Exigences de fonction du service pour les tâches d’évaluation de modèle automatique

Pour créer une tâche d’évaluation de modèle automatique, vous devez spécifier une fonction du service. La politique que vous attachez accorde à Amazon Bedrock un accès aux ressources de votre compte et permet à Amazon Bedrock d’invoquer le modèle sélectionné en votre nom.

Vous devez également attacher une politique de confiance qui définisse Amazon Bedrock en tant que principal du service à l’aide de bedrock.amazonaws.com. Chacun des exemples de politique suivants indique les IAM actions exactes requises en fonction de chaque service invoqué dans le cadre d'une tâche d'évaluation automatique de modèles.

Pour créer un rôle de service personnalisé, consultez la section Création d'un rôle utilisant une politique de confiance personnalisée dans le Guide de IAM l'utilisateur.

IAMActions Amazon S3 requises

L’exemple de politique suivant accorde un accès aux compartiments S3 où sont enregistrés les résultats de vos évaluations de modèle, ainsi qu’un accès (facultatif) aux jeux de données de requêtes personnalisés que vous avez spécifiés.

{
"Version": "2012-10-17",
"Statement": [
    {
        "Sid": "AllowAccessToCustomDatasets",
        "Effect": "Allow",
        "Action": [
            "s3:GetObject",
            "s3:ListBucket"
        ],
        "Resource": [
            "arn:aws:s3:::my_customdataset1_bucket",
            "arn:aws:s3:::my_customdataset1_bucket/myfolder",
            "arn:aws:s3:::my_customdataset2_bucket",
            "arn:aws:s3:::my_customdataset2_bucket/myfolder"
        ]
    },
    {
        "Sid": "AllowAccessToOutputBucket",
        "Effect": "Allow",
        "Action": [
            "s3:GetObject",
            "s3:ListBucket",
            "s3:PutObject",
            "s3:GetBucketLocation",
            "s3:AbortMultipartUpload",
            "s3:ListBucketMultipartUploads"
        ],
        "Resource": [
            "arn:aws:s3:::my_output_bucket",
            "arn:aws:s3:::my_output_bucket/myfolder"
        ]
    }
]
}

Actions Amazon Bedrock IAM requises

Vous devez également créer une politique qui permette à Amazon Bedrock d’invoquer le modèle que vous prévoyez de spécifier dans la tâche d’évaluation de modèle automatique. Pour en savoir plus sur la gestion de l’accès aux modèles Amazon Bedrock, consultez Accédez aux modèles de fondations Amazon Bedrock.

{
"Version": "2012-10-17",
"Statement": [
    {
        "Sid": "AllowSpecificModels",
        "Effect": "Allow",
        "Action": [
            "bedrock:InvokeModel",
            "bedrock:InvokeModelWithResponseStream",
            "bedrock:CreateModelInvocationJob",
            "bedrock:StopModelInvocationJob",
            "bedrock:GetProvisionedModelThroughput",
            "bedrock:GetInferenceProfile",
            "bedrock:ListInferenceProfiles"

        ],
        "Resource": [
            "arn:aws:bedrock:region::foundation-model/*",
            "arn:aws:bedrock:region:111122223333:inference-profile/*",
            "arn:aws:bedrock:region:111122223333:provisioned-model/*"
        ]
    }
]
}

Exigences de principal du service

Vous devez également spécifier une politique de confiance qui définisse Amazon Bedrock en tant que principal du service. Cela permet à Amazon Bedrock d’endosser le rôle. La tâche d'évaluation de modèles wildcard (*) ARN est requise pour qu'Amazon Bedrock puisse créer des tâches d'évaluation de modèles dans votre AWS compte.

{
"Version": "2012-10-17",
"Statement": [{
    "Sid": "AllowBedrockToAssumeRole",
    "Effect": "Allow",
    "Principal": {
        "Service": "bedrock.amazonaws.com"
    },
    "Action": "sts:AssumeRole",
    "Condition": {
        "StringEquals": {
            "aws:SourceAccount": "111122223333"
        },
        "ArnEquals": {
            "aws:SourceArn": "arn:aws:bedrock:Région AWS:111122223333:evaluation-job/*"
        }
    }
}]
}