Actions, ressources et clés de condition pour Amazon Bedrock Agentcore

Amazon Bedrock Agentcore (préfixe de service :bedrock-agentcore) fournit les ressources, actions et clés de contexte de condition spécifiques aux services suivantes à utiliser dans les politiques d'autorisation IAM.

Références :

• Découvrez comment configurer ce service.

• Affichez la liste des opérations d'API disponibles pour ce service.

• Découvrez comment protéger ce service et ses ressources avec les stratégies d'autorisation IAM.

Actions définies par Amazon Bedrock Agentcore

Vous pouvez indiquer les actions suivantes dans l'élément Action d'une déclaration de politique IAM. Utilisez des politiques pour accorder des autorisations permettant d'effectuer une opération dans AWS. Lorsque vous utilisez une action dans une politique, vous autorisez ou refusez généralement l'accès à l'opération d'API ou à la commande CLI portant le même nom. Toutefois, dans certains cas, une seule action contrôle l'accès à plusieurs opérations. D'autres opérations, quant à elles, requièrent plusieurs actions différentes.

La colonne Niveau d'accès du tableau Actions décrit la manière dont l'action est classée (liste, lecture, gestion des autorisations ou balisage). Cette classification peut vous aider à comprendre le niveau d'accès accordé par une action utilisée dans une politique. Pour plus d'informations sur les niveaux d'accès, consultez la section Niveaux d'accès dans les résumés des politiques.

La colonne Types de ressources indique si chaque action prend en charge les autorisations au niveau des ressources. S'il n'y a pas de valeur pour cette colonne, vous devez indiquer toutes les ressources (« * ») dans l'élément Resource de votre déclaration de politique. Si la colonne inclut un type de ressource, vous pouvez indiquer un ARN de ce type dans une déclaration avec cette action. Si l'action comporte une ou plusieurs ressources requises, l'appelant doit être autorisé à utiliser l'action avec ces ressources. Les ressources requises sont indiquées dans le tableau par un astérisque (*). Si vous limitez l'accès aux ressources avec l'Resourceélément dans une politique IAM, vous devez inclure un ARN ou un modèle pour chaque type de ressource requis. Certaines actions prennent en charge plusieurs types de ressources. Si le type de ressource est facultatif (non indiqué comme obligatoire), vous pouvez choisir d'utiliser l'un, mais pas l'autre.

La colonne Clés de condition inclut des clés que vous pouvez spécifier dans l'élément Condition d'une déclaration de politique. Pour plus d'informations sur les clés de condition associées aux ressources du service, consultez la colonne Clés de condition du tableau des types de ressources.

La colonne Actions dépendantes du tableau Actions indique les autorisations supplémentaires requises pour lancer une action avec succès. Ces autorisations sont nécessaires en plus de l'autorisation pour l'action elle-même. Lorsqu'une action spécifie des actions dépendantes, ces dépendances peuvent s'appliquer à des ressources supplémentaires définies pour cette action, et pas uniquement à la première ressource répertoriée dans le tableau.

Note

Les clés de condition des ressources sont répertoriées dans le tableau Types de ressources. Vous pouvez trouver un lien vers le type de ressource qui s'applique à une action dans la colonne Types de ressources (* obligatoire) du tableau Actions. Le type de ressource indiqué dans le tableau Types de ressources inclut la colonne Clés de condition, qui contient les clés de condition de ressource qui s'appliquent à une action dans le tableau Actions.

Pour plus de détails sur les colonnes du tableau suivant, veuillez consulter le tableau Actions.

Actions	Description	Niveau d'accès	Types de ressources (*obligatoire)	Clés de condition	Actions dépendantes
AllowVendedLogDeliveryForResource [autorisation uniquement]	Accorde l'autorisation de configurer la télémétrie vendue pour une ressource	Gestion des autorisations	memory*
ConnectBrowserAutomationStream	Accorde l'autorisation de se connecter à un flux d'automatisation du navigateur	Lecture
ConnectBrowserLiveViewStream	Accorde l'autorisation de se connecter au flux de visualisation en direct d'un navigateur	Lecture
CreateAgentRuntime	Accorde l'autorisation de créer un nouvel environnement d'exécution d'agent	Écrire			iam:PassRole
CreateAgentRuntimeEndpoint	Accorde l'autorisation de créer un nouveau point de terminaison d'exécution de l'agent	Écrire
CreateApiKeyCredentialProvider	Accorde l'autorisation de créer un nouveau fournisseur d'informations d'identification par clé d'API	Écrire	apikeycredentialprovider*
			token-vault*
CreateBrowser	Accorde l'autorisation de créer un nouveau navigateur personnalisé	Écrire
CreateCodeInterpreter	Accorde l'autorisation de créer un nouvel interpréteur de code personnalisé	Écrire
CreateEvent	Accorde l'autorisation de créer un événement	Écrire	memory*
				bedrock-agentcore:sessionId bedrock-agentcore:actorId
CreateGateway	Accorde l'autorisation de créer une nouvelle passerelle	Écrire			iam:PassRole
CreateGatewayTarget	Autorise la création d'une nouvelle cible dans une passerelle existante	Écrire	gateway*
CreateMemory	Accorde l'autorisation de créer une ressource de mémoire	Écrire			iam:PassRole
CreateOauth2CredentialProvider	Accorde l'autorisation de créer un nouveau fournisseur d'informations d'identification pour accéder aux ressources externes avec OAuth2 le protocole	Écrire	oauth2credentialprovider*
			token-vault*
CreateWorkloadIdentity	Accorde l'autorisation de créer une nouvelle identité de charge de travail	Écrire	workload-identity*
			workload-identity-directory*
DeleteAgentRuntime	Autorise la suppression d'un environnement d'exécution d'agent	Écrire	runtime*
DeleteAgentRuntimeEndpoint	Accorde l'autorisation de supprimer un point de terminaison d'exécution d'un agent	Écrire	runtime*
			runtime-endpoint*
DeleteApiKeyCredentialProvider	Accorde l'autorisation de supprimer un fournisseur d'informations d'identification de clé d'API enregistré	Écrire	apikeycredentialprovider*
			token-vault*
DeleteBrowser	Accorde l'autorisation de supprimer un navigateur personnalisé	Écrire	browser-custom*
DeleteCodeInterpreter	Accorde l'autorisation de supprimer un interpréteur de code personnalisé	Écrire	code-interpreter-custom*
DeleteEvent	Accorde l'autorisation de supprimer un événement	Écrire	memory*
				bedrock-agentcore:sessionId bedrock-agentcore:actorId
DeleteGateway	Autorise la suppression d'une passerelle existante	Écrire	gateway*
DeleteGatewayTarget	Autorise la suppression d'une cible de passerelle existante	Écrire	gateway*
DeleteMemory	Accorde l'autorisation de supprimer une ressource de mémoire	Écrire	memory*
DeleteMemoryRecord	Autorise la suppression d'un enregistrement en mémoire	Écrire	memory*
DeleteOauth2CredentialProvider	Accorde l'autorisation de supprimer un fournisseur d' OAuth2 informations d'identification enregistré	Écrire	oauth2credentialprovider*
			token-vault*
DeleteWorkloadIdentity	Accorde l'autorisation de supprimer une identité de charge de travail enregistrée	Écrire	workload-identity*
			workload-identity-directory*
GetAgentRuntime	Accorde l'autorisation d'obtenir les détails de l'exécution d'un agent	Lecture	runtime*
GetAgentRuntimeEndpoint	Accorde l'autorisation d'obtenir les détails d'un point de terminaison d'exécution d'un agent	Lecture	runtime*
			runtime-endpoint*
GetApiKeyCredentialProvider	Accorde l'autorisation de récupérer un fournisseur d'informations d'identification de clé d'API enregistré par son nom	Lecture	apikeycredentialprovider*
			token-vault*
GetBrowser	Accorde l'autorisation d'obtenir les détails d'un navigateur	Lecture	browser-custom*
GetBrowserSession	Accorde l'autorisation d'obtenir les détails d'une session de navigateur	Lecture	browser*
			browser-custom*
GetCodeInterpreter	Accorde l'autorisation d'obtenir les détails d'un interpréteur de code	Lecture	code-interpreter-custom*
GetCodeInterpreterSession	Accorde l'autorisation d'obtenir les détails d'une session d'interpréteur de code	Lecture	code-interpreter*
			code-interpreter-custom*
GetEvent	Accorde l'autorisation de récupérer un événement	Lecture	memory*
				bedrock-agentcore:sessionId bedrock-agentcore:actorId
GetGateway	Accorde l'autorisation de récupérer une passerelle existante	Lecture	gateway*
GetGatewayTarget	Accorde l'autorisation de récupérer une cible de passerelle existante	Lecture	gateway*
GetMemory	Accorde l'autorisation de récupérer les détails d'une ressource de mémoire	Lecture	memory*
GetMemoryRecord	Accorde l'autorisation de récupérer un enregistrement mémoire	Lecture	memory*
GetOauth2CredentialProvider	Accorde l'autorisation de récupérer un fournisseur d' OAuth2 informations d'identification enregistré par son nom	Lecture	oauth2credentialprovider*
			token-vault*
GetResourceApiKey	Accorde l'autorisation de récupérer une clé d'API associée à un fournisseur d'informations d'identification de clé d'API	Lecture	apikeycredentialprovider*
			token-vault*
			workload-identity*
			workload-identity-directory*
GetResourceOauth2Token	Accorde l'autorisation de récupérer le jeton d'accès avec un flux OAuth2 2LO ou 3LO pour accéder à une ressource externe	Lecture	oauth2credentialprovider*
			token-vault*
			workload-identity*
			workload-identity-directory*
GetTokenVault	Accorde l'autorisation de récupérer la configuration actuelle du TokenVault, y compris les paramètres de chiffrement	Lecture	token-vault*
GetWorkloadAccessToken	Accorde l'autorisation de récupérer un jeton d'accès à une charge de travail pour les charges de travail agentiques n'agissant pas pour le compte d'un utilisateur	Écrire	workload-identity*
			workload-identity-directory*
GetWorkloadAccessTokenForJWT	Accorde l'autorisation de récupérer un jeton d'accès à la charge de travail pour les charges de travail agentiques agissant au nom de l'utilisateur avec le jeton JWT	Écrire	workload-identity*
			workload-identity-directory*
GetWorkloadAccessTokenForUserId	Accorde l'autorisation de récupérer un jeton d'accès à la charge de travail pour les charges de travail agentic agissant au nom de l'utilisateur ayant un ID utilisateur	Écrire	workload-identity*
			workload-identity-directory*
GetWorkloadIdentity	Accorde l'autorisation de récupérer les détails d'une identité de charge de travail spécifique, y compris son nom et le retour autorisé OAuth2 URLs	Lecture	workload-identity*
			workload-identity-directory*
InvokeAgentRuntime	Accorde l'autorisation d'invoquer un point de terminaison d'exécution d'un agent	Écrire	runtime*
			runtime-endpoint*
InvokeCodeInterpreter	Accorde l'autorisation d'invoquer une session d'interpréteur de code	Écrire	code-interpreter*
			code-interpreter-custom*
ListActors	Accorde l'autorisation de répertorier les acteurs	Liste	memory*
ListAgentRuntimeEndpoints	Accorde l'autorisation de répertorier les points de terminaison d'exécution de l'agent	Liste
ListAgentRuntimeVersions	Accorde l'autorisation de répertorier les versions d'exécution de l'agent	Liste
ListAgentRuntimes	Accorde l'autorisation de répertorier les environnements d'exécution des agents	Liste
ListApiKeyCredentialProviders	Accorde l'autorisation de répertorier tous les fournisseurs d'informations d'identification clés d'API dans le Token Vault	Lecture	apikeycredentialprovider*
			token-vault*
ListBrowserSessions	Accorde l'autorisation de répertorier les sessions du navigateur	Liste
ListBrowsers	Accorde l'autorisation de répertorier les navigateurs	Liste
ListCodeInterpreterSessions	Accorde l'autorisation de répertorier les sessions d'interprétation de code	Liste	code-interpreter*
			code-interpreter-custom*
ListCodeInterpreters	Accorde l'autorisation de répertorier les interpréteurs de code	Liste
ListEvents	Accorde l'autorisation de répertorier des événements	Liste	memory*
				bedrock-agentcore:sessionId bedrock-agentcore:actorId
ListGatewayTargets	Accorde l'autorisation de répertorier les cibles de passerelle existantes	Liste	gateway*
ListGateways	Accorde l'autorisation de répertorier les passerelles existantes	Liste
ListMemories	Accorde l'autorisation de répertorier les ressources de mémoire	Liste
ListMemoryRecords	Accorde l'autorisation de répertorier les enregistrements en mémoire	Liste	memory*
				bedrock-agentcore:namespace bedrock-agentcore:strategyId
ListOauth2CredentialProviders	Accorde l'autorisation de répertorier tous les fournisseurs OAuth2 d'identifiants dans le Token Vault	Lecture	oauth2credentialprovider*
			token-vault*
ListSessions	Accorde l'autorisation de répertorier les sessions	Liste	memory*
				bedrock-agentcore:actorId
ListWorkloadIdentities	Accorde l'autorisation de répertorier toutes les identités de charge de travail dans celles de l'appelant Compte AWS	Lecture	workload-identity*
			workload-identity-directory*
RetrieveMemoryRecords	Accorde l'autorisation de récupérer des enregistrements de mémoire par le biais d'une requête sémantique	Liste	memory*
				bedrock-agentcore:namespace bedrock-agentcore:strategyId
SetTokenVaultCMK	Accorde l'autorisation d'associer une clé gérée par le client (CMK) ou une clé gérée par un service à un TokenVault	Lecture	token-vault*
StartBrowserSession	Accorde l'autorisation de démarrer une nouvelle session de navigateur	Écrire	browser*
			browser-custom*
StartCodeInterpreterSession	Accorde l'autorisation de démarrer une nouvelle session d'interpréteur de code	Écrire	code-interpreter*
			code-interpreter-custom*
StopBrowserSession	Accorde l'autorisation d'arrêter une session de navigateur	Écrire	browser*
			browser-custom*
StopCodeInterpreterSession	Autorise l'arrêt d'une session d'interpréteur de code	Écrire	code-interpreter*
			code-interpreter-custom*
SynchronizeGatewayTargets [autorisation uniquement]	Accorde l'autorisation d'activer la recherche sur les passerelles	Gestion des autorisations	gateway*
UpdateAgentRuntime	Autorise la mise à jour de l'environnement d'exécution d'un agent	Écrire	runtime*		iam:PassRole
UpdateAgentRuntimeEndpoint	Accorde l'autorisation de mettre à jour le point de terminaison d'un agent	Écrire	runtime*
			runtime-endpoint*
UpdateApiKeyCredentialProvider	Autorise la mise à jour d'un fournisseur d'identifiants de clé d'API existant	Écrire	apikeycredentialprovider*
			token-vault*
UpdateBrowserStream	Autorise la mise à jour de l'état du flux de session du navigateur	Écrire	browser*
			browser-custom*
UpdateGateway	Autorise la mise à jour d'une passerelle existante	Écrire	gateway*		iam:PassRole
UpdateGatewayTarget	Autorise la mise à jour d'une cible de passerelle existante	Écrire	gateway*
UpdateMemory	Autorise la mise à jour d'une ressource de mémoire	Écrire	memory*		iam:PassRole
UpdateOauth2CredentialProvider	Autorise la mise à jour d'un fournisseur d' OAuth2 informations d'identification existant	Écrire	oauth2credentialprovider*
			token-vault*
UpdateWorkloadIdentity	Autorise la mise à jour des métadonnées d'une identité de charge de travail existante	Écrire	workload-identity*
			workload-identity-directory*

Types de ressources définis par Amazon Bedrock Agentcore

Ce service définit les types de ressources suivants, qui peuvent être utilisés dans l' Resource élément des déclarations de politique d'autorisation IAM. Chaque action du tableau Actions identifie les types de ressources pouvant être spécifiés avec cette action. Un type de ressource peut également définir les clés de condition que vous pouvez inclure dans une politique. Ces clés sont affichées dans la dernière colonne du tableau. Pour plus de détails sur les colonnes du tableau suivant, veuillez consulter le tableau Types de ressources.

Types de ressources	ARN	Clés de condition
memory	arn:${Partition}:bedrock-agentcore:${Region}:${Account}:memory/${MemoryId}
gateway	arn:${Partition}:bedrock-agentcore:${Region}:${Account}:gateway/${GatewayId}
workload-identity	arn:${Partition}:bedrock-agentcore:${Region}:${Account}:workload-identity-directory/${DirectoryId}/workload-identity/${WorkloadIdentityName}
oauth2credentialprovider	arn:${Partition}:bedrock-agentcore:${Region}:${Account}:token-vault/${TokenVaultId}/oauth2credentialprovider/${Name}
apikeycredentialprovider	arn:${Partition}:bedrock-agentcore:${Region}:${Account}:token-vault/${TokenVaultId}/apikeycredentialprovider/${Name}
runtime	arn:${Partition}:bedrock-agentcore:${Region}:${Account}:runtime/${RuntimeId}
runtime-endpoint	arn:${Partition}:bedrock-agentcore:${Region}:${Account}:runtime/${RuntimeId}/runtime-endpoint/${Name}
code-interpreter-custom	arn:${Partition}:bedrock-agentcore:${Region}:${Account}:code-interpreter-custom/${CodeInterpreterId}
code-interpreter	arn:${Partition}:bedrock-agentcore:${Region}:aws:code-interpreter/${CodeInterpreterId}
browser-custom	arn:${Partition}:bedrock-agentcore:${Region}:${Account}:browser-custom/${BrowserId}
browser	arn:${Partition}:bedrock-agentcore:${Region}:aws:browser/${BrowserId}
workload-identity-directory	arn:${Partition}:bedrock-agentcore:${Region}:${Account}:workload-identity-directory/${DirectoryId}
token-vault	arn:${Partition}:bedrock-agentcore:${Region}:${Account}:token-vault/${TokenVaultId}

Clés de condition pour Amazon Bedrock Agentcore

Amazon Bedrock Agentcore définit les clés de condition suivantes qui peuvent être utilisées dans l'Conditionélément d'une politique IAM. Vous pouvez utiliser ces clés pour affiner les conditions d’application de la déclaration de politique. Pour plus de détails sur les colonnes du tableau suivant, veuillez consulter le tableau Clés de condition.

Pour afficher les clés de condition globales disponibles pour tous les services, consultez la section Clés contextuelles de condition AWS globales.

Clés de condition	Description	Type
bedrock-agentcore:actorId	Filtre l'accès par identifiant d'acteur	Chaîne
bedrock-agentcore:namespace	Filtre l'accès par espace de noms	Chaîne
bedrock-agentcore:sessionId	Filtre l'accès par identifiant de session	Chaîne
bedrock-agentcore:strategyId	Filtre l'accès par ID de stratégie de mémoire	Chaîne