Las traducciones son generadas a través de traducción automática. En caso de conflicto entre la traducción y la version original de inglés, prevalecerá la version en inglés. # AWS políticas administradas para Amazon Bedrock Para añadir permisos a los usuarios, grupos y roles, es más fácil usar políticas AWS administradas que escribirlas usted mismo. Se necesita tiempo y experiencia para [crear políticas administradas por el cliente de IAM](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies_create-console.html) que proporcionen a su equipo solo los permisos necesarios. Para empezar rápidamente, puedes usar nuestras políticas AWS administradas. Estas políticas cubren casos de uso comunes y están disponibles en su Cuenta de AWS. Para obtener una lista de las políticas AWS administradas, consulte las políticas [AWS administradas ](https://docs.aws.amazon.com/aws-managed-policy/latest/reference/policy-list.html) en la referencia de políticas AWS administradas. Para obtener más información sobre las políticas AWS administradas, consulte las políticas [AWS administradas ](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies_managed-vs-inline.html#aws-managed-policies) en la Guía del usuario de * IAM. * AWS los servicios mantienen y AWS actualizan las políticas administradas. No puede cambiar los permisos de las políticas AWS administradas. En ocasiones, los servicios agregan permisos adicionales a una política administrada de AWS para admitir características nuevas. Este tipo de actualización afecta a todas las identidades (usuarios, grupos y roles) donde se asocia la política. Es más probable que los servicios actualicen una política administrada de AWS cuando se lanza una nueva característica o cuando se ponen a disposición nuevas operaciones. Los servicios no eliminan los permisos de una política AWS administrada, por lo que las actualizaciones de las políticas no afectarán los permisos existentes. Además, AWS admite políticas administradas para funciones laborales que abarcan varios servicios. Por ejemplo, la política ** ReadOnlyAccess ** AWS administrada proporciona acceso de solo lectura a todos los AWS servicios y recursos. Cuando un servicio lanza una nueva función, AWS agrega permisos de solo lectura para nuevas operaciones y recursos. Para obtener una lista y descripciones de las políticas de funciones de trabajo, consulte [Políticas administradas de AWS para funciones de trabajo](https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies_job-functions.html) en la *Guía del usuario de IAM*. **Topics** + [AWS política gestionada: AmazonBedrockFullAccess](#security-iam-awsmanpol-AmazonBedrockFullAccess) + [AWS política gestionada: AmazonBedrockReadOnly](#security-iam-awsmanpol-AmazonBedrockReadOnly) + [AWS política gestionada: AmazonBedrockLimitedAccess](#security-iam-awsmanpol-AmazonBedrockLimitedAccess) + [AWS política gestionada: AmazonBedrockMarketplaceAccess](#security-iam-awsmanpol-AmazonBedrockMarketplaceAccess) + [AWS política gestionada: AmazonBedrockMantleFullAccess](#security-iam-awsmanpol-AmazonBedrockMantleFullAccess) + [AWS política gestionada: AmazonBedrockMantleReadOnly](#security-iam-awsmanpol-AmazonBedrockMantleReadOnly) + [AWS política gestionada: AmazonBedrockMantleInferenceAccess](#security-iam-awsmanpol-AmazonBedrockMantleInferenceAccess) + [Amazon Bedrock actualiza a AWS políticas administradas](#security-iam-awsmanpol-updates) ## AWS política gestionada: AmazonBedrockFullAccess Puede adjuntar la [ AmazonBedrockFullAccess ](https://docs.aws.amazon.com/aws-managed-policy/latest/reference/AmazonBedrockFullAccess.html) política a sus identidades de IAM para conceder permisos administrativos que permitan al usuario crear, leer, actualizar y eliminar recursos de Amazon Bedrock. **Detalles de los permisos** Esta política incluye los permisos siguientes: + `ec2` (Amazon Elastic Compute Cloud): concede permisos para describir las VPC, las subredes y los grupos de seguridad. + `iam`(Administración de AWS identidades y accesos): permite a los directores transferir funciones, pero solo permite que las funciones de IAM que contengan la palabra «Amazon Bedrock» pasen al servicio Amazon Bedrock. Los permisos están restringidos a `bedrock.amazonaws.com` para las operaciones de Amazon Bedrock. + `kms`(Servicio de administración de AWS claves): permite a los directores describir las claves y los alias. AWS KMS + `bedrock` (Amazon Bedrock): concede a las entidades principales acceso de lectura y escritura a todas las acciones del plano de control y el servicio de tiempo de ejecución de Amazon Bedrock. + `sagemaker`(Amazon SageMaker AI): permite a los directores acceder a los recursos de SageMaker IA de Amazon en la cuenta del cliente, lo que sirve de base para la función Amazon Bedrock Marketplace. ------ #### [ JSON ] **** ``` { "Version":"2012-10-17", "Statement": [ { "Sid": "BedrockAll", "Effect": "Allow", "Action": [ "bedrock:*" ], "Resource": "*" }, { "Sid": "DescribeKey", "Effect": "Allow", "Action": [ "kms:DescribeKey" ], "Resource": "arn:*:kms:*:::*" }, { "Sid": "APIsWithAllResourceAccess", "Effect": "Allow", "Action": [ "iam:ListRoles", "ec2:DescribeVpcs", "ec2:DescribeSubnets", "ec2:DescribeSecurityGroups" ], "Resource": "*" }, { "Sid": "MarketplaceModelEndpointMutatingAPIs", "Effect": "Allow", "Action": [ "sagemaker:CreateEndpoint", "sagemaker:CreateEndpointConfig", "sagemaker:CreateModel", "sagemaker:DeleteEndpoint", "sagemaker:UpdateEndpoint" ], "Resource": [ "arn:aws:sagemaker:*:*:endpoint/*", "arn:aws:sagemaker:*:*:endpoint-config/*", "arn:aws:sagemaker:*:*:model/*" ], "Condition": { "StringEquals": { "aws:CalledViaLast": "bedrock.amazonaws.com", "aws:ResourceTag/sagemaker-sdk:bedrock": "compatible" } } }, { "Sid": "MarketplaceModelEndpointAddTagsOperations", "Effect": "Allow", "Action": [ "sagemaker:AddTags" ], "Resource": [ "arn:aws:sagemaker:*:*:endpoint/*", "arn:aws:sagemaker:*:*:endpoint-config/*", "arn:aws:sagemaker:*:*:model/*" ], "Condition": { "ForAllValues:StringEquals": { "aws:TagKeys": [ "sagemaker-sdk:bedrock", "bedrock:marketplace-registration-status", "sagemaker-studio:hub-content-arn" ] }, "StringLike": { "aws:RequestTag/sagemaker-sdk:bedrock": "compatible", "aws:RequestTag/bedrock:marketplace-registration-status": "registered", "aws:RequestTag/sagemaker-studio:hub-content-arn": "arn:aws:sagemaker:*:aws:hub-content/SageMakerPublicHub/Model/*" } } }, { "Sid": "MarketplaceModelEndpointDeleteTagsOperations", "Effect": "Allow", "Action": [ "sagemaker:DeleteTags" ], "Resource": [ "arn:aws:sagemaker:*:*:endpoint/*", "arn:aws:sagemaker:*:*:endpoint-config/*", "arn:aws:sagemaker:*:*:model/*" ], "Condition": { "ForAllValues:StringEquals": { "aws:TagKeys": [ "sagemaker-sdk:bedrock", "bedrock:marketplace-registration-status", "sagemaker-studio:hub-content-arn" ] }, "StringLike": { "aws:ResourceTag/sagemaker-sdk:bedrock": "compatible", "aws:ResourceTag/bedrock:marketplace-registration-status": "registered", "aws:ResourceTag/sagemaker-studio:hub-content-arn": "arn:aws:sagemaker:*:aws:hub-content/SageMakerPublicHub/Model/*" } } }, { "Sid": "MarketplaceModelEndpointNonMutatingAPIs", "Effect": "Allow", "Action": [ "sagemaker:DescribeEndpoint", "sagemaker:DescribeEndpointConfig", "sagemaker:DescribeModel", "sagemaker:DescribeInferenceComponent", "sagemaker:ListEndpoints", "sagemaker:ListTags" ], "Resource": [ "arn:aws:sagemaker:*:*:endpoint/*", "arn:aws:sagemaker:*:*:endpoint-config/*", "arn:aws:sagemaker:*:*:model/*" ], "Condition": { "StringEquals": { "aws:CalledViaLast": "bedrock.amazonaws.com" } } }, { "Sid": "MarketplaceModelEndpointInvokingOperations", "Effect": "Allow", "Action": [ "sagemaker:InvokeEndpoint", "sagemaker:InvokeEndpointWithResponseStream" ], "Resource": [ "arn:aws:sagemaker:*:*:endpoint/*" ], "Condition": { "StringEquals": { "aws:CalledViaLast": "bedrock.amazonaws.com", "aws:ResourceTag/sagemaker-sdk:bedrock": "compatible" } } }, { "Sid": "DiscoveringMarketplaceModel", "Effect": "Allow", "Action": [ "sagemaker:DescribeHubContent" ], "Resource": [ "arn:aws:sagemaker:*:aws:hub-content/SageMakerPublicHub/Model/*", "arn:aws:sagemaker:*:aws:hub/SageMakerPublicHub" ] }, { "Sid": "AllowMarketplaceModelsListing", "Effect": "Allow", "Action": [ "sagemaker:ListHubContents" ], "Resource": "arn:aws:sagemaker:*:aws:hub/SageMakerPublicHub" }, { "Sid": "PassRoleToSageMaker", "Effect": "Allow", "Action": [ "iam:PassRole" ], "Resource": [ "arn:aws:iam::*:role/*SageMaker*ForBedrock*" ], "Condition": { "StringEquals": { "iam:PassedToService": [ "sagemaker.amazonaws.com", "bedrock.amazonaws.com" ] } } }, { "Sid": "PassRoleToBedrock", "Effect": "Allow", "Action": [ "iam:PassRole" ], "Resource": "arn:aws:iam::*:role/*AmazonBedrock*", "Condition": { "StringEquals": { "iam:PassedToService": [ "bedrock.amazonaws.com" ] } } }, { "Sid": "MarketplaceOperationsFromBedrockFor3pModels", "Effect": "Allow", "Action": [ "aws-marketplace:Subscribe", "aws-marketplace:ViewSubscriptions", "aws-marketplace:Unsubscribe" ], "Resource": "*", "Condition": { "StringEquals": { "aws:CalledViaLast": "bedrock.amazonaws.com" } } } ] } ``` ------ ## AWS política gestionada: AmazonBedrockReadOnly Puede adjuntar la [ AmazonBedrockReadOnly ](https://docs.aws.amazon.com/aws-managed-policy/latest/reference/AmazonBedrockReadOnly.html) política a sus identidades de IAM para conceder permisos de solo lectura para ver todos los recursos de Amazon Bedrock. ## AWS política gestionada: AmazonBedrockLimitedAccess Puede adjuntar la [ AmazonBedrockLimitedAccess ](https://docs.aws.amazon.com/aws-managed-policy/latest/reference/AmazonBedrockLimitedAccess.html) política a sus identidades de IAM para permitirle acceder a los servicios de Amazon Bedrock, la administración de AWS KMS claves, los recursos de red y las suscripciones a AWS Marketplace para modelos básicos de terceros. Esta política incluye las siguientes instrucciones: + La instrucción `BedrockAPIs` le permite realizar varias operaciones en Amazon Bedrock, entre las que se incluyen: + Pasar la clave de API de Amazon Bedrock al realizar solicitudes de API al servicio Amazon Bedrock + Describir información acerca de los recursos + Crear recursos (barreras de protección, modelos, trabajos) + Crear y refinar políticas de razonamiento automatizado (crear, desarrollar, refinar y probar políticas) + Eliminar recursos + Invocar modelos en todos los recursos + Recuperar y cancelar las respuestas almacenadas en la API de respuestas. + La instrucción `DescribeKey` le permite ver información sobre las claves de KMS en todas las regiones y cuentas, siempre que las políticas de claves lo permitan. + La instrucción `APIsWithAllResourceAccess` le permite: + Enumerar los roles de IAM. + Describir los recursos de Amazon VPC (VPC, subredes y grupos de seguridad) de todos los recursos + La instrucción `MarketplaceOperationsFromBedrockFor3pModels` le permite: + Suscríbase a las ofertas. AWS Marketplace + Consultar suscripciones + Darse de baja de AWS Marketplace las ofertas. **nota** La clave de condición `aws:CalledViaLast` restringe estas acciones a solo cuando se invocan a través del servicio Amazon Bedrock. ## AWS política gestionada: AmazonBedrockMarketplaceAccess Puede adjuntar la [ AmazonBedrockMarketplaceAccess ](https://docs.aws.amazon.com/aws-managed-policy/latest/reference/AmazonBedrockMarketplaceAccess.html) política a sus identidades de IAM para que pueda gestionar y utilizar los puntos de enlace del modelo de mercado de Amazon Bedrock con SageMaker integración de IA. Esta política incluye las siguientes instrucciones: + La instrucción `BedrockMarketplaceAPIs` le permite crear, eliminar, registrar, anular el registro y actualizar los puntos de conexión del modelo del Marketplace en Amazon Bedrock en todos los recursos. + La `MarketplaceModelEndpointMutatingAPIs` declaración le permite crear y administrar puntos finales, configuraciones de puntos finales y modelos de SageMaker inteligencia artificial en recursos específicos. + Utilice la clave de condición `aws:CalledViaLast` para asegurarse de que estas acciones solo se realicen cuando se invoquen a través de Bedrock. + Usa la clave de `aws:ResourceTag/sagemaker-sdk:bedrock` condición para asegurarte de que estas acciones solo se realicen en los recursos etiquetados como Amazon Bedrock-compatible. + La `MarketplaceModelEndpointAddTagsOperations` declaración permite añadir etiquetas específicas a los puntos finales, las configuraciones de puntos finales y los modelos de la SageMaker IA en recursos específicos. + Utilice la clave de condición `aws:TagKeys` para restringir las etiquetas que se pueden añadir. + Utilice la clave de condición `aws:RequestTag/*` para asegurarse de que los valores de las etiquetas coincidan con los patrones especificados. + La `MarketplaceModelEndpointDeleteTagsOperations` declaración permite eliminar etiquetas específicas de los puntos finales, las configuraciones de los puntos finales y los modelos de la SageMaker IA en recursos específicos. + Utilice la clave de condición `aws:TagKeys` para restringir las etiquetas que se pueden eliminar. + Utilice la clave de condición `aws:ResourceTag/*` para asegurarse de que las etiquetas eliminadas coincidan con los patrones especificados. + La `MarketplaceModelEndpointNonMutatingAPIs` declaración permite ver y describir los puntos finales, las configuraciones de los puntos finales y los modelos de la SageMaker IA en recursos específicos. + Utilice la clave de condición `aws:CalledViaLast` para asegurarse de que estas acciones solo se realicen cuando se invoquen a través del servicio Amazon Bedrock. + La `MarketplaceModelEndpointInvokingOperations` declaración permite invocar puntos finales de SageMaker IA en recursos específicos. + Utilice la clave de condición `aws:CalledViaLast` para asegurarse de que estas acciones solo se realicen a través del servicio Amazon Bedrock. + Use la clave de `aws:ResourceTag/sagemaker-sdk:bedrock` condición para asegurarse de que las acciones solo se realicen en los recursos Bedrock-compatible + La `DiscoveringMarketplaceModel` declaración permite describir el contenido de SageMaker AI Hub en recursos específicos. + La `AllowMarketplaceModelsListing` declaración permite enumerar el contenido de SageMaker AI Hub en recursos específicos. + La `PassRoleToSageMaker` declaración permite transferir funciones de IAM a SageMaker AI y Amazon Bedrock en recursos específicos. + Utilice la clave de condición `iam:PassedToService` para garantizar que los roles solo se pasen a servicios específicos. + La instrucción `PassRoleToBedrock` le permite pasar roles de IAM específicos a Amazon Bedrock en recursos específicos. + Utilice la clave de condición `iam:PassedToService` para asegurarse de que estos roles solo se pasen al servicio Amazon Bedrock. ## AWS política gestionada: AmazonBedrockMantleFullAccess Puede adjuntar la [ AmazonBedrockMantleFullAccess ](https://docs.aws.amazon.com/aws-managed-policy/latest/reference/AmazonBedrockMantleFullAccess.html) política a sus identidades de IAM para conceder acceso total a todas las operaciones de Amazon Bedrock Mantle. **Detalles de los permisos** Esta política incluye los permisos siguientes: + `bedrock-mantle`(Amazon Bedrock Mantle): permite a los directores un acceso total a todas las acciones del servicio Amazon Bedrock Mantle. ## AWS política gestionada: AmazonBedrockMantleReadOnly Puede adjuntar la [ AmazonBedrockMantleReadOnly ](https://docs.aws.amazon.com/aws-managed-policy/latest/reference/AmazonBedrockMantleReadOnly.html) política a sus identidades de IAM para conceder permisos de solo lectura para ver los recursos de Amazon Bedrock Mantle y llamar con un token de portador. **Detalles de los permisos** Esta política incluye los permisos siguientes: + `bedrock-mantle`(Amazon Bedrock Mantle): permite a los directores obtener y publicar los recursos del proyecto Amazon Bedrock Mantle y hacer llamadas con un token de portador para autenticarse. ## AWS política gestionada: AmazonBedrockMantleInferenceAccess Puede adjuntar la [ AmazonBedrockMantleInferenceAccess ](https://docs.aws.amazon.com/aws-managed-policy/latest/reference/AmazonBedrockMantleInferenceAccess.html) política a sus identidades de IAM para conceder permisos que permitan realizar inferencias en modelos de Amazon Bedrock Mantle. **Detalles de los permisos** Esta política incluye los permisos siguientes: + `bedrock-mantle`(Amazon Bedrock Mantle): permite a los directores obtener y enumerar los recursos del proyecto Amazon Bedrock Mantle, crear solicitudes de inferencia y llamar con un token de portador para la autenticación. ## Amazon Bedrock actualiza a AWS políticas administradas Consulte los detalles sobre las actualizaciones de las políticas AWS administradas de Amazon Bedrock desde que este servicio comenzó a rastrear estos cambios. Para obtener alertas automáticas sobre cambios en esta página, suscríbase a la fuente RSS en [Historial de documentación para la guía de usuario de Amazon Bedrock](bedrock-ug-doc-history.md). | Cambio | Descripción | Fecha | | --- | --- | --- | | [AmazonBedrockLimitedAccess](#security-iam-awsmanpol-AmazonBedrockLimitedAccess): actualización de una política actual | Amazon Bedrock agregó la `bedrock:CancelInvoke` acción para que un rol pueda cancelar una respuesta que la API de [ respuestas aún ](bedrock-mantle.md#bedrock-mantle-responses) esté generando. `bedrock:GetInvoke`ya está contemplado en la `bedrock:Get*` acción de esta política. `bedrock:DeleteInvoke`no está incluida, ya que la eliminación de una respuesta almacenada destruye los datos; conceda esa acción de forma explícita a los roles que la necesitan. | 13 de agosto de 2026 | | [AmazonBedrockMantleFullAccess](#security-iam-awsmanpol-AmazonBedrockMantleFullAccess): política nueva | Amazon Bedrock agregó una nueva política para conceder acceso total a todas las operaciones de Amazon Bedrock Mantle. | 3 de diciembre de 2025 | | [AmazonBedrockMantleReadOnly](#security-iam-awsmanpol-AmazonBedrockMantleReadOnly): política nueva | Amazon Bedrock agregó una nueva política para conceder acceso de solo lectura a los recursos de Amazon Bedrock Mantle. | 3 de diciembre de 2025 | | [AmazonBedrockMantleInferenceAccess](#security-iam-awsmanpol-AmazonBedrockMantleInferenceAccess): política nueva | Amazon Bedrock agregó una nueva política para conceder acceso por inferencia a los modelos de Amazon Bedrock Mantle. | 3 de diciembre de 2025 | | [AmazonBedrockFullAccess](#security-iam-awsmanpol-AmazonBedrockFullAccess): política actualizada | Amazon Bedrock actualizó la política AmazonBedrockFullAccess gestionada para permitir el acceso a todos los modelos básicos sin servidor de forma predeterminada. | 14 de julio de 2025 | | [AmazonBedrockMarketplaceAccess](#security-iam-awsmanpol-AmazonBedrockLimitedAccess): política nueva | Amazon Bedrock agregó una nueva política para conceder a los clientes permisos para acceder a los modelos básicos de Amazon Bedrock Marketplace a través de un punto final de IA. SageMaker | 13 de junio de 2025 | | [AmazonBedrockLimitedAccess](#security-iam-awsmanpol-AmazonBedrockLimitedAccess): política nueva | Amazon Bedrock agregó una nueva política para conceder a los clientes permisos básicos para acceder a las acciones principales de Amazon Bedrock. | 13 de junio de 2025 | | [AmazonBedrockFullAccess](#security-iam-awsmanpol-AmazonBedrockFullAccess): política actualizada | Amazon Bedrock actualizó la política AmazonBedrockFullAccess gestionada para conceder a los clientes los permisos necesarios para crear, leer, actualizar y eliminar los recursos de Amazon Bedrock Marketplace. Esto incluye los permisos para administrar los recursos de SageMaker IA subyacentes de Amazon, ya que sirven de base para la funcionalidad de Amazon Bedrock Marketplace. | 4 de diciembre de 2024 | | [AmazonBedrockReadOnly](#security-iam-awsmanpol-AmazonBedrockReadOnly): política actualizada | Amazon Bedrock actualizó la política AmazonBedrockReadOnly gestionada para conceder a los clientes los permisos necesarios para leer los recursos de Amazon Bedrock Marketplace. Esto incluye los permisos para administrar los recursos de SageMaker IA subyacentes de Amazon, ya que sirven de base para la funcionalidad de Amazon Bedrock Marketplace. | 4 de diciembre de 2024 | | [AmazonBedrockReadOnly](#security-iam-awsmanpol-AmazonBedrockReadOnly): política actualizada | Amazon Bedrock actualizó la AmazonBedrockReadOnly política para incluir permisos de solo lectura para la importación de modelos personalizados. | 18 de octubre de 2024 | | [AmazonBedrockReadOnly](#security-iam-awsmanpol-AmazonBedrockReadOnly): política actualizada | Amazon Bedrock ha añadido permisos de solo lectura del perfil de inferencia. | 27 de agosto de 2024 | | [AmazonBedrockReadOnly](#security-iam-awsmanpol-AmazonBedrockReadOnly): política actualizada | Amazon Bedrock actualizó la AmazonBedrockReadOnly política para incluir permisos de solo lectura para Amazon Bedrock Guardrails, la evaluación de modelos de Amazon Bedrock y la inferencia de Amazon Bedrock Batch. | 21 de agosto de 2024 | | [AmazonBedrockReadOnly](#security-iam-awsmanpol-AmazonBedrockReadOnly): política actualizada | Amazon Bedrock ha agregado permisos de solo lectura para inferencia por lotes (trabajo de invocación del modelo). | 21 de agosto de 2024 | | [AmazonBedrockReadOnly](#security-iam-awsmanpol-AmazonBedrockReadOnly): política actualizada | Amazon Bedrock actualizó la AmazonBedrockReadOnly política para incluir permisos de solo lectura para la importación de modelos personalizados de Amazon Bedrock. | 3 de septiembre de 2024 | | [AmazonBedrockFullAccess](#security-iam-awsmanpol-AmazonBedrockFullAccess): política nueva | Amazon Bedrock agregó una nueva política para otorgar a los usuarios permisos para crear, leer, actualizar y eliminar recursos. | 12 de diciembre de 2023 | | [AmazonBedrockReadOnly](#security-iam-awsmanpol-AmazonBedrockReadOnly): política nueva | Amazon Bedrock ha agregado una nueva política para conceder a los usuarios permisos de solo lectura para realizar todas las acciones. | 12 de diciembre de 2023 | | Amazon Bedrock comenzó a hacer un seguimiento de los cambios | Amazon Bedrock comenzó a realizar un seguimiento de los cambios en sus políticas gestionadas. AWS | 12 de diciembre de 2023 |