Applica misure di protezione per più account con le applicazioni di Amazon Bedrock Guardrails

Pianifica la configurazione del guardrail

1. Definisci le tue misure di sicurezza:

   • Consulta i filtri guardrail disponibili nella documentazione di Amazon Bedrock Guardrails

   • Identifica il filtro di cui hai bisogno. Attualmente sono supportati i filtri dei contenuti, gli argomenti negati, i filtri per le parole, i filtri per le informazioni sensibili e i controlli contestuali.

   • Importante

     Non includete la politica di ragionamento automatico, poiché non è supportata per l'applicazione dei guardrail e causerà errori di runtime.

2. Identifica gli account di destinazione:

   • Determina a quali unità organizzative, account o all'intera organizzazione verrà applicato questo guardrail

Crea il tuo guardrail nell'account di gestione

Crea un guardrail in ogni regione in cui desideri applicarlo con uno dei seguenti metodi:

• Usando: Console di gestione AWS

  1. Accedi a Console di gestione AWS con un'identità IAM con le autorizzazioni per utilizzare la console Amazon Bedrock. Quindi, apri la console Amazon Bedrock all'indirizzo. https://console.aws.amazon.com/bedrock

  2. Nel pannello di navigazione a sinistra, scegli Guardrails

  3. Scegli Crea guardrail

  4. Segui la procedura guidata per configurare i filtri o le protezioni desiderati (filtri per i contenuti, argomenti negati, filtri per parole, filtri per informazioni sensibili, controlli contestuali della base)

  5. Non abilitare la politica di ragionamento automatico

  6. Completa la procedura guidata per creare il tuo guardrail

• Utilizzo dell'API: utilizza l'API CreateGuardrail

Verifica

Una volta creato, dovresti vederlo nell'elenco dei guardrail nella landing page di Guardrails o cercarlo nell'elenco dei guardrail usando il nome del guardrail

Crea una versione guardrail

Crea una versione numerica per garantire che la configurazione del guardrail rimanga immutabile e non possa essere modificata dagli account dei membri.

• Usando: Console di gestione AWS

  1. Seleziona il guardrail creato nel passaggio precedente nella pagina Guardrails sulla console Amazon Bedrock

  2. Scegli Crea versione

  3. Annota l'ARN del guardrail e il numero di versione (ad esempio, «1", «2")

• Utilizzo dell'API: usa l'API CreateGuardrailVersion

Verifica

Verifica che la versione sia stata creata correttamente controllando l'elenco delle versioni nella pagina dei dettagli di Guardrail.

Allega una policy basata sulle risorse

Abilita l'accesso tra più account allegando una policy basata sulle risorse al guardrail.

• Utilizzo di Console di gestione AWS — Per allegare una policy basata sulle risorse tramite la console:

  1. Nella console Amazon Bedrock Guardrails, seleziona il tuo guardrail

  2. Scegli Aggiungi per aggiungere una policy basata sulle risorse

  3. Aggiungi una politica che conceda l'bedrock:ApplyGuardrailautorizzazione a tutti gli account o all'organizzazione dei membri. Consulta Condividi guardrail con la tua organizzazione in Utilizzo di politiche basate sulle risorse per i guardrail.

  4. Salva la politica

Verifica

Verifica l'accesso da un account membro utilizzando l'ApplyGuardrailAPI per assicurarti che l'autorizzazione sia configurata correttamente.

Configura le autorizzazioni IAM negli account dei membri

Assicurati che tutti i ruoli negli account dei membri dispongano delle autorizzazioni IAM per accedere al guardrail applicato.

Autorizzazioni richieste

I ruoli degli account membri richiedono bedrock:ApplyGuardrail l'autorizzazione per il guardrail dell'account di gestione. Configurazione delle autorizzazioni per utilizzare Guardrail per Amazon BedrockPer esempi dettagliati di policy IAM, consulta

Verifica

Verifica che i ruoli con autorizzazioni limitate negli account dei membri possano chiamare correttamente l'ApplyGuardrailAPI con il guardrail.

Abilita il tipo di polizza di Amazon Bedrock AWS Organizations

• Utilizzo del Console di gestione AWS — Per abilitare il tipo di policy Amazon Bedrock utilizzando la console:

  1. Accedi alla console AWS Organizations

  2. Scegli Politiche

  3. Scegli le politiche di Amazon Bedrock

  4. Scegli Abilita le politiche Amazon Bedrock per abilitare il tipo di politica Amazon Bedrock per la tua organizzazione

• Utilizzo dell'API: utilizza l' AWS Organizations EnablePolicyTypeAPI con il tipo di policy BEDROCK_POLICY

Verifica

Verifica che il tipo di policy Amazon Bedrock sia visualizzato come abilitato nella AWS Organizations console.

Crea e allega un AWS Organizations policy

Crea una policy di gestione che specifichi il guardrail e collegala agli account o alle unità organizzative di destinazione.

• Utilizzo di Console di gestione AWS — Per creare e allegare una AWS Organizations policy utilizzando la console:

  1. Nella AWS Organizations console, vai a Politiche > Politiche Amazon Bedrock

  2. Selezionare Creare policy

  3. Specifica l'ARN e la versione del guardrail

     Importante

     Assicurati di specificare l'ARN del guardrail accurato nella polizza. La specificazione di un ARN errato o non valido comporterà violazioni delle policy, mancata applicazione delle misure di protezione e l'impossibilità di utilizzare i modelli di Amazon Bedrock per l'inferenza.

  4. Configura i controlli selettivi di protezione dei contenuti (opzionale).

     • Le API di Amazon Bedrock consentono ai chiamanti di etichettare contenuti specifici all'interno delle richieste di input per la valutazione del guardrail.

     • I controlli selettivi di protezione dei contenuti consentono agli amministratori di decidere se rispettare le decisioni di etichettatura prese dai chiamanti API.

     • I messages controlli system e determinano il modo in cui i prompt di sistema e il contenuto dei messaggi vengono elaborati dai guardrail. Ciascuno accetta uno dei seguenti valori:

       • Selettivo: valuta solo i contenuti all'interno dei tag di protezione. Quando non viene specificato alcun tag, il comportamento dipende dal controllo. Persystem, non viene valutato alcun contenuto e permessages, tutto il contenuto viene valutato.

       • Completo: valuta tutti i contenuti, indipendentemente dai tag dei contenuti di guardia.

     • Se non sono configurati, entrambi i controlli sono impostati per impostazione predefinita su Comprehensive.

     {
         "bedrock": {
             "guardrail_inference": {
                 "us-east-1": {
                     "config_1": {
                         "identifier": {
                             "@@assign": "arn:aws:bedrock:us-east-1:123456789012:guardrail/guardrail-id:1"
                         },
                         "selective_content_guarding": {
                             "system": {
                                 "@@assign": "selective"
                             },
                             "messages": {
                                 "@@assign": "comprehensive"
                             }
                         },
                         "model_enforcement": {
                             "included_models": {
                                 "@@assign": ["ALL"]
                             },
                             "excluded_models": {
                                 "@@assign": ["amazon.titan-embed-text-v2:0", "cohere.embed-english-v3"]
                             }
                         }
                     }
                 }
             }
         }
     }

  5. Salva la politica

  6. Allega la policy agli obiettivi desiderati (radice dell'organizzazione, unità organizzative o account individuali) accedendo alla scheda Obiettivi e scegliendo Allega

• Utilizzo dell'API: utilizza l' AWS Organizations CreatePolicyAPI con il tipo di BEDROCK_POLICY policy. AttachPolicyDa utilizzare per collegarsi agli obiettivi

Per saperne di più: politiche di Amazon Bedrock in AWS Organizations

Verifica

Verifica che la policy sia allegata agli obiettivi corretti nella AWS Organizations console.

Verifica e verifica l'applicazione

Verifica che il guardrail venga applicato agli account dei membri.

Pianifica la configurazione del guardrail

Definisci le tue misure di sicurezza

Per definire le tue misure di protezione:

Creare un guardrail

Crea un guardrail in ogni regione in cui desideri applicarlo.

Via Console di gestione AWS

Per creare un guardrail usando la console:

1. Accedi Console di gestione AWS con un'identità IAM che dispone delle autorizzazioni per utilizzare la console Amazon Bedrock. Quindi, apri la console Amazon Bedrock all'indirizzo. https://console.aws.amazon.com/bedrock

2. Nel pannello di navigazione a sinistra, scegli Guardrails

3. Scegli Crea guardrail

4. Segui la procedura guidata per configurare le politiche desiderate (filtri per i contenuti, argomenti negati, filtri per parole, filtri per informazioni sensibili)

5. Non abilitare la politica di ragionamento automatico

6. Completa la procedura guidata per creare il tuo guardrail

Tramite API

Utilizzare l'API CreateGuardrail

Verifica

Una volta creato, dovresti vederlo nell'elenco dei guardrail nella landing page di Guardrails o cercarlo nell'elenco dei guardrail usando il nome del guardrail

Crea una versione guardrail

Crea una versione numerica per garantire che la configurazione del guardrail rimanga immutabile e non possa essere modificata dagli account dei membri.

Via Console di gestione AWS

Per creare una versione guardrail utilizzando la console:

1. Seleziona il guardrail creato nel passaggio precedente nella pagina Guardrails sulla console Amazon Bedrock

2. Scegli Crea versione

3. Annota l'ARN del guardrail e il numero di versione (ad esempio, «1", «2")

Tramite API

Utilizzare l'API CreateGuardrailVersion

Verifica

Conferma che la versione è stata creata correttamente controllando l'elenco delle versioni nella pagina dei dettagli di Guardrail.

Allega una policy basata sulle risorse (opzionale)

Se desideri condividere il guardrail con ruoli specifici nel tuo account, allega una policy basata sulle risorse.

Via Console di gestione AWS

Per allegare una policy basata sulle risorse utilizzando la console:

1. Nella console Amazon Bedrock Guardrails, seleziona il tuo guardrail

2. Scegli Aggiungi per aggiungere una policy basata sulle risorse

3. Aggiungi una policy che conceda l'bedrock:ApplyGuardrailautorizzazione ai ruoli desiderati

4. Salva la policy

Abilita l'applicazione a livello di account

Configura l'account per utilizzare il guardrail per tutte le chiamate di Amazon Bedrock. Questa operazione deve essere eseguita in tutte le regioni in cui si desidera l'applicazione.

Via Console di gestione AWS

Per abilitare l'applicazione a livello di account utilizzando la console:

1. Accedi alla console Amazon Bedrock

2. Scegli Guardrails nel pannello di navigazione a sinistra

3. Nella sezione delle configurazioni di Account-level applicazione, scegli Aggiungi

4. Seleziona il guardrail e la versione

5. Configura i controlli selettivi di protezione dei contenuti (opzionale).

   • Le API Amazon Bedrock consentono ai chiamanti di etichettare contenuti specifici all'interno delle richieste di input per la valutazione del guardrail.

   • I controlli selettivi di protezione dei contenuti consentono agli amministratori di decidere se rispettare le decisioni di etichettatura prese dai chiamanti API.

   • I messages controlli system e determinano il modo in cui i prompt di sistema e il contenuto dei messaggi vengono elaborati dai guardrail. Ciascuno accetta uno dei seguenti valori:

     • Selettivo: valuta solo i contenuti all'interno dei tag di contenuto di guardia.

     • Completo: valuta tutti i contenuti, indipendentemente dai tag dei contenuti di guardia.

   • Se non sono configurati, entrambi i controlli sono impostati per impostazione predefinita su Comprehensive.

6. Invia la configurazione

7. Ripetere l'operazione per ogni regione in cui si desidera l'applicazione

Tramite API

Utilizza l'PutEnforcedGuardrailConfigurationAPI in ogni regione in cui desideri applicare il guardrail

Verifica

Dovresti vedere il guardrail applicato dall'account nella sezione Configurazione del guardrail imposto dall'account nella pagina Guardrails. Puoi chiamare l'ListEnforcedGuardrailsConfigurationAPI per assicurarti che il guardrail applicato sia elencato

Verifica e verifica l'applicazione

Prova a utilizzare un ruolo nel tuo account

Per testare l'applicazione dal tuo account:

1. Effettua una chiamata inferenziale Amazon Bedrock utilizzandoInvokeModel,,Converse, o InvokeModelWithResponseStream ConverseStream

2. Il guardrail applicato dall'account dovrebbe applicarsi automaticamente sia agli ingressi che alle uscite

3. Controlla la risposta per informazioni sulla valutazione del guardrail. La risposta al guardrail includerà informazioni sul guardrail applicato.