Wenden Sie kontoübergreifende Schutzmaßnahmen mit den Durchsetzungsmaßnahmen von Amazon Bedrock Guardrails an

Planen Sie Ihre Leitplankenkonfiguration

1. Definieren Sie Ihre Schutzmaßnahmen:

   • Sehen Sie sich die verfügbaren Schutzschienenfilter in der Amazon Bedrock Guardrails-Dokumentation an

   • Identifizieren Sie, welchen Filter Sie benötigen. Derzeit werden Inhaltsfilter, abgelehnte Themen, Wortfilter, Filter für vertrauliche Informationen und kontextbezogene Erdungsprüfungen unterstützt.

   • Wichtig

     Schließen Sie die automatische Argumentationsrichtlinie nicht ein, da sie zur Durchsetzung von Leitplanken nicht unterstützt wird und zu Laufzeitausfällen führen kann.

2. Identifizieren Sie Zielkonten:

   • Legen Sie fest, für welche Organisationseinheiten, Konten oder für Ihr gesamtes Unternehmen diese Leitplanke durchgesetzt werden soll

Erstellen Sie Ihre Leitplanke im Verwaltungskonto

Erstellen Sie in jeder Region, in der Sie sie durchsetzen möchten, mit einer der folgenden Methoden eine Leitplanke:

• Verwenden Sie: AWS-Managementkonsole

  1. Melden Sie sich AWS-Managementkonsole mit einer IAM-Identität an, die berechtigt ist, die Amazon Bedrock-Konsole zu verwenden. Öffnen Sie dann die Amazon Bedrock-Konsole unter. https://console.aws.amazon.com/bedrock

  2. Wählen Sie im linken Navigationsbereich Guardrails aus

  3. Wählen Sie Leitplanke erstellen

  4. Folgen Sie dem Assistenten, um die gewünschten Filter oder Schutzmaßnahmen zu konfigurieren (Inhaltsfilter, abgelehnte Themen, Wortfilter, Filter für vertrauliche Informationen, kontextbezogene Erdungsüberprüfungen)

  5. Aktivieren Sie die Richtlinie für automatisiertes Denken nicht

  6. Beenden Sie den Assistenten, um Ihre Leitplanke zu erstellen

• Verwendung der API: Verwenden Sie die API CreateGuardrail

Verify

Sobald es erstellt wurde, solltest du es in der Liste der Leitplanken auf der Guardrails-Landingpage sehen oder in der Liste der Leitplanken anhand des Namens der Leitplanke danach suchen

Erstellen Sie eine Guardrail-Version

Erstellen Sie eine numerische Version, um sicherzustellen, dass die Guardrail-Konfiguration unveränderlich bleibt und nicht von Mitgliedskonten geändert werden kann.

• Verwenden Sie: AWS-Managementkonsole

  1. Wählen Sie auf der Seite „Guardrails“ in der Amazon Bedrock-Konsole die im vorherigen Schritt erstellte Leitplanke aus

  2. Wählen Sie Version erstellen

  3. Notieren Sie sich den Leitplanken-ARN und die Versionsnummer (z. B. „1", „2")

• Verwendung der API: Verwenden Sie die API CreateGuardrailVersion

Verify

Bestätigen Sie, dass die Version erfolgreich erstellt wurde, indem Sie die Liste der Versionen auf der Guardrail-Detailseite überprüfen.

Hängen Sie eine ressourcenbasierte Richtlinie an

Ermöglichen Sie den kontoübergreifenden Zugriff, indem Sie Ihrer Leitplanke eine ressourcenbasierte Richtlinie hinzufügen.

• Verwenden von AWS-Managementkonsole — So fügen Sie mithilfe der Konsole eine ressourcenbasierte Richtlinie hinzu:

  1. Wählen Sie in der Amazon Bedrock Guardrails-Konsole Ihre Leitplanke aus

  2. Wählen Sie Hinzufügen, um eine ressourcenbasierte Richtlinie hinzuzufügen

  3. Fügen Sie eine Richtlinie hinzu, die allen Mitgliedskonten oder Organisationen bedrock:ApplyGuardrail Berechtigungen gewährt. Weitere Informationen finden Sie unter Teilen Sie die Leitplanke mit Ihrer Organisation in Verwendung ressourcenbasierter Richtlinien für Leitplanken.

  4. Speichern Sie die Richtlinie

Verify

Testen Sie den Zugriff von einem Mitgliedskonto aus mithilfe der ApplyGuardrail API, um sicherzustellen, dass die Autorisierung korrekt konfiguriert ist.

Konfigurieren Sie IAM-Berechtigungen in Mitgliedskonten

Stellen Sie sicher, dass alle Rollen in Mitgliedskonten über IAM-Berechtigungen verfügen, um auf die durchgesetzte Leitplanke zuzugreifen.

Erforderliche Berechtigungen

Für die Rollen in Mitgliedskonten ist eine bedrock:ApplyGuardrail Genehmigung für die Leitplanke des Verwaltungskontos erforderlich. Detaillierte Beispiele So richten Sie Berechtigungen für die Nutzung von Integritätsschutz für Amazon Bedrock ein für IAM-Richtlinien finden Sie unter

Verify

Vergewissern Sie sich, dass Rollen mit eingeschränkten Berechtigungen in Mitgliedskonten die ApplyGuardrail API mit der Leitplanke erfolgreich aufrufen können.

Aktivieren Sie den Amazon Bedrock-Richtlinientyp in AWS Organizations

• Verwenden von AWS-Managementkonsole — Um den Amazon Bedrock-Richtlinientyp mithilfe der Konsole zu aktivieren:

  1. Navigieren Sie zur Konsole AWS Organizations

  2. Wählen Sie Richtlinien

  3. Wählen Sie die Richtlinien von Amazon Bedrock

  4. Wählen Sie Amazon Bedrock-Richtlinien aktivieren, um den Amazon Bedrock-Richtlinientyp für Ihre Organisation zu aktivieren

• Verwendung der API — Verwenden Sie die AWS Organizations EnablePolicyType API mit dem Richtlinientyp BEDROCK_POLICY

Verify

Vergewissern Sie sich, dass der Amazon Bedrock-Richtlinientyp in der AWS Organizations Konsole als aktiviert angezeigt wird.

Erstellen und hängen Sie eine an AWS Organizations policy

Erstellen Sie eine Verwaltungsrichtlinie, die Ihre Leitplanke festlegt, und fügen Sie sie Ihren Zielkonten oder Organisationseinheiten hinzu.

• Verwenden von AWS-Managementkonsole — Um eine AWS Organizations Richtlinie mithilfe der Konsole zu erstellen und anzuhängen:

  1. Navigieren Sie in der AWS Organizations Konsole zu Richtlinien > Amazon Bedrock-Richtlinien

  2. Wählen Sie Richtlinie erstellen aus

  3. Geben Sie Ihren Guardrail-ARN und Ihre Version an

     Wichtig

     Vergewissern Sie sich, dass Sie in der Richtlinie den genauen ARN der Leitplanke angeben. Die Angabe eines falschen oder ungültigen ARN führt zu Verstößen gegen die Richtlinien, zur Nichtdurchsetzung von Schutzmaßnahmen und zur Unfähigkeit, die Modelle in Amazon Bedrock für Rückschlüsse zu verwenden.

  4. Konfigurieren Sie selektive Kontrollen zum Schutz von Inhalten (optional).

     • Die Amazon Bedrock-APIs ermöglichen es Anrufern, bestimmte Inhalte in ihren Eingabeaufforderungen zu kennzeichnen, um die Leitplanken zu evaluieren.

     • Mithilfe selektiver Kontrollen zur Inhaltsüberwachung können Administratoren entscheiden, ob sie die von API-Aufrufern getroffenen Tagging-Entscheidungen berücksichtigen.

     • Die system und messages -Steuerelemente bestimmen, wie Systemaufforderungen und Nachrichteninhalte von Guardrails verarbeitet werden. Jeder akzeptiert einen der folgenden Werte:

       • Selektiv: Evaluiert nur Inhalte innerhalb der Guard-Inhalts-Tags. Wenn keine Tags angegeben sind, hängt das Verhalten von der Steuerung ab. Für system wird kein Inhalt ausgewertet, und für messages wird der gesamte Inhalt ausgewertet.

       • Umfassend: Evaluieren Sie alle Inhalte, unabhängig von den Schutz-Inhalts-Tags.

     • Wenn nicht konfiguriert, sind beide Steuerelemente standardmäßig auf Umfassend eingestellt.

     {
         "bedrock": {
             "guardrail_inference": {
                 "us-east-1": {
                     "config_1": {
                         "identifier": {
                             "@@assign": "arn:aws:bedrock:us-east-1:123456789012:guardrail/guardrail-id:1"
                         },
                         "selective_content_guarding": {
                             "system": {
                                 "@@assign": "selective"
                             },
                             "messages": {
                                 "@@assign": "comprehensive"
                             }
                         },
                         "model_enforcement": {
                             "included_models": {
                                 "@@assign": ["ALL"]
                             },
                             "excluded_models": {
                                 "@@assign": ["amazon.titan-embed-text-v2:0", "cohere.embed-english-v3"]
                             }
                         }
                     }
                 }
             }
         }
     }

  5. Speichern Sie die Richtlinie

  6. Hängen Sie die Richtlinie an Ihre gewünschten Ziele an (Stammverzeichnis der Organisation, Organisationseinheiten oder einzelne Konten), indem Sie zur Registerkarte Ziele navigieren und Anhängen auswählen

• Verwenden der API — Verwenden Sie die AWS Organizations CreatePolicy API mit dem RichtlinientypBEDROCK_POLICY. Wird AttachPolicy zum Anhängen an Ziele verwendet

Weitere Informationen: Die Richtlinien von Amazon Bedrock finden Sie unter AWS Organizations

Verify

Vergewissern Sie sich, dass die Richtlinie an die richtigen Ziele in der AWS Organizations Konsole angehängt ist.

Testen und verifizieren Sie die Durchsetzung

Testen Sie, ob die Leitplanke auf Mitgliedskonten durchgesetzt wird.

Planen Sie Ihre Leitplanken-Konfiguration

Definieren Sie Ihre Sicherheitsvorkehrungen

Um Ihre Sicherheitsvorkehrungen zu definieren:

So erstellen Sie Ihren Integritätsschutz

Erstellen Sie in jeder Region, in der Sie sie durchsetzen möchten, eine Leitplanke.

Via AWS-Managementkonsole

Um eine Leitplanke mithilfe der Konsole zu erstellen:

1. Melden Sie sich AWS-Managementkonsole mit einer IAM-Identität an, die berechtigt ist, die Amazon Bedrock-Konsole zu verwenden. Öffnen Sie dann die Amazon Bedrock-Konsole unter. https://console.aws.amazon.com/bedrock

2. Wählen Sie im linken Navigationsbereich Guardrails aus

3. Wählen Sie Leitplanke erstellen

4. Folgen Sie dem Assistenten, um die gewünschten Richtlinien zu konfigurieren (Inhaltsfilter, abgelehnte Themen, Wortfilter, Filter für vertrauliche Informationen)

5. Aktivieren Sie die Richtlinie zur automatisierten Argumentation nicht

6. Beenden Sie den Assistenten, um Ihre Leitplanke zu erstellen

Über die API

Verwenden der CreateGuardrail-API.

Verify

Sobald es erstellt wurde, solltest du es in der Liste der Leitplanken auf der Guardrails-Landingpage sehen oder in der Liste der Leitplanken anhand des Namens der Leitplanke danach suchen

Erstellen Sie eine Guardrail-Version

Erstellen Sie eine numerische Version, um sicherzustellen, dass die Guardrail-Konfiguration unveränderlich bleibt und nicht von Mitgliedskonten geändert werden kann.

Via AWS-Managementkonsole

Um eine Guardrail-Version mithilfe der Konsole zu erstellen:

1. Wählen Sie auf der Seite „Guardrails“ in der Amazon Bedrock-Konsole die im vorherigen Schritt erstellte Leitplanke aus

2. Wählen Sie Version erstellen

3. Notieren Sie sich den Leitplanken-ARN und die Versionsnummer (z. B. „1", „2")

Über die API

Verwenden der CreateGuardrailVersion-API.

Verify

Bestätigen Sie, dass die Version erfolgreich erstellt wurde, indem Sie die Liste der Versionen auf der Guardrail-Detailseite überprüfen.

Hängen Sie eine ressourcenbasierte Richtlinie an (optional)

Wenn Sie die Leitplanke für bestimmte Rollen in Ihrem Konto verwenden möchten, fügen Sie eine ressourcenbasierte Richtlinie hinzu.

Via AWS-Managementkonsole

So fügen Sie mithilfe der Konsole eine ressourcenbasierte Richtlinie hinzu:

1. Wählen Sie in der Amazon Bedrock Guardrails-Konsole Ihre Leitplanke aus

2. Wählen Sie Hinzufügen, um eine ressourcenbasierte Richtlinie hinzuzufügen

3. Fügen Sie eine Richtlinie hinzu, die bedrock:ApplyGuardrail Berechtigungen für die gewünschten Rollen gewährt

4. Speichern Sie die Richtlinie

Aktivieren Sie die Durchsetzung auf Kontoebene

Konfigurieren Sie das Konto so, dass Ihr Guardrail für alle Amazon Bedrock-Aufrufe verwendet wird. Dies muss in jeder Region geschehen, in der Sie eine Durchsetzung wünschen.

Via AWS-Managementkonsole

Um die Durchsetzung auf Kontoebene mithilfe der Konsole zu aktivieren, gehen Sie wie folgt vor:

1. Navigieren Sie zur Amazon Bedrock-Konsole

2. Wählen Sie im linken Navigationsbereich Guardrails

3. Wählen Sie im Abschnitt „Account-level Erzwingungskonfigurationen“ die Option Hinzufügen aus

4. Wählen Sie Ihre Leitplanke und Version aus

5. Konfigurieren Sie selektive Kontrollen zum Schutz von Inhalten (optional).

   • Die Amazon Bedrock-APIs ermöglichen es Anrufern, bestimmte Inhalte in ihren Eingabeaufforderungen zu kennzeichnen, um die Leitplanken zu evaluieren.

   • Mithilfe selektiver Kontrollen zur Inhaltsüberwachung können Administratoren entscheiden, ob sie die von API-Aufrufern getroffenen Tagging-Entscheidungen berücksichtigen.

   • Die system und messages -Steuerelemente bestimmen, wie Systemaufforderungen und Nachrichteninhalte von Guardrails verarbeitet werden. Jeder akzeptiert einen der folgenden Werte:

     • Selektiv: Evaluiert nur Inhalte innerhalb der Guard-Inhalts-Tags.

     • Umfassend: Evaluieren Sie alle Inhalte, unabhängig von den Schutzinhalts-Tags.

   • Wenn nicht konfiguriert, sind beide Steuerelemente standardmäßig auf „Umfassend“ eingestellt.

6. Senden Sie die Konfiguration

7. Wiederholen Sie den Vorgang für jede Region, in der Sie die Durchsetzung durchführen möchten

Über die API

Verwenden Sie die PutEnforcedGuardrailConfiguration API in jeder Region, in der Sie die Leitplanke durchsetzen möchten

Verify

Du solltest die vom Konto erzwungene Leitplanke im Abschnitt Konfiguration der vom Konto erzwungenen Leitplanken auf der Seite „Guardrails“ sehen. Du kannst die ListEnforcedGuardrailsConfiguration API aufrufen, um sicherzustellen, dass die durchgesetzte Leitplanke aufgeführt wird

Testen und verifizieren Sie die Durchsetzung

Testen Sie es mit einer Rolle in Ihrem Konto

So kannst du die Durchsetzung von deinem Konto aus testen:

1. Tätigen Sie einen Amazon Bedrock-Inferenzanruf mitInvokeModel,Converse, oder InvokeModelWithResponseStream ConverseStream

2. Die vom Konto durchgesetzte Leitlinie sollte automatisch sowohl für Eingaben als auch für Ausgänge gelten

3. Informationen zur Bewertung der Leitplanke finden Sie in der Antwort. In der Reaktion auf die Leitplanke werden auch Informationen über die Einhaltung der Leitplanken enthalten sein.