Ressourcen mit Tags AgentCore kennzeichnen

Amazon Bedrock AgentCore Identity unterstützt umfassende Tagging-Funktionen in seiner gesamten Ressourcenhierarchie, um ein besseres Ressourcenmanagement, eine bessere Kostenzuweisung, Zugriffskontrolle und betriebliche Transparenz zu ermöglichen. Allgemeine Informationen zu Tags, einschließlich Syntax und Verwendung, finden Sie unter AgentCore Tagging-Ressourcen.

Vorteile des Kennzeichnens von Identitätsressourcen AgentCore

Mithilfe von Tags können Sie mit Ihren AgentCore Identitätsressourcen die folgenden Hauptziele erreichen:

Identifizieren und organisieren AWS Ressourcen

Viele AWS Dienste unterstützen Tagging, sodass Sie Ressourcen aus verschiedenen Diensten dasselbe Tag zuweisen können. Auf diese Weise können Sie leichter erkennen, welche Ressourcen miteinander verknüpft sind. Sie könnten einer Workload-Identität dasselbe Tag zuweisen, das Sie einer DynamoDB-Tabelle oder Lambda-Funktion zuweisen, die diese Anmeldeinformationen verwendet.

Beispielszenario: Taggen Sie alle Ressourcen für eine Kundendienstanwendung mitApplication=customer-service-bot, um verwandte Ressourcen in verschiedenen AWS Diensten einfach zu identifizieren und zu verwalten, wie im folgenden Beispielcode dargestellt.

{
  "name": "customer-service-workload-identity",
  "tags": {
    "Application": "customer-service-bot",
    "Component": "authentication",
    "Owner": "customer-experience-team"
  }
}

Themenbereich AWS Kosten

Sie können Tags für die Kostenzuweisung im Dashboard für AWS Billing and Cost Management aktivieren. AWS verwendet diese Tags, um Ihre Kosten zu kategorisieren und einen monatlichen Kostenverteilungsbericht zu erstellen. Dies ermöglicht es Ihnen,

• Ordnen Sie die Kosten für Identity Services bestimmten Projekten oder Teams zu

• Verfolgen Sie die Ausgabenmuster in verschiedenen Umgebungen

• Optimieren Sie die Kosten auf der Grundlage von Nutzungsanalysen

Beispielszenario: Verwenden Sie CostCenter=ai-platform und Project=bedrock-agents Tags, um nachzuverfolgen, wie viel Ihr KI-Plattformteam für Identitätsdienste für das Bedrock Agents-Projekt ausgibt, wie im folgenden Beispielcode dargestellt.

{
  "name": "customer-service-workload-identity",
  "tags": {
    "CostCenter": "ai-platform",
    "Project": "bedrock-agents",
    "Environment": "production",
    "Team": "customer-experience"
  }
}

Steuern Sie den Zugriff anhand von Tags

Sie können den Zugriff steuern, indem Sie Tag-Schlüssel und -Werte in den Bedingungen für IAM-Richtlinien angeben. Dies ermöglicht die attributebasierte Zugriffskontrolle (ABAC), bei der Berechtigungen auf der Grundlage von Ressourcen-Tags erteilt werden.

Beispielszenario: Erlauben Sie einem Benutzer nur dann, auf Workload-Identitäten zuzugreifen, wenn er über ein Owner Tag verfügt, dessen Wert dem Teamnamen des Benutzers entspricht, oder beschränken Sie den Zugriff auf Anbieter von Produktionsanmeldeinformationen auf der Grundlage von Environment=production Tags, wie im folgenden Beispielcode gezeigt.

{
"Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "bedrock-agentcore:GetWorkloadIdentity",
        "bedrock-agentcore:UpdateWorkloadIdentity"
      ],
      "Resource": "*",
      "Condition": {
        "StringEquals": {
          "bedrock-agentcore:ResourceTag/Owner": "${aws:PrincipalTag/Team}"
        }
      }
    }
  ]
}

Architektur der Ressourcen

Amazon Bedrock AgentCore Identity verwaltet fünf verschiedene Ressourcentypen, die in einer hierarchischen Struktur organisiert sind:

Primäre Ressourcen

Im Folgenden sind die primären Ressourcen in der AgentCore Identity Service-Hierarchie aufgeführt:

• Verzeichnis für Workload-Identitäten: arn:aws:bedrock-agentcore:${Region}:${Account}:workload-identity-directory/default

• Token-Tresor: arn:aws:bedrock-agentcore:${Region}:${Account}:token-vault/default

Sub-resources

Im Folgenden sind die Unterressourcen aufgeführt, die innerhalb der primären Ressourcenhierarchie existieren:

• Identität der Arbeitslast: arn:aws:bedrock-agentcore:${Region}:${Account}:workload-identity-directory/default/workload-identity/${workload identity name}

• Anbieter von OAuth2-Anmeldeinformationen: arn:aws:bedrock-agentcore:${Region}:${Account}:token-vault/default/oauth2credentialprovider/${oauth2CredentialProviderName}

• Anbieter von API-Schlüsselanmeldedaten: arn:${Partition}:bedrock-agentcore:${Region}:${Account}:token-vault/default/apikeycredentialprovider/${APIkeyCredentialproviderName}

Matrix zur Unterstützung von Tagging

Die folgende Tabelle zeigt die Tagging-Funktionen für jeden AgentCore Identity-Ressourcentyp:

Ressourcentyp	Beim Erstellen taggen	Grundlegendes Tagging	TBAC-Unterstützung
Identität des Workloads	✅	✅	✅
Anbieter von OAuth2-Anmeldeinformationen	✅	✅	✅
Anbieter von API-Schlüsselanmeldedaten	✅	✅	✅
Verzeichnis für Workload-Identitäten	❌	✅	✅
Token-Tresor	❌	✅	✅

Anmerkung

Durch die Unterstützung von TBAC (Tag-Based Access Control) können Sie Ressourcen-Tags in den IAM-Richtlinienbedingungen verwenden, um den Zugriff auf diese Ressourcen zu kontrollieren.