As traduções são geradas por tradução automática. Em caso de conflito entre o conteúdo da tradução e da versão original em inglês, a versão em inglês prevalecerá.

Criar um perfil de serviço para a importação de modelos

Para usar um perfil personalizado para a importação de modelos em vez do que o Amazon Bedrock cria automaticamente, crie um perfil do IAM e anexe as permissões abaixo seguindo as etapas em Criar um perfil para delegar permissões a um serviço da AWS.

Relação de confiança

A política a seguir permite que o Amazon Bedrock assuma esse perfil e execute o trabalho de importação do modelo. Veja um exemplo de política que é possível usar.

Opcionalmente, é possível restringir o escopo da permissão da prevenção do problema “representante confuso” entre serviços usando uma ou mais chaves de contexto de condição global com o campo Condition. Para obter mais informações, consulte Chaves de contexto de condição global da AWS.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "1",
            "Effect": "Allow",
            "Principal": {
                "Service": "bedrock.amazonaws.com"
            },
            "Action": "sts:AssumeRole",
            "Condition": {
                "StringEquals": {
                    "aws:SourceAccount": "account-id"
                },
                "ArnEquals": {
                    "aws:SourceArn": "arn:aws:bedrock:us-east-1:account-id:model-import-job/*"
                }
            }
        }
    ]
}

Permissões para acessar arquivos de modelos personalizados no Amazon S3

Anexe a política a seguir para permitir que o perfil acesse os arquivos de modelos personalizados no bucket do Amazon S3. Substitua os valores na lista Resource pelos nomes reais dos buckets.

Para restringir o acesso a uma pasta específica em um bucket, adicione uma chave de condição s3:prefix ao caminho da pasta. É possível seguir o exemplo de Política de usuário no Exemplo 2: obter uma lista de objetos em um bucket com um prefixo específico

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "1",
            "Effect": "Allow",
            "Action": [
                "s3:GetObject",
                "s3:ListBucket"
            ],
            "Resource": [
                "arn:aws:s3:::bucket",
                "arn:aws:s3:::bucket/*"
            ],
            "Condition": {
                "StringEquals": {
                    "aws:ResourceAccount": "account-id"
                }
            }
        }
    ]
}