本文属于机器翻译版本。若本译文内容与英语原文存在差异,则一律以英文原文为准。
设置使用防护栏进行内容筛选的权限
要设置具有护栏权限的角色,请按照创建IAM角色中的步骤创建一个角色并附加以下权限,为AWS服务委派权限。
如果您对代理使用防护栏,请将权限附加到具有创建和管理代理权限的服务角色。您可以在控制台中设置此角色或按照中的步骤创建自定义角色为 Amazon Bedrock Agents 创建服务角色。
-
使用基础模型调用护栏的权限
-
创建和管理护栏的权限
-
(可选)解密客户管理的权限 AWS KMS 护栏的钥匙
为策略角色创建和管理护栏的权限
将以下语句附加到策略的Statement
字段中,以便您的角色使用护栏。
{ "Version": "2012-10-17", "Statement": [ { "Sid": "CreateAndManageGuardrails", "Effect": "Allow", "Action": [ "bedrock:CreateGuardrail", "bedrock:CreateGuardrailVersion", "bedrock:DeleteGuardrail", "bedrock:GetGuardrail", "bedrock:ListGuardrails", "bedrock:UpdateGuardrail" ], "Resource": "*" } ] }
调用护栏筛选内容所需的权限
将以下语句附加到该角色的策略Statement
字段中,以允许模型推断和调用护栏。
{ "Version": "2012-10-17", "Statement": [ { "Sid": "InvokeFoundationModel", "Effect": "Allow", "Action": [ "bedrock:InvokeModel", "bedrock:InvokeModelWithResponseStream" ], "Resource": [ "arn:aws:bedrock:region::foundation-model/*" ] }, { "Sid": "ApplyGuardrail", "Effect": "Allow", "Action": [ "bedrock:ApplyGuardrail" ], "Resource": [ "arn:aws:bedrock:
region
:account-id
:guardrail/guardrail-id
" ] } ] }
(可选)为护栏创建客户托管密钥以提高安全性
任何具有CreateKey
权限的用户都可以使用以下任一方法创建客户托管密钥 AWS Key Management Service (AWS KMS) 控制台或CreateKey操作。确保创建对称加密密钥。创建密钥后,设置以下权限。
-
按照创建密钥策略中的步骤为您的密KMS钥创建基于资源的策略。添加以下策略声明,向护栏用户和护栏创建者授予权限。替换每个
role
使用您想要允许的角色来执行指定操作。{ "Version": "2012-10-17", "Id": "KMS Key Policy", "Statement": [ { "Sid": "PermissionsForGuardrailsCreators", "Effect": "Allow", "Principal": { "AWS": "arn:aws:iam::
account-id
:user/role
" }, "Action": [ "kms:Decrypt", "kms:GenerateDataKey", "kms:DescribeKey", "kms:CreateGrant" ], "Resource": "*" }, { "Sid": "PermissionsForGuardrailsUusers", "Effect": "Allow", "Principal": { "AWS": "arn:aws:iam::account-id
:user/role
" }, "Action": "kms:Decrypt", "Resource": "*" } } -
将以下基于身份的策略附加到角色以允许其创建和管理护栏。更换
key-id
使用您创建的KMS密钥的 ID。{ "Version": "2012-10-17", "Statement": [ { "Sid": "Allow role to create and manage guardrails", "Effect": "Allow", "Action": [ "kms:Decrypt", "kms:DescribeKey", "kms:GenerateDataKey" "kms:CreateGrant" ], "Resource": "arn:aws:kms:
region
:account-id
:key/key-id
" } ] } -
将以下基于身份的策略附加到角色,以允许该角色在模型推断期间或调用代理时使用您加密的护栏。更换
key-id
使用您创建的KMS密钥的 ID。{ "Version": "2012-10-17", "Statement": [ { "Sid": "Allow role to use an encrypted guardrail during model inference", "Effect": "Allow", "Action": [ "kms:Decrypt", ], "Resource": "arn:aws:kms:
region
:account-id
:key/key-id
" } ] }