AWS politiche gestite per Amazon Bedrock AgentCore

bedrock-agentcore(Amazon Bedrock Agent Core): consente ai mandanti l'accesso completo a tutte le risorse Amazon Bedrock Agent Core.

iam(AWS Identity and Access Management): consente ai responsabili di elencare e ottenere informazioni su ruoli e policy e di passare i ruoli con "BedrockAgentCore" nel nome al servizio bedrock-agentcore. Consente inoltre di creare ruoli collegati ai servizi per CloudWatch Application Signals, AgentCore rete Amazon Bedrock e identità di runtime Amazon AgentCore Bedrock.

secretsmanager(AWS Secrets Manager) — Consente ai responsabili di creare, aggiornare, recuperare ed eliminare segreti con nomi che iniziano con «bedrock-agentcore».

kms(Servizio di gestione delle AWS chiavi): consente ai responsabili di elencare e descrivere le chiavi e di decrittografare i dati all'interno dello stesso AWS account quando vengono chiamati tramite il servizio Amazon Bedrock. AgentCore

s3(Amazon Simple Storage Service): consente ai principali di ottenere oggetti dai bucket S3 con nomi che iniziano con «bedrock-agentcore-gateway-» quando vengono chiamati tramite il servizio Amazon Bedrock. AgentCore

lambda(AWS Lambda) — Consente ai principali di elencare le funzioni Lambda.

logs(Amazon CloudWatch Logs): consente ai responsabili di accedere, interrogare e gestire i dati di log in gruppi di log relativi ad Amazon Bedrock AgentCore e Application Signals, inclusa la creazione di gruppi di log e stream.

application-autoscaling(Application Auto Scaling): consente ai responsabili di descrivere le politiche di scalabilità.

application-signals(Amazon CloudWatch Application Signals): consente ai responsabili di recuperare informazioni sui segnali delle applicazioni e iniziare a scoprirli.

autoscaling(Amazon EC2 Auto Scaling): consente ai responsabili di descrivere le risorse di Auto Scaling.

cloudwatch(Amazon CloudWatch): consente ai responsabili di recuperare ed elencare metriche, generare query e accedere ad altre risorse. CloudWatch

oam(Amazon CloudWatch Observability Access Manager): consente ai responsabili di elencare i sink.

rum(Amazon CloudWatch RUM): consente ai responsabili di recuperare ed elencare le risorse RUM.

synthetics(Amazon CloudWatch Synthetics): consente ai dirigenti di descrivere e ottenere informazioni sulle risorse di Synthetics.

xray(AWS X-Ray) — Consente ai responsabili di recuperare le informazioni di tracciamento, gestire le destinazioni dei segmenti di traccia e utilizzare le regole di indicizzazione.

ecr(Amazon Elastic Container Registry): consente ai responsabili di descrivere repository, elencare immagini e descrivere immagini.

bedrock(Amazon Bedrock): consente ai principali di richiamare modelli di base e profili di inferenza per scopi di valutazione.

iam:CreateRolenon è inclusa. Quando crei determinate AgentCore risorse (ad esempio, harness o runtime) nella console, puoi scegliere che la console crei automaticamente il ruolo di esecuzione della risorsa per tuo conto. Ciò richiede iam:CreateRole autorizzazioni, che non sono incluse in questa politica gestita. Per ulteriori informazioni, consulta Risoluzione dei problemi relativi a iam: CreateRole autorizzazione nella console.

iam:PassRoleè definito in base al nome del ruolo. Quando si creano determinate AgentCore risorse (ad esempio, harness o runtime), è necessario disporre delle iam:PassRole autorizzazioni per il ruolo di esecuzione della risorsa. Questa politica gestita include solo iam:PassRole le autorizzazioni per i ruoli con nomi corrispondenti. *BedrockAgentCore* Per ulteriori informazioni, consulta Risoluzione dei problemi di iam: PassRole autorizzazione.

GetWorkloadAccessTokenForUserIdè inclusa. Questa politica concede l'autorizzazione alla chiamataGetWorkloadAccessTokenForUserId, che consente l'emissione di token di accesso al carico di lavoro utilizzando una stringa identificativa utente fornita dal chiamante senza la verifica del token IdP. È adatto per scenari di sviluppo e di avvio rapido. Per le implementazioni di produzione, crea policy IAM personalizzate che si limitino a concedere GetWorkloadAccessTokenForJWT (che convalidano la firma, l'emittente e la scadenza di JWT) e neghino esplicitamente se per i carichi di lavoro è sempre disponibile un JWT. GetWorkloadAccessTokenForUserId Per ulteriori informazioni, consulta Get workload access token.

ec2(Amazon Elastic Compute Cloud): consente al servizio di creare, gestire ed eliminare interfacce di rete nel tuo VPC, assegnare e annullare l'assegnazione di indirizzi IP privati e descrivere le risorse VPC. Le interfacce di rete sono contrassegnate con "AmazonBedrockAgentCoreManaged" per garantire che il servizio gestisca solo le risorse che crea.

bedrock— Consente ai mandanti di richiamare Amazon Bedrock Invokemodel e InvokeModelWithResponseStream agire. Ciò è necessario affinché un agente possa archiviare le memorie.

bedrock-mantle— Consente ai presidi di richiamare le CallWithBearerToken azioni CreateInference e. Ciò è necessario affinché il servizio possa elaborare le memorie utilizzando i modelli Amazon Bedrock Mantle.

bedrock-agentcore(Amazon Bedrock Agent Core): consente al servizio di ottenere token di accesso ai carichi di lavoro per l'autenticazione JWT e l'autenticazione degli utenti. ID-based In particolare GetWorkloadAccessTokenGetWorkloadAccessTokenForJWT, consente e esegue GetWorkloadAccessTokenForUserId azioni sulla directory di identità del carico di lavoro predefinita e sulle identità di carico di lavoro associate.