Terjemahan disediakan oleh mesin penerjemah. Jika konten terjemahan yang diberikan bertentangan dengan versi bahasa Inggris aslinya, utamakan versi bahasa Inggris.

Enkripsi data untuk pekerjaan evaluasi model

Selama pekerjaan evaluasi model, Amazon Bedrock membuat salinan data Anda yang ada sementara. Amazon Bedrock menghapus data setelah pekerjaan selesai. Ini menggunakan AWS KMS kunci untuk mengenkripsi itu. Ini menggunakan AWS KMS kunci yang Anda tentukan atau kunci milik Amazon Bedrock untuk mengenkripsi data.

Amazon Bedrock menggunakan IAM berikut dan AWS Key Management Service izin untuk menggunakan AWS KMS kunci Anda untuk mendekripsi data Anda dan mengenkripsi salinan sementara yang dibuatnya.

AWS Key Management Service dukungan dalam pekerjaan evaluasi model

Saat Anda membuat pekerjaan evaluasi model menggunakan AWS SDK AWS Management Console, atau yang didukung AWS CLI, Anda dapat memilih untuk menggunakan kunci KMS milik Amazon Bedrock atau kunci yang dikelola pelanggan Anda sendiri. Jika tidak ada kunci terkelola pelanggan yang ditentukan maka kunci milik Amazon Bedrock digunakan secara default.

Untuk menggunakan kunci yang dikelola pelanggan, Anda harus menambahkan tindakan dan sumber daya IAM yang diperlukan ke kebijakan peran layanan IAM. Anda juga harus menambahkan elemen kebijakan AWS KMS kunci yang diperlukan.

Anda juga perlu membuat kebijakan yang dapat berinteraksi dengan kunci yang dikelola pelanggan Anda. Ini ditentukan dalam kebijakan AWS KMS kunci terpisah.

Amazon Bedrock menggunakan IAM berikut dan AWS KMS izin untuk menggunakan AWS KMS kunci Anda untuk mendekripsi file Anda dan mengaksesnya. Ini menyimpan file-file tersebut ke lokasi Amazon S3 internal yang dikelola oleh Amazon Bedrock dan menggunakan izin berikut untuk mengenkripsi mereka.

Persyaratan kebijakan IAM

Kebijakan IAM yang terkait dengan peran IAM yang Anda gunakan untuk membuat permintaan ke Amazon Bedrock harus memiliki elemen berikut. Untuk mempelajari lebih lanjut tentang mengelola AWS KMS kunci Anda, lihat Menggunakan kebijakan IAM dengan AWS Key Management Service.

Pekerjaan evaluasi model di Amazon Bedrock menggunakan kunci yang AWS dimiliki. Kunci KMS ini dimiliki oleh Amazon Bedrock. Untuk mempelajari selengkapnya tentang AWS kunci yang AWS dimiliki, lihat kunci yang dimiliki di Panduan AWS Key Management Service Pengembang.

Berikut ini adalah contoh kebijakan IAM yang hanya berisi tindakan dan sumber daya AWS KMS IAM yang diperlukan.

{
    "Version": "2012-10-17",
    "Statement": [
        { 
            "Sid": "CustomKMSKeyProvidedToBedrock",
            "Effect": "Allow",
            "Action": [
                "kms:Decrypt",
                "kms:GenerateDataKey"
            ],
            "Resource": [
              "arn:aws:kms:{{region}}:{{accountId}}:key/[[keyId]]"
            ],
            "Condition": {
                "StringEquals": {
                    "kms:ViaService": "s3.{{region}}.amazonaws.com"
                }
            }
        },
        { 
            "Sid": "CustomKMSDescribeKeyProvidedToBedrock",
            "Effect": "Allow",
            "Action": [
                "kms:DescribeKey"
            ],
            "Resource": [
              "arn:aws:kms:{{region}}:{{accountId}}:key/[[keyId]]"
            ]
        }
    ]
}

AWS KMS persyaratan kebijakan utama

Setiap AWS KMS kunci harus memiliki satu kebijakan kunci. Pernyataan dalam kebijakan kunci menentukan siapa yang memiliki izin untuk menggunakan AWS KMS kunci dan bagaimana mereka dapat menggunakannya. Anda juga dapat menggunakan kebijakan dan hibah IAM untuk mengontrol akses ke AWS KMS kunci, tetapi setiap AWS KMS kunci harus memiliki kebijakan kunci.

Anda harus menambahkan pernyataan berikut ke kebijakan AWS KMS kunci yang ada. Ini memberi Amazon Bedrock izin untuk menyimpan sementara data Anda di bucket layanan Amazon Bedrock menggunakan AWS KMS yang telah Anda tentukan.

{
		"Effect": "Allow",
		"Principal": {
		    "Service": "bedrock.amazonaws.com"
		},
		"Action": [
		    "kms:GenerateDataKey",
		    "kms:Decrypt",
		    "kms:DescribeKey"
		],
		"Resource": "*",
		"Condition": {
		    "StringLike": {
		        "kms:EncryptionContext:evaluationJobArn": "arn:aws:bedrock:{{region}}:{{accountId}}:evaluation-job/*",
		        "aws:SourceArn": "arn:aws:bedrock:{{region}}:{{accountId}}:evaluation-job/*"
		    }
		}
}

Berikut ini adalah contoh AWS KMS kebijakan lengkap.

{
    "Version": "2012-10-17",
    "Id": "key-consolepolicy-3",
    "Statement": [
        {
            "Sid": "EnableIAMUserPermissions",
            "Effect": "Allow",
            "Principal": {
                "AWS": "arn:aws:iam::{{CustomerAccountId}}:root"
            },
            "Action": "kms:*",
            "Resource": "*"
        },
        {
            "Effect": "Allow",
            "Principal": {
                "Service": "bedrock.amazonaws.com"
            },
            "Action": [
                "kms:GenerateDataKey",
                "kms:Decrypt",
                "kms:DescribeKey"
            ],
            "Resource": "*",
            "Condition": {
                "StringLike": {
                    "kms:EncryptionContext:evaluationJobArn": "arn:aws:bedrock:{{region}}:{{accountId}}:evaluation-job/*",
                    "aws:SourceArn": "arn:aws:bedrock:{{region}}:{{accountId}}:evaluation-job/*"
                }
            }
        }
    ]
}