Requisitos previos para la administración de peticiones

Si su función tiene la política AmazonBedrockFullAccessAWSgestionada adjunta, puede omitir esta sección. De lo contrario, siga los pasos que se indican en Actualizar la política de permisos para un rol y asocie la siguiente política a un rol para proporcionar permisos que permitan realizar acciones relacionadas con la administración de peticiones:

Para restringir aún más los permisos, puede omitir acciones o puede especificar recursos y claves de condición para filtrar los permisos. Para obtener más información sobre las acciones, los recursos y las claves de condición, consulte los siguientes temas en la Referencia de autorizaciones de servicio:

Si planea cifrar su solicitud con una clave administrada por el cliente en lugar de usar una Clave administrada de AWS (para obtener más información, consulte AWS KMSclaves), cree las siguientes políticas:

1. Siga los pasos que se indican en Crear una política de claves y adjunte la siguiente política de claves a una clave de KMS para permitir que Amazon Bedrock cifre y descifre un mensaje con la clave y sustituya la que sea necesario. values La política contiene claves de condición opcionales (consulte Claves de condición para Amazon Bedrock y Claves de contexto de condición globales de AWS) en el campo Condition que es una práctica de seguridad que recomendamos.

   {
       "Sid": "EncryptFlowKMS",
       "Effect": "Allow",
       "Principal": {
           "Service": "bedrock.amazonaws.com"
       },
       "Action": [
           "kms:GenerateDataKey",
           "kms:Decrypt"
       ],
       "Resource": "*",
       "Condition": {
           "StringEquals": {
               "kms:EncryptionContext:aws:bedrock-prompts:arn": "arn:${partition}:bedrock:${region}:${account-id}:prompt/${prompt-id}"
           }
       }
   }

2. Siga los pasos que se indican en Actualizar la política de permisos de un rol y adjunte la siguiente política a la función de gestión rápida, sustituyéndola values según sea necesario, para que pueda generar y descifrar la clave gestionada por el cliente para una solicitud. La política contiene claves de condición opcionales (consulte Claves de condición para Amazon Bedrock y Claves de contexto de condición globales de AWS) en el campo Condition que es una práctica de seguridad que recomendamos.

   {
       "Sid": "KMSPermissions",
       "Effect": "Allow",
       "Action": [
           "kms:GenerateDataKey",
           "kms:Decrypt"
       ],
       "Resource": [
           "arn:aws:kms:${region}:${account-id}:key/${key-id}"
       ],
        "Condition": {
           "StringEquals": {
               "aws:ResourceAccount": "${account-id}"
           }
       }
   }