AWS Amazon Bedrock AgentCore 的 受管政策

bedrock-agentcore (Amazon Bedrock Agent Core) – 允許主體完整存取所有 Amazon Bedrock Agent Core 資源。

iam (AWS 身分識別和存取管理） – 允許主體列出並取得角色和政策的相關資訊，以及將名稱中具有 "BedrockAgentCore" 的角色傳遞給 bedrock-agentcore 服務。也允許為 CloudWatch Application Signals、Amazon Bedrock AgentCore 網路、Amazon Bedrock AgentCore 執行期身分和 AgentCore 執行期執行個體建立服務連結角色。

secretsmanager (AWS Secrets Manager) – 允許主體建立、更新、擷取和刪除名稱開頭為 "bedrock-agentcore" 的秘密。

kms (AWS 金鑰管理服務） – 允許主體列出和描述金鑰，並在透過 Amazon Bedrock AgentCore 服務呼叫時，解密資料並在同一 AWS 帳戶中產生資料金鑰。也允許主體在加密 AgentCore 資源的客戶受管金鑰上建立和列出 AWS KMS 授予，包括範圍限定為 AgentCore 政策引擎 （及其政策和政策世代） 的授予，以便使用客戶受管金鑰加密政策引擎。

s3 (Amazon Simple Storage Service) – 允許主體透過 Amazon Bedrock AgentCore 服務呼叫時，從名稱開頭為 "bedrock-agentcore-gateway-" 的 S3 儲存貯體取得物件。

lambda (AWS Lambda) – 允許主體列出 Lambda 函數。

logs (Amazon CloudWatch Logs) – 允許主體存取、查詢和管理與 Amazon Bedrock AgentCore 和 Application Signals 相關的日誌群組中的日誌資料，包括建立日誌群組和串流。

application-autoscaling （應用程式Auto Scaling) – 允許主體描述擴展政策。

application-signals (Amazon CloudWatch Application Signals) – 允許主體擷取應用程式訊號的相關資訊並開始探索。

autoscaling (Amazon EC2 Auto Scaling) – 允許主體描述 Auto Scaling 資源。

cloudwatch (Amazon CloudWatch) – 允許主體擷取和列出指標、產生查詢，以及存取其他 CloudWatch 資源。

oam (Amazon CloudWatch Observability Access Manager) – 允許主體列出接收器。

rum (Amazon CloudWatch RUM) – 允許主體擷取和列出 RUM 資源。

synthetics (Amazon CloudWatch Synthetics) – 允許主體描述和取得 Synthetics 資源的相關資訊。

xray (AWS X-Ray) – 允許主體擷取追蹤資訊、管理追蹤區段目的地，以及使用索引規則。

ecr (Amazon Elastic Container Registry) – 允許主體描述儲存庫、列出映像和描述映像。

bedrock (Amazon Bedrock) – 允許主體調用基礎模型和推論描述檔以供評估之用。

iam:CreateRole 不包含 。當您在主控台中建立特定 AgentCore 資源 （例如，設備或執行時間） 時，您可以選擇讓主控台代表您自動建立資源的執行角色。這需要未包含在此受管政策中的iam:CreateRole許可。如需詳細資訊，請參閱 主控台中的對 iam：CreateRole 授權進行故障診斷。

iam:PassRole 依角色名稱範圍。當您建立特定 AgentCore 資源 （例如，設備或執行時間） 時，您必須擁有資源執行角色的iam:PassRole許可。此受管政策僅包含名稱符合 之角色的iam:PassRole許可*BedrockAgentCore*。如需詳細資訊，請參閱疑難排解 iam：PassRole 授權。

GetWorkloadAccessTokenForUserId 包含 。此政策授予呼叫 的許可GetWorkloadAccessTokenForUserId，允許使用發起人提供的使用者識別符字串發出工作負載存取字符，而不需要 IdP 字符驗證。這適用於開發和快速入門案例。對於生產部署，請建立僅授予 GetWorkloadAccessTokenForJWT（驗證 JWT 簽章、發行者和過期） 的自訂 IAM 政策，並在您的工作負載始終有可用的 JWT GetWorkloadAccessTokenForUserId 時明確拒絕。如需詳細資訊，請參閱取得工作負載存取字符。

ec2 (Amazon Elastic Compute Cloud) – 允許服務建立、管理和刪除 VPC 中的網路介面、指派和取消指派私有 IP 地址，以及描述 VPC 資源。網路介面會加上 "AmazonBedrockAgentCoreManaged" 標籤，以確保服務僅管理其建立的資源。

bedrock – 允許主體呼叫 Amazon Bedrock Invokemodel和 InvokeModelWithResponseStream動作。這是必要的，以便客服人員可以存放記憶體。

bedrock-mantle – 允許主體呼叫 CreateInference和 CallWithBearerToken動作。這是必要的，以便服務可以使用 Amazon Bedrock Mantle 模型處理記憶體。

bedrock-agentcore (Amazon Bedrock Agent Core) – 允許服務取得 JWT 身分驗證和使用者 ID 型身分驗證的工作負載存取字符。特別允許預設工作負載身分目錄及其相關聯工作負載身分上的 GetWorkloadAccessToken GetWorkloadAccessTokenForJWT 、 和 GetWorkloadAccessTokenForUserId動作。

ec2 (Amazon Elastic Compute Cloud) – 允許服務描述運算資源和終止執行個體、分離和刪除 Amazon EBS 磁碟區，以及刪除服務管理的啟動範本。存取的範圍僅限於 AgentCore 使用 ec2:ManagedResourceOperator條件金鑰管理的資源。

autoscaling (Amazon EC2 Auto Scaling) – 允許服務描述和刪除其建立的 Auto Scaling 群組，並完成生命週期動作。存取的範圍是使用 標記的資源bedrock-agentcore:capacity-provider-id。

events (Amazon EventBridge) – 允許服務從其管理的 EventBridge 規則中移除和刪除目標。存取的範圍是將 events:ManagedBy 條件金鑰設為 的資源bedrock-agentcore.amazonaws.com。

ec2 (Amazon Elastic Compute Cloud) – 允許服務描述、建立、標記和管理支援容量提供者的 EC2 資源，包括啟動範本、機群、執行個體、網路介面和 Amazon EBS 磁碟區。建立資源的存取權受bedrock-agentcore:capacity-provider-id請求標籤限制，而管理現有資源的存取權受ec2:ManagedResourceOperator條件索引鍵限制。執行個體只會從 Amazon 擁有AMIs 啟動。

autoscaling (Amazon EC2 Auto Scaling) – 允許服務建立和管理啟動執行個體的 Auto Scaling 群組。存取範圍限定為名為 的 Auto Scaling 群組，加上 agentcore-managed-instances- 字首和 標記bedrock-agentcore:capacity-provider-id。

events (Amazon EventBridge) – 允許服務建立和管理交付執行個體生命週期事件的 EventBridge 規則 （以agentcore-lifecycle-events-字首命名）。

iam – 允許服務建立 Auto Scaling 服務連結角色，並將預設執行個體角色 （含 AmazonBedrockAgentCoreCapacityProviderDefaultInstanceRole 字首） 和其他 AgentCore 服務角色傳遞至 Amazon EC2。

bedrock-agentcore (Amazon Bedrock AgentCore) – 允許執行個體呼叫 ，PutSystemLogEvents以便 AgentCore 可以從執行個體收集系統日誌。