本文為英文版的機器翻譯版本，如內容有任何歧義或不一致之處，概以英文版為準。
使用 AWS 代理程式登錄檔的服務連結角色
遷移現已開啟
AWS 代理程式登錄檔已在新的agent-registry命名空間下啟動。公有預覽bedrock-agentcore命名空間的支援將於 2026 年 9 月 17 日停止。如需遷移說明，請參閱綜合登錄遷移指南。
AWS 客服人員登錄檔使用 AWS Identity and Access Management (IAM) 服務連結角色。服務連結角色是直接連結至 AWS 客服人員登錄檔的唯一 IAM 角色類型。服務連結角色是由 AWS 客服人員登錄檔預先定義，並包含該服務代表您呼叫其他 AWS 服務所需的所有許可。
AWS 客服人員登錄檔使用名為 AWSServiceRoleForAgentRegistry 的服務連結角色。此角色提供 AWS 代理程式登錄檔探索組織成員帳戶 （自動偵測） 的資源、代表您管理登錄檔記錄、設定 Config AWS 組態記錄器以進行資源追蹤，以及發佈 CloudWatch 指標所需的許可。與 相關聯的角色許可政策AWSServiceRoleForAgentRegistry名為 AWSAgentRegistryServiceRolePolicy。如需完整的政策文件，請參閱《 AWS 受管政策參考指南》中的 AWSAgentRegistryServiceRolePolicy。
AWS 代理程式登錄檔的服務連結角色許可
AWS 客服人員登錄檔使用名為 的服務連結角色AWSServiceRoleForAgentRegistry，這可讓 AWS 客服人員登錄檔代表您呼叫 AWS 服務。
AWSServiceRoleForAgentRegistry 服務連結角色信任下列服務以擔任角色：
-
agent-registry.amazonaws.com
名為 的角色許可政策AWSAgentRegistryServiceRolePolicy可讓 AWS 客服人員登錄檔完成下列動作：
AWS Organizations 存取
AWS 客服人員登錄檔會讀取組織中繼資料，以支援跨成員帳戶自動偵測資源。
-
organizations:DescribeAccount— 擷取組織中成員帳戶的詳細資訊。 -
organizations:DescribeOrganization— 擷取組織的相關資訊。 -
organizations:ListAccounts— 列出組織中的所有帳戶。 -
organizations:ListDelegatedAdministrators— 識別註冊自動偵測的委派管理員。
這些動作適用於所有資源 (*)。
AWS 設定服務連結角色建立
AWS 在成員帳戶中設定用於資源追蹤的組態記錄器時，客服人員登錄檔會建立 AWS Config 服務連結角色。
-
iam:CreateServiceLinkedRole— 建立AWSServiceRoleForConfig角色。
此動作僅限於 資源，arn:aws:iam::*:role/aws-service-role/config.amazonaws.com/AWSServiceRoleForConfig並以iam:AWSServiceName等於 為條件config.amazonaws.com。
AWS 組態組態記錄器管理
AWS 代理程式登錄檔會管理服務連結組態記錄器，以追蹤支援的 資源以進行自動偵測。
-
config:PutServiceLinkedConfigurationRecorder— 建立或更新組態記錄器以進行自動偵測。 -
config:DeleteServiceLinkedConfigurationRecorder— 停用自動偵測時移除組態記錄器。 -
config:DescribeConfigurationRecorders— 描述組態記錄器 （讀取存取）。 -
config:DescribeConfigurationRecorderStatus— 檢查組態記錄器的狀態。
寫入動作 (Put 和 Delete) 的條件是config:ConfigurationRecorderServicePrincipal等於 agent-registry.amazonaws.com，這表示只能修改 AWS 客服人員登錄檔擁有的記錄器。
讀取動作 (Describe) 的範圍是符合 的資源arn:aws:config:*:*:configuration-recorder/AWSConfigurationRecorderForAgentRegistry*。
登錄檔記錄管理
AWS 客服人員登錄檔會管理登錄檔記錄，做為自動偵測的一部分：在成員帳戶中發現、變更或刪除資源時建立、更新和移除記錄。
-
agent-registry:CreateRegistryRecord— 為新發現的資源建立記錄。 -
agent-registry:DeleteRegistryRecord— 刪除來源資源時移除記錄。 -
agent-registry:GetRegistryRecord— 讀取記錄以檢查其目前狀態。 -
agent-registry:ListRegistryRecords— 列出登錄檔中的記錄。 -
agent-registry:UpdateRegistryRecord— 在來源資源變更時更新記錄。
這些動作的範圍為 arn:aws:agent-registry:*:*:registry/*，並以aws:ResourceAccount相符的 為條件${aws:PrincipalAccount}，這表示該角色只能管理相同帳戶所擁有之登錄檔中的記錄。
CloudWatch 指標
AWS 代理程式登錄檔會將操作指標發佈至 Amazon CloudWatch 以進行監控。
-
cloudwatch:PutMetricData— 將指標發佈至 CloudWatch。
此動作的條件為 cloudwatch:namespace AWS/AgentRegistry或 AWS/Usage，以及aws:ResourceAccount相符的 ${aws:PrincipalAccount}。角色只能將指標資料傳送至相同帳戶中的這些特定命名空間。
許可摘要
| 功能 | 動作 |
|---|---|
|
讀取組織中繼資料 |
|
|
設定 AWS 組態 |
|
|
管理登錄檔記錄 |
|
|
發布指標 |
|
您必須設定許可，IAM 實體 (如使用者、群組或角色) 才可建立、編輯或刪除服務連結角色。如需詳細資訊，請參閱 IAM 使用者指南中的服務連結角色許可。
為 AWS 代理程式登錄檔建立服務連結角色
您通常不需要手動建立服務連結角色。當您在 AWS 管理主控台、 CLI AWS 或 AWS API 的 AWS 客服人員登錄檔中建立登錄檔時， AWS 客服人員登錄檔會為您建立服務連結角色。
注意
第一次建立登錄檔時，您必須在以身分為基礎的政策中授予 iam:CreateServiceLinkedRole許可。
重要
對於使用客戶受管金鑰加密的組織範圍登錄，在您呼叫 之前，服務連結角色必須已存在於登錄管理員帳戶 （通常是委派管理員） 中 CreateRegistry - 該呼叫不會為您建立。登錄管理員的 KMS 金鑰政策會將AWSServiceRoleForAgentRegistry角色命名為主體，而 IAM 會拒絕參考尚未存在之主體的任何金鑰政策。
首先在登錄管理員帳戶中建立角色，方法是啟用受信任存取以進行自動偵測 （透過 ASLRP 佈建） 或執行 aws iam create-service-linked-role --aws-service-name agent-registry.amazonaws.com。
在所有其他情況下，包括使用客戶受管金鑰加密non-organization-scoped登錄檔，如果服務連結角色尚未存在， 會為您CreateRegistry建立該角色。
如需相關設定步驟，請參閱服務連結角色的政策陳述式和步驟 1：啟用受信任存取並建立服務連結角色。
若您刪除此服務連結角色，之後需要再次建立，您可以在帳戶中使用相同程序重新建立角色。當您在 AWS 客服人員登錄檔中建立登錄檔時， AWS 客服人員登錄檔會再次為您建立服務連結角色。
您也可以使用 IAM 主控台建立具有 AWS 代理程式登錄檔使用案例的服務連結角色。在 AWS CLI 或 AWS API 中，使用服務名稱建立agent-registry.amazonaws.com服務連結角色：
aws iam create-service-linked-role --aws-service-name "agent-registry.amazonaws.com"
如需詳細資訊，請參閱《IAM 使用者指南》中的「建立服務連結角色」。如果您刪除此服務連結角色，您可以使用此相同的程序以再次建立該角色。
編輯 AWS 客服人員登錄檔的服務連結角色
AWS 客服人員登錄檔不允許您編輯AWSServiceRoleForAgentRegistry服務連結角色。因為可能有各種實體會參考服務連結角色，所以您無法在建立角色之後變更其名稱。
刪除 AWS 代理程式登錄檔的服務連結角色
若您不再使用需要服務連結角色的功能或服務，我們建議您刪除該角色。這可防止您擁有未主動監控或維護的未使用實體。然而，在手動刪除服務連結角色之前，您必須先清除資源。
若要刪除AWSServiceRoleForAgentRegistry角色，您必須先：
-
在任何組織範圍的登錄檔上停用自動偵測。
-
刪除 AWS 客服人員登錄檔中的所有登錄檔。
重要
如果您在登錄檔仍然存在時刪除AWSServiceRoleForAgentRegistry服務連結角色，則自動偵測會停止運作 — 不會發現新資源，也不會更新或移除現有記錄。 AWS 代理程式登錄檔的 CloudWatch 指標也會停止發佈。若要還原功能，請透過建立新的登錄檔或執行 來重新建立角色aws iam create-service-linked-role --aws-service-name "agent-registry.amazonaws.com"。
注意
如果 AWS 客服人員登錄檔在您嘗試刪除資源時使用角色，則刪除可能會失敗。若此情況發生，請等待數分鐘後並再次嘗試操作。
使用 IAM 手動刪除服務連結角色
使用 IAM 主控台、CLI AWS 或 AWS API 來刪除AWSServiceRoleForAgentRegistry服務連結角色。如需詳細資訊，請參閱《IAM 使用者指南》中的刪除服務連結角色。
Agent AWS Registry 服務連結角色支援的 區域
AWS 客服人員登錄檔支援在可使用 AWS 客服人員登錄檔的每個區域中使用AWSServiceRoleForAgentRegistry服務連結角色。
