本文属于机器翻译版本。若本译文内容与英语原文存在差异，则一律以英文原文为准。

申请访问模型

在具备正确的 AWS Marketplace 权限的情况下，对所有 Amazon Bedrock 基础模型的访问权限默认处于启用状态。要开始使用，只需从 Amazon Bedrock 控制台的模型目录中选择一个模型，然后在操场中将其打开，或者使用InvokeModel或 Converse API 操作调用该模型即可。有关 Amazon Bedrock 支持的不同模型的信息，请参阅 Amazon Bedrock 基础模型信息。有关模型定价的信息，请参阅 Amazon Bedrock 定价。

默认情况下，在所有商业 AWS 区域启用对所有 Amazon Bedrock 基础模型的访问权限，并具有正确的 AWS Marketplace 权限。要以编程方式访问第三方模型，请参阅使用 SDK 和 CLI 管理模型访问权限。

授予 IAM 权限以请求对具有产品 ID 的 Amazon Bedrock 基础模型的访问权限

您可以通过创建自定义 IAM 策略来管理模型访问。要修改对亚马逊 Bedrock 基础模型的访问权限，您首先需要向允许访问亚马逊 Bedrock 的 IAM 角色附加基于身份的 IAM 政策，其中包含以下AWS Marketplace 操作。

当您首次调用账户 AWS Marketplace 中提供的亚马逊 Bedrock 无服务器模型时，Bedrock 会尝试自动为您的账户启用该模型。要使这种自动启用功能起作用，需要 AWS Marketplace 权限。

如果您无法 AWS Marketplace 获得 AWS Marketplace 权限，则拥有权限的人必须一次性为账户启用模型（手动或通过自动启用）。启用模型后，无需 AWS Marketplace 权限即可调用该模型。启用模型后，用户无需 AWS Marketplace 订阅权限即可调用模型。只有在账户中首次使用模型时才需要这些权限。

通过以下 IAM 操作控制对具有产品 ID 的 Amazon Bedrock 无服务器基础模型的访问权限：

允许 IAM 身份请求对具有产品 ID 的模型的访问权限

身份必须已附加允许 aws-marketplace:Subscribe 的策略。

有关创建策略的信息，请参阅快速入门。

仅对于 aws-marketplace:Subscribe 操作，您可以使用 aws-marketplace:ProductId 条件键来限制对特定模型的订阅。

选择一个部分以查看特定使用案例的 IAM 策略示例：

防止身份请求对具有产品 ID 的模型的访问权限

要防止 IAM 实体请求对具有产品 ID 的特定模型的访问权限，请向用户附加一个 IAM 策略，以便拒绝 aws-marketplace:Subscribe 操作并将 Condition 字段的范围限定为该模型的产品 ID。

例如，您可以将以下策略附加到身份以防止其订阅 Anthropic Claude 3.5 Sonnet 模型：

JSON

{
    "Version":"2012-10-17",
    "Statement": [
        {
            "Effect": "Deny",
            "Action": [
                "aws-marketplace:Subscribe"
            ],
            "Resource": "*",
            "Condition": {
                "ForAnyValue:StringEquals": {
                    "aws-marketplace:ProductId": [
                        "prod-m5ilt4siql27k"
                    ]
                }
            }
        }
    ]
}

阻止身份在获得访问权限后使用模型

如果一个 IAM 身份已获得对某个模型的访问权限，您可以通过拒绝所有 Amazon Bedrock 操作，并将 Resource 字段限定为基础模型的 ARN 来阻止此身份使用该模型。

例如，您可以将以下策略附加到某个身份，以防止其在所有 AWS 区域使用该AnthropicClaude 3.5 Sonnet模型：

JSON

{
    "Version":"2012-10-17",
    "Statement": [
        {
            "Effect": "Deny",
            "Action": [
                "bedrock:*"
            ],
            "Resource": [
                "arn:aws:bedrock:*::foundation-model/anthropic.claude-3-5-sonnet-20240620-v1:0"
            ]
        }
    ]
}

使用 SDK 和 CLI 管理模型访问权限

除了调用模型外，还可以使用 SDK 管理模型访问权限。以下步骤可用于对访问进行 create/delete 建模以及检查访问权限是否已经存在。请注意，这仅适用于第三方型号。

按照以下步骤以编程方式管理模型访问权限：

先决条件

第 1 步：列出基础协议范本的报价

使用此 API 获取特定型号的协议报价。这将提供用于在后续步骤中创建模型访问权限的OfferToken。

文档

AWS CLI

aws bedrock list-foundation-model-agreement-offers --model-id <ModelId>

Python

# Placeholder for modelId
model_id = "<enter model id here>" 
# Placeholder for offerId
offer_id = "<enter offer id here>"
try:
    # offerType= "ALL" means both public and private offers, if offerType isn't defined, the default would be "PUBLIC"
    model_agreement_offers_response = bedrock_client.list_foundation_model_agreement_offers(modelId=model_id,offerType="ALL")
    print(model_agreement_offers_response)
except ClientError as e:
    print(f"Failed to list foundation model offers for modelId: {model_id} due to the following error: {e}")

第 2 步：[仅限 Anthropic 模型需要一次性使用] 为首次使用的用户提供用例

用于仅为 Anthropic 模型提供首次用户用例表格。这是获得账户中 Anthropic 模型访问权限的先决条件。在所有商业区域，每个账户或每个 AWS 组织只需要使用一次 API，但选择加入的区域除外，这些区域需要再次填写此表格。此要求不适用于通过bedrock-mantle终端访问的人体模型。

文档

AWS CLI

aws bedrock put-use-case-for-model-access \
  --form-data <Base64EncodedFormData>

Python

# Placeholder for form data, replace the names
COMPANY_NAME = "<enter company name here>"
COMPANY_WEBSITE = "<enter company website here>"
INTENDED_USERS = "1" #for external users
INDUSTRY_OPTION = "<enter industry option here>"
OTHER_INDUSTRY_OPTION = "<enter other industry option here>"
USE_CASES = "<enter use cases here>"
form_data = {
    "companyName": COMPANY_NAME,
    "companyWebsite": COMPANY_WEBSITE,
    "intendedUsers": INTENDED_USERS,
    "industryOption": INDUSTRY_OPTION,
    "otherIndustryOption": OTHER_INDUSTRY_OPTION,
    "useCases": USE_CASES
}
form_data_json = json.dumps(form_data)
model_access_response = bedrock_client.put_use_case_for_model_access(formData=form_data_json)

对于 CLI，表单数据采用 base64 编码的 json 格式，格式如下。

{
    "companyName": COMPANY_NAME,
    "companyWebsite": COMPANY_WEBSITE,
    "intendedUsers": INTENDED_USERS,
    "industryOption": INDUSTRY_OPTION,
    "otherIndustryOption": OTHER_INDUSTRY_OPTION,
    "useCases": USE_CASES
}

第 3 步：创建基础协议范本

用于为基础模型创建协议（访问权限）。使用上面的优惠代币和 modelID。

文档

AWS CLI

aws bedrock create-foundation-model-agreement \
  --model-id <ModelId> \
  --offer-token <OfferToken>

Python

offer_token= ''

for agreement_offer in model_agreement_offers_response['offers']:
    if  agreement_offer['offerId'] == offer_id:
            
            offer_token = agreement_offer['offerToken']
            print(f"offer token found. Offer token is {offer_token}")
            break


if(not offer_token):
    print(f"Offer token for  modelId: {model_id} is not found")
    
foundation_model_agreement_reponse = bedrock_client.create_foundation_model_agreement(offerToken= offer_token , modelId= model_id)

第 4 步：获取基础模型的可用性

用于检查基础模型当前是否具有访问权限。使用上面的 modelID。

文档

AWS CLI

aws bedrock get-foundation-model-availability \
  --model-id <ModelId>

Python

model_availability_response = bedrock_client.get_foundation_model_availability(modelId=model_id)

预期的回应

agreementAvailability-AVAILABLE 如果存在访问权限，NOT_AVAILABLE则访问权限不存在。

{
  "modelId": "anthropic.claude-sonnet-4-20250514-v1:0",
  "agreementAvailability": {
    "status": "AVAILABLE"
  },
  "authorizationStatus": "AUTHORIZED",
  "entitlementAvailability": "AVAILABLE",
  "regionAvailability": "AVAILABLE"
}

[可选] 步骤 5：删除基础示范协议

用于删除基础协议范本（访问权限）。使用上面的 modelID。

文档

AWS CLI

aws bedrock delete-foundation-model-agreement \
  --model-id <ModelId>

Python

delete_foundation_model_agreement_reponse = bedrock_client.delete_foundation_model_agreement(modelId= model_id)

在 AWS GovCloud （美国）中访问亚马逊 Bedrock 基础模型

AWS GovCloud （美国）账户与标准 AWS 商业账户进行一对一关联。此关联商业账户用于账单、服务访问、支持目的和访问亚马逊 Bedrock 模型商城。有关与商业账户之间 GovCloud 关系的更多信息，请参阅 AWS GovCloud （美国）中的标准账户关联。

对于第三方模型，除了 AWS 账户外，还需要在关联的 AWS 商业账户中启用模型访问权限。 GovCloud 对于亚马逊 Bedrock 提供的模型，只需要在 GovCloud 账户中启用模型访问权限。这是一个手动过程。

GovCloud 在关联的 AWS 商业账户中启用 AWS 的模型访问权限（仅适用于第三方模型）

可以使用两种方式在 AWS 商业账户中启用模型访问权限：

启用 AWS GovCloud 账户的模型访问权限

在 AWS GovCloud （美国），您可以使用该us-gov-west-1地区亚马逊 Bedrock 控制台中的模型访问页面启用基础模型，如下所述：