Las traducciones son generadas a través de traducción automática. En caso de conflicto entre la traducción y la version original de inglés, prevalecerá la version en inglés.
Cifrado de la importación de modelos personalizados
Amazon Bedrock permite crear un modelo personalizado mediante la función de importación de modelos personalizados para importar modelos que haya creado en otros entornos, como Amazon SageMaker AI. Los modelos importados personalizados son gestionados y almacenados por AWS. Para obtener más información, consulte Importar un modelo.
Para el cifrado del modelo importado personalizado, Amazon Bedrock ofrece las siguientes opciones:
-
AWS claves propias: de forma predeterminada, Amazon Bedrock cifra los modelos importados personalizados con claves AWS propias. No puede ver, administrar ni usar las claves AWS propias, ni auditar su uso. Sin embargo, no tiene que realizar ninguna acción ni cambiar ningún programa para proteger las claves que cifran sus datos. Para obtener más información, consulte Claves propiedad de AWS en la Guía para desarrolladores de AWS Key Management Service.
-
Claves administradas por el cliente (CMK): puede optar por añadir una segunda capa de cifrado a las claves de cifrado AWS propias existentes si elige una clave administrada por el cliente (CMK). Usted crea, posee y administra sus claves administradas por el cliente.
Como usted tiene el control total de esta capa de cifrado, podrá realizar las siguientes tareas en ella:
-
Establecer y mantener políticas de claves.
-
Establecer y mantener políticas y concesiones de IAM.
-
Habilitar y deshabilitar políticas de claves.
-
Rotar el material criptográfico.
-
Agregar etiquetas.
-
Crear alias de claves.
-
Programar la eliminación de claves.
Para obtener más información, consulte claves administradas por el cliente en la Guía para desarrolladores de AWS Key Management Service.
-
nota
Para todos los modelos personalizados que importe, Amazon Bedrock habilita automáticamente el cifrado en reposo mediante claves AWS propias para proteger los datos de los clientes sin coste alguno. Si utiliza una clave gestionada por el cliente, se aplicarán AWS KMS cargos. Para obtener más información sobre los precios, consulte Precios de AWS Key Management Service.
Cómo utiliza Amazon Bedrock las subvenciones en AWS KMS
Si especifica una clave administrada por el cliente para cifrar el modelo importado, Amazon Bedrock crea una AWS KMS subvención principal asociada al modelo importado en su nombre enviando una CreateGrantsolicitud a AWS KMS. Esta concesión permite a Amazon Bedrock acceder y utilizar su clave administrada por el cliente. Las concesiones entrantes se AWS KMS utilizan para dar a Amazon Bedrock acceso a una clave de KMS en la cuenta de un cliente.
Amazon Bedrock necesita la concesión principal para utilizar la clave administrada por el cliente para las siguientes operaciones internas:
-
Envíe DescribeKeysolicitudes AWS KMS para comprobar que la clave de KMS simétrica gestionada por el cliente que ingresó al crear el trabajo es válida.
-
Envíe GenerateDataKeyy descifre las solicitudes AWS KMS para generar claves de datos cifradas por la clave gestionada por el cliente y descifre las claves de datos cifradas para poder utilizarlas para cifrar los artefactos del modelo.
-
Envíe CreateGrantsolicitudes AWS KMS para crear concesiones secundarias con un alcance reducido con un subconjunto de las operaciones anteriores (
DescribeKey,,Decrypt)GenerateDataKey, para la ejecución asíncrona de la importación de modelos y para la inferencia bajo demanda. -
Amazon Bedrock especifica un director que se jubila durante la creación de las subvenciones, para que el servicio pueda enviar una RetireGrantsolicitud.
Tiene acceso total a su clave gestionada AWS KMS por el cliente. Puede revocar el acceso a la concesión siguiendo los pasos que se indican en los apartados de retirada y revocación de concesiones de la Guía para desarrolladores de AWS Key Management Service o eliminar el acceso del servicio a su clave administrada por el cliente en cualquier momento modificando la política de claves. Si lo hace, Amazon Bedrock no podrá acceder al modelo importado cifrado con su clave.
Ciclo de vida de las concesiones principales y secundarias para los modelos importados personalizados
-
Las concesiones principales tienen una larga vida útil y permanecen activas mientras se sigan utilizando los modelos personalizados asociados. Cuando se elimina un modelo importado personalizado, la concesión principal correspondiente se retira automáticamente.
-
Las concesiones secundarias son de corta duración. Se retiran automáticamente en cuanto se completa la operación que Amazon Bedrock realiza en nombre de los clientes. Por ejemplo, una vez finalizado un trabajo de importación de un modelo personalizado, la concesión secundaria que permitió a Amazon Bedrock cifrar el modelo importado personalizado se retirará inmediatamente.
