Restrinja o acesso direto à memória

As políticas de controle de acesso refinadas em seu gateway controlam as solicitações que chegam pelo gateway. Eles não impedem que um principal que tenha permissões de IAM no recurso de memória chame diretamente o plano de dados da memória e ignore o gateway. Para garantir que a memória só possa ser acessada por meio do gateway, anexe uma política baseada em recursos ao recurso de memória que permita acesso somente quando a solicitação for encaminhada por esse gateway. Essa é uma política de memória baseada em recursos JSON, não uma política de Cedar, e complementa as políticas de Cedar em seu gateway.

O gateway carimba a chave de aws:SourceArn condição com seu ARN do gateway em cada solicitação encaminhada, em ambos os modos de credencial de saída. A política baseada em recursos a seguir permite acesso à memória somente quando aws:SourceArn coincide com o ARN do gateway. Substitua a conta de exemplo, a região, os IDs de recursos e o principal chamador pela sua.

{
"Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "AllowOnlyThroughGateway",
      "Effect": "Allow",
      "Principal": {
        "AWS": "arn:aws:iam::123456789012:role/CallerRole"
      },
      "Action": "bedrock-agentcore:*",
      "Resource": "arn:aws:bedrock-agentcore:us-east-1:123456789012:memory/<memory-id>",
      "Condition": {
        "ArnEquals": {
          "aws:SourceArn": "arn:aws:bedrock-agentcore:us-east-1:123456789012:gateway/<gateway-id>"
        }
      }
    }
  ]
}