Les traductions sont fournies par des outils de traduction automatique. En cas de conflit entre le contenu d'une traduction et celui de la version originale en anglais, la version anglaise prévaudra.
Personnalisation, accès et sécurité des modèles
Cette page fournit des informations complètes sur la sécurité et les autorisations pour tous les types de personnalisation de modèles Amazon Bedrock, y compris le réglage fin, le réglage fin du renforcement, la distillation et les opérations de modélisation. Avant de commencer à personnaliser un modèle, assurez-vous de comprendre le type d’accès dont Amazon Bedrock a besoin et d’envisager certaines options pour sécuriser vos tâches de personnalisation et vos artefacts.
Les sections suivantes contiennent les autorisations requises pour les différents scénarios de personnalisation. Choisissez les autorisations appropriées en fonction de votre cas d'utilisation spécifique :
Toutes les tâches de personnalisation de modèles nécessitent ces autorisations de base. Elles s'appliquent au réglage fin, à la distillation et à d'autres types de personnalisation.
Création d’un rôle de service IAM pour la personnalisation du modèle
Amazon Bedrock a besoin d'un rôle de service Gestion des identités et des accès AWS (IAM) pour accéder au compartiment S3 dans lequel vous souhaitez stocker les données de formation et de validation de la personnalisation de votre modèle. Pour ce faire, vous pouvez procéder de deux manières différentes :
-
Créez automatiquement le rôle de service à l’aide de la AWS Management Console.
-
Créez le rôle de service manuellement avec les autorisations appropriées pour accéder à votre compartiment S3.
Pour l'option manuelle, créez un rôle IAM et associez les autorisations suivantes en suivant les étapes de la section Création d'un rôle pour déléguer des autorisations à un AWS service.
-
Relation d’approbation
-
Autorisations d’accès à vos données d’entraînement et de validation dans S3 et d’écriture de vos données de sortie sur S3
-
(Facultatif) Si vous chiffrez l’une des ressources suivantes avec une clé KMS, autorisations permettant de déchiffrer la clé (voir Chiffrement de modèles personnalisés)
-
Tâche de personnalisation du modèle ou modèle personnalisé qui en résulte
-
Données d’entraînement, de validation ou de sortie pour la tâche de personnalisation du modèle
-
Relation d’approbation
La politique suivante autorise Amazon Bedrock à endosser ce rôle et à effectuer la tâche de personnalisation du modèle. L’exemple suivant illustre un exemple de politique que vous pouvez utiliser.
Vous pouvez éventuellement restreindre la portée de l’autorisation pour la prévention des conflits de délégation entre services en utilisant une ou plusieurs clés de contexte de condition globales avec le champ Condition. Pour plus d’informations, consultez Clés contextuelles de condition globale AWS.
-
Définissez la valeur
aws:SourceAccountsur l’ID de votre compte. -
(Facultatif) Utilisez la condition
ArnEqualsouArnLikepour limiter la portée à des tâches de personnalisation de modèles spécifiques dans votre ID de compte.
Autorisations d’accès aux fichiers d’entraînement et de validation et d’écriture de fichiers de sortie dans S3
Associez la politique suivante pour autoriser le rôle à accéder à vos données d’entraînement et de validation et au compartiment dans lequel enregistrer vos données de sortie. Remplacez les valeurs de la liste Resource par les noms de vos compartiments réels.
Pour restreindre l’accès à un dossier spécifique dans un compartiment, ajoutez une clé de condition s3:prefix avec le chemin de votre dossier. Vous pouvez suivre l’exemple de stratégie utilisateur dans Exemple 2 : Obtention d’une liste d’objets dans un compartiment avec un préfixe spécifique
Pour copier un modèle dans une autre région, vous avez besoin d'autorisations spécifiques en fonction des autorisations actuelles de votre rôle et de la configuration du modèle.
-
Si aucune politique n'est associée à votre rôle, associez la AmazonBedrockFullAccesspolitique basée sur l'identité suivante au rôle afin d'accorder les autorisations minimales nécessaires pour copier des modèles et suivre les tâches de copie.
-
(Facultatif) Si le modèle à copier est chiffré à l’aide d’une clé KMS, associez une stratégie de clé à la clé KMS qui a chiffré le modèle pour permettre à un rôle de le déchiffrer.
-
(Facultatif) Si vous prévoyez de chiffrer la copie du modèle à l’aide d’une clé KMS, associez une stratégie de clé à la clé KMS qui sera utilisée pour chiffrer le modèle afin de permettre à un rôle de chiffrer le modèle à l’aide de la clé.
Pour utiliser un profil d'inférence interrégional pour un modèle d'enseignant dans le cadre d'une tâche de distillation, le rôle de service doit être autorisé à invoquer le profil d'inférence dans un Région AWS, en plus du modèle de chaque région dans le profil d'inférence.
Pour utiliser un profil d'inférence interrégional pour un modèle d'enseignant dans le cadre d'une tâche de distillation, le rôle de service doit être autorisé à invoquer le profil d'inférence dans un Région AWS, en plus du modèle de chaque région dans le profil d'inférence.
Pour obtenir les autorisations nécessaires à l’invocation d’un profil d’inférence entre régions (défini par le système), utilisez la stratégie suivante comme modèle pour la stratégie d’autorisation à associer à votre rôle de service :
Chiffrez les données d’entrée et de sortie, les tâches de personnalisation ou les demandes d’inférence adressées à des modèles personnalisés. Pour de plus amples informations, veuillez consulter Chiffrement de modèles personnalisés.
Lorsque vous exécutez une tâche de personnalisation de modèle, celle-ci accède à votre compartiment Amazon S3 pour télécharger les données d’entrée et pour charger les métriques de la tâche. Pour contrôler l’accès à vos données, nous vous recommandons d’utiliser un cloud privé virtuel (VPC) avec Amazon VPC. Vous pouvez mieux protéger vos données en configurant votre VPC de manière à ce qu’elles ne soient pas disponibles sur Internet et en créant plutôt un point de terminaison d’interface VPC avec AWS PrivateLink pour établir une connexion privée à vos données. Pour plus d'informations sur la manière dont Amazon VPC AWS PrivateLink s'intègre à Amazon Bedrock, consultez. Protection de vos données à l’aide d’Amazon VPC et AWS PrivateLink
Procédez comme suit pour configurer et utiliser un VPC pour les données d’entraînement, de validation et de sortie pour les tâches de personnalisation de votre modèle.
Rubriques
Configurez un VPC pour protéger vos données lors de la personnalisation du modèle
Pour configurer un VPC, suivez les étapes décrites dans Configurez un VPC. Vous pouvez renforcer la sécurité de votre VPC en configurant un point de terminaison de VPC S3 et en utilisant des politiques IAM basées sur les ressources pour restreindre l’accès au compartiment S3 contenant les données de personnalisation de votre modèle en suivant les étapes décrites dans (Exemple) Restriction de l’accès à vos données Amazon S3 à l’aide d’un VPC.
Association des autorisations VPC à un rôle de personnalisation du modèle
Une fois que vous avez terminé de configurer votre VPC, associez les autorisations suivantes à votre rôle de service de personnalisation des modèles pour lui permettre d’accéder au VPC. Modifiez cette politique de manière à n’autoriser l’accès qu’aux ressources de VPC dont votre tâche a besoin. Remplacez le ${{subnet-ids}} et security-group-id par les valeurs de votre VPC.
Ajout d’une VPC lors de la soumission d’une tâche de personnalisation de modèle
Après avoir configuré le VPC ainsi que les rôles et autorisations requis comme décrit dans les sections précédentes, vous pouvez créer une tâche de personnalisation de modèle qui utilise ce VPC.
Lorsque vous spécifiez les sous-réseaux VPC et les groupes de sécurité pour une tâche, Amazon Bedrock crée des interfaces réseau élastiques (ENIs) associées à vos groupes de sécurité dans l'un des sous-réseaux. ENIs autorisez la tâche Amazon Bedrock à se connecter aux ressources de votre VPC. Pour plus d'informations ENIs, consultez la section Elastic Network Interfaces dans le guide de l'utilisateur Amazon VPC. Tags Amazon Bedrock avec ENIs lesquels il crée BedrockManaged et BedrockModelCustomizationJobArn étiquette.
Nous vous recommandons de choisir au moins un sous-réseau dans chaque zone de disponibilité.
Vous pouvez utiliser les groupes de sécurité pour établir des règles permettant de contrôler l’accès d’Amazon Bedrock aux ressources VPC.
Vous pouvez configurer le VPC à utiliser dans la console ou via l’API. Choisissez l’onglet correspondant à votre méthode préférée, puis suivez les étapes :
