Criar um perfil de serviço para a personalização de modelo - Amazon Bedrock
Relação de confiançaPermissões para acessar arquivos de treinamento e de validação e gravar os arquivos de saída no S3

As traduções são geradas por tradução automática. Em caso de conflito entre o conteúdo da tradução e da versão original em inglês, a versão em inglês prevalecerá.

Criar um perfil de serviço para a personalização de modelo

Para usar um perfil personalizado para a personalização de modelo, em vez daquele que o Amazon Bedrock cria automaticamente, crie um perfil do IAM e anexe as permissões abaixo seguindo as etapas em Criar um perfil para delegar permissões a um serviço da AWS.

  • Relação de confiança

  • Permissões para acessar os dados de treinamento e de validação no S3 e gravar os dados de saída no S3

  • (Opcional) Se você criptografar qualquer um dos recursos a seguir com uma chave do KMS, permissões para descriptografar a chave (consulte Criptografia de trabalhos de personalização de modelos e artefatos)

    • Um trabalho de personalização de modelo ou o modelo personalizado resultante.

    • Dados de treinamento, validação ou saída do trabalho de personalização do modelo

Relação de confiança

A política a seguir permite que o Amazon Bedrock assuma esse perfil e realize o trabalho de personalização do modelo. Veja um exemplo de política que é possível usar.

Opcionalmente, é possível restringir o escopo da permissão da prevenção do problema “representante confuso” entre serviços usando uma ou mais chaves de contexto de condição global com o campo Condition. Para obter mais informações, consulte Chaves de contexto de condição global da AWS.

  • Defina o valor aws:SourceAccount para o ID da conta.

  • (Opcional) Use a condição ArnEquals ou ArnLike para restringir o escopo a trabalhos específicos de personalização de modelo no ID de sua conta.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Principal": {
                "Service": "bedrock.amazonaws.com"
            },
            "Action": "sts:AssumeRole",
            "Condition": {
                "StringEquals": {
                    "aws:SourceAccount": "account-id"
                },
                "ArnEquals": {
                    "aws:SourceArn": "arn:aws:bedrock:us-east-1:account-id:model-customization-job/*"
                }
            }
        }
    ] 
}

Permissões para acessar arquivos de treinamento e de validação e gravar os arquivos de saída no S3

Anexe a política a seguir para permitir que o perfil acesse os dados de treinamento e de validação e o bucket no qual os dados de saída são gravados. Substitua os valores na lista Resource pelos nomes reais dos buckets.

Para restringir o acesso a uma pasta específica em um bucket, adicione uma chave de condição s3:prefix ao caminho da pasta. É possível seguir o exemplo de Política de usuário no Exemplo 2: obter uma lista de objetos em um bucket com um prefixo específico 

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "s3:GetObject",
                "s3:ListBucket"
            ],
            "Resource": [
                "arn:aws:s3:::training-bucket",
                "arn:aws:s3:::training-bucket/*",
                "arn:aws:s3:::validation-bucket",
                "arn:aws:s3:::validation-bucket/*"
            ]
        },
        {
            "Effect": "Allow",
            "Action": [
                "s3:GetObject",
                "s3:PutObject",
                "s3:ListBucket"
            ],
            "Resource": [
                "arn:aws:s3:::output-bucket",
                "arn:aws:s3:::output-bucket/*"
            ]
        }
    ]
}