Die vorliegende Übersetzung wurde maschinell erstellt. Im Falle eines Konflikts oder eines Widerspruchs zwischen dieser übersetzten Fassung und der englischen Fassung (einschließlich infolge von Verzögerungen bei der Übersetzung) ist die englische Fassung maßgeblich.

Verschlüsselung von Aufträgen und Artefakten zur Modellanpassung von Amazon Nova

Informationen zur Verschlüsselung Ihrer Modellanpassungsaufträge und Artefakte in Amazon Bedrock finden Sie unter Verschlüsselung von Modellanpassungsaufträgen und Artefakten.

Berechtigungen und wichtige Richtlinien für benutzerdefinierte Amazon Nova-Modelle

Die folgenden Anweisungen sind erforderlich, um Berechtigungen für Ihren KMS-Schlüssel einzurichten.

PermissionsModelCustomization statement

Fügen Sie in dem Principal Feld der Liste, der das AWS Unterfeld zugeordnet ist DecryptGenerateDataKey, Konten hinzuDescribeKey, für die Sie die CreateGrant Operationen,, und zulassen möchten. Wenn Sie den kms:ViaService Bedingungsschlüssel verwenden, können Sie eine Zeile für jede Region hinzufügen oder stattdessen verwenden*, ${region} um alle Regionen zuzulassen, die Amazon Bedrock unterstützen.

{
    "Sid": "PermissionsModelCustomization",
    "Effect": "Allow",
    "Principal": {
        "AWS": [
            "arn:aws:iam::${account-id}:role/${customization-role}"
        ]
    },
    "Action": [
        "kms:Decrypt",
        "kms:GenerateDataKey",
        "kms:DescribeKey",
        "kms:CreateGrant"
    ],
    "Resource": "*",
    "Condition": {
        "StringLike": {
            "kms:ViaService": [
                "bedrock.${region}.amazonaws.com"
            ] 
        }
    }
}

PermissionsModelInvocation statement

Fügen Sie in dem Principal Feld der Liste, der das AWS Unterfeld zugeordnet ist, Konten hinzu, für die Sie die GenerateDataKey Operationen Decrypt und zulassen möchten. Wenn Sie den kms:ViaService Bedingungsschlüssel verwenden, können Sie eine Zeile für jede Region hinzufügen oder stattdessen verwenden*, ${region} um alle Regionen zuzulassen, die Amazon Bedrock unterstützen.

{
    "Sid": "PermissionsModelInvocation",
    "Effect": "Allow",
    "Principal": {
        "AWS": [
            "arn:aws:iam::${account-id}:user/${invocation-role}"
        ]
    },
    "Action": [
        "kms:Decrypt",
        "kms:GenerateDataKey"
    ],
    "Resource": "*",
    "Condition": {
        "StringLike": {
            "kms:ViaService": [
                "bedrock.${region}.amazonaws.com"
            ] 
        }
    }
}

PermissionsNovaProvisionedThroughput statement

Wenn Sie einen bereitgestellten Durchsatz für Ihr benutzerdefiniertes Amazon Nova-Modell erstellen, führt Amazon Bedrock Inferenz- und Bereitstellungsoptimierungen für das Modell durch. In diesem Prozess verwendet Amazon Bedrock denselben KMS-Schlüssel, der zur Erstellung des benutzerdefinierten Modells verwendet wurde, um das höchste Sicherheitsniveau wie das benutzerdefinierte Modell selbst aufrechtzuerhalten.

{
    "Sid": "PermissionsNovaProvisionedThroughput",
    "Effect": "Allow",
    "Principal": {
        "Service": [
            "bedrock.amazonaws.com",
        ]
    },
    "Action": [
        "kms:Decrypt",
        "kms:GenerateDataKey"
    ],
    "Resource": "*",
    "Condition": {
        "ForAnyValue:StringEquals": {
            "kms:EncryptionContextKeys": "aws:bedrock:custom-model"
        }
    }
 }

Richten Sie Schlüsselberechtigungen für das Verschlüsseln und Aufrufen von benutzerdefinierten Modellen ein

Wenn Sie ein Modell verschlüsseln möchten, das Sie mit einem KMS-Schlüssel anpassen, hängt die Schlüsselrichtlinie für den Schlüssel von Ihrem Anwendungsfall ab. Erweitern Sie den Abschnitt, der Ihrem Anwendungsfall entspricht: