View a markdown version of this page

Solicitar acceso a los modelos - Amazon Bedrock
Concesión de permisos para solicitar acceso a modelos fundacionales con un ID de productoGestione el acceso a los modelos mediante el SDK y la CLIAcceda a los modelos básicos de Amazon Bedrock en AWS (EE. UU.) GovCloud

Las traducciones son generadas a través de traducción automática. En caso de conflicto entre la traducción y la version original de inglés, prevalecerá la version en inglés.

Solicitar acceso a los modelos

El acceso a todos los modelos fundacionales de Amazon Bedrock está habilitado de forma predeterminada con los permisos de AWS Marketplace correctos. Para empezar, basta con seleccionar un modelo del catálogo de modelos de la consola de Amazon Bedrock y abrirlo en el patio de juegos o invocar el modelo mediante las operaciones de la API InvokeModel o de Converse. Para obtener información sobre los distintos modelos compatibles con Amazon Bedrock, consulte Información sobre los modelos fundacionales de Amazon Bedrock. Para obtener información acerca de los precios de los modelos, consulte Precios de Amazon Bedrock.

El acceso a todos los modelos básicos de Amazon Bedrock está habilitado de forma predeterminada con los permisos correctos de AWS Marketplace en todas las regiones comerciales. AWS Para obtener información sobre el acceso programático a modelos de terceros, consulte. Gestione el acceso al modelo mediante el SDK y la CLI

Descripción del acceso automático a los modelos

Cuando invoca un modelo de terceros por primera vez en su cuenta, Amazon Bedrock inicia automáticamente el proceso de suscripción en segundo plano. Durante este período de configuración (hasta 15 minutos), es posible que sus llamadas a la API se realicen correctamente de forma temporal mientras finaliza la suscripción. Si falta algún requisito previo, el intento de suscripción fallará y las siguientes llamadas a la API volverán a aparecer. AccessDeniedException Tras conceder los permisos necesarios, la suscripción puede tardar hasta 2 minutos en completarse. Durante este tiempo, es posible que las llamadas a la API sigan apareciendoAccessDeniedException. Una vez completada la suscripción, todas las invocaciones posteriores se realizarán correctamente. Para evitarlo por completo, verifique todos los requisitos previos antes de invocar los modelos en producción.

Requisitos previos para acceder correctamente a los modelos:

  1. AWS Permisos de Marketplace: su función de IAM debe tener aws-marketplace:Subscribe y aws-marketplace:ViewSubscriptions permisos. aws-marketplace:Unsubscribe Para obtener más información, consulte Concesión de permisos de IAM para solicitar acceso a modelos fundacionales de Amazon Bedrock con un ID de producto.

  2. Modelos antrópicos: en el caso de los modelos antrópicos, debe completar el formulario de primer uso (FTU) antes de invocar el modelo. Este requisito no se aplica a los modelos antrópicos a los que se accede a través del punto final. bedrock-mantle

  3. Método de pago válido: tu AWS cuenta debe tener un método de pago válido configurado para las compras en AWS Marketplace.

nota

Anthropic exige que los clientes que usan el servicio por primera vez envíen los detalles del caso de uso antes de invocar un modelo una vez por cuenta o una vez en la cuenta de administración de la organización. Este requisito no se aplica a los modelos antrópicos a los que se accede a través del bedrock-mantle terminal. Puede enviar los detalles del caso de uso seleccionando un modelo Anthropic del catálogo de modelos en la consola de Amazon Bedrock o llamando al comando de la API PutUseCaseForModelAccess. El acceso al modelo se concede inmediatamente después de enviar correctamente los detalles del caso de uso. El envío del formulario en la cuenta raíz será heredado por otras cuentas de la misma AWS organización.

El formulario de casos de uso requiere una descripción del uso previsto y una URL del sitio web. Si eres un desarrollador individual o un estudiante sin un sitio web empresarial, puedes proporcionar una URL de portafolio, GitHub perfil o proyecto personal que describa tu caso de uso.

nota

En el caso de los modelos 3P, invoking/using al usar el modelo por primera vez, aceptas el contrato de licencia de usuario final aplicable. Para obtener más información, consulte las condiciones AWS de servicio y los acuerdos de licencia Third-Party modelo sin servidor.

Los organismos que necesiten revisar y aceptar el EULA antes de permitir el uso del modelo deben:

  1. Bloquear inicialmente el acceso a modelos mediante políticas de control de servicio (SCP) o políticas de IAM

  2. Revisar los términos del EULA

  3. Habilite el acceso a los modelos mediante SCP/IAM políticas únicamente si acepta los términos del EULA

Concesión de permisos de IAM para solicitar acceso a modelos fundacionales de Amazon Bedrock con un ID de producto

Puede administrar los permisos de acceso a los modelos mediante la creación de políticas de IAM personalizadas. Para modificar el acceso a los modelos básicos de Amazon Bedrock, primero debe adjuntar una política de IAM basada en la identidad con AWS Marketplace las siguientes acciones al rol de IAM que permite el acceso a Amazon Bedrock.

Cuando invoca por primera vez un modelo sin servidor de Amazon Bedrock servido desde una cuenta, Bedrock AWS Marketplace intenta habilitar automáticamente el modelo para su cuenta. Para que funcione esta activación automática, se requieren permisos. AWS Marketplace

Si no puedes asumir el AWS Marketplace permiso, una persona con AWS Marketplace permisos debe habilitar el modelo para la cuenta en un solo paso (ya sea de forma manual o mediante la activación automática). Una vez activado el modelo, puedes invocarlo sin necesidad de permisos. AWS Marketplace Los usuarios no necesitan permisos de AWS Marketplace suscripción para invocar modelos una vez habilitados. Estos permisos solo son necesarios la primera vez que se utiliza un modelo en una cuenta.

El acceso a los modelos fundacionales de Amazon Bedrock sin servidor con un ID de producto se controla mediante las siguientes acciones de IAM:

Acción de IAM Description (Descripción) Modelos a los que se aplica
aws-marketplace:Subscribe

Permite a una entidad de IAM suscribirse a AWS Marketplace productos, incluidos los modelos básicos de Amazon Bedrock.

 Solo los modelos de Amazon Bedrock sin servidor que tengan un ID de producto en AWS Marketplace.
aws-marketplace:Unsubscribe Permite que una identidad de IAM cancele la suscripción a AWS Marketplace los productos, incluidos los modelos básicos de Amazon Bedrock. Solo los modelos de Amazon Bedrock sin servidor que tengan un ID de producto en AWS Marketplace.
aws-marketplace: ViewSubscriptions Permite que una identidad de IAM devuelva una lista de AWS Marketplace productos, incluidos los modelos de Amazon Bedrock Foundation. Solo los modelos de Amazon Bedrock sin servidor que tengan un ID de producto en AWS Marketplace.
nota

Solo para esta acción aws-marketplace:Subscribe, puede usar la clave de condición aws-marketplace:ProductId para restringir la suscripción a modelos específicos.

Para que una identidad de IAM solicite acceso a los modelos con un ID de producto

La identidad debe tener una política asociada que permita aws-marketplace:Subscribe.

nota

Si una identidad ya se ha suscrito a un modelo en una AWS región, el modelo pasa a estar disponible para que la identidad solicite el acceso en todas AWS las regiones en las que el modelo esté disponible, incluso si aws-marketplace:Subscribe se deniega en otras regiones.

Para obtener información sobre la creación de la política, consulte Guía de inicio rápido.

Solo para esta acción aws-marketplace:Subscribe, puede usar la clave de condición aws-marketplace:ProductId para restringir la suscripción a modelos específicos.

nota

Los modelos de los siguientes proveedores no se venden a través AWS Marketplace de ellos ni tienen claves de producto, por lo que no puedes asignarles el alcance de aws-marketplace las acciones:

  • Amazon

  • DeepSeek

  • Mistral AI

  • Meta

  • Qwen

  • OpenAI

Sin embargo, puede impedir el uso de estos modelos denegando las acciones de Amazon Bedrock y especificando estos ID de modelo en el campo Resource. Para ver un ejemplo, consulta Cómo impedir que una identidad utilice un modelo después de que ya se haya concedido el acceso.

Seleccione una sección para ver ejemplos de políticas de IAM para un caso de uso específico:

Cómo impedir que una identidad solicite acceso a un modelo con un ID de producto

Para impedir que una entidad de IAM solicite acceso a un modelo específico que tenga un ID de producto, asocie al usuario una política de IAM que deniegue la acción aws-marketplace:Subscribe y asigne el campo Condition al ID de producto del modelo.

Por ejemplo, puede asociar la siguiente política a una identidad para impedir que se suscriba al modelo Anthropic Claude 3.5 Sonnet:

JSON
{
    "Version":"2012-10-17",
    "Statement": [
        {
            "Effect": "Deny",
            "Action": [
                "aws-marketplace:Subscribe"
            ],
            "Resource": "*",
            "Condition": {
                "ForAnyValue:StringEquals": {
                    "aws-marketplace:ProductId": [
                        "prod-m5ilt4siql27k"
                    ]
                }
            }
        }
    ]
}
nota

La denegación aws-marketplace:Subscribe por sí sola no bloqueará la primera invocación del modelo, ya que Amazon Bedrock inicia automáticamente la suscripción en segundo plano.

Para bloquear el acceso del modelo desde el principio, aplique las políticas de denegación bedrock:InvokeModel a nivel de organización (SCP) o de cuenta (IAM).

nota

Con esta política, la entidad de IAM tendrá acceso a todos los modelos recién añadidos de forma predeterminada.

Si la identidad ya se ha suscrito al modelo en al menos una región, esta política no impide el acceso en otras regiones. En lugar de ello, puede evitar su uso consultando el ejemplo de Cómo impedir que una identidad utilice un modelo después de que ya se haya concedido el acceso.

Cómo impedir que una identidad utilice un modelo después de que ya se haya concedido el acceso

Si ya se ha concedido acceso a un modelo a una identidad de IAM, puede impedir el uso del modelo denegando todas las acciones de Amazon Bedrock y limitando el campo Resource al ARN del modelo fundacional.

Por ejemplo, puede adjuntar la siguiente política a una identidad para impedir que utilice el Anthropic Claude 3.5 Sonnet modelo en todas las AWS regiones:

JSON
{
    "Version":"2012-10-17",
    "Statement": [
        {
            "Effect": "Deny",
            "Action": [
                "bedrock:*"
            ],
            "Resource": [
                "arn:aws:bedrock:*::foundation-model/anthropic.claude-3-5-sonnet-20240620-v1:0"
            ]
        }
    ]
}

Gestione el acceso al modelo mediante el SDK y la CLI

El acceso al modelo se puede administrar mediante el SDK además de invocar el modelo. Los pasos que se indican a continuación se pueden utilizar para create/delete modelar el acceso y comprobar si el acceso ya existe o no. Tenga en cuenta que esto solo se aplica a modelos de terceros.

importante

Al invocar o utilizar un modelo de terceros, aceptas implícitamente el contrato de licencia de usuario final (EULA) aplicable. Para obtener más información, consulte los acuerdos de licencia modelo sin servidor Third-Party .

Siga estos pasos para administrar el acceso al modelo mediante programación:

Requisitos previos

Paso 1: Enumere las ofertas del modelo de acuerdo básico

Utilice esta API para obtener las ofertas de acuerdo para un modelo en particular. Esto proporcionará el OfferToken que se utilizará para crear el acceso al modelo en los próximos pasos.

Documentación

AWS CLI
aws bedrock list-foundation-model-agreement-offers --model-id <ModelId>
Python
# Placeholder for modelId
model_id = "<enter model id here>" 
# Placeholder for offerId
offer_id = "<enter offer id here>"
try:
    # offerType= "ALL" means both public and private offers, if offerType isn't defined, the default would be "PUBLIC"
    model_agreement_offers_response = bedrock_client.list_foundation_model_agreement_offers(modelId=model_id,offerType="ALL")
    print(model_agreement_offers_response)
except ClientError as e:
    print(f"Failed to list foundation model offers for modelId: {model_id} due to the following error: {e}")

Paso 2: [Solo se requiere una vez para los modelos de Anthropic] Indique el caso de uso para usuarios primerizos

Se usa para que el formulario de casos de uso para usuarios primerizos sea obligatorio solo para los modelos de Anthropic. Este es un requisito previo para poder acceder a los modelos de Anthropic en la cuenta. Esta API solo es necesaria una vez por cuenta o por AWS organización en todas las regiones comerciales, con la excepción de las regiones de suscripción voluntaria, en las que es necesario volver a rellenar este formulario. Este requisito no se aplica a los modelos antrópicos a los que se accede a través del bedrock-mantle terminal.

Documentación

AWS CLI
aws bedrock put-use-case-for-model-access \
  --form-data <Base64EncodedFormData>
Python
# Placeholder for form data, replace the names
COMPANY_NAME = "<enter company name here>"
COMPANY_WEBSITE = "<enter company website here>"
INTENDED_USERS = "1" #for external users
INDUSTRY_OPTION = "<enter industry option here>"
OTHER_INDUSTRY_OPTION = "<enter other industry option here>"
USE_CASES = "<enter use cases here>"
form_data = {
    "companyName": COMPANY_NAME,
    "companyWebsite": COMPANY_WEBSITE,
    "intendedUsers": INTENDED_USERS,
    "industryOption": INDUSTRY_OPTION,
    "otherIndustryOption": OTHER_INDUSTRY_OPTION,
    "useCases": USE_CASES
}
form_data_json = json.dumps(form_data)
model_access_response = bedrock_client.put_use_case_for_model_access(formData=form_data_json)

Para la CLI, los datos del formulario son el json codificado en base64 del formulario siguiente.

{
    "companyName": COMPANY_NAME,
    "companyWebsite": COMPANY_WEBSITE,
    "intendedUsers": INTENDED_USERS,
    "industryOption": INDUSTRY_OPTION,
    "otherIndustryOption": OTHER_INDUSTRY_OPTION,
    "useCases": USE_CASES
}

  • COMPANY_NAME: cadena con una longitud máxima de 128

  • COMPANY_WEBSITE: cadena con una longitud máxima de 128

  • USUARIOS PREVISTOS: 0, 1 o 2. 0: Interno, 1: Externo, 2: Internal_and_External

  • INDUSTRY_OPTION: cadena con una longitud máxima de 128

  • OTHER_INDUSTRY_OPTION: cadena con una longitud máxima de 128

  • USE_CASES: cadena con una longitud máxima de 8192

Paso 3: Crear un modelo de acuerdo básico

Se usa para crear un acuerdo (acceso) para el modelo básico. Usa el token de oferta y el ModelID de arriba.

Documentación

AWS CLI
aws bedrock create-foundation-model-agreement \
  --model-id <ModelId> \
  --offer-token <OfferToken>
Python
offer_token= ''

for agreement_offer in model_agreement_offers_response['offers']:
    if  agreement_offer['offerId'] == offer_id:
            
            offer_token = agreement_offer['offerToken']
            print(f"offer token found. Offer token is {offer_token}")
            break


if(not offer_token):
    print(f"Offer token for  modelId: {model_id} is not found")
    
foundation_model_agreement_reponse = bedrock_client.create_foundation_model_agreement(offerToken= offer_token , modelId= model_id)

Paso 4: Obtenga la disponibilidad del modelo básico

Se usa para comprobar si el modelo básico tiene acceso actualmente o no. Usa el ModelID de arriba.

Documentación

AWS CLI
aws bedrock get-foundation-model-availability \
  --model-id <ModelId>
Python
model_availability_response = bedrock_client.get_foundation_model_availability(modelId=model_id)
Respuesta esperada

agreementAvailability- AVAILABLE si el acceso existe, NOT_AVAILABLE es que el acceso no existe.

{
  "modelId": "anthropic.claude-sonnet-4-20250514-v1:0",
  "agreementAvailability": {
    "status": "AVAILABLE"
  },
  "authorizationStatus": "AUTHORIZED",
  "entitlementAvailability": "AVAILABLE",
  "regionAvailability": "AVAILABLE"
}

[Opcional] Paso 5: Eliminar el modelo de acuerdo fundacional

Se usa para eliminar el modelo de acuerdo fundacional (acceso). Usa el ModelID de arriba.

nota

Eliminar el acceso al modelo no es suficiente para bloquear el acceso en el futuro, ya que al invocar el modelo se volverá a crear el acceso. Para asegurarse de que el acceso no se vuelva a crear, aplique políticas restrictivas de denegación de IAM para el modelo.

Documentación

AWS CLI
aws bedrock delete-foundation-model-agreement \
  --model-id <ModelId>
Python
delete_foundation_model_agreement_reponse = bedrock_client.delete_foundation_model_agreement(modelId= model_id)

Acceda a los modelos básicos de Amazon Bedrock en AWS (EE. UU.) GovCloud

Las cuentas de AWS GovCloud (EE. UU.) se vinculan de forma individual con las cuentas comerciales estándar de AWS. Esta cuenta comercial vinculada se utiliza para la facturación, el acceso a los servicios, el soporte y el acceso a Amazon Bedrock Model Marketplace. Para obtener más información sobre la relación entre las cuentas comerciales GovCloud y las cuentas comerciales, consulte la vinculación de cuentas estándar en AWS GovCloud (EE. UU.).

En el caso de los modelos de terceros, el acceso a los modelos debe estar habilitado tanto en la cuenta comercial de AWS vinculada como en la GovCloud cuenta de AWS. En el caso de los modelos proporcionados por Amazon Bedrock, el acceso a los modelos solo tiene que estar habilitado en la GovCloud cuenta. Este es un proceso manual.

Habilitar el acceso modelo para AWS GovCloud en una cuenta comercial de AWS vinculada (solo para modelos de terceros)

El acceso modelo se puede habilitar en una cuenta AWS comercial de dos maneras:

  1. Invoca el modelo requerido para una cuenta AWS comercial en nuestra us-east-1 us-west-2 región.

  2. Habilite el acceso al modelo mediante programación utilizando una cuenta AWS comercial en SDK/CLI us-east-1 una región o región. us-west-2 Esto se puede hacer siguiendo los pasos descritos en las secciones anteriores.

Habilitar el acceso modelo a la GovCloud cuenta de AWS

En AWS GovCloud (EE. UU.), utiliza la página de acceso a modelos de la consola de Amazon Bedrock de la us-gov-west-1 región para habilitar los modelos básicos, tal como se describe a continuación:

  1. Asegúrese de disponer de los permisos necesarios para solicitar el acceso a los modelos básicos de Amazon Bedrock o modificarlo. Se recomienda adjuntar la AmazonBedrockFullAccess política a la versión en user/role uso.

  2. Inicie sesión en la consola de Amazon Bedrock de la us-gov-west-1 región en https://console.aws.amazon.com/bedrock/.

  3. En el panel de navegación de la izquierda, en Configuraciones de Bedrock, elija Acceso a modelos.

  4. En la página Acceso a modelos, seleccione Modificar el acceso al modelo.

  5. Seleccione los modelos a los que desee que tenga acceso la cuenta y anule la selección de los modelos a los que no desee que tenga acceso la cuenta. Dispone de las opciones siguientes:

    1. Asegúrese de revisar el Contrato de licencia para el usuario final (EULA) para conocer los términos y condiciones de uso de un modelo antes de solicitar acceso al mismo.

    2. Seleccione la casilla de verificación junto a un modelo individual para marcarlo o desmarcarlo.

    3. Seleccione la casilla de verificación superior para marcar o desmarcar todos los modelos.

    4. Seleccione cómo se agrupan los modelos y, a continuación, active o desactive todos los modelos de un grupo activando la casilla de verificación situada junto al grupo. Por ejemplo, puede elegir agrupar por proveedor y, a continuación, seleccionar la casilla de verificación situada junto a Cohere para marcar o desmarcar todos los modelos de Cohere.

  6. Elija Siguiente.

  7. Si añades el acceso a los modelos de Anthropic, debes describir los detalles de tu caso de uso. Elija Enviar los detalles del caso de uso, rellene el formulario y, a continuación, seleccione Enviar formulario. La notificación de acceso se concede o deniega en función de sus respuestas al completar el formulario para el proveedor.

  8. Revise los cambios de acceso que esté realizando y, a continuación, lea los Términos.

  9. Si está de acuerdo con los términos, seleccione Enviar. Los cambios pueden tardar varios minutos en reflejarse en la consola.

  10. Si la solicitud se realiza correctamente, el Estado de acceso cambia a Acceso concedido o Disponible para solicitar.