As traduções são geradas por tradução automática. Em caso de conflito entre o conteúdo da tradução e da versão original em inglês, a versão em inglês prevalecerá.

AWS políticas gerenciadas para o Amazon Bedrock

Para adicionar permissões a usuários, grupos e funções, é mais fácil de usar AWS políticas gerenciadas do que escrever políticas você mesmo. É preciso tempo e experiência para criar políticas gerenciadas pelo IAM cliente que forneçam à sua equipe somente as permissões necessárias. Para começar rapidamente, você pode usar nosso AWS políticas gerenciadas. Essas políticas abrangem casos de uso comuns e estão disponíveis em Conta da AWS. Para obter mais informações sobre AWS políticas gerenciadas, consulte AWS políticas gerenciadas no Guia IAM do usuário.

AWS manutenção e atualização de serviços AWS políticas gerenciadas. Você não pode alterar as permissões no AWS políticas gerenciadas. Ocasionalmente, os serviços adicionam permissões adicionais a um AWS política gerenciada para oferecer suporte a novos recursos. Esse tipo de atualização afeta todas as identidades (usuários, grupos e funções) em que a política está anexada. É mais provável que os serviços atualizem um AWS política gerenciada quando um novo recurso é lançado ou quando novas operações são disponibilizadas. Os serviços não removem permissões de um AWS política gerenciada, para que as atualizações de políticas não violem suas permissões existentes.

Além disso, AWS oferece suporte a políticas gerenciadas para funções de trabalho que abrangem vários serviços. Por exemplo, o ReadOnlyAccess AWS a política gerenciada fornece acesso somente de leitura a todos AWS serviços e recursos. Quando um serviço lança um novo recurso, AWS adiciona permissões somente de leitura para novas operações e recursos. Para obter uma lista e descrições das políticas de funções de trabalho, consulte AWS políticas gerenciadas para funções de trabalho no Guia IAM do usuário.

AWS política gerenciada: AmazonBedrockFullAccess

Você pode anexar a AmazonBedrockFullAccess política às suas IAM identidades.

Essa política concede permissões administrativas que permitem que o usuário crie, leia, atualize e exclua recursos do Amazon Bedrock.

Detalhes de permissão

Esta política inclui as seguintes permissões:

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "BedrockAll",
            "Effect": "Allow",
            "Action": [
                "bedrock:*"
            ],
            "Resource": "*"
        },
        {
            "Sid": "DescribeKey",
            "Effect": "Allow",
            "Action": [
                "kms:DescribeKey"
            ],
            "Resource": "arn:*:kms:*:::*"
        },
        {
            "Sid": "APIsWithAllResourceAccess",
            "Effect": "Allow",
            "Action": [
                "iam:ListRoles",
                "ec2:DescribeVpcs",
                "ec2:DescribeSubnets",
                "ec2:DescribeSecurityGroups"
            ],
            "Resource": "*"
        },
        {
            "Sid": "PassRoleToBedrock",
            "Effect": "Allow",
            "Action": [
                "iam:PassRole"
            ],
            "Resource": "arn:aws:iam::*:role/*AmazonBedrock*",
            "Condition": {
                "StringEquals": {
                    "iam:PassedToService": [
                        "bedrock.amazonaws.com"
                    ]
                }
            }
        }
    ]
}

AWS política gerenciada: AmazonBedrockReadOnly

Você pode anexar a AmazonBedrockReadOnly política às suas IAM identidades.

Essa política concede permissões de acesso somente leitura que permitem que os usuários visualizem todos os recursos no Amazon Bedrock.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "AmazonBedrockReadOnly",
            "Effect": "Allow",
            "Action": [
                "bedrock:GetFoundationModel",
                "bedrock:ListFoundationModels",
                "bedrock:ListTagsForResource",
                "bedrock:GetFoundationModelAvailability",
                "bedrock:GetModelInvocationLoggingConfiguration",
                "bedrock:GetProvisionedModelThroughput",
                "bedrock:ListProvisionedModelThroughputs",
                "bedrock:GetModelCustomizationJob",
                "bedrock:ListModelCustomizationJobs",
                "bedrock:ListCustomModels",
                "bedrock:GetCustomModel",
                "bedrock:GetModelInvocationJob",
                "bedrock:ListModelInvocationJobs",
                "bedrock:GetGuardrail",
                "bedrock:ListGuardrails",
                "bedrock:GetEvaluationJob",
                "bedrock:ListEvaluationJobs",
                "bedrock:GetInferenceProfile",
                "bedrock:ListInferenceProfiles"
            ],
            "Resource": "*"
        }
    ]
}

AWS política gerenciada: AmazonBedrockStudioPermissionsBoundary

Quando você cria projetos, aplicativos e componentes do Amazon Bedrock Studio, o Amazon Bedrock Studio aplica esse limite de permissões às IAM funções produzidas ao criar esses recursos.

O Amazon Bedrock Studio usa a política AmazonBedrockStudioPermissionsBoundary gerenciada para limitar as permissões do IAM principal provisionado ao qual ela está vinculada. Os diretores podem assumir a forma das funções de usuário que a Amazon DataZone pode assumir em nome dos usuários do Amazon Bedrock Studio e, em seguida, realizar ações como ler e gravar objetos do Amazon S3 ou invocar agentes do Amazon Bedrock.

A AmazonBedrockStudioPermissionsBoundary política concede acesso de leitura e gravação para o Amazon Bedrock Studio a serviços como Amazon S3, Amazon Bedrock, OpenSearch Amazon Serverless e AWS Lambda. A política também concede permissões de leitura e gravação para alguns recursos de infraestrutura necessários para usar esses serviços, como AWS segredos do Secrets Manager, grupos de CloudWatch log da Amazon e AWS KMS chaves.

Essa política consiste nos seguintes conjuntos de permissões.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "AccessS3Buckets",
            "Effect": "Allow",
            "Action": [
                "s3:ListBucket",
                "s3:ListBucketVersions",
                "s3:GetObject",
                "s3:PutObject",
                "s3:DeleteObject",
                "s3:GetObjectVersion",
                "s3:DeleteObjectVersion"
            ],
            "Resource": "arn:aws:s3:::br-studio-${aws:PrincipalAccount}-*",
            "Condition": {
                "StringEquals": {
                    "aws:ResourceAccount": "${aws:PrincipalAccount}"
                }
            }
        },
        {
            "Sid": "AccessOpenSearchCollections",
            "Effect": "Allow",
            "Action": "aoss:APIAccessAll",
            "Resource": "*",
            "Condition": {
                "StringEquals": {
                    "aws:ResourceAccount": "${aws:PrincipalAccount}"
                }
            }
        },
        {
            "Sid": "InvokeBedrockModels",
            "Effect": "Allow",
            "Action": [
                "bedrock:InvokeModel",
                "bedrock:InvokeModelWithResponseStream"
            ],
            "Resource": "arn:aws:bedrock:*::foundation-model/*"
        },
        {
            "Sid": "AccessBedrockResources",
            "Effect": "Allow",
            "Action": [
                "bedrock:InvokeAgent",
                "bedrock:Retrieve",
                "bedrock:StartIngestionJob",
                "bedrock:GetIngestionJob",
                "bedrock:ListIngestionJobs",
                "bedrock:ApplyGuardrail",
                "bedrock:ListPrompts",
                "bedrock:GetPrompt",
                "bedrock:CreatePrompt",
                "bedrock:DeletePrompt",
                "bedrock:CreatePromptVersion",
                "bedrock:InvokeFlow",
                "bedrock:ListTagsForResource",
                "bedrock:TagResource",
                "bedrock:UntagResource"
            ],
            "Resource": "*",
            "Condition": {
                "StringEquals": {
                    "aws:ResourceAccount": "${aws:PrincipalAccount}",
                    "aws:ResourceTag/AmazonBedrockManaged": "true"
                },
                "Null": {
                    "aws:ResourceTag/AmazonDataZoneProject": "false"
                }
            }
        },
        {
            "Sid": "RetrieveAndGenerate",
            "Effect": "Allow",
            "Action": "bedrock:RetrieveAndGenerate",
            "Resource": "*"
        },
        {
            "Sid": "WriteLogs",
            "Effect": "Allow",
            "Action": [
                "logs:CreateLogGroup",
                "logs:CreateLogStream",
                "logs:PutLogEvents"
            ],
            "Resource": "arn:aws:logs:*:*:log-group:/aws/lambda/br-studio-*",
            "Condition": {
                "StringEquals": {
                    "aws:ResourceAccount": "${aws:PrincipalAccount}",
                    "aws:ResourceTag/AmazonBedrockManaged": "true"
                },
                "Null": {
                    "aws:ResourceTag/AmazonDataZoneProject": "false"
                }
            }
        },
        {
            "Sid": "InvokeLambdaFunctions",
            "Effect": "Allow",
            "Action": "lambda:InvokeFunction",
            "Resource": "arn:aws:lambda:*:*:function:br-studio-*",
            "Condition": {
                "StringEquals": {
                    "aws:ResourceAccount": "${aws:PrincipalAccount}",
                    "aws:ResourceTag/AmazonBedrockManaged": "true"
                },
                "Null": {
                    "aws:ResourceTag/AmazonDataZoneProject": "false"
                }
            }
        },
        {
            "Sid": "AccessSecretsManagerSecrets",
            "Effect": "Allow",
            "Action": [
                "secretsmanager:DescribeSecret",
                "secretsmanager:GetSecretValue",
                "secretsmanager:PutSecretValue"
            ],
            "Resource": "arn:aws:secretsmanager:*:*:secret:br-studio/*",
            "Condition": {
                "StringEquals": {
                    "aws:ResourceAccount": "${aws:PrincipalAccount}",
                    "aws:ResourceTag/AmazonBedrockManaged": "true"
                },
                "Null": {
                    "aws:ResourceTag/AmazonDataZoneProject": "false"
                }
            }
        },
        {
            "Sid": "UseKmsKeyWithBedrock",
            "Effect": "Allow",
            "Action": [
                "kms:Decrypt",
                "kms:GenerateDataKey"
            ],
            "Resource": "*",
            "Condition": {
                "StringEquals": {
                    "aws:ResourceAccount": "${aws:PrincipalAccount}",
                    "aws:ResourceTag/EnableBedrock": "true"
                },
                "Null": {
                    "kms:EncryptionContext:aws:bedrock:arn": "false"
                }
            }
        },
        {
            "Sid": "UseKmsKeyWithAwsServices",
            "Effect": "Allow",
            "Action": [
                "kms:Decrypt",
                "kms:GenerateDataKey"
            ],
            "Resource": "*",
            "Condition": {
                "StringEquals": {
                    "aws:ResourceAccount": "${aws:PrincipalAccount}",
                    "aws:ResourceTag/EnableBedrock": "true"
                },
                "StringLike": {
                    "kms:ViaService": [
                        "s3.*.amazonaws.com",
                        "secretsmanager.*.amazonaws.com"
                    ]
                }
            }
        }
    ]
}

Atualizações do Amazon Bedrock para AWS políticas gerenciadas

Exibir detalhes sobre as atualizações do AWS gerenciei políticas para o Amazon Bedrock desde que esse serviço começou a rastrear essas mudanças. Para alertas automáticos sobre alterações nesta página, assine o RSS feed noHistórico de documentos do Guia do usuário do Amazon Bedrock.