AWS Amazon Bedrock AgentCore 的 受管政策

bedrock-agentcore (Amazon Bedrock Agent Core) – 允許主體完整存取所有 Amazon Bedrock Agent Core 資源。

iam (AWS 身分識別和存取管理） – 允許主體列出並取得角色和政策的相關資訊，以及將名稱中具有 "BedrockAgentCore" 的角色傳遞給 bedrock-agentcore 服務。也允許為 CloudWatch Application Signals、Amazon Bedrock AgentCore 網路和 Amazon Bedrock AgentCore 執行期身分建立服務連結角色。

secretsmanager (AWS Secrets Manager) – 允許主體建立、更新、擷取和刪除名稱開頭為 "bedrock-agentcore" 的秘密。

kms (AWS 金鑰管理服務） – 允許主體列出和描述金鑰，並在透過 Amazon Bedrock AgentCore 服務呼叫時解密相同 AWS 帳戶中的資料。

s3 (Amazon Simple Storage Service) – 允許主體透過 Amazon Bedrock AgentCore 服務呼叫時，從名稱開頭為 "bedrock-agentcore-gateway-" 的 S3 儲存貯體取得物件。

lambda (AWS Lambda) – 允許主體列出 Lambda 函數。

logs (Amazon CloudWatch Logs) – 允許主體存取、查詢和管理與 Amazon Bedrock AgentCore 和 Application Signals 相關的日誌群組中的日誌資料，包括建立日誌群組和串流。

application-autoscaling （應用程式Auto Scaling) – 允許主體描述擴展政策。

application-signals (Amazon CloudWatch Application Signals) – 允許主體擷取應用程式訊號的相關資訊並開始探索。

autoscaling (Amazon EC2 Auto Scaling) – 允許主體描述 Auto Scaling 資源。

cloudwatch (Amazon CloudWatch) – 允許主體擷取和列出指標、產生查詢，以及存取其他 CloudWatch 資源。

oam (Amazon CloudWatch Observability Access Manager) – 允許主體列出接收器。

rum (Amazon CloudWatch RUM) – 允許主體擷取和列出 RUM 資源。

synthetics (Amazon CloudWatch Synthetics) – 允許主體描述和取得 Synthetics 資源的相關資訊。

xray (AWS X-Ray) – 允許主體擷取追蹤資訊、管理追蹤區段目的地，以及使用索引規則。

ecr (Amazon Elastic Container Registry) – 允許主體描述儲存庫、列出映像和描述映像。

bedrock (Amazon Bedrock) – 允許主體調用基礎模型和推論描述檔以供評估之用。

iam:CreateRole 不包含 。當您在主控台中建立特定 AgentCore 資源 （例如，設備或執行時間） 時，您可以選擇讓主控台代表您自動建立資源的執行角色。這需要未包含在此受管政策中的iam:CreateRole許可。如需詳細資訊，請參閱 主控台中的對 iam：CreateRole 授權進行故障診斷。

iam:PassRole 依角色名稱範圍。當您建立特定 AgentCore 資源 （例如，設備或執行時間） 時，您必須擁有資源執行角色的iam:PassRole許可。此受管政策僅包含名稱符合 之角色的iam:PassRole許可*BedrockAgentCore*。如需詳細資訊，請參閱疑難排解 iam：PassRole 授權。

GetWorkloadAccessTokenForUserId 包含 。此政策授予呼叫 的許可GetWorkloadAccessTokenForUserId，允許使用發起人提供的使用者識別符字串發出工作負載存取字符，而不需要 IdP 字符驗證。這適用於開發和快速入門案例。對於生產部署，請建立僅授予 GetWorkloadAccessTokenForJWT（驗證 JWT 簽章、發行者和過期） 的自訂 IAM 政策，並在您的工作負載始終有可用的 JWT GetWorkloadAccessTokenForUserId 時明確拒絕。如需詳細資訊，請參閱取得工作負載存取字符。

ec2 (Amazon Elastic Compute Cloud) – 允許服務建立、管理和刪除 VPC 中的網路介面、指派和取消指派私有 IP 地址，以及描述 VPC 資源。網路介面會加上 "AmazonBedrockAgentCoreManaged" 標籤，以確保服務僅管理其建立的資源。

bedrock – 允許主體呼叫 Amazon Bedrock Invokemodel和 InvokeModelWithResponseStream動作。這是必要的，以便客服人員可以存放記憶體。

bedrock-mantle – 允許主體呼叫 CreateInference和 CallWithBearerToken動作。這是必要的，以便服務可以使用 Amazon Bedrock Mantle 模型處理記憶體。

bedrock-agentcore (Amazon Bedrock Agent Core) – 允許服務取得 JWT 身分驗證和使用者 ID 型身分驗證的工作負載存取字符。特別允許預設工作負載身分目錄及其相關聯工作負載身分上的 GetWorkloadAccessToken GetWorkloadAccessTokenForJWT 、 和 GetWorkloadAccessTokenForUserId動作。