Actions Types de ressources Clés de condition

Actions, ressources et clés de condition pour Amazon Bedrock Agentcore

Amazon Bedrock Agentcore (préfixe de service :bedrock-agentcore) fournit les ressources, actions et clés de contexte de condition spécifiques aux services suivantes à utiliser dans les politiques d'autorisation IAM.

Références :

Découvrez comment configurer ce service.
Affichez la liste des opérations d'API disponibles pour ce service.
Découvrez comment protéger ce service et ses ressources avec les stratégies d'autorisation IAM.

Rubriques

Actions définies par Amazon Bedrock Agentcore
Types de ressources définis par Amazon Bedrock Agentcore
Clés de condition pour Amazon Bedrock Agentcore

Actions définies par Amazon Bedrock Agentcore

Vous pouvez indiquer les actions suivantes dans l'élément Action d'une déclaration de politique IAM. Utilisez des politiques pour accorder des autorisations permettant d'effectuer une opération dans AWS. Lorsque vous utilisez une action dans une politique, vous autorisez ou refusez généralement l'accès à l'opération d'API ou à la commande CLI portant le même nom. Toutefois, dans certains cas, une seule action contrôle l'accès à plusieurs opérations. D'autres opérations, quant à elles, requièrent plusieurs actions différentes.

La colonne Niveau d'accès du tableau Actions décrit la manière dont l'action est classée (liste, lecture, gestion des autorisations ou balisage). Cette classification peut vous aider à comprendre le niveau d'accès accordé par une action utilisée dans une politique. Pour plus d'informations sur les niveaux d'accès, consultez la section Niveaux d'accès dans les résumés des politiques.

La colonne Types de ressources indique si chaque action prend en charge les autorisations au niveau des ressources. S'il n'y a pas de valeur pour cette colonne, vous devez indiquer toutes les ressources (« * ») dans l'élément Resource de votre déclaration de politique. Si la colonne inclut un type de ressource, vous pouvez indiquer un ARN de ce type dans une déclaration avec cette action. Si l'action comporte une ou plusieurs ressources requises, l'appelant doit être autorisé à utiliser l'action avec ces ressources. Les ressources requises sont indiquées dans le tableau par un astérisque (*). Si vous limitez l'accès aux ressources avec l'Resourceélément dans une politique IAM, vous devez inclure un ARN ou un modèle pour chaque type de ressource requis. Certaines actions prennent en charge plusieurs types de ressources. Si le type de ressource est facultatif (non indiqué comme obligatoire), vous pouvez choisir d'utiliser l'un, mais pas l'autre.

La colonne Clés de condition inclut des clés que vous pouvez spécifier dans l'élément Condition d'une déclaration de politique. Pour plus d'informations sur les clés de condition associées aux ressources du service, consultez la colonne Clés de condition du tableau des types de ressources.

La colonne Actions dépendantes du tableau Actions indique les autorisations supplémentaires qui peuvent être nécessaires pour lancer une action avec succès. Ces autorisations peuvent être nécessaires en plus de l'autorisation pour l'action elle-même. Lorsqu'une action spécifie des actions dépendantes, ces dépendances peuvent s'appliquer à des ressources supplémentaires définies pour cette action, et pas uniquement à la première ressource répertoriée dans le tableau.

Note

Les clés de condition des ressources sont répertoriées dans le tableau Types de ressources. Vous pouvez trouver un lien vers le type de ressource qui s'applique à une action dans la colonne Types de ressources (* obligatoire) du tableau Actions. Le type de ressource indiqué dans le tableau Types de ressources inclut la colonne Clés de condition, qui contient les clés de condition de ressource qui s'appliquent à une action dans le tableau Actions.

Pour plus de détails sur les colonnes du tableau suivant, veuillez consulter le tableau Actions.

Actions	Description	Niveau d'accès	Types de ressources (*obligatoire)	Clés de condition	Actions dépendantes
AllowVendedLogDeliveryForResource [autorisation uniquement]	Accorde l'autorisation de configurer la télémétrie vendue pour une ressource	Gestion des autorisations	memory*
AuthorizeAction [autorisation uniquement]	Accorde l'autorisation d'évaluer les politiques de Cedar pour les demandes d'autorisation	Gestion des autorisations	gateway*
AuthorizeAction [autorisation uniquement]		Gestion des autorisations	policy-engine*
BatchCreateMemoryRecords	Accorde l'autorisation de créer un ou plusieurs enregistrements de mémoire	Écrire	memory*
BatchCreateMemoryRecords		Écrire		bedrock-agentcore:namespace
BatchDeleteMemoryRecords	Accorde l'autorisation de supprimer un ou plusieurs enregistrements de mémoire	Écrire	memory*
BatchUpdateMemoryRecords	Autorise la mise à jour d'un ou de plusieurs enregistrements de mémoire	Écrire	memory*
BatchUpdateMemoryRecords		Écrire		bedrock-agentcore:namespace
CompleteResourceTokenAuth	Accorde l'autorisation de récupérer le jeton d'accès OAuth2 pour que le flux 3LO accède à une ressource externe	Lecture	oauth2credentialprovider*
			token-vault*
			workload-identity*
			workload-identity-directory*
				bedrock-agentcore:InboundJwtClaim/iss bedrock-agentcore:InboundJwtClaim/sub bedrock-agentcore:InboundJwtClaim/aud bedrock-agentcore:InboundJwtClaim/scope bedrock-agentcore:InboundJwtClaim/client_id bedrock-agentcore:userid
ConnectBrowserAutomationStream	Accorde l'autorisation de se connecter à un flux d'automatisation du navigateur	Lecture
ConnectBrowserLiveViewStream	Accorde l'autorisation de se connecter au flux de visualisation en direct d'un navigateur	Lecture
CreateAgentRuntime	Accorde l'autorisation de créer un nouvel environnement d'exécution d'agent	Écrire		aws:RequestTag/${TagKey} aws:TagKeys	iam:PassRole
CreateAgentRuntimeEndpoint	Accorde l'autorisation de créer un nouveau point de terminaison d'exécution de l'agent	Écrire	runtime*
CreateAgentRuntimeEndpoint		Écrire		aws:RequestTag/${TagKey} aws:TagKeys
CreateApiKeyCredentialProvider	Accorde l'autorisation de créer un nouveau fournisseur d'informations d'identification par clé d'API	Écrire	apikeycredentialprovider*
			token-vault*
				aws:RequestTag/${TagKey} aws:TagKeys
CreateBrowser	Accorde l'autorisation de créer un nouveau navigateur personnalisé	Écrire		aws:RequestTag/${TagKey} aws:TagKeys
CreateCodeInterpreter	Accorde l'autorisation de créer un nouvel interpréteur de code personnalisé	Écrire		aws:RequestTag/${TagKey} aws:TagKeys
CreateEvaluator	Accorde l'autorisation de créer un nouvel évaluateur	Écrire
CreateEvent	Accorde l'autorisation de créer un événement	Écrire	memory*
CreateEvent	Accorde l'autorisation de créer un événement	Écrire		bedrock-agentcore:sessionId bedrock-agentcore:actorId
CreateGateway	Accorde l'autorisation de créer une nouvelle passerelle	Écrire		aws:RequestTag/${TagKey} aws:TagKeys	iam:PassRole
CreateGatewayTarget	Autorise la création d'une nouvelle cible dans une passerelle existante	Écrire	gateway*
CreateMemory	Accorde l'autorisation de créer une ressource de mémoire	Écrire		aws:RequestTag/${TagKey} aws:TagKeys	iam:PassRole
CreateOauth2CredentialProvider	Accorde l'autorisation de créer un nouveau fournisseur d'informations d'identification pour accéder aux ressources externes avec OAuth2 le protocole	Écrire	oauth2credentialprovider*
			token-vault*
				aws:RequestTag/${TagKey} aws:TagKeys
CreateOnlineEvaluationConfig	Accorde l'autorisation de créer une nouvelle configuration d'évaluation en ligne	Écrire			iam:PassRole
CreatePolicy	Accorde l'autorisation de créer une nouvelle politique dans un moteur de politiques	Écrire	policy-engine*
CreatePolicyEngine	Accorde l'autorisation de créer un nouveau moteur de politiques	Écrire
CreateWorkloadIdentity	Accorde l'autorisation de créer une nouvelle identité de charge de travail	Écrire	workload-identity*
			workload-identity-directory*
				aws:RequestTag/${TagKey} aws:TagKeys
DeleteAgentRuntime	Autorise la suppression d'un environnement d'exécution d'agent	Écrire	runtime*
DeleteAgentRuntimeEndpoint	Accorde l'autorisation de supprimer un point de terminaison d'exécution d'un agent	Écrire	runtime*
DeleteAgentRuntimeEndpoint		Écrire	runtime-endpoint*
DeleteApiKeyCredentialProvider	Accorde l'autorisation de supprimer un fournisseur d'informations d'identification de clé d'API enregistré	Écrire	apikeycredentialprovider*
DeleteApiKeyCredentialProvider		Écrire	token-vault*
DeleteBrowser	Accorde l'autorisation de supprimer un navigateur personnalisé	Écrire	browser-custom*
DeleteCodeInterpreter	Accorde l'autorisation de supprimer un interpréteur de code personnalisé	Écrire	code-interpreter-custom*
DeleteEvaluator	Accorde l'autorisation de supprimer un évaluateur	Écrire	evaluator*
DeleteEvent	Accorde l'autorisation de supprimer un événement	Écrire	memory*
DeleteEvent	Accorde l'autorisation de supprimer un événement	Écrire		bedrock-agentcore:sessionId bedrock-agentcore:actorId
DeleteGateway	Autorise la suppression d'une passerelle existante	Écrire	gateway*
DeleteGatewayTarget	Autorise la suppression d'une cible de passerelle existante	Écrire	gateway*
DeleteMemory	Accorde l'autorisation de supprimer une ressource de mémoire	Écrire	memory*
DeleteMemoryRecord	Autorise la suppression d'un enregistrement en mémoire	Écrire	memory*
DeleteOauth2CredentialProvider	Accorde l'autorisation de supprimer un fournisseur d' OAuth2 informations d'identification enregistré	Écrire	oauth2credentialprovider*
DeleteOauth2CredentialProvider		Écrire	token-vault*
DeleteOnlineEvaluationConfig	Accorde l'autorisation de supprimer une configuration d'évaluation en ligne	Écrire	online-evaluation-config*
DeletePolicy	Accorde l'autorisation de supprimer une politique	Écrire	policy*
DeletePolicy	Accorde l'autorisation de supprimer une politique	Écrire	policy-engine*
DeletePolicyEngine	Accorde l'autorisation de supprimer un moteur de politiques	Écrire	policy-engine*
DeleteResourcePolicy	Accorde l'autorisation de supprimer la politique basée sur les ressources pour une ressource Bedrock	Écrire	gateway
			runtime
			runtime-endpoint
DeleteWorkloadIdentity	Accorde l'autorisation de supprimer une identité de charge de travail enregistrée	Écrire	workload-identity*
DeleteWorkloadIdentity		Écrire	workload-identity-directory*
Evaluate	Accorde l'autorisation d'exécuter une évaluation à l'aide d'un évaluateur	Écrire	evaluator*
GetAgentCard	Autorise à récupérer une carte d'agent pour A2A	Lecture	runtime*
GetAgentCard	Autorise à récupérer une carte d'agent pour A2A	Lecture	runtime-endpoint*
GetAgentRuntime	Accorde l'autorisation d'obtenir les détails de l'exécution d'un agent	Lecture	runtime*
GetAgentRuntimeEndpoint	Accorde l'autorisation d'obtenir les détails d'un point de terminaison d'exécution d'un agent	Lecture	runtime*
GetAgentRuntimeEndpoint		Lecture	runtime-endpoint*
GetApiKeyCredentialProvider	Accorde l'autorisation de récupérer un fournisseur d'informations d'identification de clé d'API enregistré par son nom	Lecture	apikeycredentialprovider*
GetApiKeyCredentialProvider		Lecture	token-vault*
GetBrowser	Accorde l'autorisation d'obtenir les détails d'un navigateur	Lecture	browser-custom*
GetBrowserSession	Accorde l'autorisation d'obtenir les détails d'une session de navigateur	Lecture	browser*
GetBrowserSession		Lecture	browser-custom*
GetCodeInterpreter	Accorde l'autorisation d'obtenir les détails d'un interpréteur de code	Lecture	code-interpreter-custom*
GetCodeInterpreterSession	Accorde l'autorisation d'obtenir les détails d'une session d'interpréteur de code	Lecture	code-interpreter*
GetCodeInterpreterSession		Lecture	code-interpreter-custom*
GetEvaluator	Accorde l'autorisation d'obtenir des informations sur un évaluateur	Lecture	evaluator*
GetEvent	Accorde l'autorisation de récupérer un événement	Lecture	memory*
GetEvent	Accorde l'autorisation de récupérer un événement	Lecture		bedrock-agentcore:sessionId bedrock-agentcore:actorId
GetGateway	Accorde l'autorisation de récupérer une passerelle existante	Lecture	gateway*
GetGatewayTarget	Accorde l'autorisation de récupérer une cible de passerelle existante	Lecture	gateway*
GetMemory	Accorde l'autorisation de récupérer les détails d'une ressource de mémoire	Lecture	memory*
GetMemoryRecord	Accorde l'autorisation de récupérer un enregistrement mémoire	Lecture	memory*
GetOauth2CredentialProvider	Accorde l'autorisation de récupérer un fournisseur d' OAuth2 informations d'identification enregistré par son nom	Lecture	oauth2credentialprovider*
GetOauth2CredentialProvider		Lecture	token-vault*
GetOnlineEvaluationConfig	Accorde l'autorisation d'obtenir les détails d'une configuration d'évaluation en ligne	Lecture	online-evaluation-config*
GetPolicy	Accorde l'autorisation de récupérer une politique	Lecture	policy*
GetPolicy	Accorde l'autorisation de récupérer une politique	Lecture	policy-engine*
GetPolicyEngine	Accorde l'autorisation de récupérer un moteur de politiques	Lecture	policy-engine*
GetPolicyGeneration	Accorde l'autorisation de récupérer le statut et les résultats d'une demande de génération de politiques	Lecture	policy-engine*
GetPolicyGeneration		Lecture	policy-generation*
GetResourceApiKey	Accorde l'autorisation de récupérer une clé d'API associée à un fournisseur d'informations d'identification de clé d'API	Lecture	apikeycredentialprovider*
			token-vault*
			workload-identity*
			workload-identity-directory*
GetResourceOauth2Token	Accorde l'autorisation de récupérer le jeton d'accès avec un flux OAuth2 2LO ou 3LO pour accéder à une ressource externe	Lecture	oauth2credentialprovider*
			token-vault*
			workload-identity*
			workload-identity-directory*
GetResourcePolicy	Accorde l'autorisation de récupérer la politique basée sur les ressources pour une ressource Bedrock	Lecture	gateway
			runtime
			runtime-endpoint
GetTokenVault	Accorde l'autorisation de récupérer la configuration actuelle du TokenVault, y compris les paramètres de chiffrement	Lecture	token-vault*
GetWorkloadAccessToken	Accorde l'autorisation de récupérer un jeton d'accès à une charge de travail pour les charges de travail agentiques n'agissant pas pour le compte d'un utilisateur	Écrire	workload-identity*
GetWorkloadAccessToken		Écrire	workload-identity-directory*
GetWorkloadAccessTokenForJWT	Accorde l'autorisation de récupérer un jeton d'accès à la charge de travail pour les charges de travail agentiques agissant au nom de l'utilisateur avec le jeton JWT	Écrire	workload-identity*
			workload-identity-directory*
				bedrock-agentcore:InboundJwtClaim/iss bedrock-agentcore:InboundJwtClaim/sub bedrock-agentcore:InboundJwtClaim/aud bedrock-agentcore:InboundJwtClaim/scope bedrock-agentcore:InboundJwtClaim/client_id
GetWorkloadAccessTokenForUserId	Accorde l'autorisation de récupérer un jeton d'accès à la charge de travail pour les charges de travail agentic agissant au nom de l'utilisateur ayant un ID utilisateur	Écrire	workload-identity*
			workload-identity-directory*
				bedrock-agentcore:userid
GetWorkloadIdentity	Accorde l'autorisation de récupérer les détails d'une identité de charge de travail spécifique, y compris son nom et le retour autorisé OAuth2 URLs	Lecture	workload-identity*
GetWorkloadIdentity		Lecture	workload-identity-directory*
InvokeAgentRuntime	Accorde l'autorisation d'invoquer un point de terminaison d'exécution d'un agent	Écrire	runtime*
InvokeAgentRuntime		Écrire	runtime-endpoint*
InvokeAgentRuntimeForUser	Accorde l'autorisation d'invoquer un point de terminaison d'exécution d'un agent avec l'Runtime-User-Id en-tête X-Amzn-Bedrock-AgentCore -	Écrire	runtime*
InvokeAgentRuntimeForUser		Écrire	runtime-endpoint*
InvokeAgentRuntimeWithWebSocketStream	Accorde l'autorisation d'invoquer un point de terminaison d'exécution d'un agent avec WebSocket stream	Écrire	runtime*
InvokeAgentRuntimeWithWebSocketStream		Écrire	runtime-endpoint*
InvokeAgentRuntimeWithWebSocketStreamForUser	Accorde l'autorisation d'invoquer un point de terminaison d'exécution d'un agent avec WebSocket stream et avec X-Amzn-Bedrock-AgentCore - Runtime-User-Id header	Écrire	runtime*
InvokeAgentRuntimeWithWebSocketStreamForUser		Écrire	runtime-endpoint*
InvokeCodeInterpreter	Accorde l'autorisation d'invoquer une session d'interpréteur de code	Écrire	code-interpreter*
InvokeCodeInterpreter		Écrire	code-interpreter-custom*
InvokeGateway [autorisation uniquement]	Accorde l'autorisation d'invoquer une passerelle	Gestion des autorisations	gateway*
ListActors	Accorde l'autorisation de répertorier les acteurs	List	memory*
ListAgentRuntimeEndpoints	Accorde l'autorisation de répertorier les points de terminaison d'exécution de l'agent	List
ListAgentRuntimeVersions	Accorde l'autorisation de répertorier les versions d'exécution de l'agent	List
ListAgentRuntimes	Accorde l'autorisation de répertorier les environnements d'exécution des agents	List
ListApiKeyCredentialProviders	Accorde l'autorisation de répertorier tous les fournisseurs d'informations d'identification clés d'API dans le Token Vault	Lecture	apikeycredentialprovider*
ListApiKeyCredentialProviders		Lecture	token-vault*
ListBrowserSessions	Accorde l'autorisation de répertorier les sessions du navigateur	List
ListBrowsers	Accorde l'autorisation de répertorier les navigateurs	List
ListCodeInterpreterSessions	Accorde l'autorisation de répertorier les sessions d'interprétation de code	List	code-interpreter*
ListCodeInterpreterSessions		List	code-interpreter-custom*
ListCodeInterpreters	Accorde l'autorisation de répertorier les interpréteurs de code	List
ListEvaluators	Accorde l'autorisation de répertorier les évaluateurs	List
ListEvents	Accorde l'autorisation de répertorier des événements	List	memory*
ListEvents	Accorde l'autorisation de répertorier des événements	List		bedrock-agentcore:sessionId bedrock-agentcore:actorId
ListGatewayTargets	Accorde l'autorisation de répertorier les cibles de passerelle existantes	List	gateway*
ListGateways	Accorde l'autorisation de répertorier les passerelles existantes	List
ListMemories	Accorde l'autorisation de répertorier les ressources de mémoire	List
ListMemoryExtractionJobs	Permet de répertorier les tâches d'extraction pour cette mémoire	List	memory*
ListMemoryRecords	Accorde l'autorisation de répertorier les enregistrements en mémoire	List	memory*
ListMemoryRecords		List		bedrock-agentcore:namespace bedrock-agentcore:strategyId
ListOauth2CredentialProviders	Accorde l'autorisation de répertorier tous les fournisseurs OAuth2 d'identifiants dans le Token Vault	Lecture	oauth2credentialprovider*
ListOauth2CredentialProviders		Lecture	token-vault*
ListOnlineEvaluationConfigs	Permet de répertorier les configurations d'évaluation en ligne	List
ListPolicies	Accorde l'autorisation de répertorier les politiques dans un moteur de politiques	List	policy-engine*
ListPolicyEngines	Accorde l'autorisation de répertorier les moteurs de politiques	List
ListPolicyGenerationAssets	Accorde l'autorisation de répertorier les actifs de politique générés à partir d'une demande de génération	List	policy-engine*
ListPolicyGenerationAssets		List	policy-generation*
ListPolicyGenerations	Accorde l'autorisation de répertorier les demandes de génération de politiques	List	policy-engine*
ListSessions	Accorde l'autorisation de répertorier les sessions	List	memory*
ListSessions	Accorde l'autorisation de répertorier les sessions	List		bedrock-agentcore:actorId
ListTagsForResource	Accorde l'autorisation de répertorier les tags d'une ressource Bedrock AgentCore	List	apikeycredentialprovider
			browser-custom
			code-interpreter-custom
			gateway
			memory
			oauth2credentialprovider
			runtime
			runtime-endpoint
			token-vault
			workload-identity
			workload-identity-directory
ListWorkloadIdentities	Accorde l'autorisation de répertorier toutes les identités de charge de travail dans celles de l'appelant Compte AWS	Lecture	workload-identity*
ListWorkloadIdentities		Lecture	workload-identity-directory*
ManageAdminPolicy [autorisation uniquement]	Accorde l'autorisation de créer ou de modifier des politiques génériques qui s'appliquent aux ressources de passerelle	Gestion des autorisations
ManageResourceScopedPolicy [autorisation uniquement]	Accorde l'autorisation de créer ou de modifier des politiques qui s'appliquent à des ressources de passerelle spécifiques	Gestion des autorisations	gateway*
PartiallyAuthorizeActions [autorisation uniquement]	Accorde l'autorisation d'effectuer une évaluation partielle des politiques de Cedar afin d'autoriser un appelant à répertorier les outils qu'il est autorisé à appeler	Gestion des autorisations	gateway*
PartiallyAuthorizeActions [autorisation uniquement]		Gestion des autorisations	policy-engine*
PutResourcePolicy	Accorde l'autorisation de créer ou de mettre à jour la politique basée sur les ressources pour une ressource Bedrock	Écrire	gateway
			runtime
			runtime-endpoint
RetrieveMemoryRecords	Accorde l'autorisation de récupérer des enregistrements de mémoire par le biais d'une requête sémantique	List	memory*
RetrieveMemoryRecords		List		bedrock-agentcore:namespace bedrock-agentcore:strategyId
SetTokenVaultCMK	Accorde l'autorisation d'associer une clé gérée par le client (CMK) ou une clé gérée par un service à un TokenVault	Lecture	token-vault*
StartBrowserSession	Accorde l'autorisation de démarrer une nouvelle session de navigateur	Écrire	browser*
StartBrowserSession		Écrire	browser-custom*
StartCodeInterpreterSession	Accorde l'autorisation de démarrer une nouvelle session d'interpréteur de code	Écrire	code-interpreter*
StartCodeInterpreterSession		Écrire	code-interpreter-custom*
StartMemoryExtractionJob	Autorise le démarrage de la tâche d'extraction de mémoire	Écrire	memory*
StartMemoryExtractionJob	Autorise le démarrage de la tâche d'extraction de mémoire	Écrire		bedrock-agentcore:strategyId bedrock-agentcore:sessionId bedrock-agentcore:actorId
StartPolicyGeneration	Autorise le lancement d'une demande de génération de politiques basée sur l'IA	Écrire	policy-engine*
StopBrowserSession	Accorde l'autorisation d'arrêter une session de navigateur	Écrire	browser*
StopBrowserSession	Accorde l'autorisation d'arrêter une session de navigateur	Écrire	browser-custom*
StopCodeInterpreterSession	Autorise l'arrêt d'une session d'interpréteur de code	Écrire	code-interpreter*
StopCodeInterpreterSession	Autorise l'arrêt d'une session d'interpréteur de code	Écrire	code-interpreter-custom*
StopRuntimeSession	Accorde l'autorisation d'arrêter une session d'exécution	Écrire	runtime*
StopRuntimeSession	Accorde l'autorisation d'arrêter une session d'exécution	Écrire	runtime-endpoint*
SynchronizeGatewayTargets [autorisation uniquement]	Accorde l'autorisation d'activer la recherche sur les passerelles	Gestion des autorisations	gateway*
TagResource	Accorde l'autorisation de taguer une ressource Bedrock AgentCore	Identification	apikeycredentialprovider
			browser-custom
			code-interpreter-custom
			gateway
			memory
			oauth2credentialprovider
			runtime
			runtime-endpoint
			token-vault
			workload-identity
			workload-identity-directory
				aws:TagKeys aws:RequestTag/${TagKey}
UntagResource	Permet de détaguer une ressource Bedrock AgentCore	Identification	apikeycredentialprovider
			browser-custom
			code-interpreter-custom
			gateway
			memory
			oauth2credentialprovider
			runtime
			runtime-endpoint
			token-vault
			workload-identity
			workload-identity-directory
				aws:TagKeys
UpdateAgentRuntime	Autorise la mise à jour de l'environnement d'exécution d'un agent	Écrire	runtime*		iam:PassRole
UpdateAgentRuntimeEndpoint	Accorde l'autorisation de mettre à jour le point de terminaison d'un agent	Écrire	runtime*
UpdateAgentRuntimeEndpoint		Écrire	runtime-endpoint*
UpdateApiKeyCredentialProvider	Autorise la mise à jour d'un fournisseur d'identifiants de clé d'API existant	Écrire	apikeycredentialprovider*
UpdateApiKeyCredentialProvider		Écrire	token-vault*
UpdateBrowserStream	Autorise la mise à jour de l'état du flux de session du navigateur	Écrire	browser*
UpdateBrowserStream		Écrire	browser-custom*
UpdateEvaluator	Accorde l'autorisation de mettre à jour un évaluateur	Écrire	evaluator*
UpdateGateway	Autorise la mise à jour d'une passerelle existante	Écrire	gateway*		iam:PassRole
UpdateGatewayTarget	Autorise la mise à jour d'une cible de passerelle existante	Écrire	gateway*
UpdateMemory	Autorise la mise à jour d'une ressource de mémoire	Écrire	memory*		iam:PassRole
UpdateOauth2CredentialProvider	Autorise la mise à jour d'un fournisseur d' OAuth2 informations d'identification existant	Écrire	oauth2credentialprovider*
UpdateOauth2CredentialProvider		Écrire	token-vault*
UpdateOnlineEvaluationConfig	Autorise la mise à jour d'une configuration d'évaluation en ligne	Écrire	online-evaluation-config*		iam:PassRole
UpdatePolicy	Autorise la mise à jour d'une politique existante	Écrire	policy*
UpdatePolicy	Autorise la mise à jour d'une politique existante	Écrire	policy-engine*
UpdatePolicyEngine	Autorise la mise à jour d'un moteur de politiques	Écrire	policy-engine*
UpdateWorkloadIdentity	Autorise la mise à jour des métadonnées d'une identité de charge de travail existante	Écrire	workload-identity*
UpdateWorkloadIdentity		Écrire	workload-identity-directory*

Types de ressources définis par Amazon Bedrock Agentcore

Ce service définit les types de ressources suivants, qui peuvent être utilisés dans l' Resource élément des déclarations de politique d'autorisation IAM. Chaque action du tableau Actions identifie les types de ressources pouvant être spécifiés avec cette action. Un type de ressource peut également définir les clés de condition que vous pouvez inclure dans une politique. Ces clés sont affichées dans la dernière colonne du tableau. Pour plus de détails sur les colonnes du tableau suivant, veuillez consulter le tableau Types de ressources.

Types de ressources	ARN	Clés de condition
evaluator	`arn:${Partition}:bedrock-agentcore:${Region}:${Account}:evaluator/${EvaluatorId}`
online-evaluation-config	`arn:${Partition}:bedrock-agentcore:${Region}:${Account}:online-evaluation-config/${OnlineEvaluationConfigId}`
memory	`arn:${Partition}:bedrock-agentcore:${Region}:${Account}:memory/${MemoryId}`	aws:ResourceTag/${TagKey}
gateway	`arn:${Partition}:bedrock-agentcore:${Region}:${Account}:gateway/${GatewayId}`	aws:ResourceTag/${TagKey}
workload-identity	`arn:${Partition}:bedrock-agentcore:${Region}:${Account}:workload-identity-directory/${DirectoryId}/workload-identity/${WorkloadIdentityName}`	aws:ResourceTag/${TagKey}
oauth2credentialprovider	`arn:${Partition}:bedrock-agentcore:${Region}:${Account}:token-vault/${TokenVaultId}/oauth2credentialprovider/${Name}`	aws:ResourceTag/${TagKey}
apikeycredentialprovider	`arn:${Partition}:bedrock-agentcore:${Region}:${Account}:token-vault/${TokenVaultId}/apikeycredentialprovider/${Name}`	aws:ResourceTag/${TagKey}
runtime	`arn:${Partition}:bedrock-agentcore:${Region}:${Account}:runtime/${RuntimeId}`	aws:ResourceTag/${TagKey}
runtime-endpoint	`arn:${Partition}:bedrock-agentcore:${Region}:${Account}:runtime/${RuntimeId}/runtime-endpoint/${Name}`	aws:ResourceTag/${TagKey}
code-interpreter-custom	`arn:${Partition}:bedrock-agentcore:${Region}:${Account}:code-interpreter-custom/${CodeInterpreterId}`	aws:ResourceTag/${TagKey}
code-interpreter	`arn:${Partition}:bedrock-agentcore:${Region}:aws:code-interpreter/${CodeInterpreterId}`
browser-custom	`arn:${Partition}:bedrock-agentcore:${Region}:${Account}:browser-custom/${BrowserId}`	aws:ResourceTag/${TagKey}
browser	`arn:${Partition}:bedrock-agentcore:${Region}:aws:browser/${BrowserId}`
workload-identity-directory	`arn:${Partition}:bedrock-agentcore:${Region}:${Account}:workload-identity-directory/${DirectoryId}`	aws:ResourceTag/${TagKey}
token-vault	`arn:${Partition}:bedrock-agentcore:${Region}:${Account}:token-vault/${TokenVaultId}`	aws:ResourceTag/${TagKey}
policy-engine	`arn:${Partition}:bedrock-agentcore:${Region}:${Account}:policy-engine/${PolicyEngineId}`
policy	`arn:${Partition}:bedrock-agentcore:${Region}:${Account}:policy-engine/${PolicyEngineId}/policy/${PolicyId}`
policy-generation	`arn:${Partition}:bedrock-agentcore:${Region}:${Account}:policy-engine/${PolicyEngineId}/policy-generation/${PolicyGenerationId}`

Clés de condition pour Amazon Bedrock Agentcore

Amazon Bedrock Agentcore définit les clés de condition suivantes qui peuvent être utilisées dans l'Conditionélément d'une politique IAM. Vous pouvez utiliser ces clés pour affiner les conditions d’application de la déclaration de politique. Pour plus de détails sur les colonnes du tableau suivant, veuillez consulter le tableau Clés de condition.

Pour afficher les clés de condition globales disponibles pour tous les services, consultez la section Clés contextuelles de condition AWS globales.

Clés de condition	Description	Type
aws:RequestTag/${TagKey}	Filtre l'accès en créant des demandes en fonction de l'ensemble de valeurs autorisé pour chacune des balises obligatoires.	String
aws:ResourceTag/${TagKey}	Filtre l'accès en ayant des actions basées sur la valeur de balise associée à la ressource.	String
aws:TagKeys	Filtre l'accès en créant des demandes en fonction de la présence de balises obligatoires dans la demande.	ArrayOfString
bedrock-agentcore:GatewayAuthorizerType	Filtre l'accès par l'attribut AuthorizerType sur une passerelle	String
bedrock-agentcore:InboundJwtClaim/aud	Filtre l'accès en fonction de la demande d'audience (aud) dans le JWT transmis dans la demande	ArrayOfString
bedrock-agentcore:InboundJwtClaim/client_id	Filtre l'accès par la réclamation client_id dans le JWT transmis dans la demande	String
bedrock-agentcore:InboundJwtClaim/iss	Filtre l'accès par l'émetteur (iss) à la réclamation présente dans le JWT transmis dans la demande	String
bedrock-agentcore:InboundJwtClaim/scope	Filtre l'accès en fonction de la demande de portée dans le JWT transmis dans la demande	ArrayOfString
bedrock-agentcore:InboundJwtClaim/sub	Filtre l'accès en fonction de l'objet de la réclamation (sous) dans le JWT transmis dans la demande	String
bedrock-agentcore:actorId	Filtre l'accès par identifiant d'acteur	String
bedrock-agentcore:namespace	Filtre l'accès par espace de noms	String
bedrock-agentcore:sessionId	Filtre l'accès par identifiant de session	String
bedrock-agentcore:strategyId	Filtre l'accès par ID de stratégie de mémoire	String
bedrock-agentcore:userid	Filtre l'accès en fonction de la valeur d'ID utilisateur statique transmise dans la demande	String

Avertissement JavaScript est désactivé ou n'est pas disponible dans votre navigateur.

Pour que vous puissiez utiliser la documentation AWS, Javascript doit être activé. Vous trouverez des instructions sur les pages d'aide de votre navigateur.

Conventions de rédaction

Amazon Bedrock

Amazon Bedrock propulsé par AWS Mantle