Configurer les autorisations pour AgentCore Gateway

Pour utiliser Amazon Bedrock AgentCore Gateway et ses fonctionnalités, vous devez prendre en compte les autorisations suivantes :

Choisissez une rubrique pour en savoir plus :

Générateur de passerelle et autorisations utilisateur

Pour qu'une identité puisse créer, gérer ou utiliser des passerelles, vous devez associer une politique basée sur l'identité à l'identité IAM afin de lui permettre d'effectuer des actions Amazon Bedrock. AgentCore-related Pour obtenir des autorisations complètes, vous pouvez utiliser la politique BedrockAgentCoreFullAccessgérée.

Pour une sécurité et un contrôle accrus, vous pouvez créer votre propre politique personnalisée en réduisant les autorisations dans la politique d'accès complet. Par exemple, la politique suivante permet à une identité d'effectuer des actions liées à AgentCore Gateway, mais pas à d'autres AgentCore services, tels que AgentCore Runtime ou AgentCore Browser :

{
"Version":"2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "bedrock-agentcore:*Gateway*",
        "bedrock-agentcore:*WorkloadIdentity",
        "bedrock-agentcore:*CredentialProvider",
        "bedrock-agentcore:*Token*",
        "bedrock-agentcore:*Access*"
      ],
      "Resource": "arn:aws:bedrock-agentcore:*:*:*gateway*"
    }
  ]
}

{
"Version":"2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "bedrock-agentcore:ListGateways",
        "bedrock-agentcore:GetGateway",
        "bedrock-agentcore:ListGatewayTargets",
        "bedrock-agentcore:GetGatewayTarget"
      ],
      "Resource": "arn:aws:bedrock-agentcore:*:*:*gateway*"
    }
  ]
}

Autorisations d'accès à la passerelle (autorisation entrante)

Outre les autorisations liées à la passerelle, vous devez également configurer des autorisations pour les identités afin de pouvoir accéder à la passerelle lors de l'invocation. Vous allez configurer ces autorisations lorsque vous configurez l'autorisation entrante.

AgentCore Autorisations de rôle du service de passerelle

Lorsque vous créez une passerelle, vous avez besoin d'un rôle de service autorisé à assumer un rôle IAM et à accéder aux AWS ressources et aux services externes au nom du rôle IAM. Vous pouvez créer le rôle de service de différentes manières :

Les autorisations requises pour un rôle de service sont décrites dans les rubriques suivantes :

Autorisations de confiance

Un rôle de service doit être associé à une politique de confiance qui permet au AgentCore service d'assumer une identité IAM et d'effectuer des actions en son nom.

Voici un exemple de politique de confiance que vous pouvez utiliser.

{
"Version":"2012-10-17",
  "Statement": [
    {
      "Sid": "GatewayAssumeRolePolicy",
      "Effect": "Allow",
      "Principal": {
        "Service": "bedrock-agentcore.amazonaws.com"
      },
      "Action": "sts:AssumeRole",
      "Condition": {
        "StringEquals": {
          "aws:SourceAccount": "111122223333"
        },
        "ArnLike": {
          "aws:SourceArn": "arn:aws:bedrock-agentcore:us-east-1:111122223333:gateway/gateway-name-*"
        }
      }
    }
  ]
}

Autorisations d'autorisation sortantes

Selon le type d'autorisation sortante que vous utilisez pour les cibles de votre passerelle, vous devez ajouter des autorisations au rôle de service pour lui permettre d'appeler la cible. Ces autorisations permettent au rôle de service de passerelle de récupérer les informations d'identification permettant d'appeler la cible. Vous pouvez le faire lors de la configuration de l'autorisation sortante.

Autorisations d'accès AWS resources

En fonction de la configuration de votre passerelle ou des cibles que vous choisissez d'ajouter à la passerelle, vous devrez peut-être ajouter des autorisations au rôle de service de passerelle pour lui permettre d'accéder aux AWS ressources. Les rubriques suivantes couvrent certaines ressources auxquelles votre rôle de service de passerelle peut avoir besoin d'accéder :

{
"Version": "2012-10-17",
    "Statement": [{
        "Sid": "AmazonBedrockAgentCoreGatewayLambdaProd",
        "Effect": "Allow",
        "Action": [
            "lambda:InvokeFunction"
        ],
        "Resource": [
            "arn:aws:lambda:us-east-1:123456789012:function:FunctionName"
        ]
    }]
}

{
"Version":"2012-10-17",
    "Statement": [
        {
            "Sid": "LambdaAllowGatewayServiceRoleMyFunction",
            "Effect": "Allow",
            "Principal": {
              "AWS": "arn:aws:iam::123456789012:role/MyGatewayExecutionRole"
            },
            "Action": "lambda:InvokeFunction",
            "Resource":  "arn:aws:lambda:us-east-1:123456789012:function:MyFunction"
        }
     ]
}

{
"Version":"2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "dynamodb:GetItem",
        "dynamodb:PutItem",
        "dynamodb:UpdateItem",
        "dynamodb:DeleteItem",
        "dynamodb:Query",
        "dynamodb:Scan"
      ],
      "Resource": "arn:aws:dynamodb:*:*:table/*"
    }
  ]
}

Bonnes pratiques pour les autorisations de passerelle