Acciones Tipos de recurso Claves de condición

Acciones, recursos y claves de condición para Amazon Bedrock AgentCore

Amazon Bedrock AgentCore (prefijo de servicio: bedrock-agentcore) proporciona las siguientes claves de contexto de condición, acciones y recursos específicos del servicio para usarlas en las políticas de permisos de IAM.

Referencias:

Obtenga información para configurar este servicio.
Vea una lista de las operaciones de API disponibles para este servicio.
Obtenga información sobre cómo proteger este servicio y sus recursos mediante las políticas de permisos de IAM.

Temas

Acciones definidas por Amazon Bedrock AgentCore
Tipos de recursos definidos por Amazon Bedrock AgentCore
Claves de condición para Amazon Bedrock AgentCore

Acciones definidas por Amazon Bedrock AgentCore

Puede especificar las siguientes acciones en el elemento Action de una declaración de política de IAM. Utilice políticas para conceder permisos para realizar una operación en AWS. Cuando utiliza una acción en una política, normalmente permite o deniega el acceso a la operación de la API o comandos de la CLI con el mismo nombre. No obstante, en algunos casos, una sola acción controla el acceso a más de una operación. Asimismo, algunas operaciones requieren varias acciones diferentes.

La columna Nivel de acceso de la tabla Acciones describe cómo se clasifica la acción (lista, lectura, administración de permisos o etiquetado). Esta clasificación puede ayudarle a entender el nivel de acceso que una acción concede cuando se utiliza en una política. Para obtener más información sobre los niveles de acceso, consulte Niveles de acceso en los resúmenes de políticas.

La columna Tipos de recurso de la tabla de Acción indica si cada acción admite permisos de nivel de recursos. Si no hay ningún valor para esta columna, debe especificar todos los recursos ("*") a los que aplica la política en el elemento Resource de la instrucción de su política. Si la columna incluye un tipo de recurso, puede especificar un ARN de ese tipo en una instrucción con dicha acción. Si la acción tiene uno o más recursos necesarios, la persona que llama debe tener permiso para usar la acción con esos recursos. Los recursos necesarios se indican en la tabla con un asterisco (*). Si limita el acceso a los recursos con el elemento Resource de una política de IAM, debe incluir un ARN o patrón para cada tipo de recurso requerido. Algunas acciones admiten varios tipos de recursos. Si el tipo de recurso es opcional (no se indica como obligatorio), puede elegir utilizar uno de los tipos de recursos opcionales.

La columna Claves de condición de la tabla Acciones incluye claves que puede especificar en el elemento Condition de la instrucción de una política. Para obtener más información sobre las claves de condición asociadas a los recursos del servicio, consulte la columna Claves de condición de la tabla Tipos de recursos.

La columna Acciones dependientes de la tabla Acciones muestra los permisos adicionales que pueden ser necesarios para llamar a una acción correctamente. Es posible que estos permisos sean necesarios además del permiso para la acción en sí. Cuando una acción especifica acciones dependientes, esas dependencias pueden aplicarse a los recursos adicionales definidos para esa acción, no solo al primer recurso de la tabla.

nota

Las claves de condición de recursos se enumeran en la tabla Tipos de recursos. Encontrará un enlace al tipo de recurso que se aplica a una acción en la columna Tipos de recursos (*obligatorio) de la tabla Acciones. El tipo de recurso de la tabla Tipos de recursos incluye la columna Claves de condición, que son las claves de condición del recurso que se aplican a una acción de la tabla Acciones.

Para obtener información detallada sobre las columnas de la siguiente tabla, consulte Tabla Acciones.

Acciones	Descripción	Nivel de acceso	Tipos de recursos (*necesarios)	Claves de condición	Acciones dependientes
AllowVendedLogDeliveryForResource [solo permiso]	Concede permiso para configurar la telemetría suministrada para un recurso.	Administración de permisos	memory*
AuthorizeAction [solo permiso]	Otorga permiso para evaluar las políticas de Cedar en relación con las solicitudes de autorización	Administración de permisos	gateway*
AuthorizeAction [solo permiso]		Administración de permisos	policy-engine*
BatchCreateMemoryRecords	Concede permiso para crear uno o varios registros de memoria.	Escritura	memory*
BatchCreateMemoryRecords		Escritura		bedrock-agentcore:namespace
BatchDeleteMemoryRecords	Concede permiso para eliminar uno o varios registros de memoria.	Escritura	memory*
BatchUpdateMemoryRecords	Concede permiso para actualizar uno o varios registros de memoria.	Escritura	memory*
BatchUpdateMemoryRecords		Escritura		bedrock-agentcore:namespace
CompleteResourceTokenAuth	Otorga permiso para recuperar el token de acceso con un flujo de 3LO OAuth2 para acceder a un recurso externo	Lectura	oauth2credentialprovider*
			token-vault*
			workload-identity*
			workload-identity-directory*
				bedrock-agentcore:InboundJwtClaim/iss bedrock-agentcore:InboundJwtClaim/sub bedrock-agentcore:InboundJwtClaim/aud bedrock-agentcore:InboundJwtClaim/scope bedrock-agentcore:InboundJwtClaim/client_id bedrock-agentcore:userid
ConnectBrowserAutomationStream	Concede permiso para conectarse a una transmisión de automatización del navegador.	Lectura
ConnectBrowserLiveViewStream	Concede permiso para conectarse a una transmisión de visualización en directo.	Lectura
CreateAgentRuntime	Concede permiso para crear un nuevo tiempo de ejecución de agente.	Escritura		aws:RequestTag/${TagKey} aws:TagKeys	iam:PassRole
CreateAgentRuntimeEndpoint	Concede permiso para crear un nuevo punto de conexión de tiempo de ejecución de agente.	Escritura	runtime*
CreateAgentRuntimeEndpoint		Escritura		aws:RequestTag/${TagKey} aws:TagKeys
CreateApiKeyCredentialProvider	Concede permiso para crear un nuevo proveedor de credenciales de clave de API.	Escritura	apikeycredentialprovider*
			token-vault*
				aws:RequestTag/${TagKey} aws:TagKeys
CreateBrowser	Concede permiso para crear un nuevo navegador personalizado.	Escritura		aws:RequestTag/${TagKey} aws:TagKeys
CreateCodeInterpreter	Concede permiso para crear un nuevo intérprete de código personalizado.	Escritura		aws:RequestTag/${TagKey} aws:TagKeys
CreateEvaluator	Otorga permiso para crear un nuevo evaluador	Escritura
CreateEvent	Concede permiso para crear un evento.	Escritura	memory*
CreateEvent	Concede permiso para crear un evento.	Escritura		bedrock-agentcore:sessionId bedrock-agentcore:actorId
CreateGateway	Concede permiso para crear una nueva puerta de enlace.	Escritura		aws:RequestTag/${TagKey} aws:TagKeys	iam:PassRole
CreateGatewayTarget	Concede permiso para crear un nuevo destino en una puerta de enlace existente.	Escritura	gateway*
CreateMemory	Concede permiso para crear un recurso de memoria.	Escritura		aws:RequestTag/${TagKey} aws:TagKeys	iam:PassRole
CreateOauth2CredentialProvider	Otorga permiso para crear un nuevo proveedor de credenciales para acceder a recursos externos mediante el protocolo OAuth2	Escritura	oauth2credentialprovider*
			token-vault*
				aws:RequestTag/${TagKey} aws:TagKeys
CreateOnlineEvaluationConfig	Otorga permiso para crear una nueva configuración de evaluación en línea	Escritura			iam:PassRole
CreatePolicy	Otorga permiso para crear una nueva política dentro de un motor de políticas	Escritura	policy-engine*
CreatePolicyEngine	Otorga permiso para crear un nuevo motor de políticas	Escritura
CreateWorkloadIdentity	Concede permiso para crear una nueva identidad de carga de trabajo.	Escritura	workload-identity*
			workload-identity-directory*
				aws:RequestTag/${TagKey} aws:TagKeys
DeleteAgentRuntime	Concede permiso para eliminar un tiempo de ejecución de agente.	Escritura	runtime*
DeleteAgentRuntimeEndpoint	Concede permiso para eliminar un punto de conexión de tiempo de ejecución de agente.	Escritura	runtime*
DeleteAgentRuntimeEndpoint		Escritura	runtime-endpoint*
DeleteApiKeyCredentialProvider	Concede permiso para eliminar un proveedor de credenciales de clave de API registrado.	Escritura	apikeycredentialprovider*
DeleteApiKeyCredentialProvider		Escritura	token-vault*
DeleteBrowser	Concede permiso para eliminar un navegador personalizado.	Escritura	browser-custom*
DeleteCodeInterpreter	Concede permiso para eliminar un intérprete de código personalizado.	Escritura	code-interpreter-custom*
DeleteEvaluator	Otorga permiso para eliminar un evaluador	Escritura	evaluator*
DeleteEvent	Concede permiso para eliminar un evento.	Escritura	memory*
DeleteEvent	Concede permiso para eliminar un evento.	Escritura		bedrock-agentcore:sessionId bedrock-agentcore:actorId
DeleteGateway	Concede permiso para eliminar una puerta de enlace existente.	Escritura	gateway*
DeleteGatewayTarget	Concede permiso para eliminar un destino de puerta de enlace existente.	Escritura	gateway*
DeleteMemory	Concede permiso para eliminar un recurso de memoria.	Escritura	memory*
DeleteMemoryRecord	Concede permiso para eliminar un registro de memoria.	Escritura	memory*
DeleteOauth2CredentialProvider	Otorga permiso para eliminar un proveedor de OAuth2 credenciales registrado	Escritura	oauth2credentialprovider*
DeleteOauth2CredentialProvider		Escritura	token-vault*
DeleteOnlineEvaluationConfig	Otorga permiso para eliminar una configuración de evaluación en línea	Escritura	online-evaluation-config*
DeletePolicy	Otorga permiso para eliminar una política	Escritura	policy*
DeletePolicy	Otorga permiso para eliminar una política	Escritura	policy-engine*
DeletePolicyEngine	Otorga permiso para eliminar un motor de políticas	Escritura	policy-engine*
DeleteResourcePolicy	Otorga permiso para eliminar la política basada en recursos de un recurso de Bedrock	Escritura	gateway
			runtime
			runtime-endpoint
DeleteWorkloadIdentity	Concede permiso para eliminar una identidad de carga de trabajo registrada.	Escritura	workload-identity*
DeleteWorkloadIdentity		Escritura	workload-identity-directory*
Evaluate	Otorga permiso para ejecutar una evaluación con un evaluador	Escritura	evaluator*
GetAgentCard	Concede permiso para recuperar una tarjeta de agente para A2A.	Lectura	runtime*
GetAgentCard		Lectura	runtime-endpoint*
GetAgentRuntime	Concede permiso para obtener detalles del tiempo de ejecución de un agente.	Lectura	runtime*
GetAgentRuntimeEndpoint	Concede permiso para obtener detalles del punto de conexión de tiempo de ejecución de un agente.	Lectura	runtime*
GetAgentRuntimeEndpoint		Lectura	runtime-endpoint*
GetApiKeyCredentialProvider	Concede permiso para buscar un proveedor de credenciales de clave de API registrado por su nombre.	Lectura	apikeycredentialprovider*
GetApiKeyCredentialProvider		Lectura	token-vault*
GetBrowser	Concede permiso para obtener detalles de un navegador.	Lectura	browser-custom*
GetBrowserSession	Concede permiso para obtener detalles de una sesión del navegador.	Lectura	browser*
GetBrowserSession		Lectura	browser-custom*
GetCodeInterpreter	Concede permiso para obtener detalles de un intérprete de código.	Lectura	code-interpreter-custom*
GetCodeInterpreterSession	Concede permiso para obtener detalles de una sesión del intérprete de código.	Lectura	code-interpreter*
GetCodeInterpreterSession		Lectura	code-interpreter-custom*
GetEvaluator	Otorga permiso para obtener los detalles de un evaluador	Lectura	evaluator*
GetEvent	Concede permiso para obtener un evento.	Lectura	memory*
GetEvent	Concede permiso para obtener un evento.	Lectura		bedrock-agentcore:sessionId bedrock-agentcore:actorId
GetGateway	Concede permiso para recuperar una puerta de enlace existente.	Lectura	gateway*
GetGatewayTarget	Concede permiso para recuperar un destino de puerta de enlace existente.	Lectura	gateway*
GetMemory	Concede permiso para obtener los detalles de un recurso de memoria.	Lectura	memory*
GetMemoryRecord	Concede permiso para obtener un registro de memoria.	Lectura	memory*
GetOauth2CredentialProvider	Otorga permiso para buscar a un proveedor de OAuth2 credenciales registrado por su nombre	Lectura	oauth2credentialprovider*
GetOauth2CredentialProvider		Lectura	token-vault*
GetOnlineEvaluationConfig	Otorga permiso para obtener detalles de una configuración de evaluación en línea	Lectura	online-evaluation-config*
GetPolicy	Otorga permiso para recuperar una política	Lectura	policy*
GetPolicy	Otorga permiso para recuperar una política	Lectura	policy-engine*
GetPolicyEngine	Otorga permiso para recuperar un motor de políticas	Lectura	policy-engine*
GetPolicyGeneration	Otorga permiso para recuperar el estado y los resultados de una solicitud de generación de políticas	Lectura	policy-engine*
GetPolicyGeneration		Lectura	policy-generation*
GetResourceApiKey	Concede permiso para recuperar una clave de API asociada a un proveedor de credenciales de clave de API.	Lectura	apikeycredentialprovider*
			token-vault*
			workload-identity*
			workload-identity-directory*
GetResourceOauth2Token	Otorga permiso para recuperar el token de acceso con un flujo de OAuth2 2LO o 3LO para acceder a un recurso externo	Lectura	oauth2credentialprovider*
			token-vault*
			workload-identity*
			workload-identity-directory*
GetResourcePolicy	Otorga permiso para recuperar la política basada en recursos de un recurso de Bedrock	Lectura	gateway
			runtime
			runtime-endpoint
GetTokenVault	Otorga permiso para obtener la configuración actual del, incluida la configuración de cifrado TokenVault	Lectura	token-vault*
GetWorkloadAccessToken	Concede permiso para recuperar un token de acceso a la carga de trabajo de cargas de trabajo agénticas que no actúan en nombre del usuario.	Escritura	workload-identity*
GetWorkloadAccessToken		Escritura	workload-identity-directory*
GetWorkloadAccessTokenForJWT	Concede permiso para recuperar un token de acceso a la carga de trabajo de cargas de trabajo agénticas que actúan en nombre del usuario con un token JWT.	Escritura	workload-identity*
			workload-identity-directory*
				bedrock-agentcore:InboundJwtClaim/iss bedrock-agentcore:InboundJwtClaim/sub bedrock-agentcore:InboundJwtClaim/aud bedrock-agentcore:InboundJwtClaim/scope bedrock-agentcore:InboundJwtClaim/client_id
GetWorkloadAccessTokenForUserId	Concede permiso para recuperar un token de acceso a la carga de trabajo de cargas de trabajo agénticas que actúan en nombre del usuario con ID de usuario.	Escritura	workload-identity*
			workload-identity-directory*
				bedrock-agentcore:userid
GetWorkloadIdentity	Otorga permiso para obtener los detalles de una identidad de carga de trabajo específica, incluidos su nombre y la devolución permitida OAuth2 URLs	Lectura	workload-identity*
GetWorkloadIdentity		Lectura	workload-identity-directory*
InvokeAgentRuntime	Concede permiso para invocar el punto de conexión de tiempo de ejecución de un agente.	Escritura	runtime*
InvokeAgentRuntime		Escritura	runtime-endpoint*
InvokeAgentRuntimeForUser	Otorga permiso para invocar un punto final de ejecución de un agente con X-Amzn-Bedrock-AgentCore el encabezado - Runtime-User-Id	Escritura	runtime*
InvokeAgentRuntimeForUser		Escritura	runtime-endpoint*
InvokeAgentRuntimeWithWebSocketStream	Otorga permiso para invocar un punto final de tiempo de ejecución de un agente con una transmisión WebSocket	Escritura	runtime*
InvokeAgentRuntimeWithWebSocketStream		Escritura	runtime-endpoint*
InvokeAgentRuntimeWithWebSocketStreamForUser	Otorga permiso para invocar un punto final de tiempo de ejecución de un agente con el encabezado WebSocket stream y con X-Amzn-Bedrock-AgentCore el encabezado - Runtime-User-Id	Escritura	runtime*
InvokeAgentRuntimeWithWebSocketStreamForUser		Escritura	runtime-endpoint*
InvokeCodeInterpreter	Concede permiso para invocar una sesión del intérprete de código.	Escritura	code-interpreter*
InvokeCodeInterpreter		Escritura	code-interpreter-custom*
InvokeGateway [solo permiso]	Concede permiso para invocar una puerta de enlace.	Administración de permisos	gateway*
ListActors	Concede permiso para enumerar actores.	Enumeración	memory*
ListAgentRuntimeEndpoints	Concede permiso para enumerar puntos de conexión de tiempo de ejecución del agente.	Enumeración
ListAgentRuntimeVersions	Concede permiso para enumerar versiones de tiempo de ejecución del agente.	Enumeración
ListAgentRuntimes	Concede permiso para enumerar tiempos de ejecución del agente.	Enumeración
ListApiKeyCredentialProviders	Concede permiso para enumerar todos los proveedores de credenciales de clave de API en el almacén de tokens.	Lectura	apikeycredentialprovider*
ListApiKeyCredentialProviders		Lectura	token-vault*
ListBrowserSessions	Concede permiso para enumerar sesiones del navegador.	Enumeración
ListBrowsers	Concede permiso para enumerar navegadores.	Enumeración
ListCodeInterpreterSessions	Concede permiso para enumerar sesiones del intérprete de código.	Enumeración	code-interpreter*
ListCodeInterpreterSessions		Enumeración	code-interpreter-custom*
ListCodeInterpreters	Concede permiso para enumerar intérpretes de código.	Enumeración
ListEvaluators	Otorga permiso para enumerar los evaluadores	Enumeración
ListEvents	Concede permiso para enumerar eventos.	Enumeración	memory*
ListEvents	Concede permiso para enumerar eventos.	Enumeración		bedrock-agentcore:sessionId bedrock-agentcore:actorId
ListGatewayTargets	Concede permiso para enumerar destinos de puerta de enlace existentes.	Enumeración	gateway*
ListGateways	Concede permiso para enumerar puertas de enlace existentes.	Enumeración
ListMemories	Concede permiso para enumerar recursos de memoria.	Enumeración
ListMemoryExtractionJobs	Otorga permiso para enumerar los trabajos de extracción de esta memoria	Enumeración	memory*
ListMemoryRecords	Concede permiso para enumerar registros de memoria.	Enumeración	memory*
ListMemoryRecords	Concede permiso para enumerar registros de memoria.	Enumeración		bedrock-agentcore:namespace bedrock-agentcore:strategyId
ListOauth2CredentialProviders	Otorga permiso para incluir todos los proveedores de OAuth2 credenciales en Token Vault	Lectura	oauth2credentialprovider*
ListOauth2CredentialProviders		Lectura	token-vault*
ListOnlineEvaluationConfigs	Otorga permiso para enumerar las configuraciones de evaluación en línea	Enumeración
ListPolicies	Otorga permiso para incluir políticas en un motor de políticas	Enumeración	policy-engine*
ListPolicyEngines	Otorga permiso para enumerar los motores de políticas	Enumeración
ListPolicyGenerationAssets	Otorga permiso para enumerar los activos de políticas generados a partir de una solicitud de generación	Enumeración	policy-engine*
ListPolicyGenerationAssets		Enumeración	policy-generation*
ListPolicyGenerations	Otorga permiso para enumerar las solicitudes de generación de políticas	Enumeración	policy-engine*
ListSessions	Concede permiso para enumerar sesiones.	Enumeración	memory*
ListSessions	Concede permiso para enumerar sesiones.	Enumeración		bedrock-agentcore:actorId
ListTagsForResource	Otorga permiso para enumerar las etiquetas de un recurso de Bedrock AgentCore	Enumeración	apikeycredentialprovider
			browser-custom
			code-interpreter-custom
			gateway
			memory
			oauth2credentialprovider
			runtime
			runtime-endpoint
			token-vault
			workload-identity
			workload-identity-directory
ListWorkloadIdentities	Otorga permiso para enumerar todas las identidades de carga de trabajo de la persona que llama Cuenta de AWS	Lectura	workload-identity*
ListWorkloadIdentities		Lectura	workload-identity-directory*
ManageAdminPolicy [solo permiso]	Otorga permiso para crear o modificar las políticas comodín que se aplican a los recursos de gateway	Administración de permisos
ManageResourceScopedPolicy [solo permiso]	Otorga permiso para crear o modificar las políticas que se aplican a recursos de puerta de enlace específicos	Administración de permisos	gateway*
PartiallyAuthorizeActions [solo permiso]	Otorga permiso para realizar una evaluación parcial de las políticas de Cedar a fin de autorizar a la persona que llama a enumerar las herramientas a las que puede utilizar	Administración de permisos	gateway*
PartiallyAuthorizeActions [solo permiso]		Administración de permisos	policy-engine*
PutResourcePolicy	Otorga permiso para crear o actualizar la política basada en recursos para un recurso de Bedrock	Escritura	gateway
			runtime
			runtime-endpoint
RetrieveMemoryRecords	Concede permiso para recuperar registros de memoria mediante consultas semánticas.	Enumeración	memory*
RetrieveMemoryRecords		Enumeración		bedrock-agentcore:namespace bedrock-agentcore:strategyId
SetTokenVaultCMK	Otorga permiso para asociar una clave administrada por el cliente (CMK) o una clave administrada por el servicio a una clave específica TokenVault	Lectura	token-vault*
StartBrowserSession	Concede permiso para iniciar una nueva sesión del navegador.	Escritura	browser*
StartBrowserSession		Escritura	browser-custom*
StartCodeInterpreterSession	Concede permiso para iniciar una nueva sesión del intérprete de código.	Escritura	code-interpreter*
StartCodeInterpreterSession		Escritura	code-interpreter-custom*
StartMemoryExtractionJob	Otorga permiso para iniciar un trabajo de extracción de memoria	Escritura	memory*
StartMemoryExtractionJob		Escritura		bedrock-agentcore:strategyId bedrock-agentcore:sessionId bedrock-agentcore:actorId
StartPolicyGeneration	Otorga permiso para iniciar una solicitud de generación de políticas impulsada por la IA	Escritura	policy-engine*
StopBrowserSession	Concede permiso para detener una sesión del navegador.	Escritura	browser*
StopBrowserSession	Concede permiso para detener una sesión del navegador.	Escritura	browser-custom*
StopCodeInterpreterSession	Concede permiso para detener una sesión del intérprete de código.	Escritura	code-interpreter*
StopCodeInterpreterSession		Escritura	code-interpreter-custom*
StopRuntimeSession	Concede permiso para detener una sesión de tiempo de ejecución.	Escritura	runtime*
StopRuntimeSession		Escritura	runtime-endpoint*
SynchronizeGatewayTargets [solo permiso]	Concede permiso para habilitar la búsqueda en las puertas de enlace.	Administración de permisos	gateway*
TagResource	Otorga permiso para etiquetar un recurso rocoso AgentCore	Etiquetado	apikeycredentialprovider
			browser-custom
			code-interpreter-custom
			gateway
			memory
			oauth2credentialprovider
			runtime
			runtime-endpoint
			token-vault
			workload-identity
			workload-identity-directory
				aws:TagKeys aws:RequestTag/${TagKey}
UntagResource	Otorga permiso para desetiquetar un recurso rocoso AgentCore	Etiquetado	apikeycredentialprovider
			browser-custom
			code-interpreter-custom
			gateway
			memory
			oauth2credentialprovider
			runtime
			runtime-endpoint
			token-vault
			workload-identity
			workload-identity-directory
				aws:TagKeys
UpdateAgentRuntime	Concede permiso para actualizar el tiempo de ejecución de un agente.	Escritura	runtime*		iam:PassRole
UpdateAgentRuntimeEndpoint	Concede permiso para actualizar el punto de conexión de tiempo de ejecución de un agente.	Escritura	runtime*
UpdateAgentRuntimeEndpoint		Escritura	runtime-endpoint*
UpdateApiKeyCredentialProvider	Concede permiso para actualizar un proveedor de credenciales de clave de API existente.	Escritura	apikeycredentialprovider*
UpdateApiKeyCredentialProvider		Escritura	token-vault*
UpdateBrowserStream	Concede permiso para actualizar el estado de una transmisión de sesión del navegador.	Escritura	browser*
UpdateBrowserStream		Escritura	browser-custom*
UpdateEvaluator	Otorga permiso para actualizar un evaluador	Escritura	evaluator*
UpdateGateway	Concede permiso para actualizar una puerta de enlace existente.	Escritura	gateway*		iam:PassRole
UpdateGatewayTarget	Concede permiso para actualizar un destino de puerta de enlace existente.	Escritura	gateway*
UpdateMemory	Concede permiso para actualizar un recurso de memoria.	Escritura	memory*		iam:PassRole
UpdateOauth2CredentialProvider	Otorga permiso para actualizar un proveedor de OAuth2 credenciales existente	Escritura	oauth2credentialprovider*
UpdateOauth2CredentialProvider		Escritura	token-vault*
UpdateOnlineEvaluationConfig	Otorga permiso para actualizar una configuración de evaluación en línea	Escritura	online-evaluation-config*		iam:PassRole
UpdatePolicy	Otorga permiso para actualizar una política existente	Escritura	policy*
UpdatePolicy	Otorga permiso para actualizar una política existente	Escritura	policy-engine*
UpdatePolicyEngine	Otorga permiso para actualizar un motor de políticas	Escritura	policy-engine*
UpdateWorkloadIdentity	Concede permiso para actualizar los metadatos de una identidad de carga de trabajo existente.	Escritura	workload-identity*
UpdateWorkloadIdentity		Escritura	workload-identity-directory*

Tipos de recursos definidos por Amazon Bedrock AgentCore

Los siguientes tipos de recurso están definidos por este servicio y se pueden utilizar en el elemento Resource de las instrucciones de política de permisos de IAM. Cada acción de la tabla Acciones identifica los tipos de recursos que se pueden especificar con dicha acción. Un tipo de recurso también puede definir qué claves de condición se pueden incluir en una política. Estas claves se muestran en la última columna de la tabla Tipos de recursos. Para obtener información detallada sobre las columnas de la siguiente tabla, consulte Tabla Tipos de recurso.

Tipos de recurso	ARN	Claves de condición
evaluator	`arn:${Partition}:bedrock-agentcore:${Region}:${Account}:evaluator/${EvaluatorId}`
online-evaluation-config	`arn:${Partition}:bedrock-agentcore:${Region}:${Account}:online-evaluation-config/${OnlineEvaluationConfigId}`
memory	`arn:${Partition}:bedrock-agentcore:${Region}:${Account}:memory/${MemoryId}`	aws:ResourceTag/${TagKey}
gateway	`arn:${Partition}:bedrock-agentcore:${Region}:${Account}:gateway/${GatewayId}`	aws:ResourceTag/${TagKey}
workload-identity	`arn:${Partition}:bedrock-agentcore:${Region}:${Account}:workload-identity-directory/${DirectoryId}/workload-identity/${WorkloadIdentityName}`	aws:ResourceTag/${TagKey}
oauth2credentialprovider	`arn:${Partition}:bedrock-agentcore:${Region}:${Account}:token-vault/${TokenVaultId}/oauth2credentialprovider/${Name}`	aws:ResourceTag/${TagKey}
apikeycredentialprovider	`arn:${Partition}:bedrock-agentcore:${Region}:${Account}:token-vault/${TokenVaultId}/apikeycredentialprovider/${Name}`	aws:ResourceTag/${TagKey}
runtime	`arn:${Partition}:bedrock-agentcore:${Region}:${Account}:runtime/${RuntimeId}`	aws:ResourceTag/${TagKey}
runtime-endpoint	`arn:${Partition}:bedrock-agentcore:${Region}:${Account}:runtime/${RuntimeId}/runtime-endpoint/${Name}`	aws:ResourceTag/${TagKey}
code-interpreter-custom	`arn:${Partition}:bedrock-agentcore:${Region}:${Account}:code-interpreter-custom/${CodeInterpreterId}`	aws:ResourceTag/${TagKey}
code-interpreter	`arn:${Partition}:bedrock-agentcore:${Region}:aws:code-interpreter/${CodeInterpreterId}`
browser-custom	`arn:${Partition}:bedrock-agentcore:${Region}:${Account}:browser-custom/${BrowserId}`	aws:ResourceTag/${TagKey}
browser	`arn:${Partition}:bedrock-agentcore:${Region}:aws:browser/${BrowserId}`
workload-identity-directory	`arn:${Partition}:bedrock-agentcore:${Region}:${Account}:workload-identity-directory/${DirectoryId}`	aws:ResourceTag/${TagKey}
token-vault	`arn:${Partition}:bedrock-agentcore:${Region}:${Account}:token-vault/${TokenVaultId}`	aws:ResourceTag/${TagKey}
policy-engine	`arn:${Partition}:bedrock-agentcore:${Region}:${Account}:policy-engine/${PolicyEngineId}`
policy	`arn:${Partition}:bedrock-agentcore:${Region}:${Account}:policy-engine/${PolicyEngineId}/policy/${PolicyId}`
policy-generation	`arn:${Partition}:bedrock-agentcore:${Region}:${Account}:policy-engine/${PolicyEngineId}/policy-generation/${PolicyGenerationId}`

Claves de condición para Amazon Bedrock AgentCore

Amazon Bedrock AgentCore define las siguientes claves de condición que se pueden utilizar en el elemento Condition de una política de IAM. Puede utilizar estas claves para ajustar más las condiciones en las que se aplica la instrucción de política. Para obtener información detallada sobre las columnas de la siguiente tabla, consulte Tabla de Claves de condición.

A fin de ver las claves de condición globales que están disponibles para todos los servicios, consulte AWS Claves de contexto de condición globales.

Claves de condición	Descripción	Tipo
aws:RequestTag/${TagKey}	Filtra el acceso creando solicitudes basadas en el conjunto de valores permitidos para cada una de las etiquetas obligatorias	Cadena
aws:ResourceTag/${TagKey}	Filtra el acceso al tener acciones basadas en el valor de la etiqueta asociada con el recurso	Cadena
aws:TagKeys	Filtra el acceso creando solicitudes basadas en la presencia de etiquetas obligatorias en la solicitud	ArrayOfString
bedrock-agentcore:GatewayAuthorizerType	Filtra el acceso por el atributo authorizerType en una puerta de enlace.	Cadena
bedrock-agentcore:InboundJwtClaim/aud	Filtra el acceso según la notificación de audiencia (aud) en el JWT incluido en la solicitud.	ArrayOfString
bedrock-agentcore:InboundJwtClaim/client_id	Filtra el acceso según la notificación client_id en el JWT incluido en la solicitud.	Cadena
bedrock-agentcore:InboundJwtClaim/iss	Filtra el acceso según la notificación del emisor (iss) presente en el JWT incluido en la solicitud.	Cadena
bedrock-agentcore:InboundJwtClaim/scope	Filtra el acceso según la notificación de alcance en el JWT incluido en la solicitud.	ArrayOfString
bedrock-agentcore:InboundJwtClaim/sub	Filtra el acceso según la notificación de asunto (sub) en el JWT incluido en la solicitud.	Cadena
bedrock-agentcore:actorId	Filtra el acceso por ID de actor.	Cadena
bedrock-agentcore:namespace	Filtra el acceso según el espacio de nombres.	Cadena
bedrock-agentcore:sessionId	Filtra el acceso según el ID de la sesión.	Cadena
bedrock-agentcore:strategyId	Filtra el acceso según el ID de estrategia de memoria.	Cadena
bedrock-agentcore:userid	Filtra el acceso según el valor de ID de usuario estático que se incluye en la solicitud.	Cadena

Aviso JavaScript está desactivado o no está disponible en su navegador.

Para utilizar la documentación de AWS, debe estar habilitado JavaScript. Para obtener más información, consulte las páginas de ayuda de su navegador.

Convenciones del documento

Amazon Bedrock

Amazon Bedrock con tecnología Mantle AWS