View a markdown version of this page

Tag-based Zugriffskontrolle für Endpunkte des Amazon Bedrock AWS Marketplace Marketplace-Modells - Amazon Bedrock

Die vorliegende Übersetzung wurde maschinell erstellt. Im Falle eines Konflikts oder eines Widerspruchs zwischen dieser übersetzten Fassung und der englischen Fassung (einschließlich infolge von Verzögerungen bei der Übersetzung) ist die englische Fassung maßgeblich.

Tag-based Zugriffskontrolle für Endpunkte des Amazon Bedrock AWS Marketplace Marketplace-Modells

Wenn Sie einen Amazon Bedrock AWS Marketplace Marketplace-Modellendpunkt erstellen, wendet Amazon Bedrock Ihre angegebenen Tags auf den zugrunde liegenden SageMaker KI-Endpunkt an. Amazon Bedrock unterstützt die Tasten aws:ResourceTag oder die aws:RequestTag Bedingungstasten für bedrock:*MarketplaceModelEndpoint Aktionen nicht.

Um eine tagbasierte Zugriffskontrolle durchzusetzen, wenden Sie Ihre Tag-Bedingungen auf die entsprechenden sagemaker:* Aktionen an. Diese Aktionen entsprechen den Endpunktoperationen im Amazon Bedrock AWS Marketplace Marketplace-Modell. Amazon Bedrock verwendet Ihre Identität, um SageMaker KI in Ihrem Namen anzurufen. SageMaker KI setzt dann Ihre tagbasierten Bedingungen durch.

Die folgenden Endpunktaktionen im Amazon Bedrock AWS Marketplace Marketplace-Modell unterstützen die Tag-basierte Zugriffskontrolle durch die zugrunde liegenden SageMaker KI-Aktionen:

  • bedrock:CreateMarketplaceModelEndpoint

  • bedrock:UpdateMarketplaceModelEndpoint

  • bedrock:DeleteMarketplaceModelEndpoint

  • bedrock:GetMarketplaceModelEndpoint

Die folgenden Aktionen unterstützen keine tagbasierte Zugriffskontrolle, da sie keine KI aufrufen: SageMaker

  • bedrock:RegisterMarketplaceModelEndpoint

  • bedrock:DeregisterMarketplaceModelEndpoint

Die entsprechenden SageMaker KI-Aktionen für jeden Vorgang finden Sie in der AmazonBedrockMarketplaceAccess verwalteten Richtlinie.

Anmerkung

RegisterMarketplaceModelEndpointund DeregisterMarketplaceModelEndpoint aktualisieren Sie nur die Verknüpfung zwischen einem vorhandenen SageMaker KI-Endpunkt und Amazon Bedrock AWS Marketplace. Diese Aktionen überspringen den SageMaker KI-Aufruf und ignorieren tagbasierte Zugriffskontrollbedingungen. Sie lassen den zugrunde liegenden SageMaker KI-Endpunkt und seine Konfiguration unverändert.

Beispiel: Verweigern Sie das Löschen von Produktionsendpunkten auf der Grundlage von Tags

Verwenden Sie diese Richtlinie, um das Löschen von SageMaker KI-Endpunkten zu verweigern, mit env=prod denen markiert wurde, wenn Anfragen über Amazon Bedrock eingehen.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "DenyDeleteProdMarketplaceEndpoints",
            "Effect": "Deny",
            "Action": "sagemaker:DeleteEndpoint",
            "Resource": "arn:aws:sagemaker:*:*:endpoint/*",
            "Condition": {
                "StringEquals": {
                    "aws:ResourceTag/env": "prod",
                    "aws:CalledViaLast": "bedrock.amazonaws.com"
                }
            }
        }
    ]
}