使用 CloudWatch 日志和 Amazon S3 监控模型调用

1. 创建要将日志传输到 S3 存储桶。

2. 向其添加如下所示的存储桶策略（替换accountId、regionbucketName、和的值prefix）：

   注意

   当您使用权限 S3:GetBucketPolicy 和 S3:PutBucketPolicy 配置日志记录时，系统会代表您自动将存储桶策略附加到存储桶。

   JSON

   {
       "Version":"2012-10-17",
       "Statement": [
           {
               "Sid": "AmazonBedrockLogsWrite",
               "Effect": "Allow",
               "Principal": {
                   "Service": "bedrock.amazonaws.com"
               },
               "Action": [
                   "s3:PutObject"
               ],
               "Resource": [
                   "arn:aws:s3:::bucketName/prefix/AWSLogs/123456789012/BedrockModelInvocationLogs/*"
               ],
               "Condition": {
                   "StringEquals": {
                       "aws:SourceAccount": "123456789012"
                   },
                   "ArnLike": {
                       "aws:SourceArn": "arn:aws:bedrock:us-east-1:123456789012:*"
                   }
               }
           }
       ]
   }
   

3. （可选）如果在存储桶 SSE-KMS 上进行配置，请在 KMS 密钥上添加以下策略：

   {
       "Effect": "Allow",
       "Principal": {
           "Service": "bedrock.amazonaws.com"
       },
       "Action": "kms:GenerateDataKey",
       "Resource": "*",
       "Condition": {
           "StringEquals": {
             "aws:SourceAccount": "accountId" 
           },
           "ArnLike": {
              "aws:SourceArn": "arn:aws:bedrock:region:accountId:*"
           }
       }
   }                

1. 创建 CloudWatch 将在其中发布日志的日志组。

2. 创建具有以下 CloudWatch 日志权限的 IAM 角色。

   可信实体：

   JSON

   {
       "Version":"2012-10-17",
       "Statement": [
           {
               "Effect": "Allow",
               "Principal": {
                   "Service": "bedrock.amazonaws.com"
               },
               "Action": "sts:AssumeRole",
               "Condition": {
                   "StringEquals": {
                       "aws:SourceAccount": "123456789012"
                   },
                   "ArnLike": {
                       "aws:SourceArn": "arn:aws:bedrock:us-east-1:123456789012:*"
                   }
               }
           }
       ]
   }
   

   角色策略：

   JSON

   {
       "Version":"2012-10-17",
       "Statement": [
           {
               "Effect": "Allow",
               "Action": [
                   "logs:CreateLogStream",
                   "logs:PutLogEvents"
               ],
               "Resource": "arn:aws:logs:us-east-1:123456789012:log-group:logGroupName:log-stream:aws/bedrock/modelinvocations"
           }
       ]
   }
   

启用模型调用日志

使用有权使用亚马逊 Bedrock 控制台的 IAM 身份登录。 AWS 管理控制台 然后，在以下位置打开亚马逊 Bedrock 控制台。 https://console.aws.amazon.com/bedrock

1. 在左侧导航窗格中，选择设置。

2. 在模型调用日志记录页面中，选择模型调用日志。将显示用于记录的其他配置设置。

3. 选择要发布到日志的数据请求和响应的方式。您可以选择以下输出选项的任意组合：

   • 文本

   • Image

   • 嵌入

   • 视频

   注意

   将记录支持您选择的模态（无论是输入还是输出）的所有模型的数据。例如，如果您选择 “图像”，则将记录所有支持图像输入、图像输出或两者的模型的模型调用。

4. 选择在哪里发布日志：

   • 仅限 Amazon S3

   • CloudWatch 仅限日志

   • 亚马逊 S3 和 CloudWatch 日志