View a markdown version of this page

Membuat peran layanan untuk kustomisasi model - Amazon Bedrock
Hubungan kepercayaanIzin untuk mengakses file pelatihan dan validasi dan untuk menulis file output di S3(Opsional) Izin untuk membuat pekerjaan Distilasi dengan profil inferensi lintas wilayah

Terjemahan disediakan oleh mesin penerjemah. Jika konten terjemahan yang diberikan bertentangan dengan versi bahasa Inggris aslinya, utamakan versi bahasa Inggris.

Membuat peran layanan untuk kustomisasi model

Untuk menggunakan peran khusus untuk penyesuaian model alih-alih peran yang dibuat Amazon Bedrock secara otomatis, buat peran IAM dan lampirkan izin berikut dengan mengikuti langkah-langkah di Membuat peran untuk mendelegasikan izin ke layanan. AWS

  • Hubungan kepercayaan

  • Izin untuk mengakses data pelatihan dan validasi Anda di S3 dan untuk menulis data keluaran Anda ke S3

  • (Opsional) Jika Anda mengenkripsi salah satu sumber daya berikut dengan kunci KMS, izin untuk mendekripsi kunci (lihatEnkripsi model khusus)

    • Pekerjaan kustomisasi model atau model kustom yang dihasilkan

    • Data pelatihan, validasi, atau keluaran untuk pekerjaan kustomisasi model

Hubungan kepercayaan

Kebijakan berikut memungkinkan Amazon Bedrock untuk mengambil peran ini dan melaksanakan pekerjaan penyesuaian model. Berikut ini menunjukkan contoh kebijakan yang dapat Anda gunakan.

Secara opsional, Anda dapat membatasi cakupan izin untuk pencegahan wakil yang membingungkan lintas layanan dengan menggunakan satu atau beberapa kunci konteks kondisi global dengan Condition bidang tersebut. Untuk informasi selengkapnya, lihat kunci konteks kondisi AWS global.

  • Tetapkan aws:SourceAccount nilai ke ID akun Anda.

  • (Opsional) Gunakan ArnLike kondisi ArnEquals atau untuk membatasi ruang lingkup ke pekerjaan kustomisasi model tertentu di ID akun Anda.

JSON
{
    "Version":"2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Principal": {
                "Service": "bedrock.amazonaws.com"
            },
            "Action": "sts:AssumeRole",
            "Condition": {
                "StringEquals": {
                    "aws:SourceAccount": "123456789012"
                },
                "ArnEquals": {
                    "aws:SourceArn": "arn:aws:bedrock:us-east-1:111122223333:model-customization-job/*"
                }
            }
        }
    ]
}

Izin untuk mengakses file pelatihan dan validasi dan untuk menulis file output di S3

Lampirkan kebijakan berikut untuk mengizinkan peran mengakses data pelatihan dan validasi Anda serta bucket tempat untuk menulis data keluaran Anda. Ganti nilai dalam Resource daftar dengan nama bucket Anda yang sebenarnya.

Untuk membatasi akses ke folder tertentu dalam bucket, tambahkan kunci s3:prefix kondisi dengan jalur folder Anda. Anda dapat mengikuti contoh kebijakan Pengguna di Contoh 2: Mendapatkan daftar objek dalam bucket dengan awalan tertentu

JSON
{
    "Version":"2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "s3:GetObject",
                "s3:ListBucket"
            ],
            "Resource": [
                "arn:aws:s3:::training-bucket",
                "arn:aws:s3:::training-bucket/*",
                "arn:aws:s3:::validation-bucket",
                "arn:aws:s3:::validation-bucket/*"
            ]
        },
        {
            "Effect": "Allow",
            "Action": [
                "s3:GetObject",
                "s3:PutObject",
                "s3:ListBucket"
            ],
            "Resource": [
                "arn:aws:s3:::output-bucket",
                "arn:aws:s3:::output-bucket/*"
            ]
        }
    ]
}

(Opsional) Izin untuk membuat pekerjaan Distilasi dengan profil inferensi lintas wilayah

Untuk menggunakan profil inferensi lintas wilayah untuk model guru dalam pekerjaan distilasi, peran layanan harus memiliki izin untuk memanggil profil inferensi dalam Wilayah AWS, selain model di setiap Wilayah dalam profil inferensi.

Untuk izin yang dapat dipanggil dengan profil inferensi lintas wilayah (ditentukan sistem), gunakan kebijakan berikut sebagai templat kebijakan izin untuk dilampirkan ke peran layanan Anda:

JSON
{
    "Version":"2012-10-17",
    "Statement": [
        {
            "Sid": "CrossRegionInference",
            "Effect": "Allow",
            "Action": [
                "bedrock:InvokeModel"
            ],
            "Resource": [
                "arn:aws:bedrock:us-east-1:123456789012:inference-profile/${InferenceProfileId}",
                "arn:aws:bedrock:us-east-1::foundation-model/${ModelId}",
                "arn:aws:bedrock:us-east-1::foundation-model/${ModelId}"
            ]
        }
    ]
}