設定 AgentCore Gateway 的許可

若要使用 Amazon Bedrock AgentCore Gateway 及其功能，您需要考慮下列許可：

選取主題以進一步了解：

閘道建置器和使用者許可

若要讓身分能夠建立、管理或使用閘道，您需要將身分型政策連接至 IAM 身分，以允許其執行 Amazon Bedrock AgentCore 相關動作。如需完整許可，您可以使用 BedrockAgentCoreFullAccess 受管政策。

為了提高安全性和控制，您可以透過減少完整存取政策中的許可來建立自己的自訂政策。例如，下列政策允許身分執行與 AgentCore Gateway 相關的動作，但不執行與其他 AgentCore 服務相關的動作，例如 AgentCore 執行期或 AgentCore 瀏覽器：

{
"Version":"2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "bedrock-agentcore:*Gateway*",
        "bedrock-agentcore:*WorkloadIdentity",
        "bedrock-agentcore:*CredentialProvider",
        "bedrock-agentcore:*Token*",
        "bedrock-agentcore:*Access*"
      ],
      "Resource": "arn:aws:bedrock-agentcore:*:*:*gateway*"
    }
  ]
}

{
"Version":"2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "bedrock-agentcore:ListGateways",
        "bedrock-agentcore:GetGateway",
        "bedrock-agentcore:ListGatewayTargets",
        "bedrock-agentcore:GetGatewayTarget"
      ],
      "Resource": "arn:aws:bedrock-agentcore:*:*:*gateway*"
    }
  ]
}

閘道存取許可 （傳入授權）

除了與閘道相關的許可之外，您也需要設定身分的許可，才能在調用期間存取閘道。您將在設定傳入授權時設定這些許可。

AgentCore Gateway 服務角色許可

建立閘道時，您需要具有許可的服務角色，以擔任 IAM 角色並代表 IAM 角色存取 AWS 資源和外部服務。您可以透過下列方式建立服務角色：

服務角色所需的許可位於下列主題中：

信任許可

服務角色必須連接信任政策，允許 AgentCore 服務擔任 IAM 身分並代表其執行動作。

以下是您可以使用的信任政策範例。

{
"Version":"2012-10-17",
  "Statement": [
    {
      "Sid": "GatewayAssumeRolePolicy",
      "Effect": "Allow",
      "Principal": {
        "Service": "bedrock-agentcore.amazonaws.com"
      },
      "Action": "sts:AssumeRole",
      "Condition": {
        "StringEquals": {
          "aws:SourceAccount": "111122223333"
        },
        "ArnLike": {
          "aws:SourceArn": "arn:aws:bedrock-agentcore:us-east-1:111122223333:gateway/gateway-name-*"
        }
      }
    }
  ]
}

傳出授權許可

根據您用於閘道目標的傳出授權類型，您需要將許可新增至服務角色，以允許它叫用目標。這些許可允許閘道服務角色擷取用於調用目標的授權憑證。您可以在設定傳出授權的過程中執行此操作。

存取 AWS 資源的許可

視您的閘道設定或您選擇新增至閘道的目標而定，您可能需要將許可新增至閘道服務角色，以允許它存取 AWS 資源。下列主題涵蓋閘道服務角色可能需要存取的一些資源：

{
"Version": "2012-10-17",
    "Statement": [{
        "Sid": "AmazonBedrockAgentCoreGatewayLambdaProd",
        "Effect": "Allow",
        "Action": [
            "lambda:InvokeFunction"
        ],
        "Resource": [
            "arn:aws:lambda:us-east-1:123456789012:function:FunctionName"
        ]
    }]
}

{
"Version":"2012-10-17",
    "Statement": [
        {
            "Sid": "LambdaAllowGatewayServiceRoleMyFunction",
            "Effect": "Allow",
            "Principal": {
              "AWS": "arn:aws:iam::123456789012:role/MyGatewayExecutionRole"
            },
            "Action": "lambda:InvokeFunction",
            "Resource":  "arn:aws:lambda:us-east-1:123456789012:function:MyFunction"
        }
     ]
}

{
"Version":"2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "dynamodb:GetItem",
        "dynamodb:PutItem",
        "dynamodb:UpdateItem",
        "dynamodb:DeleteItem",
        "dynamodb:Query",
        "dynamodb:Scan"
      ],
      "Resource": "arn:aws:dynamodb:*:*:table/*"
    }
  ]
}

Gateway 許可的最佳實務