View a markdown version of this page

エージェント ID ディレクトリについて - Amazon Bedrock AgentCore
ディレクトリの概念と構造ディレクトリ管理のベストプラクティスディレクトリコンテンツの一覧表示と表示ディレクトリのアクセスコントロールとアクセス許可

エージェント ID ディレクトリについて

エージェント ID ディレクトリは、 AWS アカウント内のすべてのワークロード ID の一元的なコレクションです。エージェント ID を管理および整理するための権威レジストリとして機能し、AgentCore Runtime と Gateway によって自動的に作成されたか、CLI と SDK を介して手動で作成されたかにかかわらず、すべての ID AWS の統合ビューを提供します。ワークロード ID の作成については、「ワークロード ID の作成と管理」を参照してください。

ディレクトリの概念と構造

エージェント ID ディレクトリの基本概念と組織構造を理解することで、ワークロード ID を大規模に効果的に管理できます。

主な特徴

  • アカウントごとに 1 つのディレクトリ – 各 AWS アカウントにはエージェント ID ディレクトリが 1 つだけあります。

  • 自動作成 – ディレクトリは、アカウントに最初のワークロード ID が作成されると自動的に作成されます。

  • 一元管理 – すべてのワークロード ID は、作成方法に関係なく、このディレクトリに保存されます。

  • クロスサービス可視性 – ディレクトリは、ランタイム、ゲートウェイ、手動プロセスによって作成された ID を可視化します。

ディレクトリ構造 

arn:aws:bedrock-agentcore:region:account-id:workload-identity-directory/default
├── workload-identity/runtime-created-agent-1
├── workload-identity/runtime-created-agent-2
├── workload-identity/gateway-created-agent-1
├── workload-identity/manually-created-agent-1
└── workload-identity/manually-created-agent-2

ディレクトリ管理のベストプラクティス

ディレクトリ管理の確立されたベストプラクティスに従うことで、ワークロード ID の使用が増えるにつれて、組織、セキュリティ、運用効率を維持できます。

命名規則

  • エージェントの目的を示すわかりやすい名前を使用する (customer-support-agent」、data-analysis-agent」など)

  • マルチ環境デプロイの環境インジケータを含める (「prod-chatbot」、「dev-chatbot」など)

  • 大規模な組織のチームまたはプロジェクトのプレフィックス (marketing-content-agent」など) を検討する

組織戦略

  • ディレクトリを定期的に監査して、未使用または古いワークロード ID を特定する

  • 各ワークロードアイデンティティの目的と所有権を文書化する

  • 利用可能な場合は、ワークロード ID の一貫したタグ付け戦略を実装します。詳細については、AgentCore Identity リソースのタグ付け」を参照してください。

  • ディレクトリの増加をモニタリングし、ID 作成のためのガバナンスプロセスを確立する

セキュリティに関する考慮事項

  • ディレクトリへのアクセスを許可する IAM ポリシーを定期的に確認する

  • ディレクトリアクセスを許可するときは、最小特権の原則を使用する

  • AWS CloudTrail ログによるディレクトリアクセスのモニタリング

  • 不正なディレクトリ変更に対する自動アラートを実装する

ディレクトリコンテンツの一覧表示と表示

CLI を使用して、ディレクトリ内のすべてのワークロード ID AWS を表示できます。

すべてのワークロード ID を一覧表示する 

aws bedrock-agentcore-control list-workload-identities

このコマンドは、以下を含む、アカウント内のすべてのワークロード ID に関する情報を返します。

  • ワークロード ID 名と ARNs

  • 作成タイムスタンプ

  • 関連付けられたメタデータ

  • 作成ソース (ランタイム、ゲートウェイ、または手動)

出力例 

{
  "workloadIdentities": [
    {
      "workloadIdentityArn": "arn:aws:bedrock-agentcore:us-east-1:123456789012:workload-identity-directory/default/workload-identity/my-runtime-agent",
      "workloadIdentityName": "my-runtime-agent",
      "createdAt": "2024-01-15T10:30:00Z",
      "createdBy": "AgentCore Runtime"
    },
    {
      "workloadIdentityArn": "arn:aws:bedrock-agentcore:us-east-1:123456789012:workload-identity-directory/default/workload-identity/my-custom-agent",
      "workloadIdentityName": "my-custom-agent",
      "createdAt": "2024-01-16T14:20:00Z",
      "createdBy": "Manual"
    }
  ]
}

特定のワークロード ID の詳細を取得する 

aws bedrock-agentcore-control get-workload-identity \
    --workload-identity-name my-agent-name

ディレクトリのアクセスコントロールとアクセス許可

エージェント ID ディレクトリは IAM と統合され、ワークロード ID および関連するリソースに対するきめ細かなアクセスコントロールを提供します。ワークロード ID を使用して認証情報プロバイダーへのアクセスを制御する方法については、「ワークロード ID による認証情報プロバイダーへのアクセスのスコープダウン」を参照してください。

ディレクトリレベルのアクセス許可

  • アクセス許可を一覧表示する – ディレクトリの内容を表示できるユーザーを制御する

  • アクセス許可の作成 – 新しいワークロード ID を作成できるユーザーを制御する

  • 読み取りアクセス許可 – 特定のワークロードアイデンティティの詳細を表示できるユーザーを制御する

  • アクセス許可の削除 – ワークロード ID を削除できるユーザーを制御する

ディレクトリアクセスの IAM ポリシーの例 

{
"Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "ListWorkloadIdentities",
      "Effect": "Allow",
      "Action": [
        "bedrock-agentcore:ListWorkloadIdentities"
      ],
      "Resource": [
        "arn:aws:bedrock-agentcore:*:*:workload-identity-directory/default"
      ]
    },
    {
      "Sid": "ManageSpecificWorkloadIdentity",
      "Effect": "Allow",
      "Action": [
        "bedrock-agentcore:GetWorkloadIdentity",
        "bedrock-agentcore:CreateWorkloadIdentity",
        "bedrock-agentcore:DeleteWorkloadIdentity"
      ],
      "Resource": [
        "arn:aws:bedrock-agentcore:*:*:workload-identity-directory/default/workload-identity/my-agent-*"
      ]
    }
  ]
}