コンテンツフィルタリングにガードレールを使用するためのアクセス許可を設定する - Amazon Bedrock
ポリシーロールでガードレールを作成および管理するためのアクセス許可ガードレールを呼び出してコンテンツをフィルタリングするために必要なアクセス許可(オプション) セキュリティ強化のためにガードレール用のカスタマーマネージドキーを作成する

翻訳は機械翻訳により提供されています。提供された翻訳内容と英語版の間で齟齬、不一致または矛盾がある場合、英語版が優先します。

コンテンツフィルタリングにガードレールを使用するためのアクセス許可を設定する

ガードレール用のアクセス許可を持つロールを設定するには、「AWS サービスにアクセス許可を委任するロールを作成する」の手順で IAM ロールを作成し、以下のアクセス許可をアタッチします。

エージェントでガードレールを使用する場合は、エージェントの作成と管理のアクセス許可を持つサービスロールに、これらのアクセス許可をアタッチしてください。このロールをコンソールで設定するか、「Amazon Bedrock エージェントのサービスロールを作成する」の手順に従ってカスタムロールを作成できます。

  • 基盤モデルでガードレールを呼び出すためのアクセス許可

  • ガードレールを作成および管理するためのアクセス許可

  • （オプション) ガードレールのカスタマーマネージド AWS KMS キーを復号するアクセス許可

ポリシーロールでガードレールを作成および管理するためのアクセス許可

ガードレールを使用するには、ロールのポリシーの Statement フィールドに次のステートメントを追加します。

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "CreateAndManageGuardrails",
            "Effect": "Allow",
            "Action": [  
                "bedrock:CreateGuardrail",
                "bedrock:CreateGuardrailVersion",
                "bedrock:DeleteGuardrail", 
                "bedrock:GetGuardrail", 
                "bedrock:ListGuardrails", 
                "bedrock:UpdateGuardrail"
            ],
            "Resource": "*"
        }
    ]   
}

ガードレールを呼び出してコンテンツをフィルタリングするために必要なアクセス許可

モデル推論を許可し、ガードレールを呼び出すには、ロールのポリシーの Statement フィールドに次のステートメントを追加します。

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "InvokeFoundationModel",
            "Effect": "Allow",
            "Action": [  
                 "bedrock:InvokeModel", 
                 "bedrock:InvokeModelWithResponseStream"
            ],
            "Resource": [
                "arn:aws:bedrock:region::foundation-model/*"
            ]
        },
        {
            "Sid": "ApplyGuardrail",
            "Effect": "Allow",
            "Action": [  
                 "bedrock:ApplyGuardrail"
            ],
            "Resource": [
                "arn:aws:bedrock:region:account-id:guardrail/guardrail-id"
            ]
        }
    ]   
}

(オプション) セキュリティ強化のためにガードレール用のカスタマーマネージドキーを作成する

アクセスCreateKey許可を持つユーザーは、 AWS Key Management Service （AWS KMS) コンソールまたは CreateKey オペレーションを使用してカスタマーマネージドキーを作成できます。必ず対称暗号化キーを作成してください。キーを作成したら、次のアクセス許可を設定します。

  1. 「キーポリシーを作成する」の手順に従って、KMS キーのリソースベースのポリシーを作成します。次のポリシーステートメントを追加して、ガードレールユーザーとガードレール作成者にアクセス許可を付与します。各 role は、指定されたアクションの実行を許可するロールに置き換えてください。

    {
    "Version": "2012-10-17",
    "Id": "KMS Key Policy",
    "Statement": [
        {
            "Sid": "PermissionsForGuardrailsCreators",
            "Effect": "Allow",
            "Principal": {
                "AWS": "arn:aws:iam::account-id:user/role"
            },
            "Action": [
                "kms:Decrypt",
                "kms:GenerateDataKey",
                "kms:DescribeKey",
                "kms:CreateGrant"
            ],
            "Resource": "*"
        },
        {
            "Sid": "PermissionsForGuardrailsUusers",
            "Effect": "Allow",
            "Principal": {
                "AWS": "arn:aws:iam::account-id:user/role"
            },
            "Action": "kms:Decrypt",
            "Resource": "*"
        }        
}

  2. 次のアイデンティティベースのポリシーをロールにアタッチして、そのロールでガードレールを作成および管理できるようにします。key-id は、作成した KMS キーの ID に置き換えてください。

    {
    "Version": "2012-10-17",
    "Statement": [
        {
         "Sid": "Allow role to create and manage guardrails",
         "Effect": "Allow",
         "Action": [
            "kms:Decrypt", 
            "kms:DescribeKey", 
            "kms:GenerateDataKey" 
            "kms:CreateGrant"  
         ],
         "Resource": "arn:aws:kms:region:account-id:key/key-id"
        }
    ]
}

  3. 次のアイデンティティベースのポリシーをロールにアタッチして、モデル推論中またはエージェントの呼び出し中に、暗号化されたガードレールをそのロールで使用できるようにします。key-id は、作成した KMS キーの ID に置き換えてください。

    {
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "Allow role to use an encrypted guardrail during model inference",
            "Effect": "Allow",
            "Action": [
                "kms:Decrypt",
            ],
            "Resource": "arn:aws:kms:region:account-id:key/key-id"
        }
    ]
}