本文属于机器翻译版本。若本译文内容与英语原文存在差异，则一律以英文原文为准。 # 将服务相关角色用于 Amazon 代理注册表 **迁移现已开放** Amazon 代理注册表已在新`agent-registry`命名空间下启动。2026 年 10 月 30 日将停止对公共预览版`bedrock-agentcore`命名空间的支持。有关迁移说明，请参阅[注册表迁移综合指南](registry-faq.md)。 Amazon 代理注册表使用 Amazon 身份和访问管理 (IAM) Access [Management 服务](https://docs.amazonaws.cn/IAM/latest/UserGuide/id_roles_terms-and-concepts.html#iam-term-service-linked-role)相关角色。服务相关角色是一种独特的 IAM 角色，直接链接到 Amazon 代理注册表。 Service-linked 角色由 Amazon Agent Registry 预定义，包括该服务代表您调用其他 Amazon 服务所需的所有权限。 Amazon 代理注册表使用名**AWSServiceRoleForAgentRegistry**为的服务相关角色。此角色为 Amazon Agent Registry 提供必要的权限，以发现组织成员账户中的资源（自动检测）、代表您管理注册记录、设置用于资源跟踪的 Amazon Config 配置记录器以及发布 CloudWatch 指标。与之关联的角色权限策略名`AWSServiceRoleForAgentRegistry`为[`AWSAgentRegistryServiceRolePolicy`](https://docs.amazonaws.cn/aws-managed-policy/latest/reference/AWSAgentRegistryServiceRolePolicy.html)。有关完整的策略文档，请参阅[AWSAgentRegistryServiceRolePolicy](https://docs.amazonaws.cn/aws-managed-policy/latest/reference/AWSAgentRegistryServiceRolePolicy.html)《* Amazon 托管策略参考指南》*。 ## Service-linked 的角色权限 Amazon 代理注册表 Amazon Agent Registry 使用名为的服务关联角色`AWSServiceRoleForAgentRegistry`，该角色允许 Amazon 代理注册表代表您调用 Amazon 服务。 `AWSServiceRoleForAgentRegistry` 服务相关角色信任以下服务代入该角色： + `agent-registry.amazonaws.com` 名为的角色权限策略[`AWSAgentRegistryServiceRolePolicy`](https://docs.amazonaws.cn/aws-managed-policy/latest/reference/AWSAgentRegistryServiceRolePolicy.html)允许 Amazon 代理注册表完成以下操作： ### Amazon 组织访问权限 Amazon Agent Registry 读取组织元数据，以支持跨成员账户自动检测资源。 + `organizations:DescribeAccount`— 检索有关组织中成员帐户的详细信息。 + `organizations:DescribeOrganization`— 检索有关该组织的信息。 + `organizations:ListAccounts`— 列出组织中的所有帐户。 + `organizations:ListDelegatedAdministrators`— 识别已注册自动检测的委派管理员。 这些操作适用于所有资源 (`*`)。 ### Amazon 创建 Config 服务相关角色 Amazon 在为成员账户中的资源跟踪设置 Amazon 配置记录器时，Agent Registry 会创建 Config 服务相关角色。 + `iam:CreateServiceLinkedRole`— 创建`AWSServiceRoleForConfig`角色。 此操作仅限于资源，`arn:aws:iam::*:role/aws-service-role/config.amazonaws.com/AWSServiceRoleForConfig`并以`iam:AWSServiceName`等于为条件。`config.amazonaws.com` ### Amazon Config 配置记录器管理 Amazon Agent Registry 管理与服务相关的配置记录器，以跟踪支持的资源以进行自动检测。 + `config:PutServiceLinkedConfigurationRecorder`— 创建或更新用于自动检测的配置记录器。 + `config:DeleteServiceLinkedConfigurationRecorder`— 禁用自动检测后，移除配置记录器。 + `config:DescribeConfigurationRecorders`— 描述配置记录器（读取权限）。 + `config:DescribeConfigurationRecorderStatus`— 检查配置记录器的状态。 写入操作（`Put`和`Delete`）以`config:ConfigurationRecorderServicePrincipal`等号为条件`agent-registry.amazonaws.com`，这意味着只能修改 Amazon Agent Registry 拥有的录像机。 读取操作 (`Describe`) 的作用域仅限于资源匹配`arn:aws:config:*:*:configuration-recorder/AWSConfigurationRecorderForAgentRegistry*`。 ### 注册记录管理 Amazon Agent Registry 将注册表记录作为自动检测的一部分进行管理，即在发现、更改或删除成员帐户中的资源时创建、更新和删除记录。 + `agent-registry:CreateRegistryRecord`— 为新发现的资源创建记录。 + `agent-registry:DeleteRegistryRecord`— 删除源资源时移除记录。 + `agent-registry:GetRegistryRecord`— 读取记录以检查其当前状态。 + `agent-registry:ListRegistryRecords`— 列出注册表中的记录。 + `agent-registry:UpdateRegistryRecord`— 当源资源发生变化时更新记录。 这些操作的范围限于`aws:ResourceAccount`匹配`arn:aws:agent-registry:*:*:registry/*`并以匹配为条件`${aws:PrincipalAccount}`，这意味着该角色只能管理同一账户拥有的注册表中的记录。 ### CloudWatch 指标 Amazon 代理注册表向 Amazon 发布运营指标以 CloudWatch 供监控。 + `cloudwatch:PutMetricData`— 将指标发布到 CloudWatch。 此操作的条件是为`AWS/AgentRegistry`或之一`AWS/Usage`，并以`aws:ResourceAccount`匹配为条件`${aws:PrincipalAccount}`。`cloudwatch:namespace`该角色只能向同一账户中的这些特定命名空间发送指标数据。 ### 权限摘要 | 能力 | 操作 | | --- | --- | | 读取组织元数据 | `organizations:DescribeAccount`, `organizations:DescribeOrganization`, `organizations:ListAccounts`, `organizations:ListDelegatedAdministrators` | | 设置 Amazon Config | `iam:CreateServiceLinkedRole`（对于 Config）`config:PutServiceLinkedConfigurationRecorder``config:DeleteServiceLinkedConfigurationRecorder`、、`config:DescribeConfigurationRecorders`、`config:DescribeConfigurationRecorderStatus` | | 管理注册表记录 | `agent-registry:CreateRegistryRecord`, `agent-registry:DeleteRegistryRecord`, `agent-registry:GetRegistryRecord`, `agent-registry:ListRegistryRecords`, `agent-registry:UpdateRegistryRecord` | | 发布指标 | `cloudwatch:PutMetricData` | 您必须配置权限，允许 IAM 实体（如用户、组或角色）创建、编辑或删除服务关联角色。有关更多信息，请参阅 *IAM 用户指南*中的[Service-linked 角色权限](https://docs.amazonaws.cn/IAM/latest/UserGuide/using-service-linked-roles.html#service-linked-role-permissions)。 ## 为创建服务相关角色 Amazon 代理注册表 您通常不需要手动创建服务相关角色。在 Amazon 管理控制台、CLI 或 Amazon AP Amazon I 的 Amazon Agent Registry 中创建注册表时， Amazon 代理注册表会为您创建服务相关角色。 **注意** 首次创建注册表时，必须通过基于身份的策略向您授予`iam:CreateServiceLinkedRole`权限。 **重要** 对于**使用客户托管密钥加密的组织范围的注册表**，在您致电之前，服务相关角色必须已经存在于注册表管理员帐户（通常是委托的管理员）中，而不是在该调用`CreateRegistry`中为您创建的。注册表管理员的 KMS 密钥策略将该`AWSServiceRoleForAgentRegistry`角色命名为委托人，IAM 拒绝任何引用尚不存在的委托人的密钥策略。 首先在注册表管理员帐户中创建角色，方法是启用自动检测的可信访问权限（通过 ASLRP 进行配置），也可以通过运行来创建。`aws iam create-service-linked-role --aws-service-name agent-registry.amazonaws.com` 在所有其他情况下（包括使用客户托管密钥加密的非组织范围的注册表）会为您`CreateRegistry`创建服务相关角色（如果该角色尚不存在）。 有关相关的设置步骤，请参阅[服务相关角色的策略声明](registry-kms-key-policy.md#registry-encryption-key-policy-slr)和[步骤 1：启用可信访问并创建服务相关](registry-organizations.md#registry-organizations-step1)角色。 如果您删除了此服务相关角色然后需要再次创建它，则可以使用相同的流程在您的账户中重新创建此角色。在 Amazon Agent Registry 中创建注册表时， Amazon Agent Registry 会再次为您创建服务相关角色。 您还可以使用 IAM 控制台通过** Amazon 代理注册表**用例创建服务相关角色。在 Amazon CLI 或 Amazon API 中，使用服务名称创建`agent-registry.amazonaws.com`服务相关角色： ``` aws iam create-service-linked-role --aws-service-name "agent-registry.amazonaws.com" ``` 有关更多信息，请参阅 *IAM 用户指南* 中的[创建服务相关角色](https://docs.amazonaws.cn/IAM/latest/UserGuide/using-service-linked-roles.html#create-service-linked-role)。如果您删除了此服务相关角色，可以使用同样的过程再次创建角色。 ## 编辑的服务相关角色 Amazon 代理注册表 Amazon 代理注册表不允许您编辑`AWSServiceRoleForAgentRegistry`服务相关角色。在创建服务相关角色后，您将无法更改角色的名称，因为可能有多种实体引用该角色。 ## 删除的服务相关角色 Amazon 代理注册表 如果不再需要使用某个需要服务关联角色的功能或服务，我们建议您删除该角色。这可以防止您拥有未被主动监视或维护的未使用实体。但是，您必须先清除服务相关角色的资源，然后才能手动删除它。 要删除该`AWSServiceRoleForAgentRegistry`角色，您必须先执行以下操作： 1. 在任何组织范围内的注册表上禁用自动检测。 1. 删除 Ag Amazon ent Registry 中的所有注册表。 **重要** 如果您在注册表仍然存在的情况下删除`AWSServiceRoleForAgentRegistry`服务相关角色，则自动检测将停止工作 — 不会发现新资源，也不会更新或删除现有记录。 CloudWatch Amazon 代理注册表的指标也停止发布。要恢复功能，请通过创建新的注册表或运行`aws iam create-service-linked-role --aws-service-name "agent-registry.amazonaws.com"`来重新创建角色。 **注意** 如果您尝试删除资源时， Amazon Agent Registry 正在使用该角色，则删除可能会失败。如果发生这种情况，请等待几分钟后重试。 **使用 IAM 手动删除服务关联角色** 使用 IAM 控制台、 Amazon CLI 或 Amazon API 删除`AWSServiceRoleForAgentRegistry`服务相关角色。有关更多信息，请参阅《IAM 用户指南》**中的[删除服务相关角色](https://docs.amazonaws.cn/IAM/latest/UserGuide/using-service-linked-roles.html#delete-service-linked-role)。 ## 支持的区域 Amazon 代理注册表服务相关角色 Amazon Agent Registry 支持在每个提供 Amazon 代理注册表的区域中使用`AWSServiceRoleForAgentRegistry`服务相关角色。