AgentCore MemoryのFGACを実測 — Cedarでactor分離、permit合成の落とし穴はforbidで塞ぐ

• #クラウド
• #インフラ
• #セキュリティ

AIで作成し、掲載基準に基づいて自動選定した要約です。

• CedarポリシーエンジンでFGACを実装すると、permitはOR的に合成されるため、越境を塞ぐ条件はforbidのunlessに書く必要がある
• permitのwhen条件は他のpermitに影響せず、forbidのunlessで制約を強制する。Cedarの条件式でnamespaceとactorIdをJWTのclaimと比較する
• permitのwhen条件はOR合成されるため、他のpermitの影響を受ける。forbidのunlessで制約を明示的に書くことで越境を確実に塞げる