Aktionen Ressourcentypen Bedingungsschlüssel

Aktionen, Ressourcen und Zustandstasten für Amazon Bedrock Agentcore

Amazon Bedrock Agentcore (Servicepräfix:bedrock-agentcore) stellt die folgenden dienstspezifischen Ressourcen, Aktionen und Bedingungskontextschlüssel zur Verwendung in IAM-Berechtigungsrichtlinien bereit.

Referenzen:

Erfahren Sie, wie Sie diesen Service konfigurieren.
Zeigen Sie eine Liste der API-Operationen an, die für diesen Service verfügbar sind.
Erfahren Sie, wie Sie diesen Service und seine Ressourcen mithilfe von IAM-Berechtigungsrichtlinien schützen.

Themen

Von Amazon Bedrock Agentcore definierte Aktionen
Von Amazon Bedrock Agentcore definierte Ressourcentypen
Zustandstasten für Amazon Bedrock Agentcore

Von Amazon Bedrock Agentcore definierte Aktionen

Sie können die folgenden Aktionen im Element Action einer IAM-Richtlinienanweisung angeben. Verwenden Sie Richtlinien, um Berechtigungen zum Ausführen einer Operation in AWS zu erteilen. Wenn Sie eine Aktion in einer Richtlinie verwenden, erlauben oder verweigern Sie in der Regel den Zugriff auf die API-Operation oder den CLI-Befehl mit demselben Namen. Dabei kann es mitunter vorkommen, dass eine einzige Aktion den Zugriff auf mehr als eine Operation steuert. Alternativ erfordern einige Vorgänge mehrere verschiedene Aktionen.

In der Spalte Zugriffsebene der Tabelle Aktionen wird beschrieben, wie die Aktion klassifiziert ist (Liste, Lesen, Verwaltung von Berechtigungen oder Tagging). Diese Klassifizierung gibt an, welche Zugriffsebene die betreffende Aktion gewährt, wenn Sie sie in einer Richtlinie verwenden. Weitere Informationen zu Zugriffsebenen finden Sie unter Zugriffsebenen in Richtlinienzusammenfassungen.

Die Spalte Resource types (Ressourcentypen) der Aktionstabelle gibt an, ob die Aktion Berechtigungen auf Ressourcenebene unterstützt. Wenn es keinen Wert für diese Spalte gibt, müssen Sie alle Ressourcen ("*") im Element Resource Ihrer Richtlinienanweisung angeben. Wenn die Spalte einen Ressourcentyp enthält, können Sie einen ARN dieses Typs in einer Anweisung mit dieser Aktion angeben. Wenn für die Aktion eine oder mehrere Ressourcen erforderlich sind, muss der Aufrufer die Erlaubnis haben, die Aktion mit diesen Ressourcen zu verwenden. Erforderliche Ressourcen sind in der Tabelle mit einem Sternchen (*) gekennzeichnet. Wenn Sie den Ressourcenzugriff mit dem Element Resource in einer IAM-Richtlinie einschränken, müssen Sie für jeden erforderlichen Ressourcentyp einen ARN oder ein Muster angeben. Einige Aktionen unterstützen mehrere Ressourcentypen. Wenn der Ressourcentyp optional ist (nicht als erforderlich angegeben), können Sie sich für einen der optionalen Ressourcentypen entscheiden.

Die Spalte Bedingungsschlüssel der Tabelle der Aktionen enthält Schlüssel, die Sie im Element Condition einer Richtlinienanweisung angeben können. Weitere Informationen zu den Bedingungsschlüsseln, die den Ressourcen für den Service zugeordnet sind, finden Sie in der Spalte Bedingungsschlüssel der Tabelle der Ressourcentypen.

In der Spalte „Abhängige Aktionen“ der Tabelle „Aktionen“ werden zusätzliche Berechtigungen angezeigt, die möglicherweise erforderlich sind, um eine Aktion erfolgreich aufzurufen. Diese Berechtigungen sind möglicherweise zusätzlich zu der Berechtigung für die Aktion selbst erforderlich. Wenn eine Aktion abhängige Aktionen spezifiziert, können diese Abhängigkeiten für zusätzliche Ressourcen gelten, die für diese Aktion definiert wurden, nicht nur für die erste Ressource, die in der Tabelle aufgeführt ist.

Anmerkung

Die Ressourcenbedingungsschlüssel sind in der Tabelle Ressourcentypen enthalten. Sie finden einen Link zu dem Ressourcentyp, der für eine Aktion gilt, in der Spalte Ressourcentypen (*erforderlich) der Tabelle „Aktionen“. Der Ressourcentyp in der Tabelle „Ressourcentypen“ enthält die Spalte Bedingungsschlüssel. Das sind die Ressourcenbedingungsschlüssel, die für eine Aktion in der Tabelle „Aktionen“ gelten.

Details zu den Spalten in der folgenden Tabelle finden Sie in der Tabelle Aktionen

Aktionen	Beschreibung	Zugriffsebene	Ressourcentypen (*erforderlich)	Bedingungsschlüssel	Abhängige Aktionen
AllowVendedLogDeliveryForResource [nur Berechtigung]	Erteilt die Berechtigung, Verkaufstelemetrie für eine Ressource zu konfigurieren	Berechtigungsverwaltung	memory*
BatchCreateMemoryRecords	Erteilt die Berechtigung, einen oder mehrere Speicherdatensätze zu erstellen	Schreiben	memory*
BatchCreateMemoryRecords		Schreiben		bedrock-agentcore:namespace
BatchDeleteMemoryRecords	Erteilt die Berechtigung, einen oder mehrere Speicherdatensätze zu löschen	Schreiben	memory*
BatchUpdateMemoryRecords	Erteilt die Berechtigung, einen oder mehrere Speicherdatensätze zu aktualisieren	Schreiben	memory*
BatchUpdateMemoryRecords		Schreiben		bedrock-agentcore:namespace
CompleteResourceTokenAuth	Erteilt die Berechtigung zum Abrufen des Zugriffstokens OAuth2 für den 3LO-Flow für den Zugriff auf externe Ressourcen	Lesen	oauth2credentialprovider*
			token-vault*
			workload-identity*
			workload-identity-directory*
				bedrock-agentcore:InboundJwtClaim/iss bedrock-agentcore:InboundJwtClaim/sub bedrock-agentcore:InboundJwtClaim/aud bedrock-agentcore:InboundJwtClaim/scope bedrock-agentcore:InboundJwtClaim/client_id bedrock-agentcore:userid
ConnectBrowserAutomationStream	Erteilt die Berechtigung, eine Verbindung zu einem Browser-Automatisierungsstream herzustellen	Lesen
ConnectBrowserLiveViewStream	Erteilt die Berechtigung, eine Verbindung zu einem Browser-Live-View-Stream herzustellen	Lesen
CreateAgentRuntime	Erteilt die Berechtigung zum Erstellen einer neuen Agenten-Laufzeit	Schreiben		aws:RequestTag/${TagKey} aws:TagKeys bedrock-agentcore:subnets bedrock-agentcore:securityGroups	iam:PassRole
CreateAgentRuntimeEndpoint	Erteilt die Berechtigung zum Erstellen eines neuen Agenten-Runtime-Endpunkts	Schreiben	runtime*
CreateAgentRuntimeEndpoint		Schreiben		aws:RequestTag/${TagKey} aws:TagKeys
CreateApiKeyCredentialProvider	Erteilt die Berechtigung zum Erstellen eines neuen API-Schlüsselanmeldeanbieters	Schreiben	apikeycredentialprovider*
			token-vault*
				aws:RequestTag/${TagKey} aws:TagKeys
CreateBrowser	Erteilt die Erlaubnis, einen neuen benutzerdefinierten Browser zu erstellen	Schreiben		aws:RequestTag/${TagKey} aws:TagKeys bedrock-agentcore:subnets bedrock-agentcore:securityGroups
CreateCodeInterpreter	Erteilt die Erlaubnis, einen neuen Interpreter für benutzerdefinierten Code zu erstellen	Schreiben		aws:RequestTag/${TagKey} aws:TagKeys bedrock-agentcore:subnets bedrock-agentcore:securityGroups
CreateEvent	Erteilt die Erlaubnis, ein Ereignis zu erstellen	Schreiben	memory*
CreateEvent	Erteilt die Erlaubnis, ein Ereignis zu erstellen	Schreiben		bedrock-agentcore:sessionId bedrock-agentcore:actorId
CreateGateway	Erteilt die Erlaubnis, ein neues Gateway zu erstellen	Schreiben		aws:RequestTag/${TagKey} aws:TagKeys	iam:PassRole
CreateGatewayTarget	Erteilt die Berechtigung, ein neues Ziel in einem vorhandenen Gateway zu erstellen	Schreiben	gateway*
CreateMemory	Erteilt die Berechtigung zum Erstellen einer Speicherressource	Schreiben		aws:RequestTag/${TagKey} aws:TagKeys	iam:PassRole
CreateOauth2CredentialProvider	Erteilt die Berechtigung zum Erstellen eines neuen Anmeldeinformationsanbieters für den Zugriff auf externe Ressourcen mit Protokoll OAuth2	Schreiben	oauth2credentialprovider*
			token-vault*
				aws:RequestTag/${TagKey} aws:TagKeys
CreateWorkloadIdentity	Erteilt die Berechtigung zum Erstellen einer neuen Workload-Identität	Schreiben	workload-identity*
			workload-identity-directory*
				aws:RequestTag/${TagKey} aws:TagKeys
DeleteAgentRuntime	Erteilt die Berechtigung zum Löschen einer Agenten-Laufzeit	Schreiben	runtime*
DeleteAgentRuntimeEndpoint	Erteilt die Berechtigung zum Löschen eines Agenten-Runtime-Endpunkts	Schreiben	runtime*
DeleteAgentRuntimeEndpoint		Schreiben	runtime-endpoint*
DeleteApiKeyCredentialProvider	Erteilt die Berechtigung zum Löschen eines registrierten API-Schlüsselanmeldeanbieters	Schreiben	apikeycredentialprovider*
DeleteApiKeyCredentialProvider		Schreiben	token-vault*
DeleteBrowser	Erteilt die Berechtigung zum Löschen eines benutzerdefinierten Browsers	Schreiben	browser-custom*
DeleteCodeInterpreter	Erteilt die Berechtigung zum Löschen eines benutzerdefinierten Code-Interpreters	Schreiben	code-interpreter-custom*
DeleteEvent	Erteilt die Berechtigung zum Löschen eines Ereignisses	Schreiben	memory*
DeleteEvent	Erteilt die Berechtigung zum Löschen eines Ereignisses	Schreiben		bedrock-agentcore:sessionId bedrock-agentcore:actorId
DeleteGateway	Erteilt die Erlaubnis, ein vorhandenes Gateway zu löschen	Schreiben	gateway*
DeleteGatewayTarget	Erteilt die Berechtigung zum Löschen eines vorhandenen Gateway-Ziels	Schreiben	gateway*
DeleteMemory	Erteilt die Berechtigung zum Löschen einer Speicherressource	Schreiben	memory*
DeleteMemoryRecord	Erteilt die Berechtigung zum Löschen eines Speicherdatensatzes	Schreiben	memory*
DeleteOauth2CredentialProvider	Erteilt die Berechtigung zum Löschen eines registrierten OAuth2 Anmeldeinformationsanbieters	Schreiben	oauth2credentialprovider*
DeleteOauth2CredentialProvider		Schreiben	token-vault*
DeleteWorkloadIdentity	Erteilt die Berechtigung zum Löschen einer registrierten Workload-Identität	Schreiben	workload-identity*
DeleteWorkloadIdentity		Schreiben	workload-identity-directory*
GetAgentCard	Erteilt die Berechtigung zum Abrufen einer Agentenkarte für A2A	Lesen	runtime*
GetAgentCard		Lesen	runtime-endpoint*
GetAgentRuntime	Erteilt die Berechtigung, Details zur Laufzeit eines Agenten abzurufen	Lesen	runtime*
GetAgentRuntimeEndpoint	Erteilt die Berechtigung, Details eines Agenten-Runtime-Endpunkts abzurufen	Lesen	runtime*
GetAgentRuntimeEndpoint		Lesen	runtime-endpoint*
GetApiKeyCredentialProvider	Erteilt die Berechtigung, einen registrierten API-Schlüsselanmeldedienstanbieter anhand seines Namens abzurufen	Lesen	apikeycredentialprovider*
GetApiKeyCredentialProvider		Lesen	token-vault*
GetBrowser	Erteilt die Erlaubnis, Details zu einem Browser abzurufen	Lesen	browser-custom*
GetBrowserSession	Erteilt die Erlaubnis, Details einer Browsersitzung abzurufen	Lesen	browser*
GetBrowserSession		Lesen	browser-custom*
GetCodeInterpreter	Erteilt die Erlaubnis, Details eines Codeinterpreters abzurufen	Lesen	code-interpreter-custom*
GetCodeInterpreterSession	Erteilt die Erlaubnis, Details einer Codeinterpreter-Sitzung abzurufen	Lesen	code-interpreter*
GetCodeInterpreterSession		Lesen	code-interpreter-custom*
GetEvent	Erteilt die Erlaubnis zum Abrufen eines Ereignisses	Lesen	memory*
GetEvent	Erteilt die Erlaubnis zum Abrufen eines Ereignisses	Lesen		bedrock-agentcore:sessionId bedrock-agentcore:actorId
GetGateway	Erteilt die Erlaubnis, ein vorhandenes Gateway abzurufen	Lesen	gateway*
GetGatewayTarget	Erteilt die Berechtigung zum Abrufen eines vorhandenen Gateway-Ziels	Lesen	gateway*
GetMemory	Erteilt die Berechtigung zum Abrufen von Details für eine Speicherressource	Lesen	memory*
GetMemoryRecord	Erteilt die Berechtigung zum Abrufen eines Speicherdatensatzes	Lesen	memory*
GetOauth2CredentialProvider	Erteilt die Berechtigung, einen registrierten OAuth2 Credential Provider anhand seines Namens abzurufen	Lesen	oauth2credentialprovider*
GetOauth2CredentialProvider		Lesen	token-vault*
GetResourceApiKey	Erteilt die Berechtigung zum Abrufen eines API-Schlüssels, der einem API-Schlüssel-Anmeldeinformationsanbieter zugeordnet ist	Lesen	apikeycredentialprovider*
			token-vault*
			workload-identity*
			workload-identity-directory*
GetResourceOauth2Token	Erteilt die Berechtigung zum Abrufen eines Zugriffstokens mit OAuth2 2LO- oder 3LO-Flow für den Zugriff auf externe Ressourcen	Lesen	oauth2credentialprovider*
			token-vault*
			workload-identity*
			workload-identity-directory*
GetTokenVault	Erteilt die Berechtigung zum Abrufen der aktuellen Konfiguration von TokenVault, einschließlich der Verschlüsselungseinstellungen	Lesen	token-vault*
GetWorkloadAccessToken	Erteilt die Berechtigung zum Abrufen eines Workload-Zugriffstokens für Agenten-Workloads, die nicht im Namen eines Benutzers agieren	Schreiben	workload-identity*
GetWorkloadAccessToken		Schreiben	workload-identity-directory*
GetWorkloadAccessTokenForJWT	Erteilt die Berechtigung zum Abrufen eines Workload-Zugriffstokens für Agenten-Workloads, die im Namen eines Benutzers mit JWT-Token agieren	Schreiben	workload-identity*
			workload-identity-directory*
				bedrock-agentcore:InboundJwtClaim/iss bedrock-agentcore:InboundJwtClaim/sub bedrock-agentcore:InboundJwtClaim/aud bedrock-agentcore:InboundJwtClaim/scope bedrock-agentcore:InboundJwtClaim/client_id
GetWorkloadAccessTokenForUserId	Erteilt die Berechtigung zum Abrufen eines Workload-Zugriffstokens für Agenten-Workloads, die im Namen eines Benutzers mit Benutzer-ID agieren	Schreiben	workload-identity*
			workload-identity-directory*
				bedrock-agentcore:userid
GetWorkloadIdentity	Erteilt die Berechtigung zum Abrufen von Details für eine bestimmte Workload-Identität, einschließlich ihres Namens und der erlaubten Rückgabe OAuth2 URLs	Lesen	workload-identity*
GetWorkloadIdentity		Lesen	workload-identity-directory*
InvokeAgentRuntime	Erteilt die Berechtigung zum Aufrufen eines Agenten-Runtime-Endpunkts	Schreiben	runtime*
InvokeAgentRuntime		Schreiben	runtime-endpoint*
InvokeAgentRuntimeForUser	Erteilt die Berechtigung zum Aufrufen eines Agenten-Laufzeitendpunkts mit dem X-Amzn-Bedrock-AgentCore Header - Runtime-User-Id	Schreiben	runtime*
InvokeAgentRuntimeForUser		Schreiben	runtime-endpoint*
InvokeCodeInterpreter	Erteilt die Berechtigung zum Aufrufen einer Codeinterpreter-Sitzung	Schreiben	code-interpreter*
InvokeCodeInterpreter		Schreiben	code-interpreter-custom*
InvokeGateway [nur Berechtigung]	Erteilt die Erlaubnis zum Aufrufen eines Gateways	Berechtigungsverwaltung	gateway*
ListActors	Erteilt die Erlaubnis, Schauspieler aufzulisten	Auflisten	memory*
ListAgentRuntimeEndpoints	Erteilt die Berechtigung, Agenten-Runtime-Endpunkte aufzulisten	Auflisten
ListAgentRuntimeVersions	Erteilt die Berechtigung, Agenten-Laufzeitversionen aufzulisten	Auflisten
ListAgentRuntimes	Erteilt die Berechtigung, Agenten-Laufzeiten aufzulisten	Auflisten
ListApiKeyCredentialProviders	Erteilt die Berechtigung, alle API-Schlüsselanmeldedienstanbieter im Token-Tresor aufzulisten	Lesen	apikeycredentialprovider*
ListApiKeyCredentialProviders		Lesen	token-vault*
ListBrowserSessions	Erteilt die Erlaubnis, Browsersitzungen aufzulisten	Auflisten
ListBrowsers	Erteilt die Erlaubnis, Browser aufzulisten	Auflisten
ListCodeInterpreterSessions	Erteilt die Erlaubnis, Codeinterpreter-Sitzungen aufzulisten	Auflisten	code-interpreter*
ListCodeInterpreterSessions		Auflisten	code-interpreter-custom*
ListCodeInterpreters	Erteilt die Erlaubnis, Codeinterpreter aufzulisten	Auflisten
ListEvents	Erteilt die Erlaubnis, Ereignisse aufzulisten	Auflisten	memory*
ListEvents	Erteilt die Erlaubnis, Ereignisse aufzulisten	Auflisten		bedrock-agentcore:sessionId bedrock-agentcore:actorId
ListGatewayTargets	Erteilt die Berechtigung, vorhandene Gateway-Ziele aufzulisten	Auflisten	gateway*
ListGateways	Erteilt die Berechtigung, vorhandene Gateways aufzulisten	Auflisten
ListMemories	Erteilt die Erlaubnis, Speicherressourcen aufzulisten	Auflisten
ListMemoryRecords	Erteilt die Berechtigung zum Auflisten von Speicherdatensätzen	Auflisten	memory*
ListMemoryRecords		Auflisten		bedrock-agentcore:namespace bedrock-agentcore:strategyId
ListOauth2CredentialProviders	Erteilt die Berechtigung, alle OAuth2 Anmeldeinformationsanbieter im Token-Tresor aufzulisten	Lesen	oauth2credentialprovider*
ListOauth2CredentialProviders		Lesen	token-vault*
ListSessions	Erteilt die Erlaubnis, Sitzungen aufzulisten	Auflisten	memory*
ListSessions	Erteilt die Erlaubnis, Sitzungen aufzulisten	Auflisten		bedrock-agentcore:actorId
ListTagsForResource	Erteilt die Erlaubnis, Tags für eine Bedrock-Ressource aufzulisten AgentCore	Auflisten	apikeycredentialprovider
			browser-custom
			code-interpreter-custom
			gateway
			memory
			oauth2credentialprovider
			runtime
			runtime-endpoint
			token-vault
			workload-identity
			workload-identity-directory
ListWorkloadIdentities	Erteilt die Erlaubnis, alle Workload-Identitäten in den Identitäten des Aufrufers aufzulisten AWS-Konto	Lesen	workload-identity*
ListWorkloadIdentities		Lesen	workload-identity-directory*
RetrieveMemoryRecords	Erteilt die Berechtigung zum Abrufen von Speicherdatensätzen durch eine semantische Abfrage	Auflisten	memory*
RetrieveMemoryRecords		Auflisten		bedrock-agentcore:namespace bedrock-agentcore:strategyId
SetTokenVaultCMK	Erteilt die Berechtigung, einen vom Kunden verwalteten Schlüssel (CMK) oder einen vom Service verwalteten Schlüssel einem bestimmten Schlüssel zuzuordnen TokenVault	Lesen	token-vault*
StartBrowserSession	Erteilt die Erlaubnis, eine neue Browsersitzung zu starten	Schreiben	browser*
StartBrowserSession	Erteilt die Erlaubnis, eine neue Browsersitzung zu starten	Schreiben	browser-custom*
StartCodeInterpreterSession	Erteilt die Erlaubnis, eine neue Codeinterpreter-Sitzung zu starten	Schreiben	code-interpreter*
StartCodeInterpreterSession		Schreiben	code-interpreter-custom*
StopBrowserSession	Erteilt die Erlaubnis, eine Browsersitzung zu beenden	Schreiben	browser*
StopBrowserSession	Erteilt die Erlaubnis, eine Browsersitzung zu beenden	Schreiben	browser-custom*
StopCodeInterpreterSession	Erteilt die Berechtigung, eine Codeinterpreter-Sitzung zu beenden	Schreiben	code-interpreter*
StopCodeInterpreterSession		Schreiben	code-interpreter-custom*
StopRuntimeSession	Erteilt die Berechtigung zum Beenden einer Runtime-Sitzung	Schreiben	runtime*
StopRuntimeSession	Erteilt die Berechtigung zum Beenden einer Runtime-Sitzung	Schreiben	runtime-endpoint*
SynchronizeGatewayTargets [nur Berechtigung]	Erteilt die Berechtigung, die Suche auf Gateways zu aktivieren	Berechtigungsverwaltung	gateway*
TagResource	Erteilt die Erlaubnis, eine Bedrock-Ressource zu taggen AgentCore	Tagging	apikeycredentialprovider
			browser-custom
			code-interpreter-custom
			gateway
			memory
			oauth2credentialprovider
			runtime
			runtime-endpoint
			token-vault
			workload-identity
			workload-identity-directory
				aws:TagKeys aws:RequestTag/${TagKey}
UntagResource	Erteilt die Erlaubnis, die Markierung einer Bedrock-Ressource aufzuheben AgentCore	Tagging	apikeycredentialprovider
			browser-custom
			code-interpreter-custom
			gateway
			memory
			oauth2credentialprovider
			runtime
			runtime-endpoint
			token-vault
			workload-identity
			workload-identity-directory
				aws:TagKeys
UpdateAgentRuntime	Erteilt die Berechtigung zum Aktualisieren einer Agenten-Laufzeit	Schreiben	runtime*		iam:PassRole
UpdateAgentRuntime		Schreiben		bedrock-agentcore:subnets bedrock-agentcore:securityGroups
UpdateAgentRuntimeEndpoint	Erteilt die Berechtigung zum Aktualisieren eines Agenten-Runtime-Endpunkts	Schreiben	runtime*
UpdateAgentRuntimeEndpoint		Schreiben	runtime-endpoint*
UpdateApiKeyCredentialProvider	Erteilt die Berechtigung zum Aktualisieren eines vorhandenen API-Schlüsselanmeldeanbieters	Schreiben	apikeycredentialprovider*
UpdateApiKeyCredentialProvider		Schreiben	token-vault*
UpdateBrowserStream	Erteilt die Berechtigung, den Status des Browser-Sitzungsstreams zu aktualisieren	Schreiben	browser*
UpdateBrowserStream		Schreiben	browser-custom*
UpdateGateway	Erteilt die Erlaubnis, ein vorhandenes Gateway zu aktualisieren	Schreiben	gateway*		iam:PassRole
UpdateGatewayTarget	Erteilt die Berechtigung zum Aktualisieren eines vorhandenen Gateway-Ziels	Schreiben	gateway*
UpdateMemory	Erteilt die Berechtigung zum Aktualisieren einer Speicherressource	Schreiben	memory*		iam:PassRole
UpdateOauth2CredentialProvider	Erteilt die Berechtigung zum Aktualisieren eines vorhandenen OAuth2 Anmeldeinformationsanbieters	Schreiben	oauth2credentialprovider*
UpdateOauth2CredentialProvider		Schreiben	token-vault*
UpdateWorkloadIdentity	Erteilt die Berechtigung, die Metadaten einer vorhandenen Workload-Identität zu aktualisieren	Schreiben	workload-identity*
UpdateWorkloadIdentity		Schreiben	workload-identity-directory*

Von Amazon Bedrock Agentcore definierte Ressourcentypen

Die folgenden Ressourcentypen werden von diesem Service definiert und können im Element Resource von IAM-Berechtigungsrichtlinienanweisungen verwendet werden. Jede Aktion in der Tabelle „Aktionen“ identifiziert die Ressourcentypen, die mit der Aktion angegeben werden können. Ein Ressourcentyp kann auch definieren, welche Bedingungsschlüssel Sie in einer Richtlinie einschließen können. Diese Schlüssel werden in der letzten Spalte der Tabelle der Ressourcentypen angezeigt. Details zu den Spalten in der folgenden Tabelle finden Sie in der Tabelle Resource types.

Ressourcentypen	ARN	Bedingungsschlüssel
memory	`arn:${Partition}:bedrock-agentcore:${Region}:${Account}:memory/${MemoryId}`	aws:ResourceTag/${TagKey}
gateway	`arn:${Partition}:bedrock-agentcore:${Region}:${Account}:gateway/${GatewayId}`	aws:ResourceTag/${TagKey}
workload-identity	`arn:${Partition}:bedrock-agentcore:${Region}:${Account}:workload-identity-directory/${DirectoryId}/workload-identity/${WorkloadIdentityName}`	aws:ResourceTag/${TagKey}
oauth2credentialprovider	`arn:${Partition}:bedrock-agentcore:${Region}:${Account}:token-vault/${TokenVaultId}/oauth2credentialprovider/${Name}`	aws:ResourceTag/${TagKey}
apikeycredentialprovider	`arn:${Partition}:bedrock-agentcore:${Region}:${Account}:token-vault/${TokenVaultId}/apikeycredentialprovider/${Name}`	aws:ResourceTag/${TagKey}
runtime	`arn:${Partition}:bedrock-agentcore:${Region}:${Account}:runtime/${RuntimeId}`	aws:ResourceTag/${TagKey}
runtime-endpoint	`arn:${Partition}:bedrock-agentcore:${Region}:${Account}:runtime/${RuntimeId}/runtime-endpoint/${Name}`	aws:ResourceTag/${TagKey}
code-interpreter-custom	`arn:${Partition}:bedrock-agentcore:${Region}:${Account}:code-interpreter-custom/${CodeInterpreterId}`	aws:ResourceTag/${TagKey}
code-interpreter	`arn:${Partition}:bedrock-agentcore:${Region}:aws:code-interpreter/${CodeInterpreterId}`
browser-custom	`arn:${Partition}:bedrock-agentcore:${Region}:${Account}:browser-custom/${BrowserId}`	aws:ResourceTag/${TagKey}
browser	`arn:${Partition}:bedrock-agentcore:${Region}:aws:browser/${BrowserId}`
workload-identity-directory	`arn:${Partition}:bedrock-agentcore:${Region}:${Account}:workload-identity-directory/${DirectoryId}`	aws:ResourceTag/${TagKey}
token-vault	`arn:${Partition}:bedrock-agentcore:${Region}:${Account}:token-vault/${TokenVaultId}`	aws:ResourceTag/${TagKey}

Zustandstasten für Amazon Bedrock Agentcore

Amazon Bedrock Agentcore definiert die folgenden Bedingungsschlüssel, die im Condition Element einer IAM-Richtlinie verwendet werden können. Diese Schlüssel können Sie verwenden, um die Bedingungen zu verfeinern, unter denen die Richtlinienanweisung angewendet wird. Details zu den Spalten in der folgenden Tabelle finden Sie in der Tabelle Condition keys (Bedingungsschlüssel).

Die globalen Bedingungsschlüssel, die für alle Dienste verfügbar sind, finden Sie unter AWS Globale Bedingungskontextschlüssel.

Bedingungsschlüssel	Beschreibung	Typ
aws:RequestTag/${TagKey}	Filtert den Zugriff durch die Erstellung von Anforderungen basierend auf dem zulässigen Satz von Werten für jedes der obligatorischen Tags	String
aws:ResourceTag/${TagKey}	Filtert den Zugriff durch Aktionen basierend auf dem Tag-Wert, der der Ressource zugeordnet ist	String
aws:TagKeys	Filtert den Zugriff durch das Erstellen von Anfragen basierend auf dem Vorhandensein von obligatorischen Tags in der Anfrage	ArrayOfString
bedrock-agentcore:GatewayAuthorizerType	Filtert den Zugriff nach dem AuthorizerType-Attribut auf einem Gateway	String
bedrock-agentcore:InboundJwtClaim/aud	Filtert den Zugriff nach dem Zielgruppenanspruch (aud) im JWT, das in der Anfrage übergeben wurde	ArrayOfString
bedrock-agentcore:InboundJwtClaim/client_id	Filtert den Zugriff nach dem client_id-Claim im JWT, das in der Anfrage übergeben wurde	String
bedrock-agentcore:InboundJwtClaim/iss	Filtert den Zugriff nach dem Anspruch des Ausstellers (iss), der in dem JWT enthalten ist, das der Anfrage übergeben wurde	String
bedrock-agentcore:InboundJwtClaim/scope	Filtert den Zugriff nach dem Geltungsbereich, der im JWT enthalten ist, der in der Anfrage übergeben wurde	ArrayOfString
bedrock-agentcore:InboundJwtClaim/sub	Filtert den Zugriff nach dem Betreff Claim (Sub) im JWT, das der Anfrage übergeben wurde	String
bedrock-agentcore:actorId	Filtert den Zugriff nach der Akteur-ID	String
bedrock-agentcore:namespace	Filtert den Zugriff nach Namespace	String
bedrock-agentcore:securityGroups	Filtert den Zugriff nach der ID der für die Laufzeit konfigurierten Sicherheitsgruppen AgentCore	ArrayOfString
bedrock-agentcore:sessionId	Filtert den Zugriff nach der Sitzungs-ID	String
bedrock-agentcore:strategyId	Filtert den Zugriff nach der Speicherstrategie-ID	String
bedrock-agentcore:subnets	Filtert den Zugriff anhand der ID der für die Laufzeit konfigurierten Subnetze AgentCore	ArrayOfString
bedrock-agentcore:userid	Filtert den Zugriff anhand des statischen Benutzer-ID-Werts, der in der Anfrage übergeben wurde	String

Warnung JavaScript ist in Ihrem Browser nicht verfügbar oder deaktiviert.

Zur Nutzung der AWS-Dokumentation muss JavaScript aktiviert sein. Weitere Informationen finden auf den Hilfe-Seiten Ihres Browsers.

Dokumentkonventionen

Amazon Bedrock

AWS Billing