Voraussetzungen für eine schnelle Verwaltung

Wenn mit Ihrer Rolle die AmazonBedrockFullAccess AWS verwaltete Richtlinie verknüpft ist, können Sie diesen Abschnitt überspringen. Folgen Sie andernfalls den Schritten unter Aktualisieren der Berechtigungsrichtlinie für eine Rolle und fügen Sie einer Rolle die folgende Richtlinie hinzu, um Berechtigungen zur Ausführung von Aktionen im Zusammenhang mit der Prompt-Verwaltung bereitzustellen:

{ 
    "Version": "2012-10-17",
    "Statement": [
        {
           "Sid": "PromptManagementPermissions",
           "Effect": "Allow",
           "Action": [
               "bedrock:CreatePrompt",
               "bedrock:UpdatePrompt",
               "bedrock:GetPrompt",
               "bedrock:ListPrompts",
               "bedrock:DeletePrompt",
               "bedrock:CreatePromptVersion",
               "bedrock:OptimizePrompt",
               "bedrock:GetFoundationModel",
               "bedrock:ListFoundationModels",
               "bedrock:GetInferenceProfile",
               "bedrock:ListInferenceProfiles",
               "bedrock:InvokeModel",
               "bedrock:InvokeModelWithResponseStream",
               "bedrock:RenderPrompt",
               "bedrock:TagResource",
               "bedrock:UntagResource",
               "bedrock:ListTagsForResource"
           ],
           "Resource": *
        }
    ]
}

Um die Berechtigungen weiter einzuschränken, können Sie Aktionen auslassen oder Ressourcen und Bedingungsschlüssel angeben, nach denen Berechtigungen gefiltert werden sollen. Weitere Informationen zu Aktionen, Ressourcen und Bedingungsschlüsseln finden Sie in den folgenden Themen in der Service Authorization Reference:

Wenn Sie Ihre Aufforderung mit einem vom Kunden verwalteten Schlüssel verschlüsseln möchten, anstatt einen zu verwenden Von AWS verwalteter Schlüssel (weitere Informationen finden Sie unter AWS KMS Schlüssel), erstellen Sie die folgenden Richtlinien:

1. Folgen Sie den Schritten unter Erstellen einer Schlüsselrichtlinie und hängen Sie die folgende Schlüsselrichtlinie an einen KMS Schlüssel an, damit Amazon Bedrock eine Aufforderung mit dem Schlüssel verschlüsseln und entschlüsseln kann und den Schlüssel nach Bedarf ersetzt. values Die Richtlinie enthält optionale Bedingungsschlüssel (siehe Bedingungsschlüssel für Amazon Bedrock und AWS globale Bedingungskontextschlüssel) in dem Condition Feld, deren Verwendung wir aus Sicherheitsgründen empfehlen.

   {
       "Sid": "EncryptFlowKMS",
       "Effect": "Allow",
       "Principal": {
           "Service": "bedrock.amazonaws.com"
       },
       "Action": [
           "kms:GenerateDataKey",
           "kms:Decrypt"
       ],
       "Resource": "*",
       "Condition": {
           "StringEquals": {
               "kms:EncryptionContext:aws:bedrock-prompts:arn": "arn:${partition}:bedrock:${region}:${account-id}:prompt/${prompt-id}"
           }
       }
   }

2. Folgen Sie den Schritten unter Aktualisieren Sie die Berechtigungsrichtlinie für eine Rolle und fügen Sie der Rolle für die Prompt-Verwaltung die folgende Richtlinie bei. Ersetzen Sie die Richtlinie nach values Bedarf, damit sie den vom Kunden verwalteten Schlüssel für eine Aufforderung generieren und entschlüsseln kann. Die Richtlinie enthält optionale Bedingungsschlüssel (siehe Bedingungsschlüssel für Amazon Bedrock und AWS globale Bedingungskontextschlüssel) in dem Condition Feld, deren Verwendung wir aus Sicherheitsgründen empfehlen.

   {
       "Sid": "KMSPermissions",
       "Effect": "Allow",
       "Action": [
           "kms:GenerateDataKey",
           "kms:Decrypt"
       ],
       "Resource": [
           "arn:aws:kms:${region}:${account-id}:key/${key-id}"
       ],
        "Condition": {
           "StringEquals": {
               "aws:ResourceAccount": "${account-id}"
           }
       }
   }