プロンプト管理の前提条件

ロールに AmazonBedrockFullAccess AWS 管理ポリシーがアタッチされている場合は、このセクションをスキップできます。それ以外の場合は、「「ロールのアクセス許可ポリシーを更新」のステップに従って、以下のポリシーをロールにアタッチし、プロンプト管理に関連するアクションを実行するアクセス許可を付与します。

{ 
    "Version": "2012-10-17",
    "Statement": [
        {
           "Sid": "PromptManagementPermissions",
           "Effect": "Allow",
           "Action": [
               "bedrock:CreatePrompt",
               "bedrock:UpdatePrompt",
               "bedrock:GetPrompt",
               "bedrock:ListPrompts",
               "bedrock:DeletePrompt",
               "bedrock:CreatePromptVersion",
               "bedrock:OptimizePrompt",
               "bedrock:GetFoundationModel",
               "bedrock:ListFoundationModels",
               "bedrock:GetInferenceProfile",
               "bedrock:ListInferenceProfiles",
               "bedrock:InvokeModel",
               "bedrock:InvokeModelWithResponseStream",
               "bedrock:RenderPrompt",
               "bedrock:TagResource",
               "bedrock:UntagResource",
               "bedrock:ListTagsForResource"
           ],
           "Resource": *
        }
    ]
}

アクセス許可をさらに制限するには、アクションを省略するか、アクセス許可をフィルタリングするリソースと条件キーを指定できます。アクション、リソース、および条件キーの詳細については、「サービス認可リファレンス」の以下のトピックを参照してください。

を使用するのではなく、カスタマーマネージドキーを使用してプロンプトを暗号化する場合は AWS マネージドキー （詳細については、「 AWS KMS キー」を参照）、次のポリシーを作成します。

1. 「キーポリシーの作成」の手順に従って、次のキーポリシーを KMS キーにアタッチし、Amazon Bedrock がプロンプトをキーで暗号化および復号し、必要に応じて値を置き換えることを許可します。このポリシーには、セキュリティのベストプラクティスとして使用することを推奨する Condition フィールドに、オプションの条件キー (「Amazon Bedrock の条件キー」および「AWS のグローバル条件コンテキストキー」を参照) が含まれています。

   {
       "Sid": "EncryptFlowKMS",
       "Effect": "Allow",
       "Principal": {
           "Service": "bedrock.amazonaws.com"
       },
       "Action": [
           "kms:GenerateDataKey",
           "kms:Decrypt"
       ],
       "Resource": "*",
       "Condition": {
           "StringEquals": {
               "kms:EncryptionContext:aws:bedrock-prompts:arn": "arn:${partition}:bedrock:${region}:${account-id}:prompt/${prompt-id}"
           }
       }
   }

2. 「ロールのアクセス許可ポリシーを更新」の手順に従って、次のポリシーをプロンプト管理ロールにアタッチし、必要に応じて値を置き換えて、プロンプトのカスタマーマネージドキーを生成および復号できるようにします。このポリシーには、セキュリティのベストプラクティスとして使用することを推奨する Condition フィールドに、オプションの条件キー (「Amazon Bedrock の条件キー」および「AWS のグローバル条件コンテキストキー」を参照) が含まれています。

   {
       "Sid": "KMSPermissions",
       "Effect": "Allow",
       "Action": [
           "kms:GenerateDataKey",
           "kms:Decrypt"
       ],
       "Resource": [
           "arn:aws:kms:${region}:${account-id}:key/${key-id}"
       ],
        "Condition": {
           "StringEquals": {
               "aws:ResourceAccount": "${account-id}"
           }
       }
   }