Las traducciones son generadas a través de traducción automática. En caso de conflicto entre la traducción y la version original de inglés, prevalecerá la version en inglés.

AWS políticas gestionadas para Amazon Bedrock

Para añadir permisos a usuarios, grupos y roles, es más fácil usar políticas AWS administradas que escribirlas tú mismo. Se necesita tiempo y experiencia para crear políticas administradas por el cliente de IAM que proporcionen a su equipo solo los permisos necesarios. Para empezar rápidamente, puedes usar nuestras políticas AWS gestionadas. Estas políticas cubren casos de uso comunes y están disponibles en su Cuenta de AWS. Para obtener más información sobre las políticas AWS administradas, consulte las políticas AWS administradas en la Guía del usuario de IAM.

AWS los servicios mantienen y AWS actualizan las políticas gestionadas. No puede cambiar los permisos en las políticas AWS gestionadas. En ocasiones, los servicios agregan permisos adicionales a una política administrada de AWS para admitir características nuevas. Este tipo de actualización afecta a todas las identidades (usuarios, grupos y roles) donde se asocia la política. Es más probable que los servicios actualicen una política gestionada por AWS cuando se lanza una nueva característica o cuando se ponen a disposición nuevas operaciones. Los servicios no eliminan los permisos de una política AWS administrada, por lo que las actualizaciones de la política no afectarán a los permisos existentes.

Además, AWS admite políticas administradas para funciones laborales que abarcan varios servicios. Por ejemplo, la política ReadOnlyAccess AWS gestionada proporciona acceso de solo lectura a todos los AWS servicios y recursos. Cuando un servicio lanza una nueva función, AWS agrega permisos de solo lectura para nuevas operaciones y recursos. Para obtener una lista y descripciones de las políticas de funciones de trabajo, consulte Políticas administradas de AWS para funciones de trabajo en la Guía del usuario de IAM.

AWS política gestionada: AmazonBedrockFullAccess

Puede adjuntar la política AmazonBedrockFullAccess a las identidades de IAM.

Esta política otorga permisos administrativos que permiten al usuario crear, leer, actualizar y eliminar recursos de Amazon Bedrock.

Detalles de los permisos

Esta política incluye los permisos siguientes:

{
	"Version": "2012-10-17",
	"Statement": [
		{
			"Sid": "BedrockAll",
			"Effect": "Allow",
			"Action": [
				"bedrock:*"
			],
			"Resource": "*"
		},
		{
			"Sid": "DescribeKey",
			"Effect": "Allow",
			"Action": [
				"kms:DescribeKey"
			],
			"Resource": "arn:*:kms:*:::*"
		},
		{
			"Sid": "APIsWithAllResourceAccess",
			"Effect": "Allow",
			"Action": [
				"iam:ListRoles",
				"ec2:DescribeVpcs",
				"ec2:DescribeSubnets",
				"ec2:DescribeSecurityGroups"
			],
			"Resource": "*"
		},
		{
			"Sid": "MarketplaceModelEndpointMutatingAPIs",
			"Effect": "Allow",
			"Action": [
				"sagemaker:CreateEndpoint",
				"sagemaker:CreateEndpointConfig",
				"sagemaker:CreateModel",
				"sagemaker:DeleteEndpoint",
				"sagemaker:UpdateEndpoint"
			],
			"Resource": [
				"arn:aws:sagemaker:*:*:endpoint/*",
				"arn:aws:sagemaker:*:*:endpoint-config/*",
				"arn:aws:sagemaker:*:*:model/*"
			],
			"Condition": {
				"StringEquals": {
					"aws:CalledViaLast": "bedrock.amazonaws.com",
					"aws:ResourceTag/sagemaker-sdk:bedrock": "compatible"
				}
			}
		},
		{
			"Sid": "MarketplaceModelEndpointAddTagsOperations",
			"Effect": "Allow",
			"Action": [
				"sagemaker:AddTags"
			],
			"Resource": [
				"arn:aws:sagemaker:*:*:endpoint/*",
				"arn:aws:sagemaker:*:*:endpoint-config/*",
				"arn:aws:sagemaker:*:*:model/*"
			],
			"Condition": {
				"ForAllValues:StringEquals": {
					"aws:TagKeys": [
						"sagemaker-sdk:bedrock",
						"bedrock:marketplace-registration-status",
						"sagemaker-studio:hub-content-arn"
					]
				},
				"StringLike": {
					"aws:RequestTag/sagemaker-sdk:bedrock": "compatible",
					"aws:RequestTag/bedrock:marketplace-registration-status": "registered",
					"aws:RequestTag/sagemaker-studio:hub-content-arn": "arn:aws:sagemaker:*:aws:hub-content/SageMakerPublicHub/Model/*"
				}
			}
		},
		{
			"Sid": "MarketplaceModelEndpointDeleteTagsOperations",
			"Effect": "Allow",
			"Action": [
				"sagemaker:DeleteTags"
			],
			"Resource": [
				"arn:aws:sagemaker:*:*:endpoint/*",
				"arn:aws:sagemaker:*:*:endpoint-config/*",
				"arn:aws:sagemaker:*:*:model/*"
			],
			"Condition": {
				"ForAllValues:StringEquals": {
					"aws:TagKeys": [
						"sagemaker-sdk:bedrock",
						"bedrock:marketplace-registration-status",
						"sagemaker-studio:hub-content-arn"
					]
				},
				"StringLike": {
					"aws:ResourceTag/sagemaker-sdk:bedrock": "compatible",
					"aws:ResourceTag/bedrock:marketplace-registration-status": "registered",
					"aws:ResourceTag/sagemaker-studio:hub-content-arn": "arn:aws:sagemaker:*:aws:hub-content/SageMakerPublicHub/Model/*"
				}
			}
		},
		{
			"Sid": "MarketplaceModelEndpointNonMutatingAPIs",
			"Effect": "Allow",
			"Action": [
				"sagemaker:DescribeEndpoint",
				"sagemaker:DescribeEndpointConfig",
				"sagemaker:DescribeModel",
				"sagemaker:ListTags"
			],
			"Resource": [
				"arn:aws:sagemaker:*:*:endpoint/*",
				"arn:aws:sagemaker:*:*:endpoint-config/*",
				"arn:aws:sagemaker:*:*:model/*"
			],
			"Condition": {
				"StringEquals": {
					"aws:CalledViaLast": "bedrock.amazonaws.com"
				}
			}
		},
		{
			"Sid": "MarketplaceModelEndpointInvokingOperations",
			"Effect": "Allow",
			"Action": [
				"sagemaker:InvokeEndpoint",
				"sagemaker:InvokeEndpointWithResponseStream"
			],
			"Resource": [
				"arn:aws:sagemaker:*:*:endpoint/*"
			],
			"Condition": {
				"StringEquals": {
					"aws:CalledViaLast": "bedrock.amazonaws.com",
					"aws:ResourceTag/sagemaker-sdk:bedrock": "compatible"
				}
			}
		},
		{
			"Sid": "DiscoveringMarketplaceModel",
			"Effect": "Allow",
			"Action": [
				"sagemaker:DescribeHubContent"
			],
			"Resource": [
				"arn:aws:sagemaker:*:aws:hub-content/SageMakerPublicHub/Model/*",
				"arn:aws:sagemaker:*:aws:hub/SageMakerPublicHub"
			]
		},
		{
			"Sid": "AllowMarketplaceModelsListing",
			"Effect": "Allow",
			"Action": [
				"sagemaker:ListHubContents"
			],
			"Resource": "arn:aws:sagemaker:*:aws:hub/SageMakerPublicHub"
		},
		{
			"Sid": "PassRoleToSageMaker",
			"Effect": "Allow",
			"Action": [
				"iam:PassRole"
			],
			"Resource": [
				"arn:aws:iam::*:role/*SageMaker*ForBedrock*"
			],
			"Condition": {
				"StringEquals": {
					"iam:PassedToService": [
						"sagemaker.amazonaws.com",
						"bedrock.amazonaws.com"
					]
				}
			}
		},
		{
			"Sid": "PassRoleToBedrock",
			"Effect": "Allow",
			"Action": [
				"iam:PassRole"
			],
			"Resource": "arn:aws:iam::*:role/*AmazonBedrock*",
			"Condition": {
				"StringEquals": {
					"iam:PassedToService": [
						"bedrock.amazonaws.com"
					]
				}
			}
		}
	]
}

AWS política gestionada: AmazonBedrockReadOnly

Puede adjuntar la política AmazonBedrockReadOnly a las identidades de IAM.

Esta política otorga permisos de solo lectura que permiten a los usuarios ver todos los recursos en Amazon Bedrock.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "AmazonBedrockReadOnly",
            "Effect": "Allow",
            "Action": [
                "bedrock:Get*",
                "bedrock:List*"
            ],
            "Resource": "*"
        },
        {
            "Sid": "MarketplaceModelEndpointNonMutatingAPIs",
            "Effect": "Allow",
            "Action": [
                "sagemaker:DescribeEndpoint",
                "sagemaker:DescribeEndpointConfig",
                "sagemaker:DescribeModel",
                "sagemaker:DescribeInferenceComponent",
                "sagemaker:ListEndpoints",
                "sagemaker:ListTags"
            ],
            "Resource": [
                "arn:aws:sagemaker:*:*:endpoint/*",
                "arn:aws:sagemaker:*:*:endpoint-config/*",
                "arn:aws:sagemaker:*:*:model/*"
            ],
            "Condition": {
                "StringEquals": {
                    "aws:CalledViaLast": "bedrock.amazonaws.com"
                }
            }
        },
        {
            "Sid": "DiscoveringMarketplaceModel",
            "Effect": "Allow",
            "Action": [
                "sagemaker:DescribeHubContent"
            ],
            "Resource": [
                "arn:aws:sagemaker:*:aws:hub-content/SageMakerPublicHub/Model/*",
                "arn:aws:sagemaker:*:aws:hub/SageMakerPublicHub"
            ]
        },
        {
            "Sid": "AllowMarketplaceModelsListing",
            "Effect": "Allow",
            "Action": [
                "sagemaker:ListHubContents"
            ],
            "Resource": "arn:aws:sagemaker:*:aws:hub/SageMakerPublicHub"
        }
    ]
}

Amazon Bedrock actualiza las políticas AWS gestionadas

Consulte los detalles sobre las actualizaciones de las políticas AWS gestionadas de Amazon Bedrock desde que este servicio comenzó a realizar el seguimiento de estos cambios. Para obtener alertas automáticas sobre cambios en esta página, suscríbase a la fuente RSS en Historial de documentación para la guía de usuario de Amazon Bedrock.