Appliquez des mesures de protection entre comptes grâce aux mesures d'application d'Amazon Bedrock Guardrails

Planifiez la configuration de votre garde-corps

1. Définissez vos mesures de protection :

   • Consultez les filtres de garde-corps disponibles dans la documentation Amazon Bedrock Guardrails

   • Identifiez le filtre dont vous avez besoin. Actuellement, les filtres de contenu, les sujets refusés, les filtres de mots, les filtres d'informations sensibles et les vérifications d'ancrage contextuelles sont pris en charge.

   • Important

     N'incluez pas la politique de raisonnement automatique, car elle n'est pas prise en charge pour les mesures de sécurité et peut entraîner des échecs d'exécution.

2. Identifiez les comptes cibles :

   • Déterminez les unités d'organisation, les comptes ou l'ensemble de votre organisation qui appliqueront cette garantie

Créez votre garde-corps dans le compte de gestion

Créez un garde-corps dans chaque région où vous souhaitez le renforcer à l'aide de l'une des méthodes suivantes :

• À l'aide de Console de gestion AWS :

  1. Connectez-vous au Console de gestion AWS avec une identité IAM autorisée à utiliser la console Amazon Bedrock. Ouvrez ensuite la console Amazon Bedrock à https://console.aws.amazon.com/bedrock l'adresse.

  2. Dans le panneau de navigation de gauche, choisissez Guardrails

  3. Choisissez Créer un garde-corps

  4. Suivez l'assistant pour configurer les filtres ou les mesures de protection souhaités (filtres de contenu, sujets refusés, filtres de mots, filtres d'informations sensibles, vérifications d'ancrage contextuelles)

  5. Ne pas activer la politique de raisonnement automatique

  6. Complétez l'assistant pour créer votre garde-corps

• Utilisation de l'API : utilisez l'CreateGuardrailAPI

Vérification

Une fois créé, vous devriez le voir dans la liste des garde-corps sur la page d'accueil des garde-corps ou le rechercher dans la liste des garde-corps en utilisant le nom du garde-corps.

Créer une version de garde-corps

Créez une version numérique pour vous assurer que la configuration du garde-corps reste immuable et ne peut pas être modifiée par les comptes des membres.

• À l'aide de Console de gestion AWS :

  1. Sélectionnez le garde-corps créé à l'étape précédente sur la page Gardrails de la console Amazon Bedrock

  2. Choisissez Créer une version

  3. Notez l'ARN du garde-corps et le numéro de version (par exemple, « 1 », « 2 »)

• Utilisation de l'API : utilisez l'CreateGuardrailVersionAPI

Vérification

Vérifiez que la version a bien été créée en consultant la liste des versions sur la page détaillée de Guardrail.

Joindre une politique basée sur les ressources

Activez l'accès entre comptes en associant une politique basée sur les ressources à votre garde-corps.

• Utilisation du Console de gestion AWS — Pour associer une politique basée sur les ressources à l'aide de la console :

  1. Dans la console Amazon Bedrock Guardrails, sélectionnez votre garde-corps

  2. Choisissez Ajouter pour ajouter une politique basée sur les ressources

  3. Ajoutez une politique qui accorde bedrock:ApplyGuardrail l'autorisation à tous les comptes membres ou à toutes les organisations. Consultez Partagez le garde-corps avec votre organisation dans Utiliser des politiques basées sur les ressources pour les garde-fous.

  4. Sauvegardez la politique

Vérification

Testez l'accès depuis un compte de membre à l'aide de l'ApplyGuardrailAPI pour vous assurer que l'autorisation est correctement configurée.

Configurer les autorisations IAM dans les comptes des membres

Assurez-vous que tous les rôles des comptes membres disposent des autorisations IAM nécessaires pour accéder à la barrière de sécurité appliquée.

Autorisations requises

Les rôles des comptes membres nécessitent une bedrock:ApplyGuardrail autorisation pour le garde-corps du compte de gestion. Consultez Configuration d’autorisations pour utiliser les barrières de protection Amazon Bedrock des exemples détaillés de politiques IAM

Vérification

Vérifiez que les rôles dont les autorisations sont limitées dans les comptes membres peuvent appeler l'ApplyGuardrailAPI avec succès à l'aide du garde-fou.

Activez le type de politique Amazon Bedrock dans AWS Organizations

• Utilisation du Console de gestion AWS — Pour activer le type de politique Amazon Bedrock à l'aide de la console :

  1. Accédez à la AWS Organizations console

  2. Choisissez des politiques

  3. Choisissez les politiques d'Amazon Bedrock

  4. Choisissez Activer les politiques Amazon Bedrock pour activer le type de politique Amazon Bedrock pour votre organisation

• Utilisation de l'API : utilisez l' AWS Organizations EnablePolicyTypeAPI avec le type de politique BEDROCK_POLICY

Vérification

Vérifiez que le type de politique Amazon Bedrock est indiqué comme étant activé dans la AWS Organizations console.

Créez et joignez un AWS Organizations policy

Créez une politique de gestion qui spécifie votre garde-fou et associez-le à vos comptes cibles ou à vos unités d'organisation.

• Utilisation du Console de gestion AWS — Pour créer et joindre une AWS Organizations politique à l'aide de la console :

  1. Dans la AWS Organizations console, accédez à Politiques > Politiques Amazon Bedrock

  2. Choisir Create policy (Créer une stratégie)

  3. Spécifiez l'ARN et la version de votre garde-corps

     Important

     Assurez-vous de spécifier l'ARN de garde-corps exact dans la politique. La spécification d'un ARN incorrect ou non valide entraînera des violations des politiques, la non-application des garanties et l'impossibilité d'utiliser les modèles d'Amazon Bedrock à des fins d'inférence.

  4. Configurez des contrôles sélectifs de protection du contenu (facultatif).

     • Les API Amazon Bedrock permettent aux appelants de baliser un contenu spécifique dans leurs instructions de saisie pour une évaluation de sécurité.

     • Les contrôles sélectifs de protection du contenu permettent aux administrateurs de décider s'ils veulent respecter les décisions de balisage prises par les appelants de l'API.

     • Les messages commandes system et déterminent la manière dont les instructions du système et le contenu des messages sont traités par les garde-corps. Chacune accepte l'une des valeurs suivantes :

       • Sélectif  : évaluez uniquement le contenu contenu dans les balises de contenu de protection. Lorsqu'aucune balise n'est spécifiée, le comportement dépend du contrôle. Poursystem, aucun contenu n'est évalué, et pourmessages, tout le contenu est évalué.

       • Complet  : évaluez l'ensemble du contenu, quelles que soient les balises de protection du contenu.

     • S'ils ne sont pas configurés, les deux contrôles sont définis par défaut sur Comprehensive.

     {
         "bedrock": {
             "guardrail_inference": {
                 "us-east-1": {
                     "config_1": {
                         "identifier": {
                             "@@assign": "arn:aws:bedrock:us-east-1:123456789012:guardrail/guardrail-id:1"
                         },
                         "selective_content_guarding": {
                             "system": {
                                 "@@assign": "selective"
                             },
                             "messages": {
                                 "@@assign": "comprehensive"
                             }
                         },
                         "model_enforcement": {
                             "included_models": {
                                 "@@assign": ["ALL"]
                             },
                             "excluded_models": {
                                 "@@assign": ["amazon.titan-embed-text-v2:0", "cohere.embed-english-v3"]
                             }
                         }
                     }
                 }
             }
         }
     }

  5. Sauvegardez la politique

  6. Associez la politique aux cibles souhaitées (racine de l'organisation, unités d'organisation ou comptes individuels) en accédant à l'onglet Cibles et en choisissant Joindre

• Utilisation de l'API : utilisez l' AWS Organizations CreatePolicyAPI avec le type de politiqueBEDROCK_POLICY. AttachPolicyÀ utiliser pour attacher à des cibles

Pour en savoir plus : Politiques d'Amazon Bedrock dans AWS Organizations

Vérification

Vérifiez que la politique est associée aux bonnes cibles dans la AWS Organizations console.

Tester et vérifier l'application

Vérifiez que le garde-fou est appliqué sur les comptes des membres.

Planifiez la configuration de votre garde-corps

Définissez vos mesures de protection

Pour définir vos mesures de protection :

Création d’une barrière de protection

Créez un garde-corps dans chaque région où vous souhaitez le renforcer.

Via Console de gestion AWS

Pour créer un garde-corps à l'aide de la console :

1. Connectez-vous au Console de gestion AWS avec une identité IAM autorisée à utiliser la console Amazon Bedrock. Ouvrez ensuite la console Amazon Bedrock à https://console.aws.amazon.com/bedrock l'adresse.

2. Dans le panneau de navigation de gauche, choisissez Guardrails

3. Choisissez Créer un garde-corps

4. Suivez l'assistant pour configurer les politiques souhaitées (filtres de contenu, sujets refusés, filtres de mots, filtres d'informations sensibles)

5. Ne pas activer la politique de raisonnement automatique

6. Complétez l'assistant pour créer votre garde-corps

Via une API

Utilisation de l'API CreateGuardrail

Vérification

Une fois créé, vous devriez le voir dans la liste des garde-corps sur la page d'accueil des garde-corps ou le rechercher dans la liste des garde-corps en utilisant le nom du garde-corps

Créer une version de garde-corps

Créez une version numérique pour vous assurer que la configuration du garde-corps reste immuable et ne peut pas être modifiée par les comptes des membres.

Via Console de gestion AWS

Pour créer une version de garde-corps à l'aide de la console :

1. Sélectionnez le garde-corps créé à l'étape précédente sur la page Gardrails de la console Amazon Bedrock

2. Choisissez Créer une version

3. Notez l'ARN du garde-corps et le numéro de version (par exemple, « 1 », « 2 »)

Via une API

Utilisation de l'API CreateGuardrailVersion

Vérification

Vérifiez que la version a bien été créée en consultant la liste des versions sur la page détaillée de Guardrail.

Joindre une politique basée sur les ressources (facultatif)

Si vous souhaitez partager le garde-fou avec des rôles spécifiques de votre compte, joignez une politique basée sur les ressources.

Via Console de gestion AWS

Pour joindre une politique basée sur les ressources à l'aide de la console, procédez comme suit :

1. Dans la console Amazon Bedrock Guardrails, sélectionnez votre garde-corps

2. Choisissez Ajouter pour ajouter une politique basée sur les ressources

3. Ajoutez une politique qui accorde bedrock:ApplyGuardrail l'autorisation aux rôles souhaités

4. Enregistrez la politique

Activez l'application au niveau du compte

Configurez le compte pour utiliser votre garde-fou pour toutes les invocations Amazon Bedrock. Cela doit être fait dans chaque région où vous souhaitez faire appliquer la loi.

Via Console de gestion AWS

Pour activer l'application au niveau du compte à l'aide de la console :

1. Accédez à la console Amazon Bedrock

2. Choisissez Guardrails dans le panneau de navigation de gauche

3. Dans la section Configurations d'Account-level application, choisissez Ajouter

4. Sélectionnez votre garde-corps et votre version

5. Configurez des contrôles sélectifs de protection du contenu (facultatif).

   • Les API Amazon Bedrock permettent aux appelants de baliser un contenu spécifique dans leurs instructions de saisie pour une évaluation de sécurité.

   • Les contrôles sélectifs de protection du contenu permettent aux administrateurs de décider s'ils veulent respecter les décisions de balisage prises par les appelants de l'API.

   • Les messages commandes system et déterminent la manière dont les instructions du système et le contenu des messages sont traités par les garde-corps. Chacune accepte l'une des valeurs suivantes :

     • Sélectif  : évaluez uniquement le contenu contenu dans les balises de contenu de protection.

     • Complet  : évaluez l'ensemble du contenu, quelles que soient les balises de protection du contenu.

   • S'ils ne sont pas configurés, les deux contrôles sont définis par défaut sur Comprehensive.

6. Soumettre la configuration

7. Répétez l'opération pour chaque région où vous souhaitez que l'application soit appliquée

Via une API

Utilisez l'PutEnforcedGuardrailConfigurationAPI dans chaque région où vous souhaitez renforcer le garde-fou

Vérification

Vous devriez voir le garde-corps imposé par le compte dans la section Configuration du garde-corps imposé par le compte sur la page Garde-corps. Vous pouvez appeler ListEnforcedGuardrailsConfiguration l'API pour vous assurer que le garde-corps appliqué est répertorié

Tester et vérifier l'application

Testez en utilisant un rôle dans votre compte

Pour tester l'application depuis votre compte :

1. Effectuez un appel d'inférence Amazon Bedrock en utilisantInvokeModel,Converse, ou InvokeModelWithResponseStream ConverseStream

2. Le garde-corps imposé par le compte doit s'appliquer automatiquement aux entrées et aux sorties

3. Consultez la réponse pour obtenir des informations sur l'évaluation des garde-corps. L'intervention en matière de garde-corps comprendra des informations sur les garde-corps obligatoires.