Las traducciones son generadas a través de traducción automática. En caso de conflicto entre la traducción y la version original de inglés, prevalecerá la version en inglés.
Cifrado de modelos personalizados importados
Amazon Bedrock admite la creación de modelos personalizados mediante dos métodos que utilizan el mismo enfoque de cifrado. Sus modelos personalizados son gestionados y almacenados por AWS:
-
Trabajos de importación de modelos personalizados: para importar modelos fundacionales personalizados de código abierto (como modelos Mistral AI o Llama).
-
Cree un modelo personalizado: para importar los modelos de Amazon Nova que haya personalizado en SageMaker IA.
Para el cifrado de sus modelos personalizados, Amazon Bedrock ofrece las siguientes opciones:
-
AWS claves propias: de forma predeterminada, Amazon Bedrock cifra los modelos personalizados importados con claves AWS propias. No puede ver, administrar ni usar claves AWS propias ni auditar su uso. Sin embargo, no tiene que realizar ninguna acción ni cambiar ningún programa para proteger las claves que cifran sus datos. Para obtener más información, consulte Claves propiedad de AWS en la Guía para desarrolladores de AWS Key Management Service.
-
Claves administradas por el cliente (CMK): puedes optar por añadir una segunda capa de cifrado a las claves de cifrado de AWS propiedad existentes eligiendo una clave gestionada por el cliente (CMK). Usted crea, posee y administra sus claves administradas por el cliente.
Como usted tiene el control total de esta capa de cifrado, podrá realizar las siguientes tareas en ella:
-
Establecer y mantener políticas de claves.
-
Establecer y mantener políticas y concesiones de IAM.
-
Habilitar y deshabilitar políticas de claves.
-
Rotar el material criptográfico.
-
Agregar etiquetas.
-
Crear alias de claves.
-
Programar la eliminación de claves.
Para obtener más información, consulte claves administradas por el cliente en la Guía para desarrolladores de AWS Key Management Service.
-
nota
Para todos los modelos personalizados que importe, Amazon Bedrock habilita automáticamente el cifrado en reposo mediante claves AWS propias para proteger los datos de los clientes de forma gratuita. Si utiliza una clave gestionada por el cliente, se aplican AWS KMS cargos. Para obtener más información sobre los precios, consulte Precios de AWS Key Management Service.
Cómo utiliza Amazon Bedrock las subvenciones en AWS KMS
Si especifica una clave administrada por el cliente para cifrar el modelo importado, Amazon Bedrock crea en su nombre una AWS KMS subvención principal asociada al modelo importado enviando una CreateGrant solicitud a. AWS KMS Esta concesión permite a Amazon Bedrock acceder y utilizar su clave administrada por el cliente. Las subvenciones se AWS KMS utilizan para dar a Amazon Bedrock acceso a una clave de KMS en la cuenta de un cliente.
Amazon Bedrock necesita la concesión principal para utilizar la clave administrada por el cliente para las siguientes operaciones internas:
-
Envíe DescribeKey solicitudes AWS KMS para verificar que el ID de clave KMS simétrico administrado por el cliente que ingresó al crear el trabajo es válido.
-
Envíe GenerateDataKey y descifre solicitudes AWS KMS para generar claves de datos cifradas por su clave gestionada por el cliente y descifre las claves de datos cifradas para que puedan usarse para cifrar los artefactos del modelo.
-
Envíe CreateGrant solicitudes AWS KMS para crear subvenciones secundarias con un alcance reducido con un subconjunto de las operaciones anteriores (
DescribeKey,,Decrypt)GenerateDataKey, para la ejecución asincrónica de la importación del modelo y para la inferencia bajo demanda. -
Amazon Bedrock especifica un capital que se retira durante la creación de las subvenciones, para que el servicio pueda enviar una solicitud. RetireGrant
Tiene acceso total a su clave gestionada AWS KMS por el cliente. Puede revocar el acceso a la concesión siguiendo los pasos que se indican en los apartados Retirada y revocación de concesiones de la Guía para desarrolladores de AWS Key Management Service o eliminar el acceso del servicio a su clave administrada por el cliente en cualquier momento modificando la política de claves. Si lo hace, Amazon Bedrock no podrá acceder al modelo importado cifrado con su clave.
Ciclo de vida de las concesiones principales y secundarias para los modelos importados personalizados
-
Las concesiones principales tienen una larga vida útil y permanecen activas mientras se sigan utilizando los modelos personalizados asociados. Cuando se elimina un modelo importado personalizado, la concesión principal correspondiente se retira automáticamente.
-
Las concesiones secundarias son de corta duración. Se retiran automáticamente en cuanto se completa la operación que Amazon Bedrock realiza en nombre de los clientes. Por ejemplo, una vez finalizado el trabajo de importación de un modelo personalizado, la concesión secundaria que permitía a Amazon Bedrock cifrar el modelo importado personalizado se retirará inmediatamente.
