Création d'un rôle de service pour Amazon Bedrock Studio - Amazon Bedrock
Relation d'approbationAutorisations pour gérer un espace de travail Amazon Bedrock Studio

Les traductions sont fournies par des outils de traduction automatique. En cas de conflit entre le contenu d'une traduction et celui de la version originale en anglais, la version anglaise prévaudra.

Création d'un rôle de service pour Amazon Bedrock Studio

Amazon Bedrock Studio est en version préliminaire pour Amazon Bedrock et est sujet à modification.

Pour gérer vos espaces de travail Amazon Bedrock Studio, vous devez créer un rôle de service qui permet à Amazon de DataZone gérer vos espaces de travail.

Pour utiliser un rôle de service pour Amazon Bedrock Studio, créez un IAM rôle et associez les autorisations suivantes en suivant les étapes de la section Création d'un rôle pour déléguer des autorisations à un AWS service.

Relation d'approbation

La politique suivante permet à Amazon Bedrock d'assumer ce rôle et de gérer un espace de travail Amazon Bedrock Studio avec Amazon. DataZone L'exemple suivant illustre un exemple de politique que vous pouvez utiliser.

  • Définissez la aws:SourceAccount valeur en fonction de votre identifiant de AWS compte.

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Principal": {
        "Service": "datazone.amazonaws.com"
      },
      "Action": [
        "sts:AssumeRole",
        "sts:TagSession"
      ],
      "Condition": {
        "StringEquals": {
          "aws:SourceAccount": "account ID"
        },
        "ForAllValues:StringLike": {
          "aws:TagKeys": "datazone*"
        }
      }
    }
  ]
}

Autorisations pour gérer un espace de travail Amazon Bedrock Studio

Politique par défaut pour le rôle de service principal d'Amazon Bedrock Studio. Amazon Bedrock utilise ce rôle pour créer, gérer et partager des ressources dans Bedrock Studio avec Amazon. DataZone

Cette politique comprend les ensembles d'autorisations suivants.

  • datazone — Accorde l'accès aux DataZone ressources Amazon gérées par Amazon Bedrock Studio.

  • ram — Permet de récupérer les associations de partage de ressources que vous possédez.

  • bedrock — Permet d'invoquer les modèles de fondation Amazon Bedrock.

  • kms — Permet d'utiliser l'accès AWS KMS pour chiffrer les données Amazon Bedrock Studio à l'aide d'une clé gérée par le client. 

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "GetDataZoneDomain",
      "Effect": "Allow",
      "Action": "datazone:GetDomain",
      "Resource": "*",
      "Condition": {
        "StringEquals": {
          "aws:ResourceTag/AmazonBedrockManaged": "true"
        }
      }
    },
    {
      "Sid": "ManageDataZoneResources",
      "Effect": "Allow",
      "Action": [
        "datazone:ListProjects",
        "datazone:GetProject",
        "datazone:CreateProject",
        "datazone:UpdateProject",
        "datazone:DeleteProject",
        "datazone:ListProjectMemberships",
        "datazone:CreateProjectMembership",
        "datazone:DeleteProjectMembership",
        "datazone:ListEnvironments",
        "datazone:GetEnvironment",
        "datazone:CreateEnvironment",
        "datazone:UpdateEnvironment",
        "datazone:DeleteEnvironment",
        "datazone:ListEnvironmentBlueprints",
        "datazone:GetEnvironmentBlueprint",
        "datazone:ListEnvironmentBlueprintConfigurations",
        "datazone:GetEnvironmentBlueprintConfiguration",
        "datazone:ListEnvironmentProfiles",
        "datazone:GetEnvironmentProfile",
        "datazone:CreateEnvironmentProfile",
        "datazone:UpdateEnvironmentProfile",
        "datazone:DeleteEnvironmentProfile",
        "datazone:GetEnvironmentCredentials",
        "datazone:ListGroupsForUser",
        "datazone:SearchUserProfiles",
        "datazone:SearchGroupProfiles",
        "datazone:GetUserProfile",
        "datazone:GetGroupProfile"
      ],
      "Resource": "*"
    },
    {
      "Sid": "GetResourceShareAssociations",
      "Effect": "Allow",
      "Action": "ram:GetResourceShareAssociations",
      "Resource": "*"
    },
    {
      "Sid": "InvokeBedrockModels",
      "Effect": "Allow",
      "Action": [
        "bedrock:GetFoundationModelAvailability",
        "bedrock:InvokeModel",
        "bedrock:InvokeModelWithResponseStream"
      ],
      "Resource": "*"
    },
    {
      "Sid": "UseCustomerManagedKmsKey",
      "Effect": "Allow",
      "Action": [
        "kms:DescribeKey",
        "kms:GenerateDataKey",
        "kms:Decrypt"
      ],
      "Resource": "*",
      "Condition": {
        "StringEquals": {
          "aws:ResourceTag/EnableBedrock": "true"
        }
      }
    }
  ]
}