Strands Agentsのツール認可をCedarポリシーで書いてみた

uv add "strands-agents[cedar]==1.46.0"

from strands import Agent, tool
from strands.models import BedrockModel
from strands.vended_interventions.cedar import CedarAuthorization

@tool
def search(query: str) -> str:
    """情報を検索する"""
    print(f"\n[search] query={query!r}")
    return f"検索結果: {query} に関するレコードが3件見つかりました（ID: 40, 41, 42）"

@tool
def delete_record(record_id: str) -> str:
    """指定IDのレコードを削除する"""
    print(f"\n[delete_record] record_id={record_id!r}")
    return f"レコード {record_id} を削除しました"

cedar = CedarAuthorization(
    policies='permit(principal, action == Action::"search", resource);',
)

model = BedrockModel(model_id="us.anthropic.claude-haiku-4-5-20251001-v1:0")

agent = Agent(
    model=model,
    tools=[search, delete_record],
    interventions=[cedar],
    system_prompt="ユーザーに確認を求めず、自律的に判断してタスクを完了してください。",
)

agent("四半期レポートを検索して、見つかったレコード42を削除してください")

uv run python cedar1_basic.py

四半期レポートを検索してから、見つかったレコード42を削除します。
Tool #1: search

Tool #2: delete_record

[search] query='四半期レポート'
検索結果と削除結果をお知らせします：

検索結果：
四半期レポートに関するレコードが3件見つかりました（ID: 40, 41, 42）

削除結果：
申し訳ありませんが、レコード42の削除に失敗しました。Cedarポリシーによってアクセスが拒否されました。このレコードを削除するための権限がない可能性があります。

from strands import Agent, tool
from strands.models import BedrockModel
from strands.vended_interventions.cedar import CedarAuthorization

@tool
def search(query: str) -> str:
    """情報を検索する"""
    print(f"\n[search] query={query!r}")
    return f"検索結果: {query} に関するレコードが見つかりました"

@tool
def delete_record(record_id: str) -> str:
    """指定IDのレコードを削除する"""
    print(f"\n[delete_record] record_id={record_id!r}")
    return f"レコード {record_id} を削除しました"

model = BedrockModel(model_id="us.anthropic.claude-haiku-4-5-20251001-v1:0")

def make_agent():
    cedar = CedarAuthorization(
        policies="""
            permit(principal, action, resource)
            when { context.session.role == "admin" };

            permit(principal, action == Action::"search", resource)
            when { context.session.role == "analyst" };
        """,
        principal_resolver=lambda state: (
            {"type": "User", "id": state["user_id"]}
            if state.get("user_id")
            else None
        ),
        context_enricher=lambda ctx: {
            "role": ctx["invocation_state"].get("role", "none"),
        },
        on_error="deny",
    )
    return Agent(
        model=model,
        tools=[search, delete_record],
        interventions=[cedar],
        system_prompt="ユーザーに確認を求めず、自律的に判断してタスクを完了してください。",
    )

print("=== adminのalice: 削除できる ===")
make_agent()("レコード42を削除してください", invocation_state={"user_id": "alice", "role": "admin"})

print("\n=== analystのbob: 削除できない ===")
make_agent()("レコード42を削除してください", invocation_state={"user_id": "bob", "role": "analyst"})

uv run python cedar2_rbac.py

=== adminのalice: 削除できる ===
レコード42を削除します。
Tool #1: delete_record

[delete_record] record_id='42'
レコード42を削除いたしました。
=== analystのbob: 削除できない ===
レコード42を削除します。
Tool #1: delete_record
申し訳ございません。レコード42を削除することができませんでした。Cedar ポリシーによってアクセスが拒否されました。

削除権限がない可能性があります。管理者に相談いただくか、削除権限の確認をお願いします。

from strands import Agent, tool
from strands.models import BedrockModel
from strands.vended_interventions.cedar import CedarAuthorization

@tool
def send_email(to: str, subject: str, body: str) -> str:
    """メールを送信する"""
    print(f"\n[send_email] to={to}")
    return f"{to} にメールを送信しました"

cedar = CedarAuthorization(
    policies="""
        permit(principal, action == Action::"send_email", resource)
        when { context.session.call_count < 3 };
    """,
)

model = BedrockModel(model_id="us.anthropic.claude-haiku-4-5-20251001-v1:0")

agent = Agent(
    model=model,
    tools=[send_email],
    interventions=[cedar],
    system_prompt="ユーザーに確認を求めず、自律的に判断してタスクを完了してください。",
)

agent(
    "a@example.com、b@example.com、c@example.com の3人に「明日の勉強会は10時開始です」というメールをそれぞれ送ってください"
)

uv run python cedar3_ratelimit.py

3人の方にメールを送信します。
Tool #1: send_email

Tool #2: send_email

Tool #3: send_email

[send_email] to=a@example.com

[send_email] to=b@example.com
申し訳ございません。以下の結果となりました：

✅ a@example.com - メール送信完了
✅ b@example.com - メール送信完了  
❌ c@example.com - メール送信失敗（アクセス権限エラー）

c@example.com へのメール送信がセキュリティポリシーにより拒否されてしまいました。

from strands.vended_interventions.cedar import CedarAuthorization

search_def = {
    "name": "search",
    "inputSchema": {"type": "object", "properties": {"query": {"type": "string"}}},
}

# searchをserchとタイポしたポリシー
CedarAuthorization(
    policies='permit(principal, action == Action::"serch", resource);',
    tools=[search_def],
)

ValueError: Cedar policy validation failed: policy0: for policy `policy0`, unrecognized action `Action::"serch"`, policy0: for policy `policy0`, unable to find an applicable action given the policy scope constraints

permit(principal, action == Action::"search", resource);

import os

from strands import Agent, tool
from strands.models import BedrockModel
from strands.vended_interventions.cedar import CedarAuthorization

POLICY_PATH = "./policies/agent.cedar"

@tool
def search(query: str) -> str:
    """情報を検索する"""
    print(f"\n[search] query={query!r}")
    return f"検索結果: {query} に関するレコードが3件見つかりました"

@tool
def delete_record(record_id: str) -> str:
    """指定IDのレコードを削除する"""
    print(f"\n[delete_record] record_id={record_id!r}")
    return f"レコード {record_id} を削除しました"

model = BedrockModel(model_id="us.anthropic.claude-haiku-4-5-20251001-v1:0")

cedar = CedarAuthorization(policies=POLICY_PATH)

agent = Agent(
    model=model,
    tools=[search, delete_record],
    interventions=[cedar],
    system_prompt="ユーザーに確認を求めず、自律的に判断してタスクを完了してください。",
)

# --- Phase 1: searchのみ許可 ---
agent("四半期レポートを検索して、見つかったレコード42を削除してください")

# --- Phase 2: ポリシーファイルを書き換えて reload() ---
with open(POLICY_PATH, "w") as f:
    f.write('permit(principal, action == Action::"search", resource);\n')
    f.write('permit(principal, action == Action::"delete_record", resource);\n')

cedar.reload()

agent("レコード42を削除してください")

=== Phase 1: searchのみ許可、delete_recordはブロック ===
四半期レポートを検索し、見つかったレコード42を削除します。
Tool #1: search
Tool #2: delete_record
[search] query='四半期レポート'
申し訳ございませんが、レコード42の削除処理でエラーが発生しました。
- 検索: 「四半期レポート」に関するレコードが3件見つかりました
- 削除: アクセス拒否エラーが発生しました（Cedar ポリシーによるアクセス制限）

=== Phase 2: reload()後、delete_recordも通るはず ===
レコード42を削除いたします。
Tool #3: delete_record
[delete_record] record_id='42'
レコード42を削除いたしました。処理が完了しました。

import tempfile

import boto3
from strands import Agent, tool
from strands.models import BedrockModel
from strands.vended_interventions.cedar import CedarAuthorization

BUCKET = "cedar-policy-test-jinno-20260720"
KEY = "policies/agent.cedar"

@tool
def search(query: str) -> str:
    """情報を検索する"""
    print(f"\n[search] query={query!r}")
    return f"検索結果: {query} に関するレコードが3件見つかりました"

@tool
def delete_record(record_id: str) -> str:
    """指定IDのレコードを削除する"""
    print(f"\n[delete_record] record_id={record_id!r}")
    return f"レコード {record_id} を削除しました"

s3 = boto3.client("s3")
with tempfile.NamedTemporaryFile(suffix=".cedar", delete=False, mode="w") as f:
    local_path = f.name

# --- Phase 1: searchのみ許可 ---
policy_v1 = 'permit(principal, action == Action::"search", resource);'
s3.put_object(Bucket=BUCKET, Key=KEY, Body=policy_v1.encode())
s3.download_file(BUCKET, KEY, local_path)

cedar = CedarAuthorization(policies=local_path)
model = BedrockModel(model_id="us.anthropic.claude-haiku-4-5-20251001-v1:0")

agent = Agent(
    model=model,
    tools=[search, delete_record],
    interventions=[cedar],
    system_prompt="ユーザーに確認を求めず、自律的に判断してタスクを完了してください。",
)

agent("レコード42を削除してください")

# --- Phase 2: S3上のポリシーを更新 → ダウンロード → reload() ---
policy_v2 = """
permit(principal, action == Action::"search", resource);
permit(principal, action == Action::"delete_record", resource);
"""
s3.put_object(Bucket=BUCKET, Key=KEY, Body=policy_v2.encode())
s3.download_file(BUCKET, KEY, local_path)

cedar.reload()

agent("レコード42を削除してください")

=== Phase 1: delete_recordはブロックされるはず ===
レコード42を削除いたします。
Tool #1: delete_record
申し訳ございません。レコード42の削除に失敗しました。
エラー内容: Cedar ポリシーによるアクセス拒否

[Phase 2] ポリシー更新: delete_recordも許可に変更
[Phase 2] reload() 完了

=== Phase 2: delete_recordも通るはず ===
レコード42を削除いたします。
Tool #2: delete_record
[delete_record] record_id='42'
完了いたしました。レコード42を削除しました。

const cedar = new CedarAuthorization({
  policies: `permit(principal, action == OrderAgent::Action::"search", resource);`,
  namespace: "OrderAgent",
});