Menggunakan peran terkait layanan untuk Amazon Bedrock AgentCore

Amazon Bedrock AgentCore menggunakan peran terkait AWS layanan Identity and Access Management (IAM). Peran terkait layanan adalah jenis unik peran IAM yang ditautkan langsung ke. AgentCore Service-linked peran telah ditentukan sebelumnya oleh AgentCore dan mencakup semua izin yang diperlukan layanan untuk memanggil AWS layanan lain atas nama Anda.

Peran terkait layanan membuat penggunaan AgentCore lebih mudah karena Anda tidak perlu menambahkan izin yang diperlukan secara manual. AgentCore mendefinisikan izin peran terkait layanan, dan kecuali ditentukan lain, hanya AgentCore dapat mengambil perannya. Izin yang ditentukan mencakup kebijakan kepercayaan dan kebijakan izin, serta bahwa kebijakan izin tidak dapat dilampirkan ke entitas IAM lainnya.

Anda dapat menghapus peran hanya setelah terlebih dahulu menghapus sumber daya terkaitnya. Ini melindungi AgentCore sumber daya Anda karena Anda tidak dapat secara tidak sengaja menghapus izin untuk mengakses sumber daya.

AgentCore menggunakan peran terkait layanan berikut:

AgentCore izin peran terkait layanan

Peran terkait layanan jaringan

AgentCore menggunakan peran terkait layanan bernama AWSServiceRoleForBedrockAgentCoreNetwork untuk memungkinkan AgentCore membuat dan mengelola antarmuka jaringan di VPC Anda atas nama Anda.

Peran tertaut layanan AWSServiceRoleForBedrockAgentCoreNetwork memercayai layanan berikut untuk mengambil peran tersebut:

Kebijakan izin peran memungkinkan AgentCore untuk menyelesaikan tindakan berikut pada sumber daya yang ditentukan:

Anda dapat melihat kebijakan lengkapnya di BedrockAgentCoreNetworkServiceRolePolicy.

{
"Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "AllowCreateEniInAnySubnet",
            "Effect": "Allow",
            "Action": "ec2:CreateNetworkInterface",
            "Resource": "arn:aws:ec2:*:*:subnet/*"
        },
        {
            "Sid": "AllowCreateEniWithSecurityGroups",
            "Effect": "Allow",
            "Action": "ec2:CreateNetworkInterface",
            "Resource": "arn:aws:ec2:*:*:security-group/*"
        },
        {
            "Sid": "AllowCreateEniWithBedrockManagedRequestTag",
            "Effect": "Allow",
            "Action": "ec2:CreateNetworkInterface",
            "Resource": "arn:aws:ec2:*:*:network-interface/*",
            "Condition": {
                "ForAllValues:StringEquals": {
                    "aws:TagKeys": [
                        "AmazonBedrockAgentCoreManaged"
                    ]
                },
                "StringEquals": {
                    "aws:RequestTag/AmazonBedrockAgentCoreManaged": "true"
                }
            }
        },
        {
            "Sid": "AllowTagEniOnCreate",
            "Effect": "Allow",
            "Action": "ec2:CreateTags",
            "Resource": "arn:aws:ec2:*:*:network-interface/*",
            "Condition": {
                "StringEquals": {
                    "ec2:CreateAction": "CreateNetworkInterface"
                }
            }
        },
        {
            "Sid": "AllowManageEniWhenBedrockManaged",
            "Effect": "Allow",
            "Action": [
                "ec2:DeleteNetworkInterface",
                "ec2:AssignPrivateIpAddresses",
                "ec2:UnassignPrivateIpAddresses",
                "ec2:CreateNetworkInterfacePermission"
            ],
            "Resource": "arn:aws:ec2:*:*:network-interface/*",
            "Condition": {
                "StringEquals": {
                    "aws:ResourceTag/AmazonBedrockAgentCoreManaged": "true"
                }
            }
        },
        {
            "Sid": "AllowGetSecurityGroupsForVpc",
            "Effect": "Allow",
            "Action": [
                "ec2:GetSecurityGroupsForVPC"
            ],
            "Resource": "arn:aws:ec2:*:*:vpc/*"
        },
        {
            "Sid": "AllowDescribeNetworkingResources",
            "Effect": "Allow",
            "Action": [
                "ec2:DescribeNetworkInterfaces",
                "ec2:DescribeSecurityGroups",
                "ec2:DescribeSubnets",
                "ec2:DescribeVpcs"
            ],
            "Resource": "*"
        }
    ]
}

Peran terkait layanan identitas

AgentCore menggunakan peran terkait layanan bernama AWSServiceRoleForBedrockAgentCoreRuntimeIdentity untuk memungkinkan AgentCore mengelola token akses identitas beban kerja dan kredenal OAuth atas nama Anda.

Peran tertaut layanan AWSServiceRoleForBedrockAgentCoreRuntimeIdentity memercayai layanan berikut untuk mengambil peran tersebut:

Kebijakan izin peran memungkinkan AgentCore untuk menyelesaikan tindakan ini pada sumber daya yang ditentukan.

Anda dapat melihat kebijakan lengkapnya di BedrockAgentCoreRuntimeIdentityServiceRolePolicy.

{
"Version": "2012-10-17",
    "Statement": {
        "Sid": "AllowWorkloadIdentityAccess",
        "Effect": "Allow",
        "Action": [
            "bedrock-agentcore:GetWorkloadAccessToken",
            "bedrock-agentcore:GetWorkloadAccessTokenForJWT",
            "bedrock-agentcore:GetWorkloadAccessTokenForUserId"
        ],
        "Resource": [
            "arn:aws:bedrock-agentcore:*:*:workload-identity-directory/default",
            "arn:aws:bedrock-agentcore:*:*:workload-identity-directory/default/workload-identity/*"
        ]
    }
}

Untuk informasi tentang perubahan kebijakan ini, lihat AgentCore pembaruan kebijakan AWS terkelola.

Memahami Fitur Identitas

Peran terkait layanan digunakan untuk mendukung otentikasi OAuth dan fitur token pembawa JWT untuk sumber daya Runtime. AgentCore Fitur ini memungkinkan runtime agen untuk mengelola identitas beban kerja dengan aman dan mengakses penyedia OAuth eksternal atas nama pengguna.

Manfaat Utama Manajemen Identitas

Bagaimana Manajemen Identitas Bekerja

Saat Anda memanggil AgentCore Runtime dengan otentikasi OAuth atau token pembawa JWT:

Migrasi dari Pendekatan Warisan

Peran terkait layanan memastikan bahwa hanya AgentCore dapat mengakses sumber daya identitas beban kerja yang secara eksplisit terkait dengan runtime agen Anda, menjaga isolasi yang aman, dan atribusi sumber daya yang jelas.

Untuk detail implementasi, lihat Mengautentikasi dan mengotorisasi dengan Auth Masuk dan Auth Keluar.

Peran terkait layanan gateway

AgentCore menggunakan peran terkait layanan bernama AWSServiceRoleForBedrockAgentCoreGatewayNetwork untuk memungkinkan AgentCore Gateway membuat dan mengelola sumber daya Amazon VPC Lattice di akun Anda atas nama Anda. Peran ini digunakan saat Anda mengonfigurasi target gateway dengan titik akhir pribadi terkelola, memungkinkan AgentCore Gateway menyiapkan gateway sumber daya VPC Lattice yang diperlukan untuk konektivitas pribadi ke sumber daya di VPC Anda.

Peran tertaut layanan AWSServiceRoleForBedrockAgentCoreGatewayNetwork memercayai layanan berikut untuk mengambil peran tersebut:

Kebijakan izin peran memungkinkan AgentCore untuk menyelesaikan tindakan berikut pada sumber daya yang ditentukan:

Anda dapat melihat kebijakan lengkapnya di BedrockAgentCoreGatewayNetworkServiceRolePolicy.

{
"Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "AllowSLRActionsForLattice",
            "Effect": "Allow",
            "Action": [
                "iam:CreateServiceLinkedRole"
            ],
            "Resource": [
                "arn:aws:iam::*:role/aws-service-role/vpc-lattice.amazonaws.com/AWSServiceRoleForVpcLattice"
            ],
            "Condition": {
                "StringEquals": {
                    "iam:AWSServiceName": "vpc-lattice.amazonaws.com"
                }
            }
        },
        {
            "Sid": "AllowResourceGatewayCreate",
            "Effect": "Allow",
            "Action": [
                "vpc-lattice:CreateResourceGateway",
                "vpc-lattice:TagResource"
            ],
            "Resource": [
                "arn:aws:vpc-lattice:*:*:resourcegateway/*"
            ],
            "Condition": {
                "StringEquals": {
                    "aws:RequestTag/BedrockAgentCoreGatewayManaged": "true",
                    "aws:ResourceTag/BedrockAgentCoreGatewayManaged": "true"
                }
            }
        },
        {
            "Sid": "AllowEC2PermissionsForResourceGatewayCreate",
            "Effect": "Allow",
            "Action": [
                "ec2:DescribeSubnets",
                "ec2:DescribeVpcs",
                "ec2:DescribeSecurityGroups"
            ],
            "Resource": [
                "*"
            ]
        },
        {
            "Sid": "AllowResourceGatewayDelete",
            "Effect": "Allow",
            "Action": [
                "vpc-lattice:DeleteResourceGateway",
                "vpc-lattice:GetResourceGateway"
            ],
            "Resource": [
                "*"
            ],
            "Condition": {
                "StringEquals": {
                    "aws:ResourceTag/BedrockAgentCoreGatewayManaged": "true"
                }
            }
        }
    ]
}

Memahami Fitur Kisi Terkelola Gateway

Peran terkait layanan digunakan untuk mendukung fitur endpoint pribadi terkelola untuk AgentCore target Gateway. Saat Anda membuat target gateway dengan titik akhir pribadi terkelola, AgentCore gunakan peran ini untuk membuat dan mengelola gateway sumber daya VPC Lattice di akun Anda atas nama Anda. Gateway sumber daya terkelola ini memungkinkan konektivitas pribadi antara AgentCore Gateway dan sumber daya di VPC Anda tanpa mengharuskan Anda menyiapkan sumber daya VPC Lattice secara manual.

Manfaat Utama Sumber Daya Kisi Terkelola

Cara Kerja Sumber Daya Kisi Terkelola

Saat Anda membuat target gateway dengan titik akhir pribadi terkelola:

Peran terkait layanan Jaringan Identitas

AgentCore menggunakan peran terkait layanan bernama AWSServiceRoleForBedrockAgentCoreIdentity untuk memungkinkan AgentCore Identity membuat dan mengelola sumber daya Amazon VPC Lattice di akun Anda atas nama Anda. Peran ini digunakan saat Anda mengonfigurasi titik akhir pribadi untuk penyedia identitas pribadi, memungkinkan Identity untuk menyiapkan gateway sumber daya VPC Lattice yang diperlukan untuk konektivitas pribadi ke penyedia AgentCore identitas di VPC Anda.

Peran tertaut layanan AWSServiceRoleForBedrockAgentCoreIdentity memercayai layanan berikut untuk mengambil peran tersebut:

Kebijakan izin peran memungkinkan AgentCore untuk menyelesaikan tindakan berikut pada sumber daya yang ditentukan:

Anda dapat melihat kebijakan lengkapnya di AWSBedrockAgentCoreIdentityNetworkServiceRolePolicy.

{
  "Version" : "2012-10-17",
  "Statement" : [
    {
      "Sid" : "AllowSLRActionsForLattice",
      "Effect" : "Allow",
      "Action" : [
        "iam:CreateServiceLinkedRole"
      ],
      "Resource" : [
        "arn:aws:iam::*:role/aws-service-role/vpc-lattice.amazonaws.com/AWSServiceRoleForVpcLattice"
      ],
      "Condition" : {
        "StringEquals" : {
          "iam:AWSServiceName" : "vpc-lattice.amazonaws.com"
        }
      }
    },
    {
      "Sid" : "AllowResourceGatewayCreate",
      "Effect" : "Allow",
      "Action" : [
        "vpc-lattice:CreateResourceGateway",
        "vpc-lattice:TagResource"
      ],
      "Resource" : [
        "arn:aws:vpc-lattice:*:*:resourcegateway/*"
      ],
      "Condition" : {
        "StringEquals" : {
          "aws:RequestTag/BedrockAgentCoreIdentityManaged" : "true",
          "aws:ResourceTag/BedrockAgentCoreIdentityManaged" : "true"
        }
      }
    },
    {
      "Sid" : "AllowEC2PermissionsForResourceGatewayCreate",
      "Effect" : "Allow",
      "Action" : [
        "ec2:DescribeSubnets",
        "ec2:DescribeVpcs",
        "ec2:DescribeSecurityGroups"
      ],
      "Resource" : [
        "*"
      ]
    },
    {
      "Sid" : "AllowResourceGatewayDelete",
      "Effect" : "Allow",
      "Action" : [
        "vpc-lattice:DeleteResourceGateway",
        "vpc-lattice:GetResourceGateway"
      ],
      "Resource" : [
        "*"
      ],
      "Condition" : {
        "StringEquals" : {
          "aws:ResourceTag/BedrockAgentCoreIdentityManaged" : "true"
        }
      }
    }
  ]
}

Memahami Fitur Jaringan Identitas

Peran terkait layanan digunakan untuk mendukung fitur endpoint pribadi terkelola untuk Identity. AgentCore Saat Anda mengonfigurasi titik akhir pribadi untuk penyedia identitas pribadi, AgentCore gunakan peran ini untuk membuat dan mengelola gateway sumber daya VPC Lattice di akun Anda atas nama Anda. Gateway sumber daya terkelola ini memungkinkan konektivitas pribadi antara AgentCore Identitas dan penyedia identitas di VPC Anda, seperti Keycloak yang dihosting sendiri,, atau server OIDC-compliant otorisasi lainnya PingFederate, tanpa mengharuskan Anda menyiapkan sumber daya VPC Lattice secara manual.

Cara Kerja Sumber Daya Kisi Terkelola untuk Identitas

Saat Anda mengonfigurasi titik akhir pribadi untuk penyedia identitas pribadi:

Untuk informasi selengkapnya tentang mengonfigurasi penyedia identitas pribadi, lihat Connect to private identity providers di VPC Anda.

Membuat peran terkait layanan untuk AgentCore

Anda tidak perlu membuat peran terkait layanan secara manual. AgentCore membuatnya secara otomatis saat diperlukan:

Jika Anda menghapus peran terkait layanan dan kemudian perlu membuatnya lagi, Anda dapat menggunakan proses yang sama untuk membuat ulang peran di akun Anda. Saat Anda membuat AgentCore sumber daya yang sesuai, AgentCore buat peran terkait layanan untuk Anda lagi.

Izin yang diperlukan untuk membuat peran yang ditautkan dengan layanan

Anda harus mengonfigurasi izin agar entitas IAM (seperti pengguna, grup, atau peran) dapat membuat, mengedit, atau menghapus peran terkait layanan. Entitas IAM harus memiliki izin berikut:

Untuk peran terkait layanan Jaringan

{
    "Action": "iam:CreateServiceLinkedRole",
    "Effect": "Allow",
    "Resource": "arn:aws:iam::*:role/aws-service-role/network.bedrock-agentcore.amazonaws.com/AWSServiceRoleForBedrockAgentCoreNetwork",
    "Condition": {
        "StringLike": {
            "iam:AWSServiceName": "network.bedrock-agentcore.amazonaws.com"
        }
    }
}

Untuk peran terkait layanan Identitas

{
    "Sid": "CreateBedrockAgentCoreRuntimeIdentityServiceLinkedRolePermissions",
    "Effect": "Allow",
    "Action": "iam:CreateServiceLinkedRole",
    "Resource": "arn:aws:iam::*:role/aws-service-role/runtime-identity.bedrock-agentcore.amazonaws.com/AWSServiceRoleForBedrockAgentCoreRuntimeIdentity",
    "Condition": {
        "StringEquals": {
            "iam:AWSServiceName": "runtime-identity.bedrock-agentcore.amazonaws.com"
        }
    }
}

Untuk peran terkait layanan Gateway

{
    "Effect": "Allow",
    "Action": "iam:CreateServiceLinkedRole",
    "Resource": "arn:aws:iam::*:role/aws-service-role/bedrock-agentcore.amazonaws.com/AWSServiceRoleForBedrockAgentCoreGatewayNetwork",
    "Condition": {
        "StringEquals": {
            "iam:AWSServiceName": "bedrock-agentcore.amazonaws.com"
        }
    }
}

Untuk peran terkait layanan Jaringan Identitas

{
    "Effect": "Allow",
    "Action": "iam:CreateServiceLinkedRole",
    "Resource": "arn:aws:iam::*:role/aws-service-role/identity-network.bedrock-agentcore.amazonaws.com/AWSServiceRoleForBedrockAgentCoreIdentity",
    "Condition": {
        "StringEquals": {
            "iam:AWSServiceName": "identity-network.bedrock-agentcore.amazonaws.com"
        }
    }
}

Izin ini sudah termasuk dalam kebijakan AWS BedrockAgentCoreFullAccessterkelola.

Mengedit peran terkait layanan untuk AgentCore

AgentCore tidak memungkinkan Anda untuk mengeditAWSServiceRoleForBedrockAgentCoreNetwork,, AWSServiceRoleForBedrockAgentCoreRuntimeIdentityAWSServiceRoleForBedrockAgentCoreGatewayNetwork, atau peran AWSServiceRoleForBedrockAgentCoreIdentity terkait layanan. Setelah membuat peran terkait layanan, Anda tidak dapat mengubah nama peran karena berbagai entitas mungkin merujuk peran tersebut. Namun, Anda dapat mengedit penjelasan peran menggunakan IAM. Untuk informasi selengkapnya, lihat Mengedit peran terkait layanan.

Menghapus peran terkait layanan untuk AgentCore

Jika Anda tidak perlu lagi menggunakan fitur atau layanan yang memerlukan peran terkait layanan, sebaiknya hapus peran tersebut. Dengan begitu, Anda tidak perlu lagi memantau atau memelihara entitas yang tidak digunakan. Namun, Anda harus menghapus semua AgentCore sumber daya yang menggunakan peran terkait layanan sebelum dapat menghapus peran:

Membersihkan peran terkait layanan

Sebelum dapat menggunakan IAM untuk menghapus peran tertaut layanan, Anda harus mengonfirmasi terlebih dahulu bahwa peran tersebut tidak memiliki sesi aktif dan menghapus sumber daya yang digunakan oleh peran tersebut.

Untuk memeriksa apakah peran terkait layanan memiliki sesi aktif di konsol IAM

Jika Anda ingin menghapus peran terkait layanan, Anda harus terlebih dahulu menghapus sumber daya yang sesuai AgentCore :

Menghapus peran tertaut layanan secara manual

Gunakan konsol IAM, AWS CLI, atau API IAM untuk menghapus peran terkait layanan. Untuk informasi selengkapnya, lihat Menghapus peran terkait layanan.