Requisitos de rol de servicio para los trabajos de evaluación de modelos automática

Para crear un trabajo de evaluación de modelos automática, debe especificar un rol de servicio. La política que asocie otorga a Amazon Bedrock acceso a los recursos de su cuenta y permite a Amazon Bedrock invocar el modelo seleccionado en su nombre.

También debe asociar una política de confianza que defina a Amazon Bedrock como la entidad principal de servicio que usa bedrock.amazonaws.com. Cada uno de los siguientes ejemplos de políticas muestra IAM las acciones exactas que se requieren en función de cada servicio invocado en un trabajo de evaluación automática de modelos.

Para crear un rol de servicio personalizado, consulte Crear un rol que utilice una política de confianza personalizada en la Guía del IAM usuario.

IAMAcciones de Amazon S3 obligatorias

El siguiente ejemplo de política otorga acceso a los buckets de S3 donde se guardan los resultados de la evaluación de modelos y (opcionalmente) a cualquier conjunto de datos de peticiones personalizado que haya especificado.

{
"Version": "2012-10-17",
"Statement": [
    {
        "Sid": "AllowAccessToCustomDatasets",
        "Effect": "Allow",
        "Action": [
            "s3:GetObject",
            "s3:ListBucket"
        ],
        "Resource": [
            "arn:aws:s3:::my_customdataset1_bucket",
            "arn:aws:s3:::my_customdataset1_bucket/myfolder",
            "arn:aws:s3:::my_customdataset2_bucket",
            "arn:aws:s3:::my_customdataset2_bucket/myfolder"
        ]
    },
    {
        "Sid": "AllowAccessToOutputBucket",
        "Effect": "Allow",
        "Action": [
            "s3:GetObject",
            "s3:ListBucket",
            "s3:PutObject",
            "s3:GetBucketLocation",
            "s3:AbortMultipartUpload",
            "s3:ListBucketMultipartUploads"
        ],
        "Resource": [
            "arn:aws:s3:::my_output_bucket",
            "arn:aws:s3:::my_output_bucket/myfolder"
        ]
    }
]
}

Acciones obligatorias de Amazon Bedrock IAM

También debe crear una política que permita a Amazon Bedrock invocar el modelo que planea especificar en el trabajo de evaluación automática de modelos. Para obtener más información sobre la administración del acceso a modelos de Amazon Bedrock, consulte Acceda a los modelos básicos de Amazon Bedrock.

{
"Version": "2012-10-17",
"Statement": [
    {
        "Sid": "AllowSpecificModels",
        "Effect": "Allow",
        "Action": [
            "bedrock:InvokeModel",
            "bedrock:InvokeModelWithResponseStream",
            "bedrock:CreateModelInvocationJob",
            "bedrock:StopModelInvocationJob",
            "bedrock:GetProvisionedModelThroughput",
            "bedrock:GetInferenceProfile",
            "bedrock:ListInferenceProfiles"

        ],
        "Resource": [
            "arn:aws:bedrock:region::foundation-model/*",
            "arn:aws:bedrock:region:111122223333:inference-profile/*",
            "arn:aws:bedrock:region:111122223333:provisioned-model/*"
        ]
    }
]
}

Requisitos de la entidad principal de servicio

También debe especificar una política de confianza que defina a Amazon Bedrock como la entidad principal de servicio. Esto permite que Amazon Bedrock asuma el rol. El trabajo de evaluación de modelos wildcard (*) ARN es obligatorio para que Amazon Bedrock pueda crear trabajos de evaluación de modelos en su AWS cuenta.

{
"Version": "2012-10-17",
"Statement": [{
    "Sid": "AllowBedrockToAssumeRole",
    "Effect": "Allow",
    "Principal": {
        "Service": "bedrock.amazonaws.com"
    },
    "Action": "sts:AssumeRole",
    "Condition": {
        "StringEquals": {
            "aws:SourceAccount": "111122223333"
        },
        "ArnEquals": {
            "aws:SourceArn": "arn:aws:bedrock:Región de AWS:111122223333:evaluation-job/*"
        }
    }
}]
}