c5.1 Dê a cada agente sua própria identidade restrita
Estabeleça identidades distintas para os três pontos de autenticação (o usuário que invoca o agente, o agente acessando ferramentas, a ferramenta acessando sistemas a jusante) para que um agente nunca herde uma identidade humana com permissões excessivas.
Guia de implementação
Como implementar na AWS
Configure a autenticação de entrada com o AgentCore Identity (credenciais da AWS ou OAuth 2.0; o Cognito integra nativamente). Limite quem pode chamar o InvokeAgentRuntime com condições de IAM sobre o ARN do agente. Dê ao agente sua própria identidade para o acesso a ferramentas, separada da do usuário, e um identity store distinto para as chamadas ao gateway.
Critérios de aceitação
A autenticação de usuário, agente e ferramenta são separadas; o InvokeAgentRuntime é restrito por condição de IAM sobre o ARN do agente; o agente usa sua própria identidade, não a do usuário.
Implementação prática
Como este controle é implementado em cada arquitetura de referência:
Os três pontos de autenticação são separados: os usuários se autenticam na conta de aplicação, e o agente tem sua própria identidade na conta de IA generativa para as chamadas a ferramentas e gateway.
- Configure a autenticação de entrada com o AgentCore Identity (credenciais da AWS ou OAuth 2.0; o Cognito integra nativamente) para que o usuário se autentique na borda da conta de aplicação.Conta de aplicação AgentCore Identity
Amazon Cognito - Restrinja quem pode chamar o InvokeAgentRuntime com uma condição de IAM sobre o ARN do agente, para que apenas o caminho de app autenticado possa iniciar o agente.Conta de IA generativa
IAM Bedrock AgentCore - Dê ao agente sua própria identidade para o acesso a ferramentas (separada da do usuário) e um identity store distinto para as chamadas ao gateway.Conta de IA generativa Bedrock AgentCore IAM
Como validar: A autenticação de usuário, agente e ferramenta são separadas; o InvokeAgentRuntime é restrito por condição de IAM sobre o ARN do agente; o agente usa sua própria identidade, não a do usuário.
Evite: Deixar o agente agir como o usuário que o invoca. O agente herda então todas as permissões dessa pessoa; dê a ele sua própria identidade restrita para cada salto.
As identidades de usuário, agente e ferramenta são mantidas distintas dentro da conta, e o InvokeAgentRuntime é controlado por uma condição de IAM sobre o ARN do agente.
- Configure a autenticação de entrada com o AgentCore Identity (Cognito nativo) para que os usuários se autentiquem antes de o agente rodar.Camada de aplicação (papel IAM) AgentCore Identity Amazon Cognito
- Restrinja o InvokeAgentRuntime com uma condição de IAM sobre o ARN do agente.Camada de IA generativa (papel IAM) IAM Bedrock AgentCore
- Dê ao agente sua própria identidade para o acesso a ferramentas/gateway, separada da do usuário.Camada de IA generativa (papel IAM) Bedrock AgentCore IAM
Como validar: A autenticação de usuário, agente e ferramenta são separadas; o InvokeAgentRuntime é condicionado por ARN; o agente usa sua própria identidade.
Evite: Uma identidade compartilhada entre o usuário e o agente. Separe os três pontos de autenticação para que nenhum salto herde mais do que precisa.
Ameaças atendidas
- Um agente agindo com uma cópia da identidade de um usuário com permissões excessivas.
- Confused deputy em uma cadeia multiagente onde cada salto carece de identidade própria.
Serviços AWS
Amazon Cognito AWS IAM Mapeamentos de frameworks
OWASP GenAI/LLM Top 10 (2026)
- LLM03 Excessive Agency
NIST AI Risk Management Framework (AI 100-1)
- GOVERN.1 Policies, processes, procedures and accountability structures
- MANAGE.1 AI risks are prioritized, responded to and managed
AWS Well-Architected Generative AI Lens (Security)
- GENSEC05-BP01 Implement least privilege and permission boundaries for agentic workflows
OWASP GenAI Top 10 for Agentic Applications (2025)
- ASI03 Identity and Privilege Abuse
Recursos de aprendizado
Referências
- AWS SRA para IA — Capacidade 5, Gestão de identidade e acesso