本文属于机器翻译版本。若本译文内容与英语原文存在差异，则一律以英文原文为准。
IAM 权限
迁移现已开放
Amazon 代理注册表已在新agent-registry命名空间下启动。2026 年 10 月 30 日将停止对公共预览版bedrock-agentcore命名空间的支持。有关迁移说明，请参阅注册表迁移综合指南。
注册表操作
要创建、管理或使用注册表，请将基于身份的策略附加到您的 IAM 身份，使其能够执行Amazon 代理操作。 Registry-related 要获得全面权限，您可以使用AgentRegistryFullAccess托管策略。
为了提高安全性和控制力，您可以通过减少完全访问策略中的权限来创建自己的自定义策略。
注意
在bedrock-agentcore命名空间中，BedrockAgentCoreFullAccess托管策略涵盖了下面列出的操作。在agent-registry命名空间中，它们由新的AgentRegistryFullAccess托管策略覆盖。下表显示了迁移窗口期间的两个命名空间。有关完整的迁移映射，请参阅注册表迁移综合指南。
注册表控制平面操作
例
注册表记录控制平面动作
例
注册表数据平面操作
例
注意
要调用注册表 MCP 端点，您需要搜索操作和操作。InvokeRegistryMcp在agent-registry命名空间中，搜索操作是agent-registry:SearchDiscoverableRegistryRecords；在bedrock-agentcore命名空间中，搜索操作是bedrock-agentcore:SearchRegistryRecords。
注意
BatchGetDiscoverableRegistryRecord没有自己的 IAM 操作。每条请求的记录都有授权agent-registry:GetDiscoverableRegistryRecord。GetDiscoverableRegistryRecord要使用的授权BatchGetDiscoverableRegistryRecord。
工作负载标识操作（注册表生命周期所必需的）
注册表管理的工作负载身份操作需要执行以下操作。这些操作使用bedrock-agentcore命名空间，由服务在DeleteRegistry工作流程中CreateRegistry代表您调用。
| 处理建议 | 说明 | 访问级别 |
|---|---|---|
|
|
授予为注册表创建工作负载身份的权限 |
写入 |
|
|
授予检索工作负载身份详细信息的权限（用于重试时的等性） |
读取 |
|
|
授予在删除注册表时删除工作负载身份的权限 |
写入 |
注意
需要该GetWorkloadIdentity权限才能支持工作流程的等性重试。CreateRegistry如果没有此权限，如果重试注册表创建（例如，在暂时失败之后），工作流程将无法验证现有的工作负载身份，因此将失败。
IAM 服务相关角色操作（注册表生命周期所必需的）
注册表生命周期管理期间需要执行以下操作。此操作使用iam命名空间，由服务在CreateRegistry工作流程中代表您调用。
| 处理建议 | 说明 | 访问级别 |
|---|---|---|
|
|
授予为 A Amazon gent Registry 创建服务相关角色的权限 |
写入 |
注意
注册表创建期间需要CreateServiceLinkedRole权限才能使服务能够在注册表创建后在您的账户中发布 CloudWatch 指标。如果没有此权限，注册表创建将失败。
注册表资源类型
为 Amazon Agent Registry 定义了以下资源类型：