本文属于机器翻译版本。若本译文内容与英语原文存在差异，则一律以英文原文为准。

# AgentCore 生成的策略可观察性数据
<a name="observability-policy-metrics"></a>

对于策略和策略引擎资源类型，Amazon Bedrock AgentCore 会 CloudWatch 默认向发布调用指标。为附加的 Gate AgentCore way 资源启用追踪后，还会有其他跨度数据可用，这将在 AgentCore 相关操作中为策略发出跨度。要详细了解[启用，请参阅为 AgentCore 运行时、内存、网关、内置工具和身份资源启用可观察性](observability-configure.md#observability-configure-cloudwatch)。

**Topics**
+ [提供的指标数据](#observability-policy-metrics-provided)
+ [提供的跨度数据](#observability-policy-spans)

## 提供的指标数据
<a name="observability-policy-metrics-provided"></a>

默认情况下，Amazon Bedrock 会将以下调用指标 AgentCore 发布到命名`AWS/Bedrock-AgentCore` CloudWatch 空间。这些指标可用于观察和监控政策评估和整体绩效。


| 指标 | 说明 | 单位 | 
| --- | --- | --- | 
| Invocations | 向服务发出的请求数 | 计数 | 
| SystemErrors | 服务器端错误数 (5xx) | 计数 | 
| UserErrors | 客户端错误数 (4xx) | 计数 | 
| 延迟 | 从发送请求到收到回复所用的总时间 | 毫秒 | 
| AllowDecisions | 导致 “允许” 的决策数量 | 计数 | 
| DenyDecisions | 导致拒绝的决策数量 | 计数 | 
| TotalMismatchedPolicies | 由于缺少属性或类型不匹配而导致给定请求失败的策略数量 | 计数 | 
| PolicyMismatch | 由于缺少属性或类型不匹配而导致的特定策略失败的次数 | 计数 | 
| MismatchErrors | 由于至少一个策略不匹配而失败的请求数 | 计数 | 
| DeterminingPolicies | 为请求确定策略的次数 | 计数 | 
| NoDeterminingPolicies | 由于未确定策略而被拒绝的请求数 | 计数 | 
| GuardrailLatency | 为请求评估护栏所花费的时间 | 毫秒 | 
| ConfidenceScore | Bedrock Guardrails 为政策评估返回的分数。在 Bedrock Guardrails 文档中，此值被称为内容过滤器和提示攻击的*严重性分数*，以及敏感信息过滤器的*置信度分数*。参见 [Bedrock Guardrails](https://docs.amazonaws.cn/bedrock/latest/userguide/guardrails-use-invoke-guardrail-checks-scores.html) 分数定义。 | 无 | 
| ConfidenceThreshold | 由护栏条件配置的分数阈值 | 无 | 
| SuppressOutputs | 使用效果的策略抑制的产出数量 `suppressOutput` | 计数 | 
| LogOnlyMatches | `LOG_ONLY`政策匹配的数量 | 计数 | 
| LogOnlyDecisionFlips | 当`LOG_ONLY`策略升级到时，更改授权决策的策略匹配项的数量 `ACTIVE`  | 计数 | 
| LogOnlyEvalIncomplete | `LOG_ONLY`政策评估未完成的请求数量 | 计数 | 
| TemporalLatency | 评估临时策略所花费的时间。每次时间评估都会发出一个样本。`SampleCount`用于计算评估次数。参见[CloudWatch 统计定义](https://docs.amazonaws.cn/AmazonCloudWatch/latest/monitoring/Statistics-definitions.html)。 | 毫秒 | 

### 指标维度
<a name="observability-policy-metrics-dimensions"></a>

以下维度可用于上述指标。这些维度允许您以更精细的细节筛选和分析指标数据。


| 维度 | 说明 | 
| --- | --- | 
| OperationName | API 操作的名称，有效值为`AuthorizeAction`和 `PartiallyAuthorizeActions`  | 
| PolicyEngine | 与指标关联的策略引擎标识符 | 
| 策略 | 与指标关联的策略标识符 | 
| TargetResource | 与请求关联的 AgentCore 网关资源标识符 | 
| ToolName | 该指标适用的工具的名称 | 
| Mode |  AgentCore 网关上配置的强制模式，有效值为`LOG_ONLY`和 `ENFORCE`  | 
| 类别 | 护栏的类型。有效值包括 `contentFilter`、`promptAttack` 和 `sensitiveInformation`。参见[政策中的护栏。](policy-guardrails-in-policies.md) | 
| 筛选条件 | 护栏过滤器或敏感信息实体，例如`VIOLENCE`、`PROMPT_INJECTION`或 `EMAIL`  | 
| PolicyEnforcementMode | 单个策略的执行模式。有效值为 `ACTIVE` 和 `LOG_ONLY`。此维度适用于`ConfidenceScore``ConfidenceThreshold`、和`MismatchErrors`。请参阅[在 LOG\_ONLY 模式下测试策略](policy-test-a-policy.md)。 | 

## 提供的跨度数据
<a name="observability-policy-spans"></a>

Amazon Bedrock 通过 AgentCore 网关可观测性 AgentCore 提供额外的结构化跨度数据，从而更深入地了解 API 调用。为 AgentCore 网关资源启用跟踪后， AgentCore 跨度数据中的策略即可使用，并且可以在 CloudWatch `aws/spans`日志组中找到。


| 操作 | 跨度属性 | 说明 | 
| --- | --- | --- | 
| AuthorizeAction | aws.agentcore.policy.authorization\_d | 评估策略后的授权决定，有效值为`ALLOW`和 `DENY`  | 
|  | aws.agentcore.policy.authorization\_re | 做出授权决定的原因 | 
|  | aws.agentcore.policy.detining\_polic | 决定决策结果的政策标识符列表 | 
|  | aws.agentcore.policy.mismatched\_policy | 由于缺少属性或类型不匹配而失败的策略标识符列表 | 
|  | aws.agentcore.policy.target\_resource.ID | AgentCore 请求适用的网关资源标识符 | 
|  | aws.agentcore.gateway.policy.arn | 在网关上配置的策略引擎 Amazon 资源名称 (ARN) AgentCore  | 
|  | aws.agentcore.gateway.policy.mode | 在 AgentCore 网关上配置的策略引擎实施模式，有效值为`LOG_ONLY`和 `ENFORCE`  | 
|  | aws.agentcore.policy.guardrails。 <category>. scores | Guardrail 的发现结果是策略标识符、过滤器和评分元组。有效的类别是`contentFilter``promptAttack`、和 `sensitiveInformation`  | 
|  | aws.agentcore.policy.types | 用于确定策略的策略标识符和策略类型元组。有效的策略类型为`Cedar`和 `Guardrail`  | 
|  | aws.agentcore.policy.eff | 策略标识符和效果元组。有效效果为`PERMIT``FORBID`、和 `SuppressOutput`  | 
|  | aws.agentcore.policy.guardrails.latency\_ms | 评估护栏所花费的时间，以毫秒为单位 | 
|  | aws.agentcore.policy.log\_only\_matched\_policie | 与请求匹配的`LOG_ONLY`策略标识符列表 | 
|  | aws.agentcore.policy.log\_only\_decision\_flipping\_polic | 升级为后会更改授权决策的`LOG_ONLY`策略标识符列表 `ACTIVE`  | 
|  | aws.agentcore.policy.log\_only\_mismatched\_policy | 由于缺少属性或类型不匹配而失败的`LOG_ONLY`策略标识符列表 | 
|  | aws.agentcore.policy.log\_only\_eval\_不完整 | `LOG_ONLY`策略评估未完成`true`时的字符串。否则，该属性将被省略 | 
|  | aws.agentcore.policy.log\_only\_matched\_policies.guardrails。 <category>. scores | 以策略标识符、过滤器和评分元组的形式显示匹配`LOG_ONLY`策略的防护结果 | 
|  | aws.agentcore.policy.log\_only\_decision\_flipping\_policies.guardrails。 <category>. scores | 作为策略标识符、过滤器和分数元组的决策翻转`LOG_ONLY`策略的防护结果 | 
|  | aws.agentcore.policy.temporal.latency\_ms | 评估临时策略所花费的时间，以毫秒为单位 | 
|  | aws.agentcore.policy.temporal.evaluation\_in | 是否为请求运行临时策略评估。这并不表示临时政策与该决定相匹配或确定 | 
|  | aws.agentcore.policy.temporal.event\_timestamp\_ns | 时间评估器用来对请求事件进行排序的确切事件时间戳，以纳秒为单位 | 
| PartiallyAuthorizeActions | aws.agentcore.policy.allowed\_tools | 根据`ALLOW`决策进行评估的工具名称列表 | 
|  | aws.agentcore.policy.denied\_tools | 根据`DENY`决策进行评估的工具名称列表 | 
|  | aws.agentcore.policy.target\_resource.ID | AgentCore 请求适用的网关资源标识符 | 
|  | aws.agentcore.gateway.policy.arn | 在网关上配置的策略引擎 Amazon 资源名称 (ARN) AgentCore  | 
|  | aws.agentcore.gateway.policy.mode | 在 AgentCore 网关上配置的策略引擎实施模式，有效值为`LOG_ONLY`和 `ENFORCE`  |