AWS 客服人員登錄檔的考量事項建立 AWS 代理程式登錄檔的介面端點為您的介面端點建立端點政策

具有 AWS 代理程式登錄檔的 VPC 和 AWS PrivateLink

您可以使用 AWS PrivateLink 在 VPC 和 AWS 客服人員登錄檔之間建立私有連線。您可以像在 VPC 中一樣存取 AWS 代理程式登錄檔，無需使用網際網路閘道、NAT 裝置、VPN 連接或 AWS Direct Connect 連接。VPC 中的執行個體不需要公有 IP 地址即可存取 AWS 代理程式登錄檔。

您可以透過建立介面端點 來建立此私有連線，該端點由 AWS PrivateLink 提供支援。我們會在您為介面端點啟用的每個子網中建立端點網路介面。這些是請求者管理的網路介面，可做為目的地為 AWS 客服人員登錄檔之流量的進入點。

如需詳細資訊，請參閱《 AWS PrivateLink 指南》中的透過 PrivateLink 存取 AWS 服務。 AWS PrivateLink

AWS 客服人員登錄檔的考量事項

在您設定 AWS 客服人員登錄檔的界面端點之前，請檢閱 AWS PrivateLink 指南中的考量事項。

AWS 代理程式登錄檔提供兩個 AWS PrivateLink 端點：

控制平面端點：com.amazonaws.region.agent-registry-control— 用於登錄和記錄管理（建立、更新、刪除操作等）。
資料平面端點：com.amazonaws.region.agent-registry— 用於記錄探索和登錄 MCP 端點（搜尋、InvokeRegistryMcp 等）。

如需可用 AWS 客服人員登錄界面端點 AWS 的區域清單，請參閱支援 AWS 的區域。介面端點可在可使用 AWS 客服人員登錄檔的每個區域中使用。

重要

資料平面 APIs 支援 AWS Signature 第 4 版 (SigV4) 標頭進行身分驗證和 Bearer Token (OAuth) 身分驗證，並且會針對兩者評估您的端點政策。承載字符發起人不攜帶 IAM 身分，因此只比對Principal其為 * 的陳述式，絕不會比對特定帳戶、角色或使用者 ARN。若要讓承載字符請求透過端點成功，將 Principal設定為 * 的Allow陳述式必須涵蓋動作和資源；命名特定 AWS 身分的陳述式不會認可它們。若要限制承載字符發起人，請使用Principal將設為 * 的Deny陳述式，範圍為 Action和 Resource — 您無法依委託人區分個別承載發起人，因為承載發起人在委託人層級是無法區分的。登錄檔是由 SigV4 或 JWT 根據其授權authorizerType，絕不會同時授權兩者，因此每個登錄檔只需要符合其授權模式的陳述式表單。

AWS 代理程式登錄檔支援 AWS IAM 全域條件內容索引鍵，包括 aws:SourceVpc和 aws:SourceVpce。根據預設，您可以透過介面端點完整存取 AWS 代理程式登錄檔。若要限制該存取，請將自訂端點政策連接至介面端點，或將安全群組與端點網路介面建立關聯。

建立 AWS 代理程式登錄檔的介面端點

您可以使用 Amazon VPC 主控台或 AWS 命令列界面 (AWS CLI) 來建立 AWS 代理程式登錄檔的界面端點。如需詳細資訊，請參閱 AWS PrivateLink 指南中的建立介面端點。

使用下列服務名稱格式建立 AWS 代理程式登錄檔的介面端點：

對於控制平面操作（註冊和記錄管理）： com.amazonaws.region.agent-registry-control （例如，com.amazonaws.us-east-1.agent-registry-control)
對於資料平面操作（記錄探索和登錄 MCP 端點）： com.amazonaws.region.agent-registry （例如，com.amazonaws.us-east-1.agent-registry)

如果您為介面端點啟用私有 DNS，您可以使用其預設區域 DNS 名稱向 AWS 客服人員登錄檔提出 API 請求：

控制平面： agent-registry-control.region.api.aws（例如，agent-registry-control.us-east-1.api.aws)
資料平面： agent-registry.region.api.aws（例如，agent-registry.us-east-1.api.aws)

為您的介面端點建立端點政策

端點政策為 IAM 資源，您可將其連接至介面端點。使用預設端點政策，您可以透過介面端點完整存取 AWS 代理程式登錄檔。若要限制該存取，請連接自訂端點政策。

端點政策會指定以下資訊：

可執行動作的主體 (AWS 帳戶、IAM 使用者和 IAM 角色）。
- 對於 AWS 客服人員登錄檔資料平面端點，如果登錄檔使用 JWT 授權而非 AWS Signature 第 4 版 (SigV4)，則針對授權 JWT 呼叫者的任何陳述式，將 Principal設定為 *。使用以 SigV4-based身分驗證，您可以將 Principal 定義為特定 AWS 身分。
可執行的動作。
可供執行動作的資源。

如需詳細資訊，請參閱《 AWS PrivateLink 指南》中的使用端點政策控制對服務的存取。

下列範例顯示每個 AWS Agent Registry 端點的端點政策。選擇索引標籤以檢視控制平面、資料平面記錄探索操作或資料平面 MCP 端點的政策。

範例

Control plane (registry and record management)

下列端點政策允許特定 IAM 主體透過控制平面端點管理登錄檔及其記錄。


{
   "Statement": [
      {
         "Effect": "Allow",
         "Principal": {
            "AWS": "arn:aws:iam::ACCOUNT_ID:root"
         },
         "Action": [
            "agent-registry:CreateRegistry",
            "agent-registry:GetRegistry",
            "agent-registry:UpdateRegistry",
            "agent-registry:DeleteRegistry",
            "agent-registry:ListRegistries",
            "agent-registry:CreateRegistryRecord",
            "agent-registry:GetRegistryRecord",
            "agent-registry:UpdateRegistryRecord",
            "agent-registry:DeleteRegistryRecord",
            "agent-registry:ListRegistryRecords",
            "agent-registry:SubmitRegistryRecordForApproval",
            "agent-registry:UpdateRegistryRecordStatus"
         ],
         "Resource": "arn:aws:agent-registry:us-east-1:ACCOUNT_ID:registry/*"
      }
   ]
}

下列端點政策允許特定 IAM 主體透過控制平面端點對登錄檔和記錄中繼資料的唯讀存取權，適用於在不修改登錄檔的情況下建立庫存登錄檔的工具。

登錄檔中繼資料的唯讀存取權


{
   "Statement": [
      {
         "Effect": "Allow",
         "Principal": {
            "AWS": "arn:aws:iam::ACCOUNT_ID:root"
         },
         "Action": [
            "agent-registry:GetRegistry",
            "agent-registry:ListRegistries",
            "agent-registry:GetRegistryRecord",
            "agent-registry:ListRegistryRecords"
         ],
         "Resource": "arn:aws:agent-registry:us-east-1:ACCOUNT_ID:registry/*"
      }
   ]
}

若要限制對單一登錄檔及其記錄的控制平面存取，請使用以特定為目標的兩個資源 ARNsREGISTRY_ID：一個用於登錄檔本身 (registry/REGISTRY_ID)，另一個用於其記錄 ()registry/REGISTRY_ID/record/*。 CreateRegistry 和會在帳戶層級ListRegistries操作，並且無法範圍限定為特定登錄檔 ARN，因此，請將其從動作清單中捨棄，如果發起人需要，請使用萬用字元資源分別授予它們。

範圍存取單一登錄檔


{
   "Statement": [
      {
         "Effect": "Allow",
         "Principal": {
            "AWS": "arn:aws:iam::ACCOUNT_ID:root"
         },
         "Action": [
            "agent-registry:GetRegistry",
            "agent-registry:UpdateRegistry",
            "agent-registry:DeleteRegistry",
            "agent-registry:CreateRegistryRecord",
            "agent-registry:GetRegistryRecord",
            "agent-registry:UpdateRegistryRecord",
            "agent-registry:DeleteRegistryRecord",
            "agent-registry:ListRegistryRecords",
            "agent-registry:SubmitRegistryRecordForApproval",
            "agent-registry:UpdateRegistryRecordStatus"
         ],
         "Resource": [
            "arn:aws:agent-registry:us-east-1:ACCOUNT_ID:registry/REGISTRY_ID",
            "arn:aws:agent-registry:us-east-1:ACCOUNT_ID:registry/REGISTRY_ID/record/*"
         ]
      }
   ]
}

Data plane (record discovery)

下列端點政策允許特定 IAM 主體透過資料平面端點，在單一登錄檔中搜尋和瀏覽已核准的記錄。


{
   "Statement": [
      {
         "Effect": "Allow",
         "Principal": {
            "AWS": "arn:aws:iam::ACCOUNT_ID:root"
         },
         "Action": [
            "agent-registry:SearchDiscoverableRegistryRecords",
            "agent-registry:ListDiscoverableRegistryRecords",
            "agent-registry:GetDiscoverableRegistryRecord"
         ],
         "Resource": [
            "arn:aws:agent-registry:us-east-1:ACCOUNT_ID:registry/REGISTRY_ID",
            "arn:aws:agent-registry:us-east-1:ACCOUNT_ID:registry/REGISTRY_ID/record/*"
         ]
      }
   ]
}

下列政策允許特定 IAM 主體搜尋 SigV4-authorized的登錄檔，以及任何已驗證的 JWT 發起人透過相同的端點搜尋 JWT 授權的登錄檔。

混合 SigV4 和 JWT 授權


{
   "Statement": [
      {
         "Sid": "AllowIamSearchOnSigV4Registry",
         "Effect": "Allow",
         "Principal": {
            "AWS": "arn:aws:iam::ACCOUNT_ID:root"
         },
         "Action": [
            "agent-registry:SearchDiscoverableRegistryRecords",
            "agent-registry:ListDiscoverableRegistryRecords",
            "agent-registry:GetDiscoverableRegistryRecord"
         ],
         "Resource": [
            "arn:aws:agent-registry:us-east-1:ACCOUNT_ID:registry/SIGV4_REGISTRY_ID",
            "arn:aws:agent-registry:us-east-1:ACCOUNT_ID:registry/SIGV4_REGISTRY_ID/record/*"
         ]
      },
      {
         "Sid": "AllowJwtSearchOnJwtRegistry",
         "Effect": "Allow",
         "Principal": "*",
         "Action": [
            "agent-registry:SearchDiscoverableRegistryRecords",
            "agent-registry:ListDiscoverableRegistryRecords",
            "agent-registry:GetDiscoverableRegistryRecord"
         ],
         "Resource": [
            "arn:aws:agent-registry:us-east-1:ACCOUNT_ID:registry/JWT_REGISTRY_ID",
            "arn:aws:agent-registry:us-east-1:ACCOUNT_ID:registry/JWT_REGISTRY_ID/record/*"
         ]
      }
   ]
}

Data plane (registry MCP endpoint)

下列端點政策允許任何已驗證的發起人在 JWT 授權的登錄檔上調用登錄檔 MCP 端點。由於 JWT 授權登錄檔上的 MCP 端點是由承載字符而非 SigV4 驗證，請將 Principal 設定為 *。
```
{
   "Statement": [
      {
         "Effect": "Allow",
         "Principal": "*",
         "Action": [
            "agent-registry:InvokeRegistryMcp",
            "agent-registry:SearchDiscoverableRegistryRecords"
         ],
         "Resource": "arn:aws:agent-registry:us-east-1:ACCOUNT_ID:registry/REGISTRY_ID"
      }
   ]
}
```
InvokeRegistryMcp 不會以 SDK 用戶端方法公開 — 這是 IAM 動作，可授權透過資料平面端點傳送至登錄檔 MCP 通訊協定路徑的流量。呼叫登錄檔 MCP 端點需要 agent-registry:InvokeRegistryMcp和探索搜尋動作。在agent-registry命名空間中，搜尋動作為 agent-registry:SearchDiscoverableRegistryRecords；在舊版bedrock-agentcore命名空間中，搜尋動作為 bedrock-agentcore:SearchRegistryRecords。

您的瀏覽器已停用或無法使用 Javascript。

您必須啟用 Javascript，才能使用 AWS 文件。請參閱您的瀏覽器說明頁以取得說明。

文件慣用形式

AWS CloudTrail 整合

IAM 許可