本文属于机器翻译版本。若本译文内容与英语原文存在差异，则一律以英文原文为准。
将服务相关角色用于 Amazon 代理注册表
迁移现已开放
Amazon 代理注册表已在新agent-registry命名空间下启动。2026 年 10 月 30 日将停止对公共预览版bedrock-agentcore命名空间的支持。有关迁移说明，请参阅注册表迁移综合指南。
Amazon 代理注册表使用 Amazon 身份和访问管理 (IAM) Access Management 服务相关角色。服务相关角色是一种独特的 IAM 角色，直接链接到 Amazon 代理注册表。 Service-linked 角色由 Amazon Agent Registry 预定义，包括该服务代表您调用其他 Amazon 服务所需的所有权限。
Amazon 代理注册表使用名AWSServiceRoleForAgentRegistry为的服务相关角色。此角色为 Amazon Agent Registry 提供必要的权限，以发现组织成员账户中的资源（自动检测）、代表您管理注册记录、设置用于资源跟踪的 Amazon Config 配置记录器以及发布 CloudWatch 指标。与之关联的角色权限策略名AWSServiceRoleForAgentRegistry为AWSAgentRegistryServiceRolePolicy。有关完整的策略文档，请参阅AWSAgentRegistryServiceRolePolicy《 Amazon 托管策略参考指南》。
Service-linked 的角色权限 Amazon 代理注册表
Amazon Agent Registry 使用名为的服务关联角色AWSServiceRoleForAgentRegistry，该角色允许 Amazon 代理注册表代表您调用 Amazon 服务。
AWSServiceRoleForAgentRegistry 服务相关角色信任以下服务代入该角色：
-
agent-registry.amazonaws.com
名为的角色权限策略AWSAgentRegistryServiceRolePolicy允许 Amazon 代理注册表完成以下操作：
Amazon 组织访问权限
Amazon Agent Registry 读取组织元数据，以支持跨成员账户自动检测资源。
-
organizations:DescribeAccount— 检索有关组织中成员帐户的详细信息。 -
organizations:DescribeOrganization— 检索有关该组织的信息。 -
organizations:ListAccounts— 列出组织中的所有帐户。 -
organizations:ListDelegatedAdministrators— 识别已注册自动检测的委派管理员。
这些操作适用于所有资源 (*)。
Amazon 创建 Config 服务相关角色
Amazon 在为成员账户中的资源跟踪设置 Amazon 配置记录器时，Agent Registry 会创建 Config 服务相关角色。
-
iam:CreateServiceLinkedRole— 创建AWSServiceRoleForConfig角色。
此操作仅限于资源，arn:aws:iam::*:role/aws-service-role/config.amazonaws.com/AWSServiceRoleForConfig并以iam:AWSServiceName等于为条件。config.amazonaws.com
Amazon Config 配置记录器管理
Amazon Agent Registry 管理与服务相关的配置记录器，以跟踪支持的资源以进行自动检测。
-
config:PutServiceLinkedConfigurationRecorder— 创建或更新用于自动检测的配置记录器。 -
config:DeleteServiceLinkedConfigurationRecorder— 禁用自动检测后，移除配置记录器。 -
config:DescribeConfigurationRecorders— 描述配置记录器（读取权限）。 -
config:DescribeConfigurationRecorderStatus— 检查配置记录器的状态。
写入操作（Put和Delete）以config:ConfigurationRecorderServicePrincipal等号为条件agent-registry.amazonaws.com，这意味着只能修改 Amazon Agent Registry 拥有的录像机。
读取操作 (Describe) 的作用域仅限于资源匹配arn:aws:config:*:*:configuration-recorder/AWSConfigurationRecorderForAgentRegistry*。
注册记录管理
Amazon Agent Registry 将注册表记录作为自动检测的一部分进行管理，即在发现、更改或删除成员帐户中的资源时创建、更新和删除记录。
-
agent-registry:CreateRegistryRecord— 为新发现的资源创建记录。 -
agent-registry:DeleteRegistryRecord— 删除源资源时移除记录。 -
agent-registry:GetRegistryRecord— 读取记录以检查其当前状态。 -
agent-registry:ListRegistryRecords— 列出注册表中的记录。 -
agent-registry:UpdateRegistryRecord— 当源资源发生变化时更新记录。
这些操作的范围限于aws:ResourceAccount匹配arn:aws:agent-registry:*:*:registry/*并以匹配为条件${aws:PrincipalAccount}，这意味着该角色只能管理同一账户拥有的注册表中的记录。
CloudWatch 指标
Amazon 代理注册表向 Amazon 发布运营指标以 CloudWatch 供监控。
-
cloudwatch:PutMetricData— 将指标发布到 CloudWatch。
此操作的条件是为AWS/AgentRegistry或之一AWS/Usage，并以aws:ResourceAccount匹配为条件${aws:PrincipalAccount}。cloudwatch:namespace该角色只能向同一账户中的这些特定命名空间发送指标数据。
权限摘要
| 能力 | 操作 |
|---|---|
|
读取组织元数据 |
|
|
设置 Amazon Config |
|
|
管理注册表记录 |
|
|
发布指标 |
|
您必须配置权限，允许 IAM 实体（如用户、组或角色）创建、编辑或删除服务关联角色。有关更多信息，请参阅 IAM 用户指南中的Service-linked 角色权限。
为创建服务相关角色 Amazon 代理注册表
您通常不需要手动创建服务相关角色。在 Amazon 管理控制台、CLI 或 Amazon AP Amazon I 的 Amazon Agent Registry 中创建注册表时， Amazon 代理注册表会为您创建服务相关角色。
注意
首次创建注册表时，必须通过基于身份的策略向您授予iam:CreateServiceLinkedRole权限。
重要
对于使用客户托管密钥加密的组织范围的注册表，在您致电之前，服务相关角色必须已经存在于注册表管理员帐户（通常是委托的管理员）中，而不是在该调用CreateRegistry中为您创建的。注册表管理员的 KMS 密钥策略将该AWSServiceRoleForAgentRegistry角色命名为委托人，IAM 拒绝任何引用尚不存在的委托人的密钥策略。
首先在注册表管理员帐户中创建角色，方法是启用自动检测的可信访问权限（通过 ASLRP 进行配置），也可以通过运行来创建。aws iam create-service-linked-role --aws-service-name agent-registry.amazonaws.com
在所有其他情况下（包括使用客户托管密钥加密的非组织范围的注册表）会为您CreateRegistry创建服务相关角色（如果该角色尚不存在）。
有关相关的设置步骤，请参阅服务相关角色的策略声明和步骤 1：启用可信访问并创建服务相关角色。
如果您删除了此服务相关角色然后需要再次创建它，则可以使用相同的流程在您的账户中重新创建此角色。在 Amazon Agent Registry 中创建注册表时， Amazon Agent Registry 会再次为您创建服务相关角色。
您还可以使用 IAM 控制台通过 Amazon 代理注册表用例创建服务相关角色。在 Amazon CLI 或 Amazon API 中，使用服务名称创建agent-registry.amazonaws.com服务相关角色：
aws iam create-service-linked-role --aws-service-name "agent-registry.amazonaws.com"
有关更多信息，请参阅 IAM 用户指南 中的创建服务相关角色。如果您删除了此服务相关角色，可以使用同样的过程再次创建角色。
编辑的服务相关角色 Amazon 代理注册表
Amazon 代理注册表不允许您编辑AWSServiceRoleForAgentRegistry服务相关角色。在创建服务相关角色后，您将无法更改角色的名称，因为可能有多种实体引用该角色。
删除的服务相关角色 Amazon 代理注册表
如果不再需要使用某个需要服务关联角色的功能或服务，我们建议您删除该角色。这可以防止您拥有未被主动监视或维护的未使用实体。但是，您必须先清除服务相关角色的资源，然后才能手动删除它。
要删除该AWSServiceRoleForAgentRegistry角色，您必须先执行以下操作：
-
在任何组织范围内的注册表上禁用自动检测。
-
删除 Ag Amazon ent Registry 中的所有注册表。
重要
如果您在注册表仍然存在的情况下删除AWSServiceRoleForAgentRegistry服务相关角色，则自动检测将停止工作 — 不会发现新资源，也不会更新或删除现有记录。 CloudWatch Amazon 代理注册表的指标也停止发布。要恢复功能，请通过创建新的注册表或运行aws iam create-service-linked-role --aws-service-name "agent-registry.amazonaws.com"来重新创建角色。
注意
如果您尝试删除资源时， Amazon Agent Registry 正在使用该角色，则删除可能会失败。如果发生这种情况，请等待几分钟后重试。
使用 IAM 手动删除服务关联角色
使用 IAM 控制台、 Amazon CLI 或 Amazon API 删除AWSServiceRoleForAgentRegistry服务相关角色。有关更多信息，请参阅《IAM 用户指南》中的删除服务相关角色。
支持的区域 Amazon 代理注册表服务相关角色
Amazon Agent Registry 支持在每个提供 Amazon 代理注册表的区域中使用AWSServiceRoleForAgentRegistry服务相关角色。