View a markdown version of this page

Verschlüsselung benutzerdefinierter Modelle - Amazon Bedrock
Wie Amazon Bedrock Zuschüsse verwendet in AWS KMSErfahren Sie, wie Sie einen kundenseitig verwalteten Schlüssel erstellen und ihm eine Schlüsselrichtlinie zuordnenBerechtigungen und Schlüsselrichtlinien für benutzerdefinierte und kopierte ModelleIhre Verschlüsselungsschlüssel für den Amazon-Bedrock-Service überwachenVerschlüsselung von Trainings-, Validierungs- und Ausgabedaten

Die vorliegende Übersetzung wurde maschinell erstellt. Im Falle eines Konflikts oder eines Widerspruchs zwischen dieser übersetzten Fassung und der englischen Fassung (einschließlich infolge von Verzögerungen bei der Übersetzung) ist die englische Fassung maßgeblich.

Verschlüsselung benutzerdefinierter Modelle

Amazon Bedrock verwendet Ihre Trainingsdaten zusammen mit der CreateModelCustomizationJob Aktion oder mit der Konsole, um ein benutzerdefiniertes Modell zu erstellen, das eine fein abgestimmte Version eines Amazon Bedrock-Grundmodells ist. Ihre benutzerdefinierten Modelle werden von verwaltet und gespeichert. AWS

Amazon Bedrock verwendet die von Ihnen bereitgestellten Feinabstimmungsdaten nur für die Optimierung eines Amazon-Bedrock-Basismodells. Amazon Bedrock verwendet Feinabstimmungsdaten nicht für andere Zwecke. Ihre Trainingsdaten werden nicht zum Trainieren der Titan-Basismodelle verwendet oder an Dritte weitergegeben. Andere Nutzungsdaten, wie Nutzungszeitstempel, protokollierte Konto-IDs und andere vom Service protokollierte Informationen, werden ebenfalls nicht zum Trainieren der Modelle verwendet.

Keine der Trainings- oder Validierungsdaten, die Sie für die Feinabstimmung angeben, wird nach Abschluss der Feinabstimmung von Amazon Bedrock gespeichert.

Beachten Sie, dass optimierte Modellen einige der Feinabstimmungsdaten wiedergeben können, während sie Abschlüsse generieren. Wenn Ihre App Feinabstimmungsdaten in keinerlei Form offenlegen sollte, empfiehlt es sich, vertrauliche Daten zuerst aus Ihren Trainingsdaten herausfiltern. Wenn Sie bereits versehentlich ein benutzerdefiniertes Modell mit vertraulichen Daten erstellt haben, können Sie dieses benutzerdefinierte Modell löschen, vertrauliche Informationen aus den Trainingsdaten herausfiltern und dann ein neues Modell erstellen.

Für die Verschlüsselung benutzerdefinierter Modelle (einschließlich kopierter Modelle) bietet Ihnen Amazon Bedrock zwei Optionen:

  1. AWS-eigene Schlüssel— Standardmäßig verschlüsselt Amazon Bedrock benutzerdefinierte Modelle mit. AWS-eigene Schlüssel Sie können ihre Verwendung nicht einsehen, verwalten oder verwenden AWS-eigene Schlüssel oder überprüfen. Sie müssen jedoch keine Maßnahmen ergreifen oder Programme zum Schutz der Schlüssel ändern, die zur Verschlüsselung Ihrer Daten verwendet werden. Weitere Informationen finden Sie unter AWS-eigene Schlüssel im AWS Key Management Service -Entwicklerhandbuch.

  2. Kundenseitig verwaltete Schlüssel: Sie haben die Möglichkeit, benutzerdefinierte Modelle mit kundenseitig verwalteten Schlüsseln zu verschlüsseln, die Sie selbst verwalten. Weitere Informationen dazu finden Sie AWS KMS keys unter Vom Kunden verwaltete Schlüssel im AWS Key Management Service Entwicklerhandbuch.

Anmerkung

Amazon Bedrock aktiviert automatisch und kostenlos die Verschlüsselung AWS-eigene Schlüssel im Ruhezustand. Wenn Sie einen vom Kunden verwalteten Schlüssel verwenden, AWS KMS fallen Gebühren an. Weitere Informationen zur Preisgestaltung finden Sie unter AWS Key Management Service  – Preise.

Weitere Informationen AWS KMS dazu finden Sie im AWS Key Management Service Entwicklerhandbuch.

Wie Amazon Bedrock Zuschüsse verwendet in AWS KMS

Wenn Sie einen vom Kunden verwalteten Schlüssel angeben, um ein benutzerdefiniertes Modell für eine Modellanpassung oder einen Modellkopierauftrag zu verschlüsseln, erstellt Amazon Bedrock in Ihrem Namen einen primären KMS-Zuschuss, der dem benutzerdefinierten Modell zugeordnet ist, indem Sie eine CreateGrant Anfrage an senden. AWS KMS Diese Erteilung ermöglicht Amazon Bedrock den Zugriff auf Ihren kundenseitig verwalteten Schlüssel und dessen Verwendung. Grants in AWS KMS werden verwendet, um Amazon Bedrock Zugriff auf einen KMS-Schlüssel im Konto eines Kunden zu gewähren.

Amazon Bedrock benötigt die primäre Erteilung, um Ihren kundenseitig verwalteten Schlüssel für die folgenden internen Vorgänge zu verwenden:

  • Senden Sie DescribeKey Anfragen an, um AWS KMS zu überprüfen, ob die symmetrische, vom Kunden verwaltete KMS-Schlüssel-ID, die Sie bei der Erstellung des Jobs eingegeben haben, gültig ist.

  • Senden GenerateDataKey und entschlüsseln Sie Anfragen an, AWS KMS um mit Ihrem vom Kunden verwalteten Schlüssel verschlüsselte Datenschlüssel zu generieren und die verschlüsselten Datenschlüssel zu entschlüsseln, sodass sie zum Verschlüsseln der Modellartefakte verwendet werden können.

  • Senden Sie CreateGrant Anfragen an, AWS KMS um sekundäre Zuschüsse mit begrenztem Geltungsbereich mit einer Teilmenge der oben genannten Operationen (DescribeKey,, GenerateDataKeyDecrypt) für die asynchrone Ausführung von Modellanpassungen, Modellkopien oder der Erstellung des bereitgestellten Durchsatzes zu erstellen.

  • Amazon Bedrock gibt bei der Erstellung von Zuschüssen einen Principal an, der ausscheidet, sodass der Service eine Anfrage senden kann. RetireGrant

Sie haben vollen Zugriff auf Ihren vom Kunden verwalteten AWS KMS Schlüssel. Sie können den Zugriff auf die Erteilung jederzeit widerrufen, indem Sie die Schritte unter Zurückziehen und Widerrufen von Erteilungen im Entwicklerhandbuch zu AWS Key Management Service befolgen, oder den Zugriff des Dienstes auf Ihren kundenseitig verwalteten Schlüssel entfernen, indem Sie die Schlüsselrichtlinie ändern. Dadurch kann Amazon Bedrock nicht mehr auf das mit Ihrem Schlüssel verschlüsselte benutzerdefinierte Modell zugreifen.

Lebenszyklus von primären und sekundären Erteilungen für benutzerdefinierte Modelle

  • Primäre Erteilungen haben eine lange Laufzeit und bleiben aktiv, solange die zugehörigen benutzerdefinierten Modelle noch verwendet werden. Wenn ein benutzerdefiniertes Modell gelöscht wird, wird die entsprechende primäre Erteilung automatisch zurückgezogen.

  • Sekundäre Erteilungen sind kurzlebig. Sie werden automatisch zurückgezogen, sobald der Vorgang, den Amazon Bedrock im Namen der Kunden durchführt, abgeschlossen ist. Beispielsweise wird nach Abschluss eines Modellkopierauftrags der sekundäre Zuschuss, der es Amazon Bedrock ermöglichte, das kopierte benutzerdefinierte Modell zu verschlüsseln, sofort eingestellt.

Erfahren Sie, wie Sie einen kundenseitig verwalteten Schlüssel erstellen und ihm eine Schlüsselrichtlinie zuordnen

Um eine AWS Ressource mit einem Schlüssel zu verschlüsseln, den Sie erstellen und verwalten, führen Sie die folgenden allgemeinen Schritte aus:

  1. (Voraussetzung) Stellen Sie sicher, dass Ihre IAM-Rolle über die Berechtigungen für die CreateKey Aktion verfügt.

  2. Folgen Sie den Schritten unter Schlüssel erstellen, um mithilfe der AWS KMS Konsole oder des CreateKey Vorgangs einen vom Kunden verwalteten Schlüssel zu erstellen.

  3. Beim Erstellen des Schlüssels wird für diesen ein Arn zurückgegeben, den Sie für Vorgänge verwenden können, die die Verwendung des Schlüssels erfordern (z. B. beim Senden eines Auftrags zur Modellanpassung oder beim Ausführen einer Modellinferenz).

  4. Erstellen Sie eine Schlüsselrichtlinie und ordnen Sie sie zusammen mit den erforderlichen Berechtigungen dem Schlüssel zu. Um eine wichtige Richtlinie zu erstellen, folgen Sie den Schritten unter Erstellen einer wichtigen Richtlinie im AWS Key Management Service Entwicklerhandbuch.

Berechtigungen und Schlüsselrichtlinien für benutzerdefinierte und kopierte Modelle

Nachdem Sie einen KMS-Schlüssel erstellt haben, ordnen Sie ihm eine Schlüsselrichtlinie zu. Bei Schlüsselrichtlinien handelt es sich um ressourcenbasierte Richtlinien, die Sie Ihrem kundenseitig verwalteten Schlüssel zuordnen, um den Zugriff darauf zu kontrollieren. Jeder kundenseitig verwaltete Schlüssel muss über genau eine Schlüsselrichtlinie verfügen, die aussagt, wer den Schlüssel wie verwenden kann. Wenn Sie Ihren kundenseitig verwalteten Schlüssel erstellen, können Sie eine Schlüsselrichtlinie angeben. Sie können die Schlüsselrichtlinie jederzeit ändern, es kann jedoch eine Weile dauern, bis die Änderung in allen Bereichen von AWS KMS verfügbar wird. Weitere Informationen finden Sie unter Verwalten des Zugriffs auf kundenseitig verwaltete Schlüssel im Entwicklerhandbuch zum AWS Key Management Service.

Die folgenden KMS-Aktionen werden für Schlüssel verwendet, die benutzerdefinierte und kopierte Modelle verschlüsseln:

  1. kms: CreateGrant — Erzeugt einen Zuschuss für einen vom Kunden verwalteten Schlüssel, indem dem Amazon Bedrock-Serviceprinzipal im Rahmen von Gewährungsvorgängen Zugriff auf den angegebenen KMS-Schlüssel gewährt wird. Weitere Informationen zu Erteilungen finden Sie unter Erteilungen in AWS KMS im Entwicklerhandbuch zu AWS Key Management Service.

    Anmerkung

    Amazon Bedrock richtet außerdem einen Prinzipal für Außerbetriebnahmen ein und zieht die Erteilung automatisch zurück, wenn sie nicht mehr benötigt wird.

  2. kms: DescribeKey — Stellt die vom Kunden verwalteten Schlüsseldetails bereit, damit Amazon Bedrock den Schlüssel validieren kann.

  3. kms: GenerateDataKey — Stellt die vom Kunden verwalteten Schlüsseldetails bereit, damit Amazon Bedrock den Benutzerzugriff validieren kann. Amazon Bedrock speichert generierten Geheimtext zusammen mit dem benutzerdefinierten Modell, um ihn als zusätzliche Validierungsprüfung für Benutzer des benutzerdefinierten Modells zu verwenden.

  4. kms:Decrypt: Entschlüsselt den gespeicherten Geheimtext, um zu überprüfen, ob die Rolle ordnungsgemäßen Zugriff auf den KMS-Schlüssel hat, der das benutzerdefinierte Modell verschlüsselt.

Aus Sicherheitsgründen empfehlen wir, den ViaService Bedingungsschlüssel kms: beizufügen, um den Zugriff auf den Schlüssel zum Amazon Bedrock-Service einzuschränken.

Sie können einem Schlüssel zwar nur eine Schlüsselrichtlinie zuordnen, Sie können jedoch mehrere Anweisungen an die Schlüsselrichtlinie anhängen, indem Sie der Liste im Feld Statement der Richtlinie Anweisungen hinzufügen.

Die folgenden Anweisungen sind für die Verschlüsselung von benutzerdefinierten und kopierten Modellen relevant:

Wenn Sie Ihren kundenseitig verwalteten Schlüssel zum Verschlüsseln eines benutzerdefinierten oder kopierten Modells verwenden möchten, nehmen Sie die folgende Anweisung in eine Schlüsselrichtlinie auf, um die Verschlüsselung eines Modells zu ermöglichen. Fügen Sie im Feld Principal Konten, denen Sie das Ver- und Entschlüsseln des Schlüssels erlauben möchten, zu der Liste hinzu, der das AWS-Unterfeld zugeordnet ist. Wenn Sie den kms:ViaService Bedingungsschlüssel verwenden, können Sie für jede Region eine Zeile hinzufügen oder ihn anstelle von verwenden*, ${region} um alle Regionen zuzulassen, die Amazon Bedrock unterstützen.

{
    "Sid": "PermissionsEncryptDecryptModel",
    "Effect": "Allow",
    "Principal": {
        "AWS": [
            "arn:aws:iam::${account-id}:role/${role}"
        ]
    },
    "Action": [
        "kms:Decrypt",
        "kms:GenerateDataKey",
        "kms:DescribeKey",
        "kms:CreateGrant"
    ],
    "Resource": "*",
    "Condition": {
        "StringLike": {
            "kms:ViaService": [
                "bedrock.${region}.amazonaws.com"
            ] 
        }
    }
}

Um den Zugriff auf ein Modell zu ermöglichen, das mit einem KMS-Schlüssel verschlüsselt wurde, nehmen Sie die folgende Anweisung in eine Schlüsselrichtlinie auf, um die Entschlüsselung des Schlüssels zu ermöglichen. Fügen Sie im Feld Principal Konten, denen Sie das Entschlüsseln des Schlüssels erlauben möchten, zu der Liste hinzu, der das AWS-Unterfeld zugeordnet ist. Wenn Sie den kms:ViaService Bedingungsschlüssel verwenden, können Sie für jede Region eine Zeile hinzufügen oder ihn anstelle von verwenden*, ${region} um alle Regionen zuzulassen, die Amazon Bedrock unterstützen.

{
    "Sid": "PermissionsDecryptModel",
    "Effect": "Allow",
    "Principal": {
        "AWS": [
            "arn:aws:iam::${account-id}:role/${role}"
        ]
    },
    "Action": [
        "kms:Decrypt"
    ],
    "Resource": "*",
    "Condition": {
        "StringLike": {
            "kms:ViaService": [
                "bedrock.${region}.amazonaws.com"
            ] 
        }
    }
}

Um mehr über die Schlüsselrichtlinien zu erfahren, die Sie erstellen müssen, erweitern Sie den Abschnitt, der Ihrem Anwendungsfall entspricht:

Wenn Sie vorhaben, ein Modell zu verschlüsseln, das Sie mit einem KMS-Schlüssel anpassen, hängt die Schlüsselrichtlinie für den Schlüssel von Ihrem Anwendungsfall ab. Erweitern Sie den Abschnitt, der Ihrem Anwendungsfall entspricht:

Wenn die Rollen, die das benutzerdefinierte Modell aufrufen, dieselben sind wie die Rollen, mit denen das Modell angepasst wird, benötigen Sie nur die Anweisung von Ein Modell verschlüsseln. Fügen Sie im Feld Principal der folgenden Richtlinienvorlage Konten, denen Sie das Anpassen und Aufrufen des benutzerdefinierten Modells erlauben möchten, zu der Liste hinzu, der das AWS-Unterfeld zugeordnet ist.

JSON
{
    "Version":"2012-10-17",
    "Id": "PermissionsCustomModelKey",
    "Statement": [
        {
            "Sid": "PermissionsEncryptCustomModel",
            "Effect": "Allow",
            "Principal": {
                "AWS": [
                    "arn:aws:iam::111122223333:role/Role"
                ]
            },
            "Action": [
                "kms:Decrypt",
                "kms:GenerateDataKey",
                "kms:DescribeKey",
                "kms:CreateGrant"
            ],
            "Resource": "*",
            "Condition": {
                "StringLike": {
                    "kms:ViaService": [
                        "bedrock.us-east-1.amazonaws.com"
                    ]
                }
            }
        }
    ]
}

Wenn sich die Rollen, die das benutzerdefinierte Modell aufrufen, von der Rolle unterscheiden, mit der das Modell angepasst wird, benötigen Sie sowohl die Anweisung von Ein Modell verschlüsseln als auch von Zugriff auf ein verschlüsseltes Modell gewähren. Ändern Sie die Anweisungen in der folgenden Richtlinienvorlage wie folgt:

  1. Die erste Anweisung ermöglicht die Ver- und Entschlüsselung des Schlüssels. Fügen Sie im Feld Principal Konten, denen Sie das Anpassen des benutzerdefinierten Modells erlauben möchten, zu der Liste hinzu, der das AWS-Unterfeld zugeordnet ist.

  2. Die zweite Anweisung erlaubt nur die Entschlüsselung des Schlüssels. Fügen Sie im Feld Principal Konten, denen Sie nur das Aufrufen des benutzerdefinierten Modells erlauben möchten, zu der Liste hinzu, der das AWS-Unterfeld zugeordnet ist.

JSON
{
    "Version":"2012-10-17",
    "Id": "PermissionsCustomModelKey",
    "Statement": [
        {
            "Sid": "PermissionsEncryptCustomModel",
            "Effect": "Allow",
            "Principal": {
                "AWS": [
                    "arn:aws:iam::111122223333:role/Role"
                ]
            },
            "Action": [
                "kms:Decrypt",
                "kms:GenerateDataKey",
                "kms:DescribeKey",
                "kms:CreateGrant"
            ],
            "Resource": "*",
            "Condition": {
                "StringLike": {
                    "kms:ViaService": [
                        "bedrock.us-east-1.amazonaws.com"
                    ]
                }
            }
        },
        {
            "Sid": "PermissionsDecryptModel",
            "Effect": "Allow",
            "Principal": {
                "AWS": [
                    "arn:aws:iam::111122223333:role/Role"
                ]
            },
            "Action": [
                "kms:Decrypt"
            ],
            "Resource": "*",
            "Condition": {
                "StringLike": {
                    "kms:ViaService": [
                        "bedrock.us-east-1.amazonaws.com"
                    ]
                }
            }
        }
    ]
}

Wenn Sie ein Modell kopieren, das Ihnen gehört oder mit Ihnen geteilt wurde, müssen Sie möglicherweise bis zu zwei Schlüsselrichtlinien verwalten:

Wenn Sie vorhaben, ein kopiertes Modell mit einem KMS-Schlüssel zu verschlüsseln, hängt die Schlüsselrichtlinie für den Schlüssel von Ihrem Anwendungsfall ab. Erweitern Sie den Abschnitt, der Ihrem Anwendungsfall entspricht:

Wenn die Rollen, die das kopierte Modell aufrufen, dieselben sind wie die Rollen, mit denen die Modellkopie erstellt wird, benötigen Sie nur die Anweisung von Ein Modell verschlüsseln. Fügen Sie im Feld Principal der folgenden Richtlinienvorlage Konten, denen Sie das Kopieren und Aufrufen des kopierten Modells erlauben möchten, zu der Liste hinzu, der das AWS-Unterfeld zugeordnet ist:

JSON
{
    "Version":"2012-10-17",
    "Id": "PermissionsCopiedModelKey",
    "Statement": [
        {
            "Sid": "PermissionsEncryptCopiedModel",
            "Effect": "Allow",
            "Principal": {
                "AWS": [
                    "arn:aws:iam::111122223333:role/Role"
                ]
            },
            "Action": [
                "kms:Decrypt",
                "kms:GenerateDataKey",
                "kms:DescribeKey",
                "kms:CreateGrant"
            ],
            "Resource": "*",
            "Condition": {
                "StringLike": {
                    "kms:ViaService": [
                        "bedrock.us-east-1.amazonaws.com"
                    ]
                }
            }
        }
    ]
}

Wenn sich die Rollen, die das kopierte Modell aufrufen, von der Rolle unterscheiden, mit der die Modellkopie erstellt wird, benötigen Sie sowohl die Anweisung von Ein Modell verschlüsseln als auch von Zugriff auf ein verschlüsseltes Modell gewähren. Ändern Sie die Anweisungen in der folgenden Richtlinienvorlage wie folgt:

  1. Die erste Anweisung ermöglicht die Ver- und Entschlüsselung des Schlüssels. Fügen Sie im Feld Principal Konten, denen Sie das Erstellen des kopierten Modells erlauben möchten, zu der Liste hinzu, der das AWS-Unterfeld zugeordnet ist.

  2. Die zweite Anweisung erlaubt nur die Entschlüsselung des Schlüssels. Fügen Sie im Feld Principal Konten, denen Sie nur das Aufrufen des kopierten Modells erlauben möchten, zu der Liste hinzu, der das AWS-Unterfeld zugeordnet ist.

JSON
{
    "Version":"2012-10-17",
    "Id": "PermissionsCopiedModelKey",
    "Statement": [
        {
            "Sid": "PermissionsEncryptCopiedModel",
            "Effect": "Allow",
            "Principal": {
                "AWS": [
                    "arn:aws:iam::111122223333:role/Role"
                ]
            },
            "Action": [
                "kms:Decrypt",
                "kms:GenerateDataKey",
                "kms:DescribeKey",
                "kms:CreateGrant"
            ],
            "Resource": "*",
            "Condition": {
                "StringLike": {
                    "kms:ViaService": [
                        "bedrock.us-east-1.amazonaws.com"
                    ]
                }
            }
        },
        {
            "Sid": "PermissionsDecryptCopiedModel",
            "Effect": "Allow",
            "Principal": {
                "AWS": [
                    "arn:aws:iam::111122223333:role/Role"
                ]
            },
            "Action": [
                "kms:Decrypt"
            ],
            "Resource": "*",
            "Condition": {
                "StringLike": {
                    "kms:ViaService": [
                        "bedrock.us-east-1.amazonaws.com"
                    ]
                }
            }
        }
    ]
}

Wenn das Quellmodell, das Sie kopieren möchten, mit einem KMS-Schlüssel verschlüsselt ist, fügen Sie die Anweisung von Zugriff auf ein verschlüsseltes Modell gewähren an die Schlüsselrichtlinie für den Schlüssel an, der das Quellmodell verschlüsselt. Diese Anweisung ermöglicht es der Modellkopie-Rolle, den Schlüssel zu entschlüsseln, mit dem das Quellmodell verschlüsselt ist. Fügen Sie im Feld Principal der folgenden Richtlinienvorlage Konten, denen Sie das Kopieren des Quellmodells erlauben möchten, zu der Liste hinzu, der das AWS-Unterfeld zugeordnet ist:

JSON
{
    "Version":"2012-10-17",
    "Id": "PermissionsSourceModelKey",
    "Statement": [
        {
            "Sid": "PermissionsDecryptModel",
            "Effect": "Allow",
            "Principal": {
                "AWS": [
                    "arn:aws:iam::111122223333:role/Role"
                ]
            },
            "Action": [
                "kms:Decrypt"
            ],
            "Resource": "*",
            "Condition": {
                "StringLike": {
                    "kms:ViaService": [
                        "bedrock.us-east-1.amazonaws.com"
                    ]
                }
            }
        }
    ]
}

Ihre Verschlüsselungsschlüssel für den Amazon-Bedrock-Service überwachen

Wenn Sie einen vom AWS KMS Kunden verwalteten Schlüssel für Ihre Amazon Bedrock-Ressourcen verwenden, können Sie Amazon CloudWatch Logs verwenden AWS CloudTrail, um Anfragen zu verfolgen, an die Amazon Bedrock sendet. AWS KMS

Im Folgenden finden Sie ein AWS CloudTrail Beispielereignis CreateGrant zur Überwachung von KMS-Vorgängen, das von Amazon Bedrock aufgerufen wurde, um einen primären Zuschuss zu gewähren:

{
    "eventVersion": "1.09",
    "userIdentity": {
        "type": "AssumedRole",
        "principalId": "AROAIGDTESTANDEXAMPLE:SampleUser01",
        "arn": "arn:aws:sts::111122223333:assumed-role/RoleForModelCopy/SampleUser01",
        "accountId": "111122223333",
        "accessKeyId": "EXAMPLE",
        "sessionContext": {
            "sessionIssuer": {
                "type": "Role",
                "principalId": "AROAIGDTESTANDEXAMPLE",
                "arn": "arn:aws:iam::111122223333:role/RoleForModelCopy",
                "accountId": "111122223333",
                "userName": "RoleForModelCopy"
            },
            "attributes": {
                "creationDate": "2024-05-07T21:46:28Z",
                "mfaAuthenticated": "false"
            }
        },
        "invokedBy": "bedrock.amazonaws.com"
    },
    "eventTime": "2024-05-07T21:49:44Z",
    "eventSource": "kms.amazonaws.com",
    "eventName": "CreateGrant",
    "awsRegion": "us-east-1",
    "sourceIPAddress": "bedrock.amazonaws.com",
    "userAgent": "bedrock.amazonaws.com",
    "requestParameters": {
        "granteePrincipal": "bedrock.amazonaws.com",
        "retiringPrincipal": "bedrock.amazonaws.com",
        "keyId": "arn:aws:kms:us-east-1:111122223333:key/1234abcd-12ab-34cd-56ef-123456SAMPLE",
        "operations": [
            "Decrypt",
            "CreateGrant",
            "GenerateDataKey",
            "DescribeKey"
        ]
    },
    "responseElements": {
        "grantId": "0ab0ac0d0b000f00ea00cc0a0e00fc00bce000c000f0000000c0bc0a0000aaafSAMPLE",
        "keyId": "arn:aws:kms:us-east-1:111122223333:key/1234abcd-12ab-34cd-56ef-123456SAMPLE"
    },
    "requestID": "ff000af-00eb-00ce-0e00-ea000fb0fba0SAMPLE",
    "eventID": "ff000af-00eb-00ce-0e00-ea000fb0fba0SAMPLE",
    "readOnly": false,
    "resources": [
        {
            "accountId": "111122223333",
            "type": "AWS::KMS::Key",
            "ARN": "arn:aws:kms:us-east-1:111122223333:key/1234abcd-12ab-34cd-56ef-123456SAMPLE"
        }
    ],
    "eventType": "AwsApiCall",
    "managementEvent": true,
    "recipientAccountId": "111122223333",
    "eventCategory": "Management"
}

Verschlüsselung von Trainings-, Validierungs- und Ausgabedaten

Wenn Sie Amazon Bedrock verwenden, um einen Modellanpassungsauftrag auszuführen, speichern Sie die Eingabedateien in Ihrem Amazon-S3-Bucket. Wenn der Auftrag abgeschlossen ist, speichert Amazon Bedrock die Ausgabe-Metrikdateien im S3-Bucket, den Sie bei der Erstellung des Jobs angegeben haben, und die daraus resultierenden Artefakte des benutzerdefinierten Modells in einem S3-Bucket, das von gesteuert wird. AWS

Die Ausgabedateien werden mit den Verschlüsselungskonfigurationen des S3-Buckets verschlüsselt. Diese werden entweder mit SSE-S3 serverseitiger Verschlüsselung oder mit AWS KMS SSE-KMS Verschlüsselung verschlüsselt, je nachdem, wie Sie den S3-Bucket einrichten.