Terjemahan disediakan oleh mesin penerjemah. Jika konten terjemahan yang diberikan bertentangan dengan versi bahasa Inggris aslinya, utamakan versi bahasa Inggris.

Menggunakan peran terkait layanan untuk Amazon Bedrock AgentCore

Amazon Bedrock AgentCore menggunakan peran terkait AWS layanan Identitas dan Manajemen Akses (IAM). Peran terkait layanan adalah jenis peran IAM unik yang ditautkan langsung ke. AgentCore Service-linked peran telah ditentukan sebelumnya oleh AgentCore dan menyertakan semua izin yang diperlukan layanan untuk memanggil AWS layanan lain atas nama Anda.

Peran terkait layanan membuat penggunaan AgentCore lebih mudah karena Anda tidak perlu menambahkan izin yang diperlukan secara manual. AgentCore mendefinisikan izin peran terkait layanan, dan kecuali ditentukan lain, hanya AgentCore dapat mengambil perannya. Izin yang ditentukan mencakup kebijakan kepercayaan dan kebijakan izin, serta bahwa kebijakan izin tidak dapat dilampirkan ke entitas IAM lainnya.

Anda dapat menghapus peran hanya setelah terlebih dahulu menghapus sumber daya terkaitnya. Ini melindungi AgentCore sumber daya Anda karena Anda tidak dapat menghapus izin untuk mengakses sumber daya secara tidak sengaja.

AgentCore menggunakan peran terkait layanan berikut:

AgentCore izin peran terkait layanan

Peran tertaut layanan jaringan

AgentCore menggunakan peran terkait layanan yang diberi nama AWSServiceRoleForBedrockAgentCoreNetwork AgentCore untuk memungkinkan membuat dan mengelola antarmuka jaringan di VPC Anda atas nama Anda.

Peran tertaut layanan AWSServiceRoleForBedrockAgentCoreNetwork memercayai layanan berikut untuk mengambil peran tersebut:

Kebijakan izin peran memungkinkan AgentCore untuk menyelesaikan tindakan berikut pada sumber daya yang ditentukan:

Anda dapat melihat kebijakan lengkapnya di BedrockAgentCoreNetworkServiceRolePolicy.

{
"Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "AllowCreateEniInAnySubnet",
            "Effect": "Allow",
            "Action": "ec2:CreateNetworkInterface",
            "Resource": "arn:aws:ec2:*:*:subnet/*"
        },
        {
            "Sid": "AllowCreateEniWithSecurityGroups",
            "Effect": "Allow",
            "Action": "ec2:CreateNetworkInterface",
            "Resource": "arn:aws:ec2:*:*:security-group/*"
        },
        {
            "Sid": "AllowCreateEniWithBedrockManagedRequestTag",
            "Effect": "Allow",
            "Action": "ec2:CreateNetworkInterface",
            "Resource": "arn:aws:ec2:*:*:network-interface/*",
            "Condition": {
                "ForAllValues:StringEquals": {
                    "aws:TagKeys": [
                        "AmazonBedrockAgentCoreManaged"
                    ]
                },
                "StringEquals": {
                    "aws:RequestTag/AmazonBedrockAgentCoreManaged": "true"
                }
            }
        },
        {
            "Sid": "AllowTagEniOnCreate",
            "Effect": "Allow",
            "Action": "ec2:CreateTags",
            "Resource": "arn:aws:ec2:*:*:network-interface/*",
            "Condition": {
                "StringEquals": {
                    "ec2:CreateAction": "CreateNetworkInterface"
                }
            }
        },
        {
            "Sid": "AllowManageEniWhenBedrockManaged",
            "Effect": "Allow",
            "Action": [
                "ec2:DeleteNetworkInterface",
                "ec2:AssignPrivateIpAddresses",
                "ec2:UnassignPrivateIpAddresses",
                "ec2:CreateNetworkInterfacePermission"
            ],
            "Resource": "arn:aws:ec2:*:*:network-interface/*",
            "Condition": {
                "StringEquals": {
                    "aws:ResourceTag/AmazonBedrockAgentCoreManaged": "true"
                }
            }
        },
        {
            "Sid": "AllowGetSecurityGroupsForVpc",
            "Effect": "Allow",
            "Action": [
                "ec2:GetSecurityGroupsForVPC"
            ],
            "Resource": "arn:aws:ec2:*:*:vpc/*"
        },
        {
            "Sid": "AllowDescribeNetworkingResources",
            "Effect": "Allow",
            "Action": [
                "ec2:DescribeNetworkInterfaces",
                "ec2:DescribeSecurityGroups",
                "ec2:DescribeSubnets",
                "ec2:DescribeVpcs"
            ],
            "Resource": "*"
        }
    ]
}

Peran terkait layanan identitas

AgentCore menggunakan peran terkait layanan yang diberi nama AWSServiceRoleForBedrockAgentCoreRuntimeIdentity untuk memungkinkan AgentCore mengelola token akses identitas beban kerja dan kredenSIAL OAuth atas nama Anda.

Peran tertaut layanan AWSServiceRoleForBedrockAgentCoreRuntimeIdentity memercayai layanan berikut untuk mengambil peran tersebut:

Kebijakan izin peran memungkinkan AgentCore untuk menyelesaikan tindakan ini pada sumber daya yang ditentukan.

Anda dapat melihat kebijakan lengkapnya di BedrockAgentCoreRuntimeIdentityServiceRolePolicy.

{
"Version": "2012-10-17",
    "Statement": {
        "Sid": "AllowWorkloadIdentityAccess",
        "Effect": "Allow",
        "Action": [
            "bedrock-agentcore:GetWorkloadAccessToken",
            "bedrock-agentcore:GetWorkloadAccessTokenForJWT",
            "bedrock-agentcore:GetWorkloadAccessTokenForUserId"
        ],
        "Resource": [
            "arn:aws:bedrock-agentcore:*:*:workload-identity-directory/default",
            "arn:aws:bedrock-agentcore:*:*:workload-identity-directory/default/workload-identity/*"
        ]
    }
}

Untuk informasi tentang perubahan kebijakan ini, lihat AgentCore pembaruan kebijakan ter AWS kelola.

Memahami Fitur Identitas

Peran terkait layanan digunakan untuk mendukung otentikasi OAuth dan fitur token pembawa JWT untuk sumber daya Runtime. AgentCore Fitur ini memungkinkan runtime agen mengelola identitas beban kerja dengan aman dan mengakses penyedia OAuth eksternal atas nama pengguna.

Manfaat Utama Manajemen Identitas

Bagaimana Manajemen Identitas Bekerja

Saat Anda memanggil AgentCore Runtime dengan otentikasi OAuth atau token pembawa JWT:

Migrasi dari Pendekatan Legacy

Peran terkait layanan memastikan bahwa hanya AgentCore dapat mengakses sumber daya identitas beban kerja yang secara eksplisit terkait dengan runtime agen Anda, menjaga isolasi aman dan atribusi sumber daya yang jelas.

Untuk detail implementasi, lihat Meng autentikasi dan mengotorisasi dengan Auth Masuk dan Auth Keluar.

Peran terkait layanan gateway

AgentCore menggunakan peran terkait layanan yang diberi nama AWSServiceRoleForBedrockAgentCoreGatewayNetwork untuk mengizinkan AgentCore Gateway membuat dan mengelola sumber daya Amazon VPC Lattice di akun Anda atas nama Anda. Peran ini digunakan saat Anda mengonfigurasi target gateway dengan titik akhir pribadi terkelola, memungkinkan AgentCore Gateway untuk mengatur gateway sumber daya VPC Lattice yang diperlukan untuk konektivitas pribadi ke sumber daya di VPC Anda.

Peran tertaut layanan AWSServiceRoleForBedrockAgentCoreGatewayNetwork memercayai layanan berikut untuk mengambil peran tersebut:

Kebijakan izin peran memungkinkan AgentCore untuk menyelesaikan tindakan berikut pada sumber daya yang ditentukan:

Anda dapat melihat kebijakan lengkapnya di AWSBedrockAgentCoreGatewayNetworkServiceRolePolicy.

{
"Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "AllowSLRActionsForLattice",
            "Effect": "Allow",
            "Action": [
                "iam:CreateServiceLinkedRole"
            ],
            "Resource": [
                "arn:aws:iam::*:role/aws-service-role/vpc-lattice.amazonaws.com/AWSServiceRoleForVpcLattice"
            ],
            "Condition": {
                "StringEquals": {
                    "iam:AWSServiceName": "vpc-lattice.amazonaws.com"
                }
            }
        },
        {
            "Sid": "AllowResourceGatewayCreate",
            "Effect": "Allow",
            "Action": [
                "vpc-lattice:CreateResourceGateway",
                "vpc-lattice:TagResource"
            ],
            "Resource": [
                "arn:aws:vpc-lattice:*:*:resourcegateway/*"
            ],
            "Condition": {
                "StringEquals": {
                    "aws:RequestTag/BedrockAgentCoreGatewayManaged": "true",
                    "aws:ResourceTag/BedrockAgentCoreGatewayManaged": "true"
                }
            }
        },
        {
            "Sid": "AllowEC2PermissionsForResourceGatewayCreate",
            "Effect": "Allow",
            "Action": [
                "ec2:DescribeSubnets",
                "ec2:DescribeVpcs",
                "ec2:DescribeSecurityGroups"
            ],
            "Resource": [
                "*"
            ]
        },
        {
            "Sid": "AllowResourceGatewayDelete",
            "Effect": "Allow",
            "Action": [
                "vpc-lattice:DeleteResourceGateway",
                "vpc-lattice:GetResourceGateway"
            ],
            "Resource": [
                "*"
            ],
            "Condition": {
                "StringEquals": {
                    "aws:ResourceTag/BedrockAgentCoreGatewayManaged": "true"
                }
            }
        }
    ]
}

Memahami Fitur Gateway Managed Lattice

Peran terkait layanan digunakan untuk mendukung fitur titik akhir pribadi terkelola untuk target AgentCore Gateway. Saat Anda membuat target gateway dengan titik akhir pribadi terkelola, gunakan AgentCore peran ini untuk membuat dan mengelola gateway sumber daya VPC Lattice di akun Anda atas nama Anda. Gateway sumber daya terkelola ini memungkinkan konektivitas pribadi antara AgentCore Gateway dan sumber daya di VPC Anda tanpa mengharuskan Anda mengatur sumber daya VPC Lattice secara manual.

Manfaat Utama dari Sumber Daya Kisi Terkelola

Cara Kerja Sumber Daya Kisi Terkelola

Saat Anda membuat target gateway dengan titik akhir pribadi terkelola:

Peran terkait layanan Identity Network

AgentCore menggunakan peran terkait layanan yang diberi nama AWSServiceRoleForBedrockAgentCoreIdentity untuk mengizinkan AgentCore Identity membuat dan mengelola sumber daya Amazon VPC Lattice di akun Anda atas nama Anda. Peran ini digunakan saat Anda mengonfigurasi titik akhir pribadi untuk penyedia identitas pribadi, memungkinkan AgentCore Identity untuk menyiapkan gateway sumber daya VPC Lattice yang diperlukan untuk konektivitas pribadi ke penyedia identitas di VPC Anda.

Peran tertaut layanan AWSServiceRoleForBedrockAgentCoreIdentity memercayai layanan berikut untuk mengambil peran tersebut:

Kebijakan izin peran memungkinkan AgentCore untuk menyelesaikan tindakan berikut pada sumber daya yang ditentukan:

Anda dapat melihat kebijakan lengkapnya di AWSBedrockAgentCoreIdentityNetworkServiceRolePolicy.

{
  "Version" : "2012-10-17",
  "Statement" : [
    {
      "Sid" : "AllowSLRActionsForLattice",
      "Effect" : "Allow",
      "Action" : [
        "iam:CreateServiceLinkedRole"
      ],
      "Resource" : [
        "arn:aws:iam::*:role/aws-service-role/vpc-lattice.amazonaws.com/AWSServiceRoleForVpcLattice"
      ],
      "Condition" : {
        "StringEquals" : {
          "iam:AWSServiceName" : "vpc-lattice.amazonaws.com"
        }
      }
    },
    {
      "Sid" : "AllowResourceGatewayCreate",
      "Effect" : "Allow",
      "Action" : [
        "vpc-lattice:CreateResourceGateway",
        "vpc-lattice:TagResource"
      ],
      "Resource" : [
        "arn:aws:vpc-lattice:*:*:resourcegateway/*"
      ],
      "Condition" : {
        "StringEquals" : {
          "aws:RequestTag/BedrockAgentCoreIdentityManaged" : "true",
          "aws:ResourceTag/BedrockAgentCoreIdentityManaged" : "true"
        }
      }
    },
    {
      "Sid" : "AllowEC2PermissionsForResourceGatewayCreate",
      "Effect" : "Allow",
      "Action" : [
        "ec2:DescribeSubnets",
        "ec2:DescribeVpcs",
        "ec2:DescribeSecurityGroups"
      ],
      "Resource" : [
        "*"
      ]
    },
    {
      "Sid" : "AllowResourceGatewayDelete",
      "Effect" : "Allow",
      "Action" : [
        "vpc-lattice:DeleteResourceGateway",
        "vpc-lattice:GetResourceGateway"
      ],
      "Resource" : [
        "*"
      ],
      "Condition" : {
        "StringEquals" : {
          "aws:ResourceTag/BedrockAgentCoreIdentityManaged" : "true"
        }
      }
    }
  ]
}

Memahami Fitur Jaringan Identitas

Peran terkait layanan digunakan untuk mendukung fitur titik akhir pribadi terkelola untuk AgentCore Identitas. Saat Anda mengonfigurasi titik akhir pribadi untuk penyedia identitas pribadi, gunakan AgentCore peran ini untuk membuat dan mengelola gateway sumber daya VPC Lattice di akun Anda atas nama Anda. Gateway sumber daya terkelola ini memungkinkan konektivitas pribadi antara penyedia Identitas dan AgentCore identitas di VPC Anda, seperti Keycloak yang di-host sendiri,, atau server OIDC-compliant otorisasi lainnya PingFederate, tanpa mengharuskan Anda mengatur sumber daya VPC Lattice secara manual.

Bagaimana Sumber Daya Kisi Terkelola Bekerja untuk Identitas

Saat Anda mengonfigurasi titik akhir pribadi untuk penyedia identitas pribadi:

Untuk informasi selengkapnya tentang mengonfigurasi penyedia identitas pribadi, lihat Menghubungkan ke penyedia identitas pribadi di VPC Anda.

Peran terkait layanan Instans Runtime

AgentCore menggunakan peran terkait layanan yang dinamai AWSServiceRoleForBedrockAgentCoreRuntimeInstances untuk membersihkan sumber daya komputasi yang dibuat penyedia kapasitas untuk tipe komputasi Instans. AgentCore menggunakan peran ini untuk merilis sumber daya seperti instans EC2, volume Amazon EBS, template peluncuran, grup Penskalaan Otomatis, dan EventBridge aturan Amazon saat sesi berakhir atau penyedia kapasitas dihapus. Pembersihan berjalan melalui peran terkait layanan sehingga AgentCore dapat melepaskan sumber daya ini bahkan jika peran operator penyedia kapasitas kemudian dimodifikasi atau dihapus.

Peran tertaut layanan AWSServiceRoleForBedrockAgentCoreRuntimeInstances memercayai layanan berikut untuk mengambil peran tersebut:

Kebijakan izin peran memungkinkan AgentCore untuk menyelesaikan tindakan berikut pada sumber daya yang ditentukan. Izin dicakup ke sumber daya yang AgentCore mengelola, menggunakan kunci ec2:ManagedResourceOperator kondisi, tag bedrock-agentcore:capacity-provider-id sumber daya, dan kunci events:ManagedBy kondisi.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "AllowDescribeResources",
            "Effect": "Allow",
            "Action": [
                "ec2:DescribeInstanceStatus",
                "ec2:DescribeInstances",
                "ec2:DescribeNetworkInterfaces",
                "ec2:DescribeVolumes",
                "ec2:DescribeLaunchTemplates",
                "ec2:DescribeLaunchTemplateVersions",
                "autoscaling:DescribeAutoScalingGroups"
            ],
            "Resource": [
                "*"
            ]
        },
        {
            "Sid": "AllowCleanupManagedLaunchTemplate",
            "Effect": "Allow",
            "Action": [
                "ec2:DeleteLaunchTemplate",
                "ec2:DeleteLaunchTemplateVersions"
            ],
            "Resource": "arn:aws:ec2:*:*:launch-template/*",
            "Condition": {
                "StringEquals": {
                    "ec2:ManagedResourceOperator": "bedrock-agentcore.amazonaws.com"
                }
            }
        },
        {
            "Sid": "AllowCleanupAutoScalingGroup",
            "Effect": "Allow",
            "Action": [
                "autoscaling:DeleteAutoScalingGroup",
                "autoscaling:CompleteLifecycleAction"
            ],
            "Resource": "arn:aws:autoscaling:*:*:autoScalingGroup:*",
            "Condition": {
                "Null": {
                    "aws:ResourceTag/bedrock-agentcore:capacity-provider-id": "false"
                }
            }
        },
        {
            "Sid": "AllowCleanupEventBridge",
            "Effect": "Allow",
            "Action": [
                "events:RemoveTargets",
                "events:DeleteRule"
            ],
            "Resource": "arn:aws:events:*:*:rule/*",
            "Condition": {
                "StringEquals": {
                    "events:ManagedBy": "bedrock-agentcore.amazonaws.com"
                }
            }
        },
        {
            "Sid": "AllowCleanupEBSVolumes",
            "Effect": "Allow",
            "Action": [
                "ec2:DeleteVolume"
            ],
            "Resource": [
                "arn:aws:ec2:*:*:volume/*"
            ],
            "Condition": {
                "StringEquals": {
                    "ec2:ManagedResourceOperator": "bedrock-agentcore.amazonaws.com"
                }
            }
        },
        {
            "Sid": "AllowDetachEBSVolumes",
            "Effect": "Allow",
            "Action": [
                "ec2:DetachVolume"
            ],
            "Resource": [
                "arn:aws:ec2:*:*:volume/*",
                "arn:aws:ec2:*:*:instance/*"
            ],
            "Condition": {
                "StringEquals": {
                    "ec2:ManagedResourceOperator": "bedrock-agentcore.amazonaws.com"
                }
            }
        },
        {
            "Sid": "AllowTerminateManagedInstances",
            "Effect": "Allow",
            "Action": [
                "ec2:TerminateInstances"
            ],
            "Resource": [
                "arn:aws:ec2:*:*:instance/*"
            ],
            "Condition": {
                "StringEquals": {
                    "ec2:ManagedResourceOperator": "bedrock-agentcore.amazonaws.com"
                }
            }
        }
    ]
}

Membuat peran terkait layanan untuk AgentCore

Anda tidak perlu membuat peran terkait layanan secara manual. AgentCore membuatnya secara otomatis saat dibutuhkan:

Jika Anda menghapus peran terkait layanan dan kemudian perlu membuatnya lagi, Anda dapat menggunakan proses yang sama untuk membuat ulang peran di akun Anda. Saat Anda membuat AgentCore sumber daya yang sesuai, AgentCore buat peran terkait layanan untuk Anda lagi.

Izin yang diperlukan untuk membuat peran yang ditautkan dengan layanan

Anda harus mengonfigurasi izin agar entitas IAM (seperti pengguna, grup, atau peran) dapat membuat, mengedit, atau menghapus peran terkait layanan. Entitas IAM harus memiliki izin berikut:

Untuk peran tertaut layanan Jaringan

{
    "Action": "iam:CreateServiceLinkedRole",
    "Effect": "Allow",
    "Resource": "arn:aws:iam::*:role/aws-service-role/network.bedrock-agentcore.amazonaws.com/AWSServiceRoleForBedrockAgentCoreNetwork",
    "Condition": {
        "StringLike": {
            "iam:AWSServiceName": "network.bedrock-agentcore.amazonaws.com"
        }
    }
}

Untuk peran terkait layanan Identitas

{
    "Sid": "CreateBedrockAgentCoreRuntimeIdentityServiceLinkedRolePermissions",
    "Effect": "Allow",
    "Action": "iam:CreateServiceLinkedRole",
    "Resource": "arn:aws:iam::*:role/aws-service-role/runtime-identity.bedrock-agentcore.amazonaws.com/AWSServiceRoleForBedrockAgentCoreRuntimeIdentity",
    "Condition": {
        "StringEquals": {
            "iam:AWSServiceName": "runtime-identity.bedrock-agentcore.amazonaws.com"
        }
    }
}

Untuk peran terkait layanan Gateway

{
    "Effect": "Allow",
    "Action": "iam:CreateServiceLinkedRole",
    "Resource": "arn:aws:iam::*:role/aws-service-role/bedrock-agentcore.amazonaws.com/AWSServiceRoleForBedrockAgentCoreGatewayNetwork",
    "Condition": {
        "StringEquals": {
            "iam:AWSServiceName": "bedrock-agentcore.amazonaws.com"
        }
    }
}

Untuk peran terkait layanan Identity Network

{
    "Effect": "Allow",
    "Action": "iam:CreateServiceLinkedRole",
    "Resource": "arn:aws:iam::*:role/aws-service-role/identity-network.bedrock-agentcore.amazonaws.com/AWSServiceRoleForBedrockAgentCoreIdentity",
    "Condition": {
        "StringEquals": {
            "iam:AWSServiceName": "identity-network.bedrock-agentcore.amazonaws.com"
        }
    }
}

Untuk peran tertaut layanan Instans Runtime

{
    "Effect": "Allow",
    "Action": "iam:CreateServiceLinkedRole",
    "Resource": "arn:aws:iam::*:role/aws-service-role/runtime-instances.bedrock-agentcore.amazonaws.com/AWSServiceRoleForBedrockAgentCoreRuntimeInstances",
    "Condition": {
        "StringEquals": {
            "iam:AWSServiceName": "runtime-instances.bedrock-agentcore.amazonaws.com"
        }
    }
}

Izin ini sudah disertakan dalam kebijakan ter AWS kelola BedrockAgentCoreFullAccess.

Mengedit peran terkait layanan untuk AgentCore

AgentCore tidak mengizinkan Anda mengedit peranAWSServiceRoleForBedrockAgentCoreNetwork,AWSServiceRoleForBedrockAgentCoreRuntimeIdentity,AWSServiceRoleForBedrockAgentCoreGatewayNetwork,AWSServiceRoleForBedrockAgentCoreIdentity, atau AWSServiceRoleForBedrockAgentCoreRuntimeInstances terkait layanan. Setelah membuat peran terkait layanan, Anda tidak dapat mengubah nama peran karena berbagai entitas mungkin merujuk peran tersebut. Namun, Anda dapat mengedit penjelasan peran menggunakan IAM. Untuk informasi selengkapnya, lihat Meng edit peran yang ditautkan layanan.

Menghapus peran terkait layanan untuk AgentCore

Jika Anda tidak perlu lagi menggunakan fitur atau layanan yang memerlukan peran terkait layanan, sebaiknya hapus peran tersebut. Dengan begitu, Anda tidak perlu lagi memantau atau memelihara entitas yang tidak digunakan. Namun, Anda harus menghapus semua AgentCore sumber daya yang menggunakan peran terkait layanan sebelum Anda dapat menghapus peran tersebut:

Membersihkan peran terkait layanan

Sebelum dapat menggunakan IAM untuk menghapus peran tertaut layanan, Anda harus mengonfirmasi terlebih dahulu bahwa peran tersebut tidak memiliki sesi aktif dan menghapus sumber daya yang digunakan oleh peran tersebut.

Untuk memeriksa apakah peran terkait layanan memiliki sesi aktif di konsol IAM

Jika Anda ingin menghapus peran yang ditautkan layanan, Anda harus terlebih dahulu menghapus sumber daya yang sesuai: AgentCore

Menghapus peran tertaut layanan secara manual

Gunakan konsol IAM, AWS CLI, atau IAM API untuk menghapus peran terkait layanan. Untuk informasi selengkapnya, lihat Menghapus peran yang ditautkan layanan.