Aktionen, Ressourcen und Bedingungsschlüssel für Amazon Bedrock - Service-Authorization-Referenz
AktionenRessourcentypenBedingungsschlüssel

Die vorliegende Übersetzung wurde maschinell erstellt. Im Falle eines Konflikts oder eines Widerspruchs zwischen dieser übersetzten Fassung und der englischen Fassung (einschließlich infolge von Verzögerungen bei der Übersetzung) ist die englische Fassung maßgeblich.

Aktionen, Ressourcen und Bedingungsschlüssel für Amazon Bedrock

Amazon Bedrock (Servicepräfix: bedrock) stellt die folgenden servicespezifischen Ressourcen, Aktionen und Bedingungskontextschlüssel für die Verwendung in IAM-Berechtigungsrichtlinien bereit.

Referenzen:

Von Amazon Bedrock definierte Aktionen

Sie können die folgenden Aktionen im Element Action einer IAM-Richtlinienanweisung angeben. Verwenden Sie Richtlinien, um Berechtigungen zum Ausführen einer Operation in AWS zu erteilen. Wenn Sie eine Aktion in einer Richtlinie verwenden, erlauben oder verweigern Sie in der Regel den Zugriff auf die API-Operation oder den CLI-Befehl mit demselben Namen. Dabei kann es mitunter vorkommen, dass eine einzige Aktion den Zugriff auf mehr als eine Operation steuert. Alternativ erfordern einige Vorgänge mehrere verschiedene Aktionen.

Die Spalte Resource types (Ressourcentypen) der Aktionstabelle gibt an, ob die Aktion Berechtigungen auf Ressourcenebene unterstützt. Wenn es keinen Wert für diese Spalte gibt, müssen Sie alle Ressourcen ("*") im Element Resource Ihrer Richtlinienanweisung angeben. Wenn die Spalte einen Ressourcentyp enthält, können Sie einen ARN dieses Typs in einer Anweisung mit dieser Aktion angeben. Wenn für die Aktion eine oder mehrere Ressourcen erforderlich sind, muss der Aufrufer die Erlaubnis haben, die Aktion mit diesen Ressourcen zu verwenden. Erforderliche Ressourcen sind in der Tabelle mit einem Sternchen (*) gekennzeichnet. Wenn Sie den Ressourcenzugriff mit dem Element Resource in einer IAM-Richtlinie einschränken, müssen Sie für jeden erforderlichen Ressourcentyp einen ARN oder ein Muster angeben. Einige Aktionen unterstützen mehrere Ressourcentypen. Wenn der Ressourcentyp optional ist (nicht als erforderlich angegeben), können Sie sich für einen der optionalen Ressourcentypen entscheiden.

Die Spalte Bedingungsschlüssel der Tabelle der Aktionen enthält Schlüssel, die Sie im Element Condition einer Richtlinienanweisung angeben können. Weitere Informationen zu den Bedingungsschlüsseln, die den Ressourcen für den Service zugeordnet sind, finden Sie in der Spalte Bedingungsschlüssel der Tabelle der Ressourcentypen.

Anmerkung

Die Ressourcenbedingungsschlüssel sind in der Tabelle Ressourcentypen enthalten. Sie finden einen Link zu dem Ressourcentyp, der für eine Aktion gilt, in der Spalte Ressourcentypen (*erforderlich) der Tabelle „Aktionen“. Der Ressourcentyp in der Tabelle „Ressourcentypen“ enthält die Spalte Bedingungsschlüssel. Das sind die Ressourcenbedingungsschlüssel, die für eine Aktion in der Tabelle „Aktionen“ gelten.

Details zu den Spalten in der folgenden Tabelle finden Sie in der Tabelle Aktionen

Aktionen Beschreibung Zugriffsebene Ressourcentypen (*erforderlich) Bedingungsschlüssel Abhängige Aktionen
ApplyGuardrail Erteilt die Erlaubnis zum Anbringen einer Leitplanke Lesen

guardrail*

AssociateAgentKnowledgeBase Gewährt die Berechtigung zum Verbinden einer Wissensdatenbank mit einem Kundendienstmitarbeiter Schreiben

agent*

knowledge-base*

AssociateThirdPartyKnowledgeBase [nur Berechtigung] Gewährt die Berechtigung zum Verwenden der Plattform eines Drittanbieters zum Speichern von Wissensdaten Schreiben

bedrock:ThirdPartyKnowledgeBaseCredentialsSecretArn

CreateAgent Erteilt die Berechtigung zum Erstellen eines neuen Agenten und eines Testagenten-Alias, der auf die DRAFT-Agenten-Version verweist Schreiben

aws:RequestTag/${TagKey}

aws:TagKeys

CreateAgentActionGroup Erteilt die Berechtigung, eine neue Aktionsgruppe in einem vorhandenen Agenten zu erstellen Schreiben

agent*

aws:RequestTag/${TagKey}

aws:TagKeys

CreateAgentAlias Erteilt die Berechtigung zum Erstellen eines neuen Alias für einen Agenten Schreiben

agent*

aws:RequestTag/${TagKey}

aws:TagKeys

CreateDataSource Gewährt die Berechtigung zum Erstellen einer Datenquelle Schreiben

knowledge-base*

CreateEvaluationJob Gewährt die Berechtigung zum Erstellen eines Auftrags für die Evaluierung von Grundlagenmodellen oder benutzerdefinierten Modellen Schreiben

custom-model*

foundation-model*

aws:RequestTag/${TagKey}

aws:TagKeys

CreateFoundationModelAgreement Gewährt die Berechtigung zum Erstellen einer neuen Grundlagenmodellvereinbarung Schreiben
CreateGuardrail Gewährt die Berechtigung zum Erstellen eines neuen Integritätsschutzes Schreiben

aws:RequestTag/${TagKey}

aws:TagKeys

CreateGuardrailVersion Gewährt die Berechtigung zum Erstellen einer neuen Integritätsschutzversion Schreiben

guardrail*

CreateKnowledgeBase Gewährt die Berechtigung zum Erstellen einer Wissensdatenbank Schreiben

aws:RequestTag/${TagKey}

aws:TagKeys

CreateModelCustomizationJob Gewährt die Berechtigung zum Erstellen eines Auftrags zum Anpassen des Modells mit Ihren benutzerdefinierten Trainingsdaten Schreiben

custom-model*

foundation-model*

aws:RequestTag/${TagKey}

aws:TagKeys

CreateModelEvaluationJob Gewährt die Berechtigung zum Erstellen eines Auftrags für die Evaluierung von Grundlagenmodellen oder benutzerdefinierten Modellen Schreiben

custom-model*

foundation-model*

aws:RequestTag/${TagKey}

aws:TagKeys

CreateModelInvocationJob Gewährt die Berechtigung zum Erstellen eines Auftrags zum Aufrufen eines neuen Modells Schreiben

custom-model*

foundation-model*

aws:RequestTag/${TagKey}

aws:TagKeys

CreateProvisionedModelThroughput Gewährt die Berechtigung zum Erstellen eines neuen bereitgestellten Modelldurchsatzes Schreiben

custom-model*

foundation-model*

aws:RequestTag/${TagKey}

aws:TagKeys

DeleteAgent Gewährt die Berechtigung zum Löschen eines zuvor erstellten Agents Schreiben

agent*

DeleteAgentActionGroup Gewährt die Berechtigung zum Löschen einer zuvor erstellten actionGroup Schreiben

agent*

DeleteAgentAlias Erteilt die Erlaubnis, eine zu löschen AgentAlias , die Sie zuvor erstellt haben Schreiben

agent-alias*

DeleteAgentVersion Gewährt die Berechtigung zum Löschen einer zuvor erstellten Agent Version Schreiben

agent*

DeleteCustomModel Gewährt die Berechtigung zum Löschen eines zuvor erstellten benutzerdefinierten Modells Schreiben

custom-model*

DeleteDataSource Gewährt die Berechtigung zum Löschen einer Datenquelle Schreiben

knowledge-base*

DeleteFoundationModelAgreement Gewährt die Berechtigung zum Löschen einer zuvor erstellten Grundlagenmodellvereinbarung Schreiben
DeleteGuardrail Gewährt die Berechtigung zum Löschen eines Integritätsschutzes oder seiner Version Schreiben

guardrail*

DeleteKnowledgeBase Gewährt die Berechtigung zum Löschen einer Wissensdatenbank Schreiben

knowledge-base*

DeleteModelInvocationLoggingConfiguration Gewährt die Berechtigung zum Löschen einer bestehenden Konfiguration der Aufnahmeprotokollierung Schreiben
DeleteProvisionedModelThroughput Gewährt die Berechtigung zum Löschen eines zuvor erstellten bereitgestellten Modelldurchsatzes Schreiben

provisioned-model*

DetectGeneratedContent Erteilt die Erlaubnis zu erkennen, ob der bereitgestellte Inhalt mit Amazon Bedrock generiert wurde Lesen

foundation-model*

DisassociateAgentKnowledgeBase Gewährt die Berechtigung zum Trennen einer Wissensdatenbank von einem Kundendienstmitarbeiter Schreiben

agent*

knowledge-base*

GetAgent Erteilt die Berechtigung zum Abrufen eines vorhandenen Agenten Lesen

agent*

GetAgentActionGroup Erteilt die Berechtigung zum Abrufen einer vorhandenen Aktionsgruppe Lesen

agent*

GetAgentAlias Erteilt die Berechtigung zum Abrufen eines bestehenden Alias Lesen

agent-alias*

GetAgentKnowledgeBase Gewährt die Berechtigung zum Beschreiben einer einem Kundendienstmitarbeiter zugeordneten Wissensdatenbank Lesen

agent*

knowledge-base*

GetAgentVersion Erteilt die Berechtigung zum Abrufen einer bestehenden Agenten-Version Lesen

agent*

GetCustomModel Gewährt die Berechtigung zum Abrufen der Eigenschaften, die einem benutzerdefinierten Bedrock-Modell zugeordnet sind, das Sie erstellt haben Lesen

custom-model*

GetDataSource Gewährt die Berechtigung zum Abrufen einer vorhandenen Datenquelle Lesen

knowledge-base*

GetEvaluationJob Erteilt die Erlaubnis, die mit einem Bewertungsauftrag verknüpften Eigenschaften abzurufen. Verwenden Sie diesen Vorgang, um den Status eines Bewertungsauftrags abzurufen Lesen

evaluation-job*

GetFoundationModel Gewährt die Berechtigung zum Abrufen der Eigenschaften, die einem Bedrock-Grundlagenmodell zugeordnet sind Lesen

foundation-model*

GetFoundationModelAvailability Gewährt die Berechtigung zum Abrufen der Verfügbarkeit eines Grundlagenmodells Lesen
GetGuardrail Gewährt die Berechtigung zum Abrufen eines Integritätsschutzes oder seiner Version Lesen

guardrail*

GetIngestionJob Gewährt die Berechtigung zum Abrufen eines bestehenden Aufnahmeauftrags Lesen

knowledge-base*

GetKnowledgeBase Gewährt die Berechtigung zum Abrufen einer vorhandenen Wissensdatenbank Lesen

knowledge-base*

GetModelCustomizationJob Gewährt die Berechtigung zum Abrufen der Eigenschaften, die einem Modellanpassungsauftrag zugeordnet sind Verwenden Sie diesen Vorgang, um den Status eines Auftrags zur Modellanpassung abzurufen. Lesen

model-customization-job*

GetModelEvaluationJob Gewährt die Berechtigung zum Abrufen der Eigenschaften, die einem Modellbewertungsauftrag zugeordnet sind Verwenden Sie diesen Vorgang, um den Status eines Auftrags zur Modellbewertung abzurufen Lesen

model-evaluation-job*

GetModelInvocationJob Gewährt die Berechtigung zum Abrufen eines Auftrags zum Aufrufen eines Modells Lesen

model-invocation-job*

GetModelInvocationLoggingConfiguration Gewährt die Berechtigung zum Abrufen einer bestehenden Konfiguration der Aufnahmeprotokollierung Lesen
GetProvisionedModelThroughput Gewährt die Berechtigung zum Abrufen eines bereitgestellten Modelldurchsatzes Lesen

provisioned-model*

GetUseCaseForModelAccess Gewährt die Berechtigung zum Abrufen eines Anwendungsfalls für den Modellzugriff Lesen
InvokeAgent Erteilt die Berechtigung zum Senden von Benutzereingaben (nur Text) an einen Agenten für Bedrock Lesen

agent-alias*

InvokeModel Gewährt die Berechtigung zum Aufrufen des angegebenen Bedrock-Modells, um mithilfe der im Anforderungstext bereitgestellten Eingabe Inferenzen auszuführen Lesen

foundation-model*

provisioned-model*

InvokeModelWithResponseStream Gewährt die Berechtigung zum Aufrufen des angegebenen Bedrock-Modells, um mithilfe der im Anforderungstext bereitgestellten Eingabe mit Streaming-Antwort Inferenzen auszuführen Lesen

foundation-model*

provisioned-model*

ListAgentActionGroups Erteilt die Berechtigung, Aktionsgruppen in einem Agenten aufzulisten Auflisten

agent*

ListAgentAliases Erteilt die Berechtigung, Aliase für einen Agenten aufzulisten Auflisten

agent*

ListAgentKnowledgeBases Gewährt die Berechtigung zum Auflisten von Wissensdatenbanken, die einem Kundendienstmitarbeiter zugeordnet sind Auflisten

agent*

ListAgentVersions Erteilt die Berechtigung zum Auflisten bestehender Agenten-Versionen Auflisten

agent*

ListAgents Erteilt die Berechtigung zum Auflisten vorhandener Agenten Auflisten
ListCustomModels Gewährt die Berechtigung zum Abrufen einer Liste der von Ihnen erstellten Bedrock-Modelle Auflisten
ListDataSources Gewährt die Berechtigung zum Auflisten vorhandener Datenquellen in einer Wissensdatenbank Auflisten

knowledge-base*

ListEvaluationJobs Erteilt die Erlaubnis, die Liste der von Ihnen eingereichten Bewertungsjobs abzurufen Auflisten
ListFoundationModelAgreementOffers Gewährt die Berechtigung zum Auflisten von Grundlagenmodellvereinbarungsangeboten Auflisten
ListFoundationModels Gewährt die Berechtigung zum Auflisten der Bedrock-Grundlagenmodelle, die Sie verwenden können Auflisten
ListGuardrails Gewährt die Berechtigung zum Auflisten von Integritätsschutz oder deren Versionen Auflisten

guardrail

ListIngestionJobs Gewährt die Berechtigung zum Auflisten von Aufnahmeaufträgen in einer Datenquelle Auflisten

knowledge-base*

ListKnowledgeBases Gewährt die Berechtigung zum Auflisten vorhandener Wissensdatenbanken Auflisten
ListModelCustomizationJobs Gewährt die Berechtigung zum Abrufen einer Liste der von Ihnen übermittelten Aufträge zur Modellanpassung Auflisten
ListModelEvaluationJobs Gewährt die Berechtigung zum Abrufen einer Liste der von Ihnen übermittelten Aufträge zur Modellbewertung Auflisten
ListModelInvocationJobs Gewährt die Berechtigung zum Auflisten zuvor erstellter Modellaufrufaufträge Auflisten
ListProvisionedModelThroughputs Gewährt die Berechtigung zum Auflisten zuvor erstellter bereitgestellter Modelldurchsätze Auflisten
ListTagsForResource Gewährt die Berechtigung zum Auflisten von Tags für eine Bedrock-Ressource Lesen

agent*

agent-alias*

custom-model*

evaluation-job*

guardrail*

knowledge-base*

model-customization-job*

model-evaluation-job*

model-invocation-job*

provisioned-model*

PrepareAgent Gewährt die Berechtigung, einen vorhandenen Agenten auf den Empfang von Laufzeitanforderungen vorzubereiten Schreiben

agent*

PutFoundationModelEntitlement Gewährt die Berechtigung, Zugriff auf ein Grundlagenmodell zu gewähren Schreiben
PutModelInvocationLoggingConfiguration Gewährt die Berechtigung zum Löschen einer bestehenden Konfiguration der Aufnahmeprotokollierung Schreiben
PutUseCaseForModelAccess Gewährt die Berechtigung zum Ablegen eines Anwendungsfalls für den Modellzugriff Schreiben
Retrieve Gewährt die Berechtigung zum Abrufen der aufgenommenen Daten aus einer Wissensdatenbank Lesen

knowledge-base*

RetrieveAndGenerate Gewährt die Berechtigung zum Senden von Benutzereingaben zum Abrufen und Generieren Schreiben
StartIngestionJob Gewährt die Berechtigung zum Starten eines Aufnahmeauftrags Schreiben

knowledge-base*

StopEvaluationJob Erteilt die Erlaubnis, eine Evaluierungsaufgabe zu beenden, während sie in Bearbeitung ist Schreiben

evaluation-job*

StopModelCustomizationJob Gewährt die Berechtigung zum Beenden eines Auftrags zur Anpassung eines Bedrock-Modells, während er läuft Schreiben

model-customization-job*

StopModelInvocationJob Gewährt die Berechtigung zum Anhalten eines Auftrags zum Aufrufen eines Modells, den Sie zuvor gestartet haben Schreiben

model-invocation-job*

TagResource Gewährt die Berechtigung zum Markieren einer Bedrock-Ressource mit Tags Tagging

agent

agent-alias

custom-model

evaluation-job

guardrail

knowledge-base

model-customization-job

model-evaluation-job

model-invocation-job

provisioned-model

aws:TagKeys

aws:RequestTag/${TagKey}

UntagResource Gewährt die Berechtigung zum Aufheben der Markierung einer Bedrock-Ressource mit Tags Tagging

agent

agent-alias

custom-model

evaluation-job

guardrail

knowledge-base

model-customization-job

model-evaluation-job

model-invocation-job

provisioned-model

aws:TagKeys

UpdateAgent Erteilt die Berechtigung zum Aktualisieren eines vorhandenen Agenten Schreiben

agent*

UpdateAgentActionGroup Erteilt die Berechtigung zum Aktualisieren einer vorhandenen Aktionsgruppe Schreiben

agent*

UpdateAgentAlias Erteilt die Berechtigung, einen bestehenden Alias zu aktualisieren Schreiben

agent-alias*

UpdateAgentKnowledgeBase Gewährt die Berechtigung zum Aktualisieren einer einem Kundendienstmitarbeiter zugeordneten Wissensdatenbank Schreiben

agent*

knowledge-base*

UpdateDataSource Gewährt die Berechtigung zum Aktualisieren einer Datenquelle Schreiben

knowledge-base*

UpdateGuardrail Gewährt die Berechtigung zum Beschreiben eines Integritätsschutzes Schreiben

guardrail*

UpdateKnowledgeBase Gewährt die Berechtigung zum Aktualisieren einer Wissensdatenbank Schreiben

knowledge-base*

UpdateProvisionedModelThroughput Gewährt die Berechtigung zum Aktualisieren eines zuvor erstellten bereitgestellten Modelldurchsatzes Schreiben

custom-model*

foundation-model*

provisioned-model*

Von Amazon Bedrock definierte Ressourcentypen

Die folgenden Ressourcentypen werden von diesem Service definiert und können im Element Resource von IAM-Berechtigungsrichtlinienanweisungen verwendet werden. Jede Aktion in der Tabelle „Aktionen“ identifiziert die Ressourcentypen, die mit der Aktion angegeben werden können. Ein Ressourcentyp kann auch definieren, welche Bedingungsschlüssel Sie in einer Richtlinie einschließen können. Diese Schlüssel werden in der letzten Spalte der Tabelle der Ressourcentypen angezeigt. Details zu den Spalten in der folgenden Tabelle finden Sie in der Tabelle Resource types.

Ressourcentypen ARN Bedingungsschlüssel
foundation-model arn:${Partition}:bedrock:${Region}::foundation-model/${ResourceId}
custom-model arn:${Partition}:bedrock:${Region}:${Account}:custom-model/${ResourceId}

aws:ResourceTag/${TagKey}

provisioned-model arn:${Partition}:bedrock:${Region}:${Account}:provisioned-model/${ResourceId}

aws:ResourceTag/${TagKey}

model-customization-job arn:${Partition}:bedrock:${Region}:${Account}:model-customization-job/${ResourceId}

aws:ResourceTag/${TagKey}

agent arn:${Partition}:bedrock:${Region}:${Account}:agent/${AgentId}

aws:ResourceTag/${TagKey}

agent-alias arn:${Partition}:bedrock:${Region}:${Account}:agent-alias/${AgentId}/${AgentAliasId}

aws:ResourceTag/${TagKey}

knowledge-base arn:${Partition}:bedrock:${Region}:${Account}:knowledge-base/${KnowledgeBaseId}

aws:ResourceTag/${TagKey}

model-evaluation-job arn:${Partition}:bedrock:${Region}:${Account}:model-evaluation-job/${ResourceId}

aws:ResourceTag/${TagKey}

evaluation-job arn:${Partition}:bedrock:${Region}:${Account}:evaluation-job/${ResourceId}

aws:ResourceTag/${TagKey}

model-invocation-job arn:${Partition}:bedrock:${Region}:${Account}:model-invocation-job/${JobIdentifier}

aws:ResourceTag/${TagKey}

guardrail arn:${Partition}:bedrock:${Region}:${Account}:guardrail/${GuardrailId}

aws:ResourceTag/${TagKey}

Bedingungsschlüssel für Amazon Bedrock

Amazon Bedrock definiert die folgenden Bedingungsschlüssel, die im Condition-Element einer IAM-Richtlinie verwendet werden können. Diese Schlüssel können Sie verwenden, um die Bedingungen zu verfeinern, unter denen die Richtlinienanweisung angewendet wird. Details zu den Spalten in der folgenden Tabelle finden Sie in der Tabelle Bedingungsschlüssel.

Eine Liste der globalen Bedingungsschlüssel, die für alle Services verfügbar sind, finden Sie unter Verfügbare globale Bedingungsschlüssel.

Bedingungsschlüssel Beschreibung Typ
aws:RequestTag/${TagKey} Filtert den Zugriff durch die Erstellung von Anforderungen basierend auf dem zulässigen Satz von Werten für jedes der obligatorischen Tags String
aws:ResourceTag/${TagKey} Filtert den Zugriff durch Aktionen basierend auf dem Tag-Wert, der der Ressource zugeordnet ist String
aws:TagKeys Filtert den Zugriff durch das Erstellen von Anfragen basierend auf dem Vorhandensein von obligatorischen Tags in der Anfrage ArrayOfString
bedrock:ThirdPartyKnowledgeBaseCredentialsSecretArn Filtert den Zugriff nach dem SecretArn, der die Anmeldeinformationen der Drittanbieterplattform enthält ARN