Requisitos previos para la administración de peticiones

Si su rol incluye la política AmazonBedrockFullAccess administrada por AWS, puede omitir este paso. De lo contrario, siga los pasos que se indican en Actualizar la política de permisos para un rol y asocie la siguiente política a un rol para proporcionar permisos que permitan realizar acciones relacionadas con la administración de peticiones:

Para restringir aún más los permisos, puede omitir acciones o puede especificar recursos y claves de condición para filtrar los permisos. Para obtener más información sobre las acciones, los recursos y las claves de condición, consulte los siguientes temas en la Referencia de autorizaciones de servicio:

Si piensa cifrar su petición con una clave administrada por el cliente en lugar de utilizar una Clave administrada de AWS (para obtener más información, consulte Claves de AWS KMS), cree las siguientes políticas:

1. Siga los pasos que se indican en Creación de una política de claves y asocie la siguiente política de claves a una clave de KMS para permitir que Amazon Bedrock cifre y descifre una petición con la clave sustituyendo los valores según sea necesario. La política contiene claves de condición opcionales (consulte Claves de condición para Amazon Bedrock y Claves de contexto de condición globales de AWS) en el campo Condition que es una práctica de seguridad que recomendamos.

   {
       "Sid": "EncryptFlowKMS",
       "Effect": "Allow",
       "Principal": {
           "Service": "bedrock.amazonaws.com"
       },
       "Action": [
           "kms:GenerateDataKey",
           "kms:Decrypt"
       ],
       "Resource": "*",
       "Condition": {
           "StringEquals": {
               "kms:EncryptionContext:aws:bedrock-prompts:arn": "arn:${partition}:bedrock:${region}:${account-id}:prompt/${prompt-id}"
           }
       }
   }

2. Siga los pasos que se indican en Actualizar la política de permisos de un rol y asocie la siguiente política al rol de administración de peticiones, sustituyendo los valores según sea necesario, para que se pueda generar y descifrar la clave administrada por el cliente para una petición. La política contiene claves de condición opcionales (consulte Claves de condición para Amazon Bedrock y Claves de contexto de condición globales de AWS) en el campo Condition que es una práctica de seguridad que recomendamos.

   {
       "Sid": "KMSPermissions",
       "Effect": "Allow",
       "Action": [
           "kms:GenerateDataKey",
           "kms:Decrypt"
       ],
       "Resource": [
           "arn:aws:kms:${region}:${account-id}:key/${key-id}"
       ],
        "Condition": {
           "StringEquals": {
               "aws:ResourceAccount": "${account-id}"
           }
       }
   }