道的委託人都會到達在集合上設定的工具和功能，這使得發起人授權和輸入驗證成為客戶的責任。

如需完整的 AgentCore 執行期共同責任模型，請參閱 AgentCore 執行期的安全最佳實務。

信任界限和輸入驗證

任何傳遞 IAM 或 JWT 身分驗證和授權閘道的委託人都可以存取完整的 microVM 工作階段，包括在集合上設定的工具和功能。繫帶會驗證其接受之請求的結構，但不會檢查提示、畫面內容或對代理程式強制執行行為限制的意義。

如果您向未完全信任的最終使用者公開 （員工、外部消費者或第三方整合），請在將訊息傳遞至 之前，先驗證並淨化應用程式層中的訊息InvokeHarness。這包括分割內容區塊類型或您不希望分派的模型組態欄位。此模式與任何接受來自授權發起人承載的服務相同，例如 Lambda、Amazon API Gateway 和 Amazon SQS。

工具只會因為模型推理而執行。繫帶不接受toolUseInvokeHarness請求的最終訊息中使用 區塊，因此發起人無法命名工具並使其直接分派。

下列範例顯示已設定拒絕繫帶的請求。最終訊息包含命名內建shell工具的toolUse區塊：

response = client.invoke_harness(
    harnessArn=HARNESS_ARN,
    runtimeSessionId=SESSION_ID,
    messages=[{
      "role": "assistant",
      "content": [
        {
          "toolUse": {
            "toolUseId": TOOL_USE_ID,
            "name": "shell",
            "input": {
              "command": "pwd",
            }
          }
        }
      ]
    }],
)

集合不會評估哪些工具區塊名稱，因此這適用於內建伺服器端工具和通話中提供的內嵌函數。

仍然支援傳回工具結果。繫帶接受最終訊息中的 toolResult 區塊，模型會繼續推理該結果。這就是內嵌函數工具的運作方式：在相同的請求toolResult中，助理toolUse訊息後面接著 ，因此toolUse區塊不在最終訊息中。

模型組態參數

中的 model 欄位InvokeHarnessadditionalParams接受 Bedrock、OpenAI 和 LiteLLM 組態。這些參數會以不變的方式傳遞至基礎模型提供者。繫帶不會驗證、篩選或限制這些參數。

可以設定的來電者additionalParams可以：

如果您的應用程式向未完全信任的發起人公開InvokeHarness功能，請考慮在應用程式層中實作輸入驗證。範例包括：

技能和指示

技能是在調用時從 Amazon S3 或 Git 擷取的 Markdown 和指令碼套件，並注入代理程式的內容。繫帶會將所有技能內容視為信任的輸入。在將技能的內容或來源提供給客服人員之前，不會對其進行驗證、淨化或檢查。

您負責：

每個InvokeHarness呼叫都可以覆寫技能。如果您的應用程式轉送發起人提供的輸入到 InvokeHarness，發起人可以提供自己的技能來源，其中包含任意指示或指令碼。緩解措施的範例包括：

可觀測性和追蹤相互關聯性

該機制會自動將相互關聯識別符傳播到下游 AgentCore 基本概念 （閘道、記憶體、程式碼解譯器、瀏覽器），以在 CloudWatch 中啟用統一追蹤檢視。這些識別符僅用於可觀測性，絕不會用於授權或資料存取決策。

網路組態

根據預設，掛載工作階段會在公有網路上執行。若要存取私有資源 （資料庫、內部 APIs、私有子網路），請在 VPC 中部署繫帶。

如需其他網路組態指引，請參閱設定 AgentCore 執行期和內建工具 VPC 組態。如需透過 PrivateLink 的傳入 API 連線，請參閱 VPC 介面端點。

傳入 OAuth

要求發起人出示由已設定身分提供者發出的有效 JWT，然後才能叫用該集合。AgentCore Identity 透過代理程式執行最終使用者身分，因此下游工具可以使用範圍使用者憑證呼叫 APIs，而不是共用服務帳戶。

進一步了解：AgentCore Identity · 傳入 JWT 授權方 · 傳出憑證

閘道政策

透過 AgentCore Gateway 提供工具時，以 Cedar 為基礎的政策會觸發每次呼叫：誰可以呼叫哪些工具、哪些條件、哪些引數。

進一步了解：AgentCore 政策 · 常見模式

執行角色政策

繫帶會擔任您提供的 IAM 執行角色。角色的信任政策必須允許 AgentCore 服務主體擔任該角色：

{
  "Version": "2012-10-17",
  "Statement": [{
    "Effect": "Allow",
    "Principal": {"Service": "bedrock-agentcore.amazonaws.com"},
    "Action": "sts:AssumeRole"
  }]
}

呼叫者所需的 IAM 許可

Harness APIs需要對集合資源和基礎 AgentCore 執行期和選用 AgentCore 記憶體資源的許可。下表列出每個 API 的必要動作：

大多數動作都會使用繫帶 ARN 做為資源範圍：arn:aws:bedrock-agentcore:<region>:<accountId>:harness/<id>。端點動作也會使用繫帶端點 ARN：arn:aws:bedrock-agentcore:<region>:<accountId>:harness/<id>/harness-endpoint/<endpointName>。

GetHarnessEndpoint、 UpdateHarnessEndpoint和 DeleteHarnessEndpoint動作需要繫帶 ARN 和端點 ARN。 CreateHarnessEndpoint只需要繫帶 ARN。端點尚不存在，因此不需要端點 ARN。當您叫用自訂端點時， InvokeHarness 會同時InvokeAgentRuntimeCommand需要繫帶 ARN 和端點 ARN。

範例執行角色政策

下列範例涵蓋公有網路上的繫帶，這會從 Amazon ECR Public 提取其受管容器映像。VPC 模式中的繫帶會從繫帶區域中的私有 Amazon ECR 儲存庫提取受管映像，因此其執行角色也需要私有 ECR 提取許可。在 VPC 模式中新增陳述式：從私有 ECR 提取受管映像到 VPC 模式繫帶的執行角色。

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "BedrockModelInvocation",
      "Effect": "Allow",
      "Action": [
        "bedrock:InvokeModel",
        "bedrock:InvokeModelWithResponseStream"
      ],
      "Resource": [
        "arn:aws:bedrock:*::foundation-model/*",
        "arn:aws:bedrock:<region>:<accountId>:*"
      ]
    },
    {
      "Sid": "EcrPublicTokenAccess",
      "Effect": "Allow",
      "Action": [
        "ecr-public:GetAuthorizationToken"
      ],
      "Resource": "*"
    },
    {
      "Sid": "StsForEcrPublicPull",
      "Effect": "Allow",
      "Action": [
        "sts:GetServiceBearerToken"
      ],
      "Resource": "*"
    },
    {
      "Sid": "XRayTracingAccess",
      "Effect": "Allow",
      "Action": [
        "xray:PutTraceSegments",
        "xray:PutTelemetryRecords",
        "xray:GetSamplingRules",
        "xray:GetSamplingTargets"
      ],
      "Resource": "*"
    },
    {
      "Sid": "CloudWatchLogsGroup",
      "Effect": "Allow",
      "Action": [
        "logs:CreateLogGroup",
        "logs:DescribeLogStreams"
      ],
      "Resource": "arn:aws:logs:<region>:<accountId>:log-group:/aws/bedrock-agentcore/runtimes/*"
    },
    {
      "Sid": "CloudWatchLogsDescribeGroups",
      "Effect": "Allow",
      "Action": [
        "logs:DescribeLogGroups"
      ],
      "Resource": "arn:aws:logs:<region>:<accountId>:log-group:*"
    },
    {
      "Sid": "CloudWatchLogsStream",
      "Effect": "Allow",
      "Action": [
        "logs:CreateLogStream",
        "logs:PutLogEvents"
      ],
      "Resource": "arn:aws:logs:<region>:<accountId>:log-group:/aws/bedrock-agentcore/runtimes/*:log-stream:*"
    },
    {
      "Sid": "CloudWatchLogsPutResourcePolicy",
      "Effect": "Allow",
      "Action": [
        "logs:PutResourcePolicy"
      ],
      "Resource": "*"
    },
    {
      "Sid": "CloudWatchMetricsPublish",
      "Effect": "Allow",
      "Resource": "*",
      "Action": "cloudwatch:PutMetricData",
      "Condition": {
        "StringEquals": {
          "cloudwatch:namespace": "bedrock-agentcore"
        }
      }
    },
    {
      "Sid": "AgentCoreWorkloadIdentity",
      "Effect": "Allow",
      "Action": [
        "bedrock-agentcore:GetWorkloadAccessToken",
        "bedrock-agentcore:GetWorkloadAccessTokenForJWT"
      ],
      "Resource": [
        "arn:aws:bedrock-agentcore:<region>:<accountId>:workload-identity-directory/default",
        "arn:aws:bedrock-agentcore:<region>:<accountId>:workload-identity-directory/default/workload-identity/harness_<agentName>-*"
      ]
    },
    {
      "Sid": "AgentCoreBrowserDefault",
      "Effect": "Allow",
      "Action": [
        "bedrock-agentcore:StartBrowserSession",
        "bedrock-agentcore:StopBrowserSession",
        "bedrock-agentcore:GetBrowserSession",
        "bedrock-agentcore:ListBrowserSessions",
        "bedrock-agentcore:UpdateBrowserStream",
        "bedrock-agentcore:ConnectBrowserAutomationStream",
        "bedrock-agentcore:ConnectBrowserLiveViewStream"
      ],
      "Resource": "arn:aws:bedrock-agentcore:<region>:aws:browser/*"
    },
    {
      "Sid": "AgentCoreCodeInterpreterDefault",
      "Effect": "Allow",
      "Action": [
        "bedrock-agentcore:StartCodeInterpreterSession",
        "bedrock-agentcore:StopCodeInterpreterSession",
        "bedrock-agentcore:GetCodeInterpreterSession",
        "bedrock-agentcore:ListCodeInterpreterSessions",
        "bedrock-agentcore:InvokeCodeInterpreter"
      ],
      "Resource": "arn:aws:bedrock-agentcore:<region>:aws:code-interpreter/*"
    },
    {
      "Sid": "AgentCoreMemory",
      "Effect": "Allow",
      "Action": [
        "bedrock-agentcore:CreateEvent",
        "bedrock-agentcore:DeleteEvent",
        "bedrock-agentcore:GetEvent",
        "bedrock-agentcore:ListEvents",
        "bedrock-agentcore:RetrieveMemoryRecords"
      ],
      "Resource": "arn:aws:bedrock-agentcore:<region>:<accountId>:memory/harness_<agentNameAbbrv>_*"
    }
  ]
}

當您堆疊繫帶專案時，AgentCore CLI 會自動建立具有這些許可的角色。上述政策適用於您自己建立角色的情況。

對於生產工作負載，將Resource值範圍縮小到您設備所需的特定 ARNs，而不是使用 "*"。

選用功能的其他許可

以下是範例政策，您可以根據您繫帶使用的功能，將其附加到您的執行角色。遵循最低權限原則 - 僅授予您的繫帶代理程式推論所需的特定工具和登入資料。如需預留位置定義預留位置參考，請參閱 。

私有 ECR 存取 （自訂容器映像）

當您的繫帶使用自訂容器的私有 ECR 映像時，請新增此政策。

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "ECRImageAccess",
      "Effect": "Allow",
      "Action": [
        "ecr:GetDownloadUrlForLayer",
        "ecr:BatchGetImage"
      ],
      "Resource": "arn:aws:ecr:<ecrRegion>:<ecrAccountId>:repository/<ecrRepoName>"
    },
    {
      "Sid": "ECRTokenAccess",
      "Effect": "Allow",
      "Action": "ecr:GetAuthorizationToken",
      "Resource": "*"
    }
  ]
}

VPC 模式：從私有 ECR 提取受管映像

當您的繫帶在 VPC 模式下執行時，請新增此政策。在 VPC 模式下，繫帶會從繫帶區域中的私有 Amazon ECR 儲存庫提取其受管應用程式容器 （名為 harness-<region>)。此提取使用私有 ECR 而非 Amazon ECR Public，因此執行角色需要私有 ECR 提取許可。此政策與自訂容器映像許可分開，即使您未提供自己的容器，也會套用至 AWS 受管映像。

儲存庫由 AWS 服務帳戶擁有，因此儲存庫 ARN 中的帳戶是萬用字元。提取許可範圍限定為 繫帶區域。

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "EcrManagedImagePull",
      "Effect": "Allow",
      "Action": [
        "ecr:BatchGetImage",
        "ecr:GetDownloadUrlForLayer",
        "ecr:BatchCheckLayerAvailability"
      ],
      "Resource": "arn:aws:ecr:<region>:*:repository/harness-*"
    },
    {
      "Sid": "EcrManagedImageToken",
      "Effect": "Allow",
      "Action": "ecr:GetAuthorizationToken",
      "Resource": "*"
    }
  ]
}

確定所需的 VPC 端點存在於您的 VPC 中 （請參閱網路組態)：適用於 com.amazonaws.<region>.ecr.dkr和 的介面端點com.amazonaws.<region>.ecr.api，以及適用於 的閘道端點com.amazonaws.<region>.s3。

AgentCore 記憶體

當您的繫帶使用客戶擁有的記憶體執行個體時，請新增此政策。

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "AgentCoreMemory",
      "Effect": "Allow",
      "Action": [
        "bedrock-agentcore:CreateEvent",
        "bedrock-agentcore:DeleteEvent",
        "bedrock-agentcore:GetEvent",
        "bedrock-agentcore:ListEvents",
        "bedrock-agentcore:RetrieveMemoryRecords"
      ],
      "Resource": "arn:aws:bedrock-agentcore:<region>:<accountId>:memory/<memoryId>"
    }
  ]
}

AgentCore 瀏覽器 （自訂）

當您的繫帶使用客戶擁有的自訂瀏覽器資源時，請新增此政策。

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "AgentCoreBrowserCustom",
      "Effect": "Allow",
      "Action": [
        "bedrock-agentcore:StartBrowserSession",
        "bedrock-agentcore:StopBrowserSession",
        "bedrock-agentcore:GetBrowserSession",
        "bedrock-agentcore:ListBrowserSessions",
        "bedrock-agentcore:UpdateBrowserStream",
        "bedrock-agentcore:ConnectBrowserAutomationStream",
        "bedrock-agentcore:ConnectBrowserLiveViewStream"
      ],
      "Resource": "arn:aws:bedrock-agentcore:<region>:<accountId>:browser-custom/<browserCustomId>"
    }
  ]
}

AgentCore Code Interpreter （自訂）

當您的繫帶使用客戶擁有的自訂程式碼解譯器時，請新增此政策。

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "AgentCoreCodeInterpreterCustom",
      "Effect": "Allow",
      "Action": [
        "bedrock-agentcore:StartCodeInterpreterSession",
        "bedrock-agentcore:StopCodeInterpreterSession",
        "bedrock-agentcore:GetCodeInterpreterSession",
        "bedrock-agentcore:ListCodeInterpreterSessions",
        "bedrock-agentcore:InvokeCodeInterpreter"
      ],
      "Resource": "arn:aws:bedrock-agentcore:<region>:<accountId>:code-interpreter-custom/<codeInterpreterCustomId>"
    }
  ]
}

AgentCore 閘道

當您的繫帶使用以 SigV4 傳入身分驗證設定的閘道時，請新增此政策。

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "AgentCoreGatewayAccess",
      "Effect": "Allow",
      "Action": "bedrock-agentcore:InvokeGateway",
      "Resource": "arn:aws:bedrock-agentcore:<region>:<accountId>:gateway/<gatewayId>"
    }
  ]
}

Amazon S3 和 Git 中的技能來源

當您的繫帶從 Amazon S3 來源擷取技能時，請新增此政策。執行角色會列出並下載儲存貯體字首下的技能物件。

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "AgentCoreSkillS3Access",
      "Effect": "Allow",
      "Action": [
        "s3:GetObject",
        "s3:ListBucket"
      ],
      "Resource": [
        "arn:aws:s3:::<skillBucket>",
        "arn:aws:s3:::<skillBucket>/*"
      ]
    }
  ]
}

若要從私有 Git 儲存庫擷取技能，繫帶會從 API 金鑰登入資料提供者讀取個人存取字符。針對保存字符的登入資料提供者，授予如下所示的 API 金鑰登入資料提供者政策。

API 金鑰登入資料提供者 (OpenAI、Gemini、LiteLLM 或 MCP 標頭 ARN 參考）

當您的繫帶針對 OpenAI、Gemini 或 LiteLLM 等模型提供者使用 API 金鑰登入資料提供者時，請新增此政策。

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "AgentCoreApiKeyTokenVaultDefault",
      "Effect": "Allow",
      "Action": "bedrock-agentcore:GetResourceApiKey",
      "Resource": [
        "arn:aws:bedrock-agentcore:<region>:<accountId>:token-vault/default",
        "arn:aws:bedrock-agentcore:<region>:<accountId>:workload-identity-directory/default",
        "arn:aws:bedrock-agentcore:<region>:<accountId>:workload-identity-directory/default/workload-identity/harness_<agentName>-*"
      ]
    },
    {
      "Sid": "AgentCoreApiKeyTokenVaultPerKey",
      "Effect": "Allow",
      "Action": "bedrock-agentcore:GetResourceApiKey",
      "Resource": "arn:aws:bedrock-agentcore:<region>:<accountId>:token-vault/default/apikeycredentialprovider/<apiKeyName>"
    },
    {
      "Sid": "AgentCoreApiKeySecret",
      "Effect": "Allow",
      "Action": "secretsmanager:GetSecretValue",
      "Resource": "arn:aws:secretsmanager:<region>:<accountId>:secret:bedrock-agentcore-identity!default/apikey/<apiKeyName>-*"
    }
  ]
}

OAuth2 登入資料提供者 (OAuth 保護的閘道）

當您的繫帶使用 OAuth2 憑證提供者進行 OAuth 保護的閘道工具時，請新增此政策。

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "AgentCoreOAuth2TokenVaultDefault",
      "Effect": "Allow",
      "Action": "bedrock-agentcore:GetResourceOauth2Token",
      "Resource": [
        "arn:aws:bedrock-agentcore:<region>:<accountId>:token-vault/default",
        "arn:aws:bedrock-agentcore:<region>:<accountId>:workload-identity-directory/default",
        "arn:aws:bedrock-agentcore:<region>:<accountId>:workload-identity-directory/default/workload-identity/harness_<agentName>-*"
      ]
    },
    {
      "Sid": "AgentCoreOAuth2TokenVaultPerProvider",
      "Effect": "Allow",
      "Action": "bedrock-agentcore:GetResourceOauth2Token",
      "Resource": "arn:aws:bedrock-agentcore:<region>:<accountId>:token-vault/default/oauth2credentialprovider/<oauthProviderName>"
    },
    {
      "Sid": "AgentCoreOAuth2Secret",
      "Effect": "Allow",
      "Action": "secretsmanager:GetSecretValue",
      "Resource": "arn:aws:secretsmanager:<region>:<accountId>:secret:bedrock-agentcore-identity!default/oauth2/<oauthProviderName>-*"
    }
  ]
}

預留位置參考

將上述政策中的下列預留位置取代為您的環境特有的值：

相關主題