翻訳は機械翻訳により提供されています。提供された翻訳内容と英語版の間で齟齬、不一致または矛盾がある場合、英語版が優先します。
ポリシーオーサリングガイド
このセクションは、Amazon Bedrock AgentCore のポリシーのサンプルポリシーの一元的なコレクションです。すべての例では、リソース設定で説明されている単一のゲートウェイを例として使用します。したがって、2 つの例を並べて読み、アクションの名前を変更したりスキーマを調整したりすることなく、1 つのポリシーエンジンで組み合わせることができます。
例は、ポリシーが一致する内容別にグループ化されています。プリンシパルスコープポリシーは、JWT ID または IAM 発信者の呼び出し元を決定します。アクションとリソーススコープポリシーは、呼び出されるアクション、ゲートウェイ、どの入力値を持つかによって決まります。このセクションは、2 つのポリシーが一緒に制約される結合ポリシーと、1 つのエンジンのポリシーがどのように相互作用するかを決定するルールで終わります。
時間ベースのポリシーは、ウォールクロック時間から決定します。これらは通常のwhencontext.system.now句で読み取られるため、前述の 2 つのセクションと同様に、平凡な Cedar 内に留まります。
さらに 2 つのセクションでは、平坦な Cedar が表現できない条件について説明します。ガードレールポリシーの例は、コンテンツ安全スコアやプロンプト攻撃スコアなど、ガードレールが評価時に計算するシグナルから決定し、一時ポリシーの例は、同じセッションの前半で既に発生したものから決定します。
これらはすべて 1 つの認可モデルを共有します。リクエストは、permitポリシーが適用され、forbidポリシーが上書きされない場合にのみ許可されるため、ポリシーのないポリシーエンジンはすべてを拒否します。また、1 つのポリシーでプリンシパル条件、入力条件、ガードレール信号、セッション履歴を組み合わせることもできます。
Cedarwhen guardrails { … }および平坦な Cedar when temporal { … }が表現できない条件形式を追加します。有効な Cedar ポリシーはすべて有効な Dogwood ポリシーでもあるため、Cedar で既に作成したポリシーは変更なしで動作し続け、Cedar は完全にサポートされています。プリンシパルスコープ、アクションスコープ、時間ベースの例では、意図的に有効な Cedar でもあるコンストラクトのみを使用し、ガードレールと時間的な例では Dogwood 条件を使用します。
言語構文については、Dogwood ポリシーウェブサイトの Dogwood 言語ガイド
