As traduções são geradas por tradução automática. Em caso de conflito entre o conteúdo da tradução e da versão original em inglês, a versão em inglês prevalecerá.
Criptografia de importação de modelos personalizados
O Amazon Bedrock oferece suporte à criação de um modelo personalizado usando o recurso de importação de modelos personalizados para importar modelos que você criou em outros ambientes, como o Amazon SageMaker AI. Seus modelos importados personalizados são gerenciados e armazenados por AWS. Para obter mais informações, consulte Importar um modelo.
Para a criptografia do modelo personalizado importado, o Amazon Bedrock oferece as seguintes opções:
-
AWS chaves próprias — Por padrão, o Amazon Bedrock criptografa modelos importados personalizados com chaves AWS próprias. Você não pode visualizar, gerenciar ou usar chaves AWS próprias nem auditar seu uso. No entanto, não é necessário realizar nenhuma ação nem alterar qualquer programa para proteger as chaves que criptografam seus dados. Para obter mais informações, consulte Chaves de propriedade da AWS no Guia do desenvolvedor do AWS Key Management Service.
-
Chaves gerenciadas pelo cliente (CMK) — Você pode optar por adicionar uma segunda camada de criptografia às chaves de AWS criptografia existentes, escolhendo uma chave gerenciada pelo cliente (CMK). É possível criar, possuir e gerenciar as chaves gerenciadas pelo cliente.
Como você tem controle total dessa camada de criptografia, é possível realizar as seguintes tarefas:
-
Estabelecer e manter as políticas de chave
-
Estabelecer e manter IAM políticas e subsídios
-
Habilitar e desabilitar políticas de chaves
-
Alternar os materiais de criptografia de chave
-
Adicionar tags
-
Criar aliases da chave
-
Programar a exclusão de chaves
Para obter mais informações, consulte chaves gerenciadas pelo cliente no Guia do desenvolvedor do AWS Key Management Service.
-
nota
Para todos os modelos personalizados que você importa, o Amazon Bedrock habilita automaticamente a criptografia em repouso usando chaves AWS próprias para proteger os dados do cliente sem nenhum custo. Se você usar uma chave gerenciada pelo cliente, AWS KMS cobranças serão aplicadas. Para obter mais informações sobre preços, consulte Preços do AWS Key Management Service.
Como o Amazon Bedrock usa subsídios em AWS KMS
Se você especificar uma chave gerenciada pelo cliente para criptografar o modelo importado. O Amazon Bedrock cria uma AWS KMS concessão primária associada ao modelo importado em seu nome enviando uma CreateGrantsolicitação para AWS KMS. Essa concessão permite que o Amazon Bedrock acesse e use a chave gerenciada pelo cliente. As concessões AWS KMS são usadas para dar ao Amazon Bedrock acesso a uma KMS chave na conta de um cliente.
O Amazon Bedrock exige a concessão primária para usar a chave gerenciada pelo cliente nas seguintes operações internas:
-
Envie DescribeKeysolicitações AWS KMS para verificar se o ID simétrico da KMS chave gerenciada pelo cliente que você inseriu ao criar o trabalho é válido.
-
Envie GenerateDataKeye descriptografe solicitações AWS KMS para gerar chaves de dados criptografadas pela chave gerenciada pelo cliente e descriptografe as chaves de dados criptografadas para que possam ser usadas para criptografar os artefatos do modelo.
-
Envie CreateGrantsolicitações AWS KMS para criar concessões secundárias com escopo reduzido com um subconjunto das operações acima (
DescribeKey,,Decrypt)GenerateDataKey, para a execução assíncrona da importação do modelo e para inferência sob demanda. -
O Amazon Bedrock especifica um diretor que se aposenta durante a criação de subsídios, para que o serviço possa enviar uma solicitação. RetireGrant
Você tem acesso total à sua AWS KMS chave gerenciada pelo cliente. É possível revogar o acesso à concessão seguindo as etapas em Retiring and revoking grants no Guia do desenvolvedor do AWS Key Management Service ou remover o acesso do serviço à sua chave gerenciada pelo cliente a qualquer momento modificando a política de chave. Se fizer isso, o Amazon Bedrock não poderá acessar o modelo importado criptografado pela chave.
Ciclo de vida de concessões primárias e secundárias para modelos personalizados importados
-
As Concessões primárias têm uma vida útil longa e permanecem ativas enquanto os modelos personalizados associados ainda estiverem em uso. Quando um modelo personalizado importado é excluído, a concessão primária correspondente é automaticamente retirada.
-
As concessões secundárias duram pouco tempo. Elas são automaticamente retiradas assim que a operação que o Amazon Bedrock executa em nome dos clientes é concluída. Por exemplo, quando um trabalho de importação de modelo personalizado for concluído, a concessão secundária que permitiu ao Amazon Bedrock criptografar o modelo importado personalizado será retirada imediatamente.
