本文属于机器翻译版本。若本译文内容与英语原文存在差异，则一律以英文原文为准。
# 为亚马逊 Bedrock AgentCore 浏览器配置根证书颁发机构
默认情况下，亚马逊 Bedrock AgentCore 浏览器会话仅信任公共认可的证书颁发机构。如果您的代理需要访问内部服务、企业网站或使用私有 CA 签名证书的 TLS-intercepting 代理后面的资源，则必须在启动会话时提供自定义根 CA 证书。
Amazon Bedrock 使用您的呼叫者凭证从 S Amazon ecrets Manager AgentCore 检索 PEM-encoded 证书内容，验证 X.509 格式和到期时间，并将证书安装到会话的操作系统信任存储库中。这使浏览器能够与您的内部资源建立可信的 HTTPS 连接。
## 工作原理
亚马逊 Bedrock AgentCore 浏览器的根证书颁发机构的工作方式如下：
1. 您提供证书位置列表，每个位置都指向 Secre Amazon ts Manager 中包含 PEM-encoded 根 CA 证书的密钥。
1. 亚马逊 Bedrock AgentCore 使用您的来电凭证从 Amazon 密钥管理器检索每份证书。
1. 每份证书都经过验证以确定其正确的 X.509 PEM 格式，并进行检查以确保其未过期且未在有效开始日期之前使用。
1. 有效证书将部署到会话的操作系统信任存储区，使浏览器和沙箱中的任何网络客户端都可以使用它们。
在工具级别（通过`CreateBrowser`）配置的证书与会话开始时提供的任何证书相结合。这允许您在工具上设置组织范围的证书，并根据需要添加特定会话的证书。
**注意**
证书配置是每个会话的一次性操作。一旦安装了证书，就无法在该会话期间对其进行修改。
## 先决条件
在配置根 CA 证书之前，请确保您具备以下条件：
+ 已完成一般[先决条件](browser-quickstart.md#browser-prerequisites)。
+ 您的根 CA 证书作为密钥存储在 Amazon 密钥管理器中。每个密钥必须包含有效的 PEM-encoded X.509 证书
+ 从 Amazon 密钥管理器读取证书密钥的 IAM 权限。将以下权限添加到您的 IAM 策略中：
```
{
"Version": "2012-10-17",
"Statement": [
{
"Sid": "SecretsManagerCertificateAccess",
"Effect": "Allow",
"Action": [
"secretsmanager:GetSecretValue"
],
"Resource": "arn:aws:secretsmanager:::secret:"
}
]
}
```
## 将您的证书存储在 Amazon Secrets Manager
在亚马逊基岩 AgentCore 浏览器中使用根 CA 证书之前，必须将其作为密钥存储在 Amazon 密钥管理器中。密钥值必须是 PEM-encoded 证书内容。
**Example**
1.
```
aws secretsmanager create-secret \
--name "my-corporate-root-ca" \
--description "Corporate root CA certificate for AgentCore sessions" \
--secret-string file://my-root-ca.pem \
--region
```
1.
```
import boto3
client = boto3.client('secretsmanager', region_name='')
# Read the PEM certificate file
with open('my-root-ca.pem', 'r') as f:
cert_content = f.read()
response = client.create_secret(
Name='my-corporate-root-ca',
Description='Corporate root CA certificate for AgentCore sessions',
SecretString=cert_content
)
print(f"Secret ARN: {response['ARN']}")
```
记下输出中的秘密 ARN。使用证书配置启动会话时，您将使用此 ARN。
**重要**
密钥必须包含有效的 PEM-encoded X.509 证书。该证书不得过期，并且必须在其有效期内。Amazon Bedrock 在安装证书之前 AgentCore 会验证证书格式和到期时间。
## 使用自定义证书启动浏览器会话
要启动信任您的自定义根 CA 证书的浏览器会话，请在`StartBrowserSession`请求中添加`certificates`参数。
**Example**
1.
```
aws bedrock-agentcore start-browser-session \
--browser-identifier "aws.browser.v1" \
--name "session-with-custom-ca" \
--certificates '[
{
"location": {
"secretsManager": {
"secretArn": "arn:aws:secretsmanager:::secret:"
}
}
}
]'
```
1.
```
import boto3
client = boto3.client('bedrock-agentcore', region_name='')
response = client.start_browser_session(
browserIdentifier="aws.browser.v1",
name="session-with-custom-ca",
certificates=[
{
"location": {
"secretsManager": {
"secretArn": "arn:aws:secretsmanager:::secret:"
}
}
}
]
)
print(f"Session ID: {response['sessionId']}")
print(f"Status: {response['status']}")
```
1.
```
{
"name": "session-with-custom-ca",
"certificates": [
{
"location": {
"secretsManager": {
"secretArn": "arn:aws:secretsmanager:::secret:"
}
}
}
]
}
```
## 使用多个证书
您可以在单个浏览器会话中提供多个根 CA 证书。当您的环境需要信任多个内部证书颁发机构（例如针对不同的内部服务或环境的单独的 CA）时，这很有用。
**Example**
1.
```
aws bedrock-agentcore start-browser-session \
--browser-identifier "aws.browser.v1" \
--name "session-with-multiple-cas" \
--certificates '[
{
"location": {
"secretsManager": {
"secretArn": "arn:aws:secretsmanager:::secret:corporate-root-ca"
}
}
},
{
"location": {
"secretsManager": {
"secretArn": "arn:aws:secretsmanager:::secret:proxy-ca"
}
}
}
]'
```
1.
```
response = client.start_browser_session(
browserIdentifier="aws.browser.v1",
name="session-with-multiple-cas",
certificates=[
{
"location": {
"secretsManager": {
"secretArn": "arn:aws:secretsmanager:::secret:corporate-root-ca"
}
}
},
{
"location": {
"secretsManager": {
"secretArn": "arn:aws:secretsmanager:::secret:proxy-ca"
}
}
}
]
)
```
## 在工具级别配置证书
创建自定义浏览器时，可以在工具级别配置证书。除了会话开始时提供的任何证书外，在工具级别配置的证书还会自动应用于使用该工具启动的每个会话。
这对于所有浏览器会话都应信任的组织范围的证书很有用。
**Example**
1.
```
response = client.create_browser(
name="corporate-browser",
description="Browser with corporate CA trust",
certificates=[
{
"location": {
"secretsManager": {
"secretArn": "arn:aws:secretsmanager:::secret:corporate-root-ca"
}
}
}
]
)
browser_id = response['browserIdentifier']
print(f"Browser ID: {browser_id}")
```
当您使用配置了证书的浏览器启动会话时，工具级证书会与任何会话级证书合并。 Tool-level 首先应用证书，然后应用会话级证书。
## 证书要求和限制
证书必须满足以下要求：
| 要求 | 说明 |
| --- | --- |
| Format | PEM-encoded X.509 证书 |
| 仓储服务 | Amazon 密钥管理器密钥（作为字符串值，不是二进制） |
| 有效性 | 证书不得过期，且必须在其有效期内（介于`notBefore`和`notAfter`日期之间） |
| 每个会话的最大证书数 | 每个会话 10 个，每个工具 10 个。一个会话总共最多可以有 20 个证书。 |
| 秘密 ARN 格式 | `arn:aws:secretsmanager:region:account-id:secret:secret-name` |
| 位置类型 | 仅支持 Amazon 密钥管理器作为证书位置 |