Amazon Web Services 文档中描述的 Amazon Web Services 服务或功能可能因区域而异。要查看适用于中国区域的差异，请参阅 中国的 Amazon Web Services 服务入门 (PDF)。

本文属于机器翻译版本。若本译文内容与英语原文存在差异，则一律以英文原文为准。

政策中的护栏

本节介绍如何在策略中设置护栏，以便政策的决策取决于请求或响应内容是否包含不安全的材料。内容检查本身由护栏执行，Policy 在评估期间会 AgentCore 调用该护栏。如今，护栏由 A mazon Bedro ck Guardrails 提供支持。

护栏状况列举了三件事：护栏类型、该类型应评估的类别以及要评估的内容。护栏会返回信心分数，您的保单决定如何处理它。

如果您不熟悉政策中的护栏，请从护栏入门开始，这将引导您完成从头到尾的创建过程。有关涵盖 MCP、运行时和每个推理 API 的策略示例，请参阅 Guardra il 策略示例。

护栏状况的基石

中的策略 AgentCore 支持三种护栏类型。每个类别都采用一组类别进行评估，并以不同的方式返回其结果。

有关每种类型接受的类别，请参阅支持的护栏。有关要评估的内容，请参阅将上下文传递给护栏。

置信度分数是介于 0 到 1 之间的小数，表示内容表现出评估属性的强度。您决定如何处理该分数，保单将您的决定作为护栏结果的条件——通常是阈值比较，例如。.confidenceScore.greaterThan(decimal("0.4"))有关阈值和比较运算符，请参阅护栏阈值。

也可以降低各类别的分数，而不是逐个进行比较。聚合是这样做的：maxConfidenceScore()minConfidenceScore()返回分数，同时count()返回检测到的数量并categories()返回检测到的类别集，因此这两个类别不需要阈值。有关完整列表，请参阅聚合。

护栏的区域可用性

下表显示了哪些 Amazon 地区支持策略中的护栏。

开始前的准备工作

在开始之前，您需要正确配置您的 IAM 角色。

Permissions

除了网关已经拥有的 AgentCore 权限bedrock:InvokeGuardrailChecks外，还需要网关的执行角色。有关后者，请参阅 AgentCore IAM 权限中的AgentCore 网关和策略。

中的策略 AgentCore 使用从网关的执行角色派生的前向访问会话 (FAS) 凭据代表您调用 Bedrock Guardrails API，这就是该权限属于该角色的原因。

{
  "Version": "2012-10-17", 
  "Statement": [
    {
      "Effect": "Allow",
      "Action": "bedrock:InvokeGuardrailChecks",
      "Resource": "arn:aws:bedrock:us-west-2:123456789012:guardrail/abc123"
    }
  ]
}

支撑的护栏

在政策中写护栏

要在政策中设置护栏，您可以将策略编写为代码，也可以用自然语言进行描述。与其他策略一样，使用条件 (when guardrails) 指定效果permit，例如。在条件中，提供要启用的护栏、要评估的类别、要评估的内容以及你想要的分数比较。

护栏定义示例

suppressOutput (principal, action == AgentCore::Action::"<TargetName>___<METHOD>:<uri>", resource == AgentCore::Gateway::"<gateway-arn>")
when guardrails {
    BedrockGuardrails::ContentFilter(["HATE"],[context.output.message])["HATE"]
    .confidenceScore
    .greaterThan(decimal("0.2"))
};

请注意将目标名称与方法和 URI 分开的三个下划线。有关针对完整参考网关的示例，请参阅 G uardrail 策略示例。

创建带有护栏的政策

要创建策略，请将声明放在definition属性的policy字段中。有关更多信息，请参阅创建策略。否则，它会像任何其他策略一样创建。

无论使用哪种曲面，都最好使用反向比较将规则表示permit为 a。默认情况下，策略评估是拒绝的，因此只有在分数保持较低时permit才保持的单一策略既可以授予操作又可以对其进行门禁：

permit (principal, action == AgentCore::Action::"RefundTool___process_refund", resource == AgentCore::Gateway::"arn:aws:bedrock-agentcore:us-west-2:123456789012:gateway/my-gateway-a1b2c3d4e5")
when guardrails {
  BedrockGuardrails::ContentFilter(["VIOLENCE"], [context.input.reason])["VIOLENCE"]
    .confidenceScore.lessThanOrEqual(decimal("0.4"))
};

forbid当你想限制已经存在的权限时使用，比如其他一些策略允许的操作，比如限制其输入值。A forbid 优先于 anypermit，因此它会从现有补助金中减去。就其本身permit而言，它一无所获：默认情况下，该动作会被拒绝，并且从不咨询护栏，因此孤独者forbid需要同伴才能执行相同的动作。

有关改用 AgentCore CLI 的端到端演练，请参阅护栏入门。有关每种目标类型的声明，请参阅 Guardrail 策略示例。

指定护栏类型

要选择特定的护栏类型，请使用命名空间： BedrockGuardrails

选择护栏类别

为所选护栏类型选择一个类别（请参阅支撑的护栏）。

例如：BedrockGuardrails::ContentFilter(["HATE"],[context.output.message])

对护栏的影响

要对护栏上的授权请求进行门禁，请使用permit和效果。forbid它们继续控制请求授权。

forbid (principal, action == AgentCore::Action::"<TargetName>___POST:/invocations", resource == AgentCore::Gateway::"<gateway-arn>") when guardrails {
  BedrockGuardrails::PromptAttack(["PROMPT_INJECTION"], [context.input.prompt])["PROMPT_INJECTION"].confidenceScore.greaterThan(decimal("0.6"))
};

要抑制工具、代理或模型的输出，请使用该suppressOutput效果。 suppressOutput对操作返回的数据进行操作。授权操作完成后，它会对照护栏评估输出，并在违反护栏时抑制输出。

suppressOutput (principal, action == AgentCore::Action::"<TargetName>___POST:/invocations", resource == AgentCore::Gateway::"<gateway-arn>") when guardrails {
  BedrockGuardrails::SensitiveInformation(["US_SOCIAL_SECURITY_NUMBER"], [context.output.text])
    .count() > 0
};

将上下文传递给您的护栏

在护栏条件下，指定数据路径，例如context.input.message，用于标识要从操作的有效载荷中提取的值。护栏评估提取的值。您可以根据请求或响应架构指定一个或多个路径。

例如：[context.input.message, context.input.systemPrompt]

您可以通过以下两种方式之一提供数据路径：

您可以为每个呼叫提供多个数据路径。每个路径都是独立提取的，并作为自己的内容块发送到护栏，因此，要将列表评估为不同的项目，请使用单独的路径而不是一个通配符路径来命名这些项目。

有关每个推理 API 路径的示例，请参阅使用 JSONPath 访问数组内的文本。

护栏的阈值

通过内容过滤器和即时攻击检测，护栏会返回置信度分数，该分数是 [0, 1] 范围内的数值，其中 0 表示低置信度，1 表示高置信度。该分数表示护栏检测到违规行为的信心程度。当前可能的分数是离散值 {0.0、0.2、0.4、0.6、0.8、1.0}。

要设置阈值，请向比较运算符提供十进制值，例如greaterThan(decimal("0.4"))。

分数比较运算符

您可以将以下比较运算符应用于confidenceScoremaxConfidenceScore()、或minConfidenceScore()：

您可以在策略中使用聚合来提取和比较护栏返回的分数：

聚合

如何选择阈值

如果在提示创作服务时未指定阈值，则 AgentCore 设置默认值。如果您在没有创作服务帮助的情况下编写策略，则必须提供阈值。

以下默认值经过校准，可为大多数工作负载提供广泛的覆盖范围和可接受的精度：

选择自定义阈值

如果默认阈值不符合您的要求，则可以使用以下方法之一确定工作负载的最佳阈值。

选项 1：根据黄金测试集进行评估

当你有一组精心策划的测试输入并具有明确的预期结果时，请使用这种方法。

选项 2：根据生产流量进行评估

如果您没有预先构建的测试集，并且想要使用真实的流量模式进行校准，请使用此方法。

测试保单中的护栏

AgentCore 提供了多种机制，用于在生产流量上强制使用护栏之前对其进行测试。您可以在策略引擎级别、单个策略级别或两者兼而有之地控制强制执行，从而可以逐步验证护栏行为。有关更多信息，请参阅在 LOG_ONLY 模式下测试策略。

保单中的护栏是如何运作的

您可以在任何网关目标的策略中设置护栏。护栏在以下位置运行：

当呼叫到达您的网关时，策略评估器会执行以下操作：

注意：护栏是不确定的，因此相同的输入可能会导致不同的输出。政策是确定性的；相同的评估环境将始终导致相同的政策决策。

限制