Le traduzioni sono generate tramite traduzione automatica. In caso di conflitto tra il contenuto di una traduzione e la versione originale in Inglese, quest'ultima prevarrà. # Applica misure di protezione per più account con le applicazioni di Amazon Bedrock Guardrails Amazon Bedrock Guardrails consente di applicare automaticamente le misure di protezione su più account di un'organizzazione tramite [AWS Organizations le politiche di Amazon Bedrock. ](https://docs.aws.amazon.com/organizations/latest/userguide/orgs_manage_policies_bedrock.html) Ciò consente una protezione uniforme su tutti gli account con controllo e gestione centralizzati. Inoltre, questa funzionalità offre anche la flessibilità di applicare controlli a livello di account e specifici dell'applicazione in base ai requisiti dei casi d'uso. **Funzionalità chiave** Di seguito sono elencate le funzionalità principali dei guardrails Enforcements: + **Organization-level applicazione**: applica i guardrail per tutti i richiami di modelli con Amazon Bedrock tra unità organizzative (OU), singoli account o l'intera organizzazione utilizzando le politiche Amazon Bedrock con. AWS Organizations + **Account-level applicazione**: designa una particolare versione di un guardrail all'interno di un AWS account per tutte le chiamate al modello Amazon Bedrock da quell'account. + **Protezione a più livelli**: combina i guardrail specifici dell'organizzazione e dell'applicazione quando entrambi sono presenti. L'efficace controllo di sicurezza sarà l'unione di entrambi i guardrail, con i controlli più restrittivi che avranno la precedenza in caso di uguale controllo da entrambi i guardrail. I seguenti argomenti descrivono come utilizzare Amazon Bedrock Guardrails enforcements: **Topics** + [Guida all'implementazione](#guardrails-enforcements-implementation-guide) + [Monitoraggio](#guardrails-monitoring) + [Prezzi](#pricing) + [Domande frequenti](#faq) ## Guida all'implementazione I passaggi seguenti forniscono dettagli sull'implementazione dell'applicazione dei guardrail per gli account all'interno di un'organizzazione e per un singolo account. AWS AWS Con queste modifiche, tutte le invocazioni dei modelli ad Amazon Bedrock applicheranno le misure di sicurezza configurate all'interno del guardrail designato. ### Organization-level applicazione Questa sezione descrive in dettaglio l'impostazione dell'applicazione del guardrail in tutta l' AWS organizzazione. Una volta impostato, avrai un guardrail che si applica automaticamente a tutti i richiami del modello Amazon Bedrock su account o unità organizzative specifici. **Prerequisiti** AWS Amministratori dell'organizzazione (con accesso all'account di gestione) con autorizzazioni per creare guardrail e gestire politiche. AWS Organizations **Di cosa avrai bisogno** Sono richiesti i seguenti requisiti: + [AWS Organizations](https://docs.aws.amazon.com/organizations/latest/userguide/orgs_introduction.html)con accesso all'account di gestione + [autorizzazioni IAM ](guardrails-permissions.md#guardrails-permissions-use) per creare guardrail e gestire policy [AWS Organizations](https://docs.aws.amazon.com/organizations/latest/userguide/orgs_permissions_overview.html) + Comprensione dei requisiti di sicurezza della tua organizzazione **Impostare l'applicazione dei guardrail a livello di organizzazione** 1. **Pianifica la configurazione del guardrail** 1. Definisci le tue misure di sicurezza: + Consulta i filtri guardrail disponibili nella documentazione di [ Amazon Bedrock Guardrails ](guardrails.md) + Identifica il filtro di cui hai bisogno. Attualmente sono supportati i filtri dei contenuti, gli argomenti negati, i filtri per le parole, i filtri per le informazioni sensibili e i controlli contestuali. + **Importante** Non includete la politica di ragionamento automatico, poiché non è supportata per l'applicazione dei guardrail e causerà errori di runtime. 1. Identifica gli account di destinazione: + Determina a quali unità organizzative, account o all'intera organizzazione verrà applicato questo guardrail 1. **Crea il tuo guardrail nell'account di gestione** Crea un guardrail in ogni regione in cui desideri applicarlo con uno dei seguenti metodi: + Usando: Console di gestione AWS 1. Accedi a Console di gestione AWS con un'identità IAM con le autorizzazioni per utilizzare la console Amazon Bedrock. Quindi, apri la console Amazon Bedrock all'indirizzo. [ https://console.aws.amazon.com/bedrock ](https://console.aws.amazon.com/bedrock) 1. Nel pannello di navigazione a sinistra, scegli Guardrails ** ** 1. Scegli Crea guardrail ** ** 1. Segui la procedura guidata per configurare i filtri o le protezioni desiderati (filtri per i contenuti, argomenti negati, filtri per parole, filtri per informazioni sensibili, controlli contestuali della base) 1. Non abilitare la politica di ragionamento automatico 1. Completa la procedura guidata per creare il tuo guardrail + Utilizzo dell'API: utilizza l'API [ CreateGuardrail ](https://docs.aws.amazon.com/bedrock/latest/APIReference/API_agent_CreateGuardrail.html) **Verifica** Una volta creato, dovresti vederlo nell'elenco dei guardrail nella landing page di Guardrails o cercarlo nell'elenco dei guardrail usando il nome del guardrail 1. **Crea una versione guardrail** Crea una versione numerica per garantire che la configurazione del guardrail rimanga immutabile e non possa essere modificata dagli account dei membri. + Usando: Console di gestione AWS 1. Seleziona il guardrail creato nel passaggio precedente nella pagina Guardrails sulla console Amazon Bedrock 1. Scegli ** Crea versione ** 1. Annota l'ARN del guardrail e il numero di versione (ad esempio, «1", «2") + Utilizzo dell'API: usa l'API [ CreateGuardrailVersion ](https://docs.aws.amazon.com/bedrock/latest/APIReference/API_agent_CreateGuardrailVersion.html) **Verifica** Verifica che la versione sia stata creata correttamente controllando l'elenco delle versioni nella pagina dei dettagli di Guardrail. 1. **Allega una policy basata sulle risorse** Abilita l'accesso tra più account allegando una policy basata sulle risorse al guardrail. + Utilizzo di Console di gestione AWS — Per allegare una policy basata sulle risorse tramite la console: 1. Nella console Amazon Bedrock Guardrails, seleziona il tuo guardrail 1. Scegli ** Aggiungi per aggiungere una policy basata ** sulle risorse 1. Aggiungi una politica che conceda l'`bedrock:ApplyGuardrail`autorizzazione a tutti gli account o all'organizzazione dei membri. Consulta [Condividi guardrail con la tua organizzazione](guardrails-resource-based-policies.md#share-guardrail-with-organization) in [Utilizzo di politiche basate sulle risorse per i guardrail](guardrails-resource-based-policies.md). 1. Salva la politica **Verifica** Verifica l'accesso da un account membro utilizzando l'[ApplyGuardrail](https://docs.aws.amazon.com/bedrock/latest/APIReference/API_agent_ApplyGuardrail.html)API per assicurarti che l'autorizzazione sia configurata correttamente. 1. **Configura le autorizzazioni IAM negli account dei membri** Assicurati che tutti i ruoli negli account dei membri dispongano delle autorizzazioni IAM per accedere al guardrail applicato. **Autorizzazioni richieste** I ruoli degli account membri richiedono `bedrock:ApplyGuardrail` l'autorizzazione per il guardrail dell'account di gestione. [Configurazione delle autorizzazioni per utilizzare Guardrail per Amazon Bedrock](guardrails-permissions.md)Per esempi dettagliati di policy IAM, consulta **Verifica** Verifica che i ruoli con autorizzazioni limitate negli account dei membri possano chiamare correttamente l'`ApplyGuardrail`API con il guardrail. 1. **Abilita il tipo di polizza di Amazon Bedrock AWS Organizations** + Utilizzo del Console di gestione AWS — Per abilitare il tipo di policy Amazon Bedrock utilizzando la console: 1. Accedi alla console AWS Organizations 1. Scegli ** Politiche ** 1. Scegli le politiche di ** Amazon Bedrock ** 1. Scegli ** Abilita le politiche Amazon Bedrock ** per abilitare il tipo di politica Amazon Bedrock per la tua organizzazione + Utilizzo dell'API: utilizza l' AWS Organizations [EnablePolicyType](https://docs.aws.amazon.com/organizations/latest/APIReference/API_EnablePolicyType.html)API con il tipo di policy `BEDROCK_POLICY` **Verifica** Verifica che il tipo di policy Amazon Bedrock sia visualizzato come abilitato nella AWS Organizations console. 1. **Crea e allega un AWS Organizations policy** Crea una policy di gestione che specifichi il guardrail e collegala agli account o alle unità organizzative di destinazione. + Utilizzo di Console di gestione AWS — Per creare e allegare una AWS Organizations policy utilizzando la console: 1. Nella AWS Organizations console, vai a ** Politiche ** > Politiche ** Amazon Bedrock ** 1. Selezionare **Creare policy** 1. Specifica l'ARN e la versione del guardrail **Importante** Assicurati di specificare l'ARN del guardrail accurato nella polizza. La specificazione di un ARN errato o non valido comporterà violazioni delle policy, mancata applicazione delle misure di protezione e l'impossibilità di utilizzare i modelli di Amazon Bedrock per l'inferenza. 1. Configura i controlli selettivi di protezione dei contenuti (opzionale). + Le API di Amazon Bedrock consentono ai chiamanti di [ etichettare contenuti specifici all'interno delle richieste di input per la valutazione del guardrail. ](guardrails-tagging.md) + I controlli selettivi di protezione dei contenuti consentono agli amministratori di decidere se rispettare le decisioni di etichettatura prese dai chiamanti API. + I `messages` controlli `system` e determinano il modo in cui i prompt di sistema e il contenuto dei messaggi vengono elaborati dai guardrail. Ciascuno accetta uno dei seguenti valori: + **Selettivo**: valuta solo i contenuti all'interno dei tag di protezione. Quando non viene specificato alcun tag, il comportamento dipende dal controllo. Per`system`, non viene valutato alcun contenuto e per`messages`, tutto il contenuto viene valutato. + **Completo**: valuta tutti i contenuti, indipendentemente dai tag dei contenuti di guardia. + Se non sono configurati, entrambi i controlli sono impostati per impostazione predefinita su ** Comprehensive**. ``` { "bedrock": { "guardrail_inference": { "us-east-1": { "config_1": { "identifier": { "@@assign": "arn:aws:bedrock:us-east-1:123456789012:guardrail/guardrail-id:1" }, "selective_content_guarding": { "system": { "@@assign": "selective" }, "messages": { "@@assign": "comprehensive" } }, "model_enforcement": { "included_models": { "@@assign": ["ALL"] }, "excluded_models": { "@@assign": ["amazon.titan-embed-text-v2:0", "cohere.embed-english-v3"] } } } } } } } ``` 1. Salva la politica 1. Allega la policy agli obiettivi desiderati (radice dell'organizzazione, unità organizzative o account individuali) accedendo alla ** scheda ** Obiettivi e scegliendo ** Allega ** + Utilizzo dell'API: utilizza l' AWS Organizations [CreatePolicy](https://docs.aws.amazon.com/organizations/latest/APIReference/API_CreatePolicy.html)API con il tipo di `BEDROCK_POLICY` policy. [AttachPolicy](https://docs.aws.amazon.com/organizations/latest/APIReference/API_AttachPolicy.html)Da utilizzare per collegarsi agli obiettivi Per saperne di più: politiche di [ Amazon Bedrock in AWS Organizations](https://docs.aws.amazon.com/organizations/latest/userguide/orgs_manage_policies_bedrock.html) **Verifica** Verifica che la policy sia allegata agli obiettivi corretti nella AWS Organizations console. 1. **Verifica e verifica l'applicazione** Verifica che il guardrail venga applicato agli account dei membri. **Verifica quale guardrail è applicato** + Utilizzando Console di gestione AWS : da un account membro, accedi alla console Amazon Bedrock, scegli ** Guardrails ** nel pannello di navigazione a sinistra. Nella home page di Guardrails, dovresti vedere i guardrail applicati dall'organizzazione nella sezione Configurazioni di ** Organization-level applicazione nell'account di gestione e i guardrail applicati ** nell'account membro ** Organization-level ** + Utilizzo dell'API: da un account membro, chiama [ DescribeEffectivePolicy ](https://docs.aws.amazon.com/organizations/latest/APIReference/API_DescribeEffectivePolicy.html) con l'ID del tuo account membro come ID di destinazione **Esegui il test da un account membro** 1. Effettua una chiamata inferenziale Amazon Bedrock utilizzando [ InvokeModel](https://docs.aws.amazon.com/bedrock/latest/APIReference/API_runtime_InvokeModel.html), [ InvokeModelWithResponseStream](https://docs.aws.amazon.com/bedrock/latest/APIReference/API_runtime_InvokeModelWithResponseStream.html), [ Converse o. ](https://docs.aws.amazon.com/bedrock/latest/APIReference/API_runtime_Converse.html) [ ConverseStream ](https://docs.aws.amazon.com/bedrock/latest/APIReference/API_runtime_ConverseStream.html) 1. Il guardrail applicato dovrebbe applicarsi automaticamente sia agli ingressi che alle uscite 1. Controlla la risposta per informazioni sulla valutazione del guardrail. La risposta al guardrail includerà informazioni sul guardrail applicato. ### Account-level applicazione Questa sezione descrive in dettaglio l'impostazione dell'applicazione del guardrail all'interno di un singolo AWS account. Una volta configurato, avrai un guardrail che si applica automaticamente a tutti i richiami del modello Amazon Bedrock nel tuo account. **Prerequisiti** AWS amministratori di account con le autorizzazioni per creare guardrail e configurare le impostazioni a livello di account. **Di cosa avrai bisogno** Sono richiesti i seguenti requisiti: + Un AWS account con le autorizzazioni IAM appropriate + Comprensione dei requisiti di sicurezza del tuo account **Per impostare l'applicazione del guardrail a livello di account** 1. **Pianifica la configurazione del guardrail** **Definisci le tue misure di sicurezza** Per definire le tue misure di protezione: + Consulta i filtri guardrail disponibili nella documentazione di [ Amazon Bedrock Guardrails ](guardrails.md) + Identifica il filtro di cui hai bisogno. Attualmente sono supportati i filtri dei contenuti, gli argomenti negati, i filtri per le parole, i filtri per le informazioni sensibili e i controlli contestuali. + **Importante** Non includete la politica di ragionamento automatico, poiché non è supportata per l'applicazione dei guardrail e causerà errori di runtime 1. **Creare un guardrail** Crea un guardrail in ogni regione in cui desideri applicarlo. **Via Console di gestione AWS** Per creare un guardrail usando la console: 1. Accedi Console di gestione AWS con un'identità IAM che dispone delle autorizzazioni per utilizzare la console Amazon Bedrock. Quindi, apri la console Amazon Bedrock all'indirizzo. [ https://console.aws.amazon.com/bedrock ](https://console.aws.amazon.com/bedrock) 1. Nel pannello di navigazione a sinistra, scegli Guardrails ** ** 1. Scegli Crea guardrail ** ** 1. Segui la procedura guidata per configurare le politiche desiderate (filtri per i contenuti, argomenti negati, filtri per parole, filtri per informazioni sensibili) 1. Non abilitare la politica di ragionamento automatico 1. Completa la procedura guidata per creare il tuo guardrail **Tramite API** Utilizzare l'API `CreateGuardrail` **Verifica** Una volta creato, dovresti vederlo nell'elenco dei guardrail nella landing page di Guardrails o cercarlo nell'elenco dei guardrail usando il nome del guardrail 1. **Crea una versione guardrail** Crea una versione numerica per garantire che la configurazione del guardrail rimanga immutabile e non possa essere modificata dagli account dei membri. **Via Console di gestione AWS** Per creare una versione guardrail utilizzando la console: 1. Seleziona il guardrail creato nel passaggio precedente nella pagina Guardrails sulla console Amazon Bedrock 1. Scegli ** Crea versione ** 1. Annota l'ARN del guardrail e il numero di versione (ad esempio, «1", «2") **Tramite API** Utilizzare l'API `CreateGuardrailVersion` **Verifica** Conferma che la versione è stata creata correttamente controllando l'elenco delle versioni nella pagina dei dettagli di Guardrail. 1. **Allega una policy basata sulle risorse (opzionale)** Se desideri condividere il guardrail con ruoli specifici nel tuo account, allega una policy basata sulle risorse. **Via Console di gestione AWS** Per allegare una policy basata sulle risorse utilizzando la console: 1. Nella console Amazon Bedrock Guardrails, seleziona il tuo guardrail 1. Scegli ** Aggiungi per aggiungere una policy basata ** sulle risorse 1. Aggiungi una policy che conceda l'`bedrock:ApplyGuardrail`autorizzazione ai ruoli desiderati 1. Salva la policy 1. **Abilita l'applicazione a livello di account** Configura l'account per utilizzare il guardrail per tutte le chiamate di Amazon Bedrock. Questa operazione deve essere eseguita in tutte le regioni in cui si desidera l'applicazione. **Via Console di gestione AWS** Per abilitare l'applicazione a livello di account utilizzando la console: 1. Accedi alla console Amazon Bedrock 1. Scegli ** Guardrails ** nel pannello di navigazione a sinistra 1. Nella sezione delle configurazioni di ** Account-level applicazione, scegli ** Aggiungi ** ** 1. Seleziona il guardrail e la versione 1. Configura i controlli selettivi di protezione dei contenuti (opzionale). + Le API Amazon Bedrock consentono ai chiamanti di [ etichettare contenuti specifici all'interno delle richieste di input per la valutazione del guardrail. ](guardrails-tagging.md) + I controlli selettivi di protezione dei contenuti consentono agli amministratori di decidere se rispettare le decisioni di etichettatura prese dai chiamanti API. + I `messages` controlli `system` e determinano il modo in cui i prompt di sistema e il contenuto dei messaggi vengono elaborati dai guardrail. Ciascuno accetta uno dei seguenti valori: + **Selettivo**: valuta solo i contenuti all'interno dei tag di contenuto di guardia. + **Completo**: valuta tutti i contenuti, indipendentemente dai tag dei contenuti di guardia. + Se non sono configurati, entrambi i controlli sono impostati per impostazione predefinita su ** Comprehensive**. 1. Invia la configurazione 1. Ripetere l'operazione per ogni regione in cui si desidera l'applicazione **Tramite API** Utilizza l'`PutEnforcedGuardrailConfiguration`API in ogni regione in cui desideri applicare il guardrail **Verifica** Dovresti vedere il guardrail applicato dall'account nella sezione Configurazione del guardrail imposto dall'**account nella pagina Guardrails. ** Puoi chiamare l'[ListEnforcedGuardrailsConfiguration](https://docs.aws.amazon.com/bedrock/latest/APIReference/API_agent_ListEnforcedGuardrailsConfiguration.html)API per assicurarti che il guardrail applicato sia elencato 1. **Verifica e verifica l'applicazione** **Prova a utilizzare un ruolo nel tuo account** Per testare l'applicazione dal tuo account: 1. Effettua una chiamata inferenziale Amazon Bedrock utilizzando`InvokeModel`,,`Converse`, o `InvokeModelWithResponseStream` `ConverseStream` 1. Il guardrail applicato dall'account dovrebbe applicarsi automaticamente sia agli ingressi che alle uscite 1. Controlla la risposta per informazioni sulla valutazione del guardrail. La risposta al guardrail includerà informazioni sul guardrail applicato. ## Monitoraggio + Tieni traccia degli interventi e delle metriche sui guardrail utilizzando [ CloudWatch le metriche per Amazon Bedrock Guardrails ](monitoring-guardrails-cw-metrics.md) + Esamina CloudTrail i registri delle chiamate `ApplyGuardrail` API per monitorare i modelli di utilizzo, ad esempio le AccessDenied eccezioni che indicano problemi di configurazione delle autorizzazioni IAM. Visualizza gli eventi relativi ai dati di [ Amazon Bedrock in CloudTrail ](logging-using-cloudtrail.md#service-name-data-events-cloudtrail) ## Prezzi L'applicazione di Amazon Bedrock Guardrails segue l'attuale modello di prezzo per Amazon Bedrock Guardrails basato sul numero di unità di testo consumate per protezione configurata. I costi si applicano a ciascun guardrail applicato in base alle protezioni configurate. Per informazioni dettagliate sui prezzi delle singole misure di protezione, consulta la pagina dei prezzi di Amazon Bedrock[. ](https://aws.amazon.com/bedrock/pricing/) ## Domande frequenti **Come viene calcolato il consumo rispetto alle quote quando si applicano i guardrail imposti?** Il consumo verrà calcolato per ogni ARN guardrail associato a ciascuna richiesta e verrà conteggiato nell'account che effettua la AWS chiamata API. Ad esempio: una `ApplyGuardrail` chiamata con 1000 caratteri di testo e 3 guardrail genererebbe 3 unità di testo di consumo per guardrail e per protezione nel guardrail. Le chiamate agli account dei membri che utilizzano la politica Amazon Bedrock verranno conteggiate ai fini delle quote di servizio per l'account membro. Consulta la documentazione di Service Quotas Console o [ Service Quotas ](https://docs.aws.amazon.com/general/latest/gr/bedrock.html) e assicurati che i limiti di runtime di Guardrails siano sufficienti per il volume delle chiamate. **Cosa succede se nella mia richiesta ho dei guardrail applicati sia a livello di organizzazione che a livello di account, oltre a un guardrail?** Tutti e 3 i guardrail verranno applicati in fase di esecuzione. L'effetto netto è l'unione di tutti i guardrail, con il controllo più restrittivo che ha la precedenza. **Quando devo utilizzare un controllo di protezione selettivo o completo?** Usa ** Selective ** quando ti fidi che i chiamanti tagghino i contenuti giusti e vuoi ridurre l'inutile elaborazione del guardrail. Ciò è utile quando i chiamanti gestiscono una combinazione di contenuti preconvalidati e generati dagli utenti e necessitano solo dell'applicazione di guardrail a porzioni specifiche. Usa ** Comprehensive ** quando desideri applicare dei guardrail su tutto, indipendentemente dai tag del chiamante. Questa è l'impostazione predefinita più sicura quando non vuoi affidarti ai chiamanti per identificare correttamente i contenuti sensibili. **Come posso includere o escludere determinati modelli dall'applicazione?** Usa il controllo di applicazione dei modelli per determinare a quali modelli su Amazon Bedrock si applica un guardrail per l'inferenza. Se non è configurato, l'applicazione si applica per impostazione predefinita a tutti i modelli su Amazon Bedrock. Questo controllo accetta i seguenti elenchi: + **Modelli inclusi: ** modelli su cui fissare il guardrail. Accetta identificatori di modello specifici o la parola chiave `ALL` per includere esplicitamente tutti i modelli. Quando è vuoto, l'applicazione si applica a tutti i modelli. + **Modelli esclusi: ** modelli da escludere dall'applicazione del guardrail. Quando è vuoto, nessun modello è escluso. Se un modello appare in entrambi gli elenchi, viene escluso. **Quando devo usare i modelli di inclusione e di esclusione?** + Utilizza i modelli ** inclusi ** quando desideri applicare il guardrail solo su modelli specifici. + Utilizza ** i modelli esclusi ** quando desideri un'applicazione ampia ma devi ritagliare eccezioni per modelli specifici. **Posso eliminare un guardrail utilizzato in una configurazione di applicazione?** No Per impostazione predefinita, l'[DeleteGuardrail](https://docs.aws.amazon.com/bedrock/latest/APIReference/API_agent_DeleteGuardrail.html)API impedisce l'eliminazione dei guardrail associati alle configurazioni di applicazione a livello di account o di organizzazione.