本文為英文版的機器翻譯版本,如內容有任何歧義或不一致之處,概以英文版為準。
AWS Amazon 基岩的受管政策
若要新增使用者、群組和角色的權限,使用 AWS 受管理的原則比自己撰寫原則更容易。建立IAM客戶管理的政策需要時間和專業知識,以便為您的團隊提供他們所需的權限。若要快速開始使用,您可以使用我們的 AWS 受管政策。這些政策涵蓋常見的使用案例,並可在您的 AWS 帳戶中使用。如需有關 AWS 受管理策略的詳細資訊,請參閱IAM使用指南中的AWS 受管理策略。
AWS 服務會維護和更新 AWS 受管理的策略。您無法變更 AWS 受管理原則中的權限。服務偶爾會在 AWS 受管政策中新增其他許可以支援新功能。此類型的更新會影響已連接政策的所有身分識別 (使用者、群組和角色)。當新功能啟動或新操作可用時,服務很可能會更新 AWS 受管政策。服務不會從 AWS 受管理的政策移除權限,因此政策更新不會破壞您現有的權限。
此外,還 AWS 支援跨多個服務之工作職能的受管理原則。例如,ReadOnlyAccess AWS 受管理的策略提供對所有 AWS 服務和資源的唯讀存取權。當服務啟動新功能時,會為新作業和資源新 AWS 增唯讀權限。如需工作職能原則的清單與說明,請參閱《IAM使用指南》中的工作職能AWS 受管理原則。
主題
AWS 受管理的策略: AmazonBedrockFullAccess
您可以將AmazonBedrockFullAccess
原則附加至您的IAM身分識別。
此政策授予管理權限,允許使用者建立、讀取、更新和刪除 Amazon Bedrock 資源。
注意
微調和模型存取需要額外的許可權。如需詳細資訊,請參閱 允許存取第三方模型訂閱 和 存取訓練和驗證檔案,以及在 S3 中寫入輸出檔案的權限。
許可詳細資訊
此政策包含以下許可:
-
ec2
(Amazon 彈性運算雲端) — 允許權限描述VPCs、子網路和安全群組。 -
iam
(AWS Identity and Access Management) — 允許主體傳遞角色,但只允許將其中包含「Amazon 基岩」的IAM角色傳遞至 Amazon 基岩服務。許可權僅限用於 Amazon Bedrock 操作的bedrock.amazonaws.com
。 -
kms
(金AWS 鑰管理服務) — 允許主體描述 AWS KMS 金鑰和別名。 -
bedrock
(Amazon Bedrock) — 允許主體讀取和寫入存取 Amazon Bedrock控制平面和執行期服務中的所有動作。
{ "Version": "2012-10-17", "Statement": [ { "Sid": "BedrockAll", "Effect": "Allow", "Action": [ "bedrock:*" ], "Resource": "*" }, { "Sid": "DescribeKey", "Effect": "Allow", "Action": [ "kms:DescribeKey" ], "Resource": "arn:*:kms:*:::*" }, { "Sid": "APIsWithAllResourceAccess", "Effect": "Allow", "Action": [ "iam:ListRoles", "ec2:DescribeVpcs", "ec2:DescribeSubnets", "ec2:DescribeSecurityGroups" ], "Resource": "*" }, { "Sid": "PassRoleToBedrock", "Effect": "Allow", "Action": [ "iam:PassRole" ], "Resource": "arn:aws:iam::*:role/*AmazonBedrock*", "Condition": { "StringEquals": { "iam:PassedToService": [ "bedrock.amazonaws.com" ] } } } ] }
AWS 受管理的策略: AmazonBedrockReadOnly
您可以將AmazonBedrockReadOnly
原則附加至您的IAM身分識別。
此政策授予唯讀許可,允許使用者檢視 Amazon Bedrock 中所有的資源。
{ "Version": "2012-10-17", "Statement": [ { "Sid": "AmazonBedrockReadOnly", "Effect": "Allow", "Action": [ "bedrock:GetFoundationModel", "bedrock:ListFoundationModels", "bedrock:GetModelInvocationLoggingConfiguration", "bedrock:GetProvisionedModelThroughput", "bedrock:ListProvisionedModelThroughputs", "bedrock:GetModelCustomizationJob", "bedrock:ListModelCustomizationJobs", "bedrock:ListCustomModels", "bedrock:GetCustomModel", "bedrock:ListTagsForResource", "bedrock:GetFoundationModelAvailability" ], "Resource": "*" } ] }
AWS 受管理的策略: AmazonBedrockStudioPermissionsBoundary
注意
此原則是權限界限。權限界限會設定以身分識別為基礎的原則可授與主參與者的最大權限。IAM您不應該自行使用和附加 Amazon 基岩工作室許可邊界政策。Amazon 基岩工作室許可邊界政策只應附加至 Amazon 基岩工作室受管角色。如需有關權限界限的詳細資訊,請參閱《IAM使用指南》中的IAM實體權限界限。
-
Amazon 基岩工作室的當前版本繼續期望您 AWS 的帳戶中存在一個名
AmazonDataZoneBedrockPermissionsBoundary
為的類似政策。如需詳細資訊,請參閱步驟 2:建立權限界限、服務角色和佈建角色。
當您建立 Amazon 基岩工作室專案、應用程式和元件時,Amazon 基岩工作室會將此許可界限套用到建立這些資源時產生的IAM角色。
Amazon 基岩工作室使用AmazonBedrockStudioPermissionsBoundary
受管政策來限制其所附加之已佈建IAM主體的許可。主體可能會採用 Amazon DataZone 可代表 Amazon 基岩工作室使用者承擔的使用者角色形式,然後執行讀取和寫入 Amazon S3 物件或叫用 Amazon 基岩代理程式等動作。
該AmazonBedrockStudioPermissionsBoundary
政策授予 Amazon 基岩工作室的讀取和寫入訪問權限,例如 Amazon S3,Amazon 基岩,Amazon OpenSearch 無服務器和。 AWS Lambda該政策還為使用這些服務所需的某些基礎設施資源提供讀取和寫入許可,例如 AWS Secrets Manager 密鑰、Amazon CloudWatch 日誌群組和 AWS KMS 金鑰。
此原則包含下列權限集。
s3
— 允許讀取和寫入存取 Amazon S3 儲存貯體中由 Amazon 基岩工作室管理的物件。bedrock
— 授予使用 Amazon 基岩工作室管理的 Amazon 基岩代理程式、知識庫和護欄的能力。aoss
— 允許API訪問由 Amazon 基岩工作室管理的 Amazon OpenSearch 無服務器集合。lambda
— 授予調用由 Amazon 基岩工作室管理的 AWS Lambda 函數的能力。secretsmanager
— 允許讀取和寫入訪問由 Amazon 基岩工作室管 Secrets Manager 的秘密管理器秘密。AWSlogs
— 提供對 Amazon 基岩工作室管理的 Amazon CloudWatch 日誌的寫入訪問權限。kms
— 授予使用 AWS 金鑰以加密 Amazon 基岩工作室資料的存取權。
{ "Version": "2012-10-17", "Statement": [ { "Sid": "AccessS3Buckets", "Effect": "Allow", "Action": [ "s3:ListBucket", "s3:ListBucketVersions", "s3:GetObject", "s3:PutObject", "s3:DeleteObject", "s3:GetObjectVersion", "s3:DeleteObjectVersion" ], "Resource": "arn:aws:s3:::br-studio-${aws:PrincipalAccount}-*", "Condition": { "StringEquals": { "aws:ResourceAccount": "${aws:PrincipalAccount}" } } }, { "Sid": "AccessOpenSearchCollections", "Effect": "Allow", "Action": "aoss:APIAccessAll", "Resource": "*", "Condition": { "StringEquals": { "aws:ResourceAccount": "${aws:PrincipalAccount}" } } }, { "Sid": "InvokeBedrockModels", "Effect": "Allow", "Action": [ "bedrock:InvokeModel", "bedrock:InvokeModelWithResponseStream" ], "Resource": "arn:aws:bedrock:*::foundation-model/*" }, { "Sid": "AccessBedrockResources", "Effect": "Allow", "Action": [ "bedrock:InvokeAgent", "bedrock:Retrieve", "bedrock:StartIngestionJob", "bedrock:GetIngestionJob", "bedrock:ListIngestionJobs", "bedrock:ApplyGuardrail", "bedrock:ListPrompts", "bedrock:GetPrompt", "bedrock:CreatePrompt", "bedrock:DeletePrompt", "bedrock:CreatePromptVersion", "bedrock:InvokeFlow", "bedrock:ListTagsForResource", "bedrock:TagResource", "bedrock:UntagResource" ], "Resource": "*", "Condition": { "StringEquals": { "aws:ResourceAccount": "${aws:PrincipalAccount}", "aws:ResourceTag/AmazonBedrockManaged": "true" }, "Null": { "aws:ResourceTag/AmazonDataZoneProject": "false" } } }, { "Sid": "RetrieveAndGenerate", "Effect": "Allow", "Action": "bedrock:RetrieveAndGenerate", "Resource": "*" }, { "Sid": "WriteLogs", "Effect": "Allow", "Action": [ "logs:CreateLogGroup", "logs:CreateLogStream", "logs:PutLogEvents" ], "Resource": "arn:aws:logs:*:*:log-group:/aws/lambda/br-studio-*", "Condition": { "StringEquals": { "aws:ResourceAccount": "${aws:PrincipalAccount}", "aws:ResourceTag/AmazonBedrockManaged": "true" }, "Null": { "aws:ResourceTag/AmazonDataZoneProject": "false" } } }, { "Sid": "InvokeLambdaFunctions", "Effect": "Allow", "Action": "lambda:InvokeFunction", "Resource": "arn:aws:lambda:*:*:function:br-studio-*", "Condition": { "StringEquals": { "aws:ResourceAccount": "${aws:PrincipalAccount}", "aws:ResourceTag/AmazonBedrockManaged": "true" }, "Null": { "aws:ResourceTag/AmazonDataZoneProject": "false" } } }, { "Sid": "AccessSecretsManagerSecrets", "Effect": "Allow", "Action": [ "secretsmanager:DescribeSecret", "secretsmanager:GetSecretValue", "secretsmanager:PutSecretValue" ], "Resource": "arn:aws:secretsmanager:*:*:secret:br-studio/*", "Condition": { "StringEquals": { "aws:ResourceAccount": "${aws:PrincipalAccount}", "aws:ResourceTag/AmazonBedrockManaged": "true" }, "Null": { "aws:ResourceTag/AmazonDataZoneProject": "false" } } }, { "Sid": "UseKmsKeyWithBedrock", "Effect": "Allow", "Action": [ "kms:Decrypt", "kms:GenerateDataKey" ], "Resource": "*", "Condition": { "StringEquals": { "aws:ResourceAccount": "${aws:PrincipalAccount}", "aws:ResourceTag/EnableBedrock": "true" }, "Null": { "kms:EncryptionContext:aws:bedrock:arn": "false" } } }, { "Sid": "UseKmsKeyWithAwsServices", "Effect": "Allow", "Action": [ "kms:Decrypt", "kms:GenerateDataKey" ], "Resource": "*", "Condition": { "StringEquals": { "aws:ResourceAccount": "${aws:PrincipalAccount}", "aws:ResourceTag/EnableBedrock": "true" }, "StringLike": { "kms:ViaService": [ "s3.*.amazonaws.com", "secretsmanager.*.amazonaws.com" ] } } } ] }
Amazon 基岩更新受管政策 AWS
檢視 Amazon Bedrock AWS 受管政策更新的詳細資訊,因為此服務開始追蹤這些變更。如需有關此頁面變更的自動警示,請訂閱上的動RSS態消息Amazon Bedrock 使用者指南的文件歷史記錄。
變更 | 描述 | 日期 |
---|---|---|
Amazon 基岩工作室發布了該政策的第一個版本。 |
2024年7月31 日 | |
AmazonBedrockFullAccess – 新政策 |
Amazon Bedrock 新增了新政策,授予使用者建立、讀取、更新和刪除資源的許可權。 |
2023 年 12 月 12 日 |
AmazonBedrockReadOnly – 新政策 |
Amazon Bedrock 新增了新政策,為使用者提供所有動作的唯讀許可權。 |
2023 年 12 月 12 日 |
Amazon Bedrock 開始追蹤變更 |
Amazon 基岩開始追蹤其 AWS 受管政策的變更。 |
2023 年 12 月 12 日 |