View a markdown version of this page

Amazon Bedrock 中的政策 AgentCore：控制代理互动 - Amazon Bedrock AgentCore
主要优势主要功能

Amazon Bedrock 中的政策 AgentCore：控制代理互动

Amazon Bedrock 中的政策 AgentCore 使开发人员能够通过围绕代理操作创建保护边界，为 AI 代理与工具的交互定义和实施安全控制。AI 代理可以动态调整以解决复杂的问题，从处理客户询问到跨多个工具和系统实现工作流程自动化。但是，这种灵活性带来了新的安全挑战，因为代理可能会无意中误解业务规则，或者超出其预期权限行事。

启用策略后 AgentCore，开发人员可以创建策略引擎，在其中创建和存储确定性策略，并将策略引擎与网关关联起来。中的策略 AgentCore 拦截通过 Amazon Bedrock AgentCore Gateways 的所有代理流量，并在允许工具访问之前，根据策略引擎中定义的策略对每个请求进行评估。

策略是使用 Cedar 语言构建的，这是一种用于编写和执行授权策略的开源语言。这使开发人员能够精确指定代理可以访问哪些以及他们可以执行哪些操作。Policy in AgentCore 还允许开发人员用通俗易懂的英语描述规则，而不是用 Cedar 编写正式的策略代码，从而使用自然语言编写策略。基于自然语言的策略制定可以解释用户的意图，生成候选策略，根据工具架构对其进行验证，并使用自动推理来检查安全条件，例如识别过于宽松、过于严格或包含永远无法满足的条件的政策，确保客户在执行策略之前发现这些问题。

中的策略 AgentCore 支持基于用户身份和工具输入参数的精细权限，从而可以在企业规模上安全地部署自主代理。通过将安全控制转移到代理代码之外，开发人员可以专注于构建创新的代理功能，同时保持强大的安全保障，从而消除对自定义安全实施的需求，并降低通过代理操纵而绕过策略的风险。

主题

主要优势

Policy in AgentCore 提供了三个主要好处，可在企业环境中安全、可扩展地部署 AI 代理：

Fine-grained 控制代理操作

定义允许代理执行哪些操作，包括代理可以调用哪些工具以及允许这些操作的确切条件。

具有强有力保障的确定性执法

通过 Amazon Bedrock AgentCore Gateway 进行的每项代理操作都会在代理代码之外的边界上进行拦截和评估，从而确保一致的确定性执行，无论代理是如何实施的，都能保持可靠。

简单、易于访问的创作，在组织范围内保持一致性

使用自然语言提示或直接使用 Cedar（用于细粒度权限AWS的开源策略语言）编写策略，从而使具有不同专业知识的构建者可以轻松地为其代理定义规则。团队只需设置一次界限，即可将界限一致地应用于所有代理和工具，通过 CloudWatch 指标和日志记录每项执法决策，这样安全和合规团队就可以审计和验证行为。

主要功能

Policy in 为基于策略的代理交互管理 AgentCore 提供了全面的功能，包括以下关键功能：

  • 策略执行-在允许工具访问之前，根据已定义的策略拦截并评估所有代理请求

  • 访问控制-根据用户身份和工具输入参数启用细粒度控制

  • 策略编写-为编写清晰、经过验证的策略提供 Cedar 策略语言支持。也可以使用英语提示以自然语言撰写政策，这些提示会翻译成 Cedar 政策并经过验证

  • 策略监控-提供用于监控政策评估和决策的 CloudWatch 集成

  • 基础设施集成-与 VPC 安全组和其他 AWS 安全基础设施集成

  • 审核日志-维护政策决策的详细日志，以实现合规性和故障排除