Wenden Sie kontoübergreifende Schutzmaßnahmen mit den Durchsetzungsmaßnahmen von Amazon Bedrock Guardrails an

Planen Sie Ihre Guardrail-Konfiguration

1. Definieren Sie Ihre Sicherheitsvorkehrungen:

   • Sehen Sie sich die verfügbaren Guardrails-Filter in der Amazon Bedrock Guardrails-Dokumentation an

   • Identifizieren Sie, welchen Filter Sie benötigen. Derzeit werden Inhaltsfilter, abgelehnte Themen, Wortfilter, Filter für vertrauliche Informationen und kontextuelle Grundprüfungen unterstützt.

   • Wichtig

     Schließen Sie die Richtlinie zur automatischen Argumentation nicht ein, da sie bei der Durchsetzung von Guardrails nicht unterstützt wird und zu Laufzeitausfällen führen kann.

2. Identifizieren Sie die Zielkonten:

   • Legen Sie fest OUs, für welche Konten oder für Ihr gesamtes Unternehmen diese Schutzmaßnahme durchgesetzt werden soll

Erstellen Sie Ihre Leitplanke im Verwaltungskonto

Erstellen Sie in jeder Region, in der Sie sie durchsetzen möchten, eine Leitplanke mit einer der folgenden Methoden:

• Mit dem: AWS-Managementkonsole

  1. Melden Sie sich bei der AWS-Managementkonsole mit einer IAM-Identität an, die berechtigt ist, die Amazon Bedrock-Konsole zu verwenden. Öffnen Sie dann die Amazon Bedrock-Konsole unter https://console.aws.amazon.com/bedrock.

  2. Wählen Sie im linken Navigationsbereich Guardrails

  3. Wählen Sie „Leitplanke erstellen“

  4. Folgen Sie dem Assistenten, um die gewünschten Filter oder Schutzmaßnahmen zu konfigurieren (Inhaltsfilter, abgelehnte Themen, Wortfilter, Filter für vertrauliche Informationen, kontextuelle Grundprüfungen)

  5. Aktivieren Sie nicht die Richtlinie für automatisiertes Denken

  6. Füllen Sie den Assistenten aus, um Ihre Leitplanke zu erstellen

• Verwenden der API: Verwenden Sie die API CreateGuardrail

Verify

Nach der Erstellung solltest du sie in der Liste der Leitplanken auf der Landingpage von Guardrails sehen oder in der Liste der Leitplanken nach ihr suchen, indem du den Namen der Leitplanke verwendest

Erstellen Sie eine Version für die Leitplanke

Erstellen Sie eine numerische Version, um sicherzustellen, dass die Guardrail-Konfiguration unveränderlich bleibt und nicht von Mitgliedskonten geändert werden kann.

• Verwenden von: AWS-Managementkonsole

  1. Wählen Sie die im vorherigen Schritt erstellte Leitplanke auf der Seite Guardrails in der Amazon Bedrock-Konsole aus.

  2. Wählen Sie Version erstellen

  3. Notieren Sie sich den Guardrail-ARN und die Versionsnummer (z. B. „1", „2")

• Verwenden der API: Verwenden Sie die API CreateGuardrailVersion

Verify

Vergewissern Sie sich, dass die Version erfolgreich erstellt wurde, indem Sie die Liste der Versionen auf der Guardrail-Detailseite überprüfen.

Hängen Sie eine ressourcenbasierte Richtlinie an

Ermöglichen Sie den kontoübergreifenden Zugriff, indem Sie Ihrer Leitplanke eine ressourcenbasierte Richtlinie hinzufügen.

• Verwenden von AWS-Managementkonsole — So hängen Sie über die Konsole eine ressourcenbasierte Richtlinie an:

  1. Wählen Sie in der Amazon Bedrock Guardrails-Konsole Ihre Leitplanke aus

  2. Wählen Sie Hinzufügen, um eine ressourcenbasierte Richtlinie hinzuzufügen

  3. Fügen Sie eine Richtlinie hinzu, die allen Mitgliedskonten oder Organisationen bedrock:ApplyGuardrail Berechtigungen gewährt. Weitere Informationen finden Sie unter Teilen Sie die Leitplanke mit Ihrer Organisation in Verwendung ressourcenbasierter Richtlinien für Leitplanken.

  4. Speichern Sie die Richtlinie

Verify

Testen Sie den Zugriff von einem Mitgliedskonto aus mithilfe der ApplyGuardrailAPI, um sicherzustellen, dass die Autorisierung korrekt konfiguriert ist.

Konfigurieren Sie IAM-Berechtigungen in Mitgliedskonten

Stellen Sie sicher, dass alle Rollen in Mitgliedskonten über IAM-Berechtigungen für den Zugriff auf die erzwungene Guardrail verfügen.

Erforderliche Berechtigungen

Für Rollen mit Mitgliedskonten ist eine bedrock:ApplyGuardrail Genehmigung für die Guardrail des Verwaltungskontos erforderlich. Ausführliche Beispiele So richten Sie Berechtigungen für die Nutzung von Integritätsschutz für Amazon Bedrock ein für IAM-Richtlinien finden Sie unter

Verify

Vergewissern Sie sich, dass Rollen mit eingeschränkten Berechtigungen in Mitgliedskonten die ApplyGuardrail API mit der Guardrail erfolgreich aufrufen können.

Aktivieren Sie den Amazon Bedrock-Richtlinientyp in AWS Organizations

• Verwenden von AWS-Managementkonsole — Um den Amazon Bedrock-Richtlinientyp über die Konsole zu aktivieren:

  1. Navigieren Sie zur Konsole AWS Organizations

  2. Wählen Sie Richtlinien

  3. Wählen Sie die Amazon Bedrock-Richtlinien

  4. Wählen Sie Amazon Bedrock-Richtlinien aktivieren, um den Amazon Bedrock-Richtlinientyp für Ihre Organisation zu aktivieren.

• Verwenden der API — Verwenden Sie die AWS Organizations EnablePolicyTypeAPI mit dem Richtlinientyp BEDROCK_POLICY

Verify

Vergewissern Sie sich, dass der Amazon Bedrock-Richtlinientyp in der AWS Organizations Konsole als aktiviert angezeigt wird.

Erstellen Sie eine Richtlinie und hängen Sie sie an AWS Organizations

Erstellen Sie eine Verwaltungsrichtlinie, die Ihre Leitplanke spezifiziert, und fügen Sie sie Ihren Zielkonten hinzu oder. OUs

• Verwenden von AWS-Managementkonsole — Um eine AWS Organizations Richtlinie mithilfe der Konsole zu erstellen und anzuhängen:

  1. Navigieren Sie in der AWS Organizations Konsole zu Richtlinien > Amazon Bedrock-Richtlinien

  2. Wählen Sie Richtlinie erstellen aus

  3. Geben Sie den ARN und die Version Ihrer Leitplanke an

     Wichtig

     Stellen Sie sicher, dass Sie den genauen Guardrail-ARN in der Richtlinie angeben. Die Angabe eines falschen oder ungültigen ARN führt zu Verstößen gegen die Richtlinien, zur Nichtdurchsetzung von Schutzmaßnahmen und zur Unfähigkeit, die Modelle in Amazon Bedrock für Rückschlüsse zu verwenden.

  4. Konfigurieren Sie selektive Kontrollen zum Schutz von Inhalten (optional).

     • Amazon Bedrock APIs ermöglicht es Anrufern, bestimmte Inhalte in ihren Eingabeaufforderungen zu taggen, um sie anhand der Leitplanke auszuwerten.

     • Durch selektive Kontrollen zum Schutz von Inhalten können Administratoren entscheiden, ob sie die von API-Aufrufern getroffenen Tagging-Entscheidungen berücksichtigen möchten.

     • Die messages Kontrollen system und bestimmen, wie Systemaufforderungen und Nachrichteninhalte von Leitplanken verarbeitet werden. Jeder akzeptiert einen der folgenden Werte:

       • Selektiv: Wertet nur Inhalte innerhalb der Guard-Content-Tags aus. Wenn keine Tags angegeben sind, hängt das Verhalten von der Steuerung ab. Denn system es wird kein Inhalt bewertet, und für messages wird der gesamte Inhalt bewertet.

       • Umfassend: Bewerten Sie alle Inhalte, unabhängig von den Inhalts-Tags von Guard.

     • Wenn nicht konfiguriert, sind beide Steuerelemente standardmäßig auf Umfassend eingestellt.

     {
         "bedrock": {
             "guardrail_inference": {
                 "us-east-1": {
                     "config_1": {
                         "identifier": {
                             "@@assign": "arn:aws:bedrock:us-east-1:123456789012:guardrail/guardrail-id:1"
                         },
                         "selective_content_guarding": {
                             "system": {
                                 "@@assign": "selective"
                             },
                             "messages": {
                                 "@@assign": "comprehensive"
                             }
                         },
                         "model_enforcement": {
                             "included_models": {
                                 "@@assign": ["ALL"]
                             },
                             "excluded_models": {
                                 "@@assign": ["amazon.titan-embed-text-v2:0", "cohere.embed-english-v3"]
                             }
                         }
                     }
                 }
             }
         }
     }

  5. Speichern Sie die Richtlinie

  6. Ordnen Sie die Richtlinie den gewünschten Zielen (Stammkonten der Organisation oder Einzelkonten) zu OUs, indem Sie zur Registerkarte Ziele navigieren und Anhängen wählen

• API verwenden — Verwenden Sie die AWS Organizations CreatePolicyAPI mit RichtlinientypBEDROCK_POLICY. Wird AttachPolicyzum Anhängen an Ziele verwendet

Weitere Informationen: Amazon Bedrock-Richtlinien in AWS Organizations

Verify

Vergewissern Sie sich, dass die Richtlinie an die richtigen Ziele in der AWS Organizations Konsole angehängt ist.

Testen und verifizieren Sie die Durchsetzung

Testen Sie, ob die Leitplanke für Mitgliedskonten durchgesetzt wird.

Planen Sie Ihre Guardrail-Konfiguration

Definieren Sie Ihre Schutzmaßnahmen

So definieren Sie Ihre Schutzmaßnahmen:

So erstellen Sie Ihren Integritätsschutz

Erstellen Sie in jeder Region, in der Sie sie durchsetzen möchten, eine Leitplanke.

Über AWS-Managementkonsole

Um mit der Konsole eine Leitplanke zu erstellen:

1. Melden Sie sich bei der AWS-Managementkonsole mit einer IAM-Identität an, die berechtigt ist, die Amazon Bedrock-Konsole zu verwenden. Öffnen Sie dann die Amazon Bedrock-Konsole unter https://console.aws.amazon.com/bedrock.

2. Wählen Sie im linken Navigationsbereich Guardrails

3. Wählen Sie „Leitplanke erstellen“

4. Folgen Sie dem Assistenten, um die gewünschten Richtlinien zu konfigurieren (Inhaltsfilter, abgelehnte Themen, Wortfilter, Filter für vertrauliche Informationen)

5. Aktivieren Sie nicht die Richtlinie für automatisiertes Denken

6. Füllen Sie den Assistenten aus, um Ihre Leitplanke zu erstellen

Über API

Verwenden der CreateGuardrail-API.

Verify

Nach der Erstellung sollten Sie es in der Liste der Leitplanken auf der Guardrails-Landingpage sehen oder in der Liste der Leitplanken anhand des Namens der Leitplanke danach suchen

Erstellen Sie eine Version für die Leitplanke

Erstellen Sie eine numerische Version, um sicherzustellen, dass die Guardrail-Konfiguration unveränderlich bleibt und nicht von Mitgliedskonten geändert werden kann.

Über AWS-Managementkonsole

Um eine Guardrail-Version mit der Konsole zu erstellen:

1. Wählen Sie die im vorherigen Schritt erstellte Leitplanke auf der Seite Guardrails in der Amazon Bedrock-Konsole aus.

2. Wählen Sie Version erstellen

3. Notieren Sie sich den Guardrail-ARN und die Versionsnummer (z. B. „1", „2")

Über die API

Verwenden der CreateGuardrailVersion-API.

Verify

Vergewissern Sie sich, dass die Version erfolgreich erstellt wurde, indem Sie die Liste der Versionen auf der Guardrail-Detailseite überprüfen.

Hängen Sie eine ressourcenbasierte Richtlinie an (optional)

Wenn Sie die Leitplanke mit bestimmten Rollen in Ihrem Konto teilen möchten, fügen Sie eine ressourcenbasierte Richtlinie bei.

Über AWS-Managementkonsole

So hängen Sie mithilfe der Konsole eine ressourcenbasierte Richtlinie an:

1. Wählen Sie in der Amazon Bedrock Guardrails-Konsole Ihre Leitplanke aus

2. Wählen Sie Hinzufügen, um eine ressourcenbasierte Richtlinie hinzuzufügen

3. Fügen Sie eine Richtlinie hinzu, die den bedrock:ApplyGuardrail gewünschten Rollen Berechtigungen gewährt

4. Speichern Sie die Richtlinie

Aktivieren Sie die Durchsetzung auf Kontoebene

Konfigurieren Sie das Konto so, dass es Ihre Guardrail für alle Amazon Bedrock-Aufrufe verwendet. Dies muss in jeder Region geschehen, in der Sie eine Durchsetzung wünschen.

Über AWS-Managementkonsole

So aktivieren Sie die Durchsetzung auf Kontoebene mithilfe der Konsole:

1. Navigieren Sie zur Amazon Bedrock-Konsole

2. Wählen Sie im linken Navigationsbereich Guardrails

3. Wählen Sie im Abschnitt Durchsetzungskonfigurationen auf Kontoebene die Option Hinzufügen

4. Wählen Sie Ihre Leitplanke und Ihre Version aus

5. Konfigurieren Sie selektive Kontrollen zum Schutz von Inhalten (optional).

   • Amazon Bedrock APIs ermöglicht es Anrufern, bestimmte Inhalte in ihren Eingabeaufforderungen zu taggen, um sie anhand der Leitplanke auszuwerten.

   • Durch selektive Kontrollen zum Schutz von Inhalten können Administratoren entscheiden, ob sie die von API-Aufrufern getroffenen Tagging-Entscheidungen berücksichtigen möchten.

   • Die messages Kontrollen system und bestimmen, wie Systemaufforderungen und Nachrichteninhalte von Leitplanken verarbeitet werden. Jeder akzeptiert einen der folgenden Werte:

     • Selektiv: Wertet nur Inhalte innerhalb der Guard-Content-Tags aus.

     • Umfassend: Bewerten Sie alle Inhalte, unabhängig von den Guard-Inhalts-Tags.

   • Wenn nicht konfiguriert, sind beide Steuerelemente standardmäßig auf Umfassend eingestellt.

6. Senden Sie die Konfiguration

7. Wiederholen Sie den Vorgang für jede Region, in der Sie eine Durchsetzung wünschen

Über API

Verwenden Sie die PutEnforcedGuardrailConfiguration API in jeder Region, in der Sie die Leitplanke durchsetzen möchten

Verify

Auf der Seite „Guardrails“ sollte im Abschnitt Konfiguration der erzwungenen Guardrail für das Konto die für das Konto erzwungene Guardrail angezeigt werden. Sie können die ListEnforcedGuardrailsConfigurationAPI aufrufen, um sicherzustellen, dass die erzwungene Leitplanke aufgeführt ist

Testen und verifizieren Sie die Durchsetzung

Testen Sie mit einer Rolle in Ihrem Konto

So testen Sie die Durchsetzung von Ihrem Konto aus:

1. Führen Sie einen Amazon Bedrock-Inferenzanruf mitInvokeModel,Converse, oder InvokeModelWithResponseStream ConverseStream

2. Die vom Konto erzwungene Schutzmaßnahme sollte automatisch sowohl für Eingaben als auch für Ausgaben gelten

3. Informationen zur Bewertung der Leitplanken finden Sie in der Antwort. Die Antwort auf die Leitplanke wird Informationen zur Einhaltung der Leitplanken enthalten.