c5.4 Conceda aos agentes papéis de privilégio mínimo sem rota de escalada

Um agente autônomo herda o alcance de sua função

Um agente age em seu nome usando sua função do IAM. Se essa função for ampla — ou, pior, tiver permissões que lhe permitam alterar suas próprias permissões —, um agente manipulado ou comprometido não apenas faz mau uso do que tem; ele pode escalar para mais. Restrinja a função apenas às ferramentas, recursos e segredos de que o agente precisa, e feche explicitamente a porta ao punhado de permissões que habilitam a escalada de privilégios.

Conceda apenas o que a tarefa do agente exige

Comece do zero e adicione as ações específicas e os ARNs de recursos que o agente usa — a mesma disciplina de privilégio mínimo das funções de invocação do modelo e de ferramentas:

{
  "Sid": "AgentTaskPermissions",
  "Effect": "Allow",
  "Action": ["bedrock:InvokeModel", "dynamodb:GetItem"],
  "Resource": [
    "arn:aws:bedrock:us-east-1::foundation-model/anthropic.claude-3-5-sonnet-20240620-v1:0",
    "arn:aws:dynamodb:us-east-1:111122223333:table/AgentState"
  ]
}

Negue explicitamente os caminhos de escalada

Um conjunto curto e bem conhecido de ações do IAM/STS transforma uma função limitada em uma de administrador. Mesmo que nunca sejam concedidas, um Deny explícito garante que uma política ampliada não possa reintroduzi-las:

{
  "Sid": "NoPrivilegeEscalation",
  "Effect": "Deny",
  "Action": [
    "iam:CreatePolicyVersion",
    "iam:SetDefaultPolicyVersion",
    "iam:AttachRolePolicy",
    "iam:PutRolePolicy",
    "iam:AttachUserPolicy",
    "iam:CreateAccessKey",
    "iam:UpdateAssumeRolePolicy",
    "iam:PassRole"
  ],
  "Resource": "*"
}

iam:PassRole é o clássico: a capacidade de entregar uma função mais poderosa a um serviço que o agente pode invocar. Se o agente legitimamente precisar passar uma função, restrinja o Allow de iam:PassRole a esse único ARN de função com uma Condition sobre iam:PassedToService, em vez de deixá-lo no deny.

Sem cadeias de auto-assunção

Mantenha as relações de confiança do agente estreitas para que ele não possa assumir uma função mais ampla. Combine um deny explícito (ou um sts:AssumeRole restrito a ARNs de função específicos) com um limite de permissões (consulte o controle de funções de ferramenta), de modo que a política de identidade E o limite limitem o teto.

Nota de nomenclatura: substitua os ARNs do modelo e da tabela. Se o agente precisar de iam:PassRole, remova-o do deny e adicione, em vez disso, um allow estreitamente restrito; não conceda PassRole amplo.