Anforderungen an die Servicerolle für automatische Aufträge zur Modellbewertung

Geben Sie eine Servicerolle an, um einen automatischen Auftrag zur Modellbewertung zu erstellen. Die von Ihnen beigefügte Richtlinie gewährt Amazon Bedrock Zugriff auf Ressourcen in Ihrem Konto und ermöglicht Amazon Bedrock, das ausgewählte Modell in Ihrem Namen aufzurufen.

Sie müssen auch eine Vertrauensrichtlinie beifügen, die Amazon Bedrock als den Service-Prinzipal definiert, der bedrock.amazonaws.com verwendet. Jedes der folgenden Richtlinienbeispiele zeigt Ihnen die genauen IAM Aktionen, die für jeden Dienst erforderlich sind, der in einem automatischen Modellevaluierungsjob aufgerufen wird.

Informationen zum Erstellen einer benutzerdefinierten Servicerolle finden Sie im IAMBenutzerhandbuch unter Erstellen einer Rolle, die eine benutzerdefinierte Vertrauensrichtlinie verwendet.

Erforderliche Amazon S3 IAM S3-Aktionen

Das folgende Richtlinienbeispiel gewährt Zugriff auf die S3-Buckets, in denen Ihre Ergebnisse zur Modellbewertung gespeichert sind, sowie (optional) Zugriff auf alle von Ihnen angegebenen benutzerdefinierten Prompt-Datensätze.

{
"Version": "2012-10-17",
"Statement": [
    {
        "Sid": "AllowAccessToCustomDatasets",
        "Effect": "Allow",
        "Action": [
            "s3:GetObject",
            "s3:ListBucket"
        ],
        "Resource": [
            "arn:aws:s3:::my_customdataset1_bucket",
            "arn:aws:s3:::my_customdataset1_bucket/myfolder",
            "arn:aws:s3:::my_customdataset2_bucket",
            "arn:aws:s3:::my_customdataset2_bucket/myfolder"
        ]
    },
    {
        "Sid": "AllowAccessToOutputBucket",
        "Effect": "Allow",
        "Action": [
            "s3:GetObject",
            "s3:ListBucket",
            "s3:PutObject",
            "s3:GetBucketLocation",
            "s3:AbortMultipartUpload",
            "s3:ListBucketMultipartUploads"
        ],
        "Resource": [
            "arn:aws:s3:::my_output_bucket",
            "arn:aws:s3:::my_output_bucket/myfolder"
        ]
    }
]
}

Erforderliche Amazon Bedrock-Aktionen IAM

Sie müssen auch eine Richtlinie erstellen, mit der Amazon Bedrock das Modell aufrufen kann, das Sie im automatischen Auftrag zur Modellbewertung angeben möchten. Weitere Informationen zur Verwaltung des Zugriffs auf Amazon-Bedrock-Modelle finden Sie unter Greifen Sie auf Amazon Bedrock Foundation-Modelle zu.

{
"Version": "2012-10-17",
"Statement": [
    {
        "Sid": "AllowSpecificModels",
        "Effect": "Allow",
        "Action": [
            "bedrock:InvokeModel",
            "bedrock:InvokeModelWithResponseStream",
            "bedrock:CreateModelInvocationJob",
            "bedrock:StopModelInvocationJob",
            "bedrock:GetProvisionedModelThroughput",
            "bedrock:GetInferenceProfile",
            "bedrock:ListInferenceProfiles"

        ],
        "Resource": [
            "arn:aws:bedrock:region::foundation-model/*",
            "arn:aws:bedrock:region:111122223333:inference-profile/*",
            "arn:aws:bedrock:region:111122223333:provisioned-model/*"
        ]
    }
]
}

Anforderungen an den Service-Prinzipal

Sie müssen auch eine Vertrauensrichtlinie angeben, die Amazon Bedrock als Service-Prinzipal definiert. Dadurch kann Amazon Bedrock die Rolle übernehmen. Der Modellevaluierungsauftrag mit Platzhalter (*) ARN ist erforderlich, damit Amazon Bedrock Modellevaluierungsaufträge in Ihrem AWS Konto erstellen kann.

{
"Version": "2012-10-17",
"Statement": [{
    "Sid": "AllowBedrockToAssumeRole",
    "Effect": "Allow",
    "Principal": {
        "Service": "bedrock.amazonaws.com"
    },
    "Action": "sts:AssumeRole",
    "Condition": {
        "StringEquals": {
            "aws:SourceAccount": "111122223333"
        },
        "ArnEquals": {
            "aws:SourceArn": "arn:aws:bedrock:AWS-Region:111122223333:evaluation-job/*"
        }
    }
}]
}