Aplica medidas de seguridad entre cuentas con las medidas de seguridad de Amazon Bedrock Guardrails

Planifique la configuración de la barandilla

1. Defina sus medidas de protección:

   • Consulte los filtros de barandilla disponibles en la documentación de Amazon Bedrock Guardrails

   • Identifique qué filtro necesita. Actualmente, se admiten los filtros de contenido, los temas rechazados, los filtros de palabras, los filtros de información confidencial y las comprobaciones contextuales.

   • Nota: No incluyas la política de razonamiento automatizado, ya que no es compatible con las medidas cautelares y provocará errores en el tiempo de ejecución.

2. Identifique las cuentas objetivo:

   • Determine a qué OUs cuentas o a toda la organización se les aplicará esta barrera

Cree su barrera en la cuenta de administración

Cree una barandilla en cada región en la que desee reforzarla con uno de los siguientes métodos:

• Usando: Consola de administración de AWS

  1. Inicie sesión Consola de administración de AWS con una identidad de IAM que tenga permisos para usar la consola Amazon Bedrock. A continuación, abra la consola de Amazon Bedrock en https://console.aws.amazon.com/bedrock.

  2. En el panel de navegación izquierdo, selecciona Guardrails

  3. Elija Crear barandilla

  4. Siga las instrucciones del asistente para configurar los filtros o medidas de seguridad que desee (filtros de contenido, temas rechazados, filtros de palabras, filtros de información confidencial, comprobaciones contextuales)

  5. No habilite la política de razonamiento automático

  6. Complete el asistente para crear su barandilla

• Uso de la API: utilice la API CreateGuardrail

Verificar

Una vez creada, debería verla en la lista de barandas de la página de inicio o buscarla en la lista de barandillas por el nombre de la barandilla

Cree una versión de barandilla

Cree una versión numérica para garantizar que la configuración de la barandilla permanezca inmutable y las cuentas de los miembros no puedan modificarla.

• Uso de: Consola de administración de AWS

  1. Seleccione la barandilla creada en el paso anterior en la página Guardrails de la consola Amazon Bedrock

  2. Seleccione Crear versión

  3. Anote el ARN de la barandilla y el número de versión (p. ej., «1", «2", etc.)

• Uso de la API: utilice la API CreateGuardrailVersion

Verificar

Confirme que la versión se creó correctamente consultando la lista de versiones en la página de detalles de Guardrail.

Adjunte una política basada en recursos

Habilite el acceso entre cuentas adjuntando una política basada en recursos a su barandilla.

• Uso deConsola de administración de AWS: para adjuntar una política basada en recursos mediante la consola:

  1. En la consola Amazon Bedrock Guardrails, selecciona tu barandilla

  2. Haga clic en Agregar para agregar una política basada en recursos

  3. Agregue una política que conceda bedrock:ApplyGuardrail permisos a todas las cuentas u organizaciones de los miembros. Consulte Comparta la barandilla con su organización en Uso de políticas basadas en recursos para barandas.

  4. Guarde la política

Verificar

Pruebe el acceso desde la cuenta de un miembro mediante la ApplyGuardrailAPI para asegurarse de que la autorización esté configurada correctamente.

Configure los permisos de IAM en las cuentas de los miembros

Asegúrese de que todos los roles de las cuentas de los miembros tengan permisos de IAM para acceder a la barrera obligatoria.

Permisos necesarios

Los roles de las cuentas de los miembros necesitan bedrock:ApplyGuardrail permiso para la barrera de protección de la cuenta de administración. Consulte Configuración de permisos para usar Barreras de protección para Amazon Bedrock para ver ejemplos detallados de políticas de IAM

Verificar

Confirma que los roles con permisos limitados en las cuentas de los miembros puedan llamar correctamente a la ApplyGuardrail API sin problemas.

Habilita el tipo de política de Amazon Bedrock en AWS Organizations

• Uso del Consola de administración de AWS — Para habilitar el tipo de política Amazon Bedrock mediante la consola:

  1. Navegue hasta la consola AWS Organizations

  2. Elija políticas

  3. Elige las políticas de Amazon Bedrock (actualmente en versión preliminar)

  4. Seleccione Habilitar políticas de Amazon Bedrock para habilitar el tipo de política de Amazon Bedrock para su organización.

• Uso de la API: utilice la AWS Organizations EnablePolicyTypeAPI con el tipo de política BEDROCK_POLICY

Verificar

Confirma que el tipo de política de Amazon Bedrock aparece como activado en la AWS Organizations consola.

Cree y adjunte una política AWS Organizations

Cree una política de administración que especifique su barrera de protección y adjúntela a sus cuentas de destino o. OUs

• Uso deConsola de administración de AWS: para crear y adjuntar una AWS Organizations política mediante la consola:

  1. En la AWS Organizations consola, vaya a Políticas > Políticas de Amazon Bedrock

  2. Elija Create Policy

  3. Especifique el ARN y la versión de la barandilla

  4. Configure el input_tags ajuste (ajústelo para evitar que las cuentas de los miembros pasen por alto la barandilla de entrada a través de las etiquetas de entrada de la barandilla).

     {
         "bedrock": {
             "guardrail_inference": {
                 "us-east-1": {
                     "config_1": {
                         "identifier": {
                             "@@assign": "arn:aws:bedrock:us-east-1:account_id:guardrail/guardrail_id:1"
                         },
                         "input_tags": {
                             "@@assign": "honor"
                         }
                     }
                 }
             }
         }
     }

  5. Guarde la política

  6. Adjunta la política a los objetivos que desees (organización OUs, raíz o cuentas individuales) accediendo a la pestaña Objetivos y seleccionando Adjuntar

• Uso de la API: utilice la AWS Organizations CreatePolicyAPI con el tipo BEDROCK_POLICY de política. Se usa AttachPolicypara adjuntar a los objetivos

Más información: Políticas de Amazon Bedrock en AWS Organizations

Verificar

Comprueba que la política esté asociada a los objetivos correctos de la AWS Organizations consola.

Pruebe y verifique su cumplimiento

Compruebe que se aplique la barrera de seguridad en las cuentas de los miembros.

Planifique la configuración de la barandilla

Defina sus medidas de seguridad

Para definir sus medidas de protección:

Creación de una barrera de protección

Cree una barrera de protección en cada región en la que desee aplicarla.

Vía Consola de administración de AWS

Para crear una barandilla con la consola:

1. Inicie sesión Consola de administración de AWS con una identidad de IAM que tenga permisos para usar la consola Amazon Bedrock. A continuación, abra la consola de Amazon Bedrock en https://console.aws.amazon.com/bedrock.

2. En el panel de navegación izquierdo, selecciona Guardrails

3. Elija Crear barandilla

4. Siga las instrucciones del asistente para configurar las políticas que desee (filtros de contenido, temas rechazados, filtros de palabras, filtros de información confidencial)

5. No habilite la política de razonamiento automatizado

6. Complete el asistente para crear su barandilla

A través de la API

Uso de la API de CreateGuardrail.

Verificar

Una vez creada, deberías verla en la lista de barandas de la página de inicio o buscarla en la lista de barandillas con el nombre de la barandilla

Cree una versión de barandilla

Cree una versión numérica para garantizar que la configuración de la barandilla permanezca inmutable y las cuentas de los miembros no puedan modificarla.

A través de Consola de administración de AWS

Para crear una versión de barandilla mediante la consola:

1. Seleccione la barandilla creada en el paso anterior en la página Guardrails de la consola Amazon Bedrock

2. Seleccione Crear versión

3. Anote el ARN de la barandilla y el número de versión (p. ej., «1", «2", etc.)

A través de la API

Uso de la API de CreateGuardrailVersion.

Verificar

Compruebe que la versión se ha creado correctamente consultando la lista de versiones en la página de detalles de Guardrail.

Adjunte una política basada en recursos (opcional)

Si quieres compartir la barrera con funciones específicas de tu cuenta, adjunta una política basada en recursos.

A través de Consola de administración de AWS

Para adjuntar una política basada en recursos mediante la consola:

1. En la consola Amazon Bedrock Guardrails, selecciona tu barandilla

2. Haga clic en Agregar para agregar una política basada en recursos

3. Agregue una política que conceda bedrock:ApplyGuardrail permisos a las funciones deseadas

4. Guarde la política

Habilite la aplicación a nivel de cuenta

Configure la cuenta para usar su barandilla en todas las invocaciones de Amazon Bedrock. Esto debe hacerse en todas las regiones en las que desee hacer cumplir la ley.

Vía Consola de administración de AWS

Para habilitar la aplicación a nivel de cuenta mediante la consola:

1. Navegue hasta la consola Amazon Bedrock

2. Seleccione Guardrails en el panel de navegación izquierdo

3. En la sección de configuraciones de aplicación a nivel de cuenta, elija Agregar

4. Seleccione su barandilla y su versión

5. Configura la input_tags configuración (ajústala en IGNORAR para evitar que las cuentas de los miembros pasen por alto la barandilla de entrada a través de las etiquetas de entrada de la barandilla)

6. Envíe la configuración

7. Repita el procedimiento para cada región en la que desee que se aplique

A través de la API

Utilice la PutEnforcedGuardrailConfiguration API en todas las regiones en las que desee reforzar la barandilla

Verificar

Deberías ver la barrera de protección reforzada por la cuenta en la sección Configuración de la barrera de protección forzada por la cuenta en la página de barreras de protección. Puedes llamar a la ListEnforcedGuardrailsConfigurationAPI para asegurarte de que la barandilla forzada aparezca en la lista

Pruebe y verifique la aplicación

Prueba a usar un rol en tu cuenta

Para probar el cumplimiento desde tu cuenta, sigue estos pasos:

1. Realice una llamada de inferencia de Amazon Bedrock utilizandoInvokeModel,Converse, InvokeModelWithResponseStream o ConverseStream

2. La barrera impuesta por la cuenta debería aplicarse automáticamente tanto a las entradas como a las salidas

3. Compruebe la respuesta para obtener información sobre la evaluación de la barandilla. La respuesta sobre la barandilla incluirá información sobre la barandilla forzada.