Erforderliche Servicerollenberechtigungen für die Erstellung eines Model-Evaluierungsjobs, der ein Richtermodell verwendet

Um einen Job zur Modellbewertung zu erstellen, bei dem ein LLM als Richter eingesetzt wird, müssen Sie eine Servicerolle angeben. Die von Ihnen beigefügte Richtlinie gewährt Amazon Bedrock Zugriff auf Ressourcen in Ihrem Konto und ermöglicht Amazon Bedrock, das ausgewählte Modell in Ihrem Namen aufzurufen.

Die Vertrauensrichtlinie definiert Amazon Bedrock als den Service Principal, der verwendetbedrock.amazonaws.com. Jedes der folgenden Richtlinienbeispiele zeigt Ihnen die genauen IAM-Aktionen, die für jeden Service erforderlich sind, der bei der Modellevaluierung aufgerufen wurde

Informationen zum Erstellen einer benutzerdefinierten Servicerolle, wie unten beschrieben, finden Sie im IAM-Benutzerhandbuch unter Erstellen einer Rolle, die eine benutzerdefinierte Vertrauensrichtlinie verwendet.

Erforderliche IAM-Aktionen in Amazon Bedrock

Sie müssen eine Richtlinie erstellen, die es Amazon Bedrock ermöglicht, die Modelle aufzurufen, die Sie im Modellevaluierungsjob angeben möchten. Weitere Informationen zur Verwaltung des Zugriffs auf Amazon-Bedrock-Modelle finden Sie unter Greifen Sie auf Amazon Bedrock Foundation-Modelle zu. Im "Resource" Abschnitt der Richtlinie müssen Sie mindestens einen ARN eines Modells angeben, auf das Sie auch Zugriff haben. Um ein Modell zu verwenden, das mit einem vom Kunden verwalteten KMS-Schlüssel verschlüsselt ist, müssen Sie die erforderlichen IAM-Aktionen und -Ressourcen zur IAM-Dienstrollenrichtlinie hinzufügen. Sie müssen auch die Servicerolle zur AWS KMS Schlüsselrichtlinie hinzufügen.

Die Servicerolle muss Zugriff auf mindestens ein unterstütztes Evaluatormodell beinhalten.

{
	"Version": "2012-10-17",
	"Statement": [
		{
			"Sid": "BedRockModelInvoke",
			"Effect": "Allow",
			"Action": [
				"s3:GetObject",
				"s3:ListBucket",
				"s3:PutObject",
				"s3:GetBucketLocation",
				"s3:AbortMultipartUpload",
				"s3:ListBucketMultipartUploads"
			],
			"Resource": [
				"arn:aws:bedrock:region::foundation-model/*",
				"arn:aws:bedrock:region:111122223333:inference-profile/*",
				"arn:aws:bedrock:region:111122223333:provisioned-model/*",
				"arn:aws:bedrock:region:111122223333:imported-model/*""
			]
		}
	]
}

Erforderliche Amazon S3 IAM-Aktionen und Ressourcen

Ihre Servicerollenrichtlinie muss den Zugriff auf den Amazon S3 S3-Bucket, in dem die Ausgabe von Model-Evaluierungsjobs gespeichert werden soll, sowie den Zugriff auf den Prompt-Datensatz, den Sie in Ihrer CreateEvaluationJob Anfrage oder über die Amazon Bedrock-Konsole angegeben haben, beinhalten.

{
	"Version": "2012-10-17",
	"Statement": [
		{
			"Sid": "FetchAndUpdateOutputBucket",
			"Effect": "Allow",
			"Action": [
				"bedrock:InvokeModel",
				"bedrock:CreateModelInvocationJob",
				"bedrock:StopModelInvocationJob"
			],
			"Resource": [
				"arn:aws:s3:::my_customdataset1_bucket",
	            "arn:aws:s3:::my_customdataset1_bucket/myfolder",
	            "arn:aws:s3:::my_customdataset2_bucket",
				"arn:aws:s3:::my_customdataset2_bucket/myfolder"
			]
		}
	]
}