Appliquez des mesures de protection entre comptes grâce aux mesures d'application d'Amazon Bedrock Guardrails

Planifiez la configuration de votre garde-corps

1. Définissez vos mesures de protection :

   • Consultez les filtres de garde-corps disponibles dans la documentation Amazon Bedrock Guardrails

   • Identifiez le filtre dont vous avez besoin. Actuellement, les filtres de contenu, les sujets refusés, les filtres de mots, les filtres d'informations sensibles et les vérifications contextuelles de base sont pris en charge.

   • Remarque : N'incluez pas la politique de raisonnement automatique, car elle n'est pas prise en charge pour l'application des garde-fous et peut entraîner des échecs d'exécution.

2. Identifiez les comptes cibles :

   • Déterminez quels OUs comptes ou l'ensemble de votre organisation feront appliquer ce garde-fou

Créez votre garde-corps dans le compte de gestion

Créez un garde-corps dans chaque région où vous souhaitez le renforcer à l'aide de l'une des méthodes suivantes :

• En utilisant AWS Management Console :

  1. Connectez-vous au AWS Management Console avec une identité IAM autorisée à utiliser la console Amazon Bedrock. Ouvrez ensuite la console Amazon Bedrock à l'adresse https://console.aws.amazon.com/bedrock.

  2. Dans le panneau de navigation de gauche, choisissez Guardrails

  3. Choisissez Créer un garde-corps

  4. Suivez l'assistant pour configurer les filtres ou les mesures de protection souhaités (filtres de contenu, sujets refusés, filtres de mots, filtres d'informations sensibles, vérifications contextuelles de base)

  5. Ne pas activer la politique de raisonnement automatique

  6. Complétez l'assistant pour créer votre garde-corps

• Utilisation de l'API : utilisez l'CreateGuardrailAPI

Vérification

Une fois créé, vous devriez le voir dans la liste des rambardes sur la page d'accueil des rambardes ou le rechercher dans la liste des rambardes en utilisant le nom du garde-corps

Création d'une version de garde-corps

Créez une version numérique pour garantir que la configuration du garde-corps reste immuable et ne peut pas être modifiée par les comptes des membres.

• En utilisant AWS Management Console :

  1. Sélectionnez le garde-corps créé à l'étape précédente sur la page Gardrails de la console Amazon Bedrock.

  2. Choisissez Créer une version

  3. Notez l'ARN du garde-corps et le numéro de version (par exemple, « 1 », « 2 », etc.)

• Utilisation de l'API : utilisez l'CreateGuardrailVersionAPI

Vérification

Vérifiez que la version a été créée avec succès en consultant la liste des versions sur la page détaillée de Guardrail.

Joindre une politique basée sur les ressources

Activez l'accès entre comptes en attachant une politique basée sur les ressources à votre garde-fou.

• Utilisation de AWS Management Console — Pour associer une politique basée sur les ressources à l'aide de la console :

  1. Dans la console Amazon Bedrock Guardrails, sélectionnez votre garde-corps

  2. Cliquez sur Ajouter pour ajouter une politique basée sur les ressources

  3. Ajoutez une politique qui accorde bedrock:ApplyGuardrail l'autorisation à tous les comptes membres ou à toutes les organisations. Consultez Partagez le garde-corps avec votre organisation dans Utiliser des politiques basées sur les ressources pour les garde-fous.

  4. Enregistrez la politique

Vérification

Testez l'accès depuis un compte membre à l'aide de l'ApplyGuardrailAPI pour vous assurer que l'autorisation est correctement configurée.

Configuration des autorisations IAM dans les comptes membres

Assurez-vous que tous les rôles des comptes membres disposent des autorisations IAM pour accéder au garde-fou imposé.

Autorisations requises

Les rôles des comptes membres nécessitent une bedrock:ApplyGuardrail autorisation pour assurer le garde-fou du compte de gestion. Voir Configuration d’autorisations pour utiliser les barrières de protection Amazon Bedrock pour des exemples de politiques IAM détaillés

Vérification

Vérifiez que les rôles dotés d'autorisations limitées dans les comptes membres peuvent appeler correctement l'ApplyGuardrailAPI à l'aide du garde-fou.

Activez le type de politique Amazon Bedrock dans AWS Organizations

• Utilisation de AWS Management Console — Pour activer la politique Amazon Bedrock, tapez à l'aide de la console :

  1. Accédez à la AWS Organizations console

  2. Choisissez les politiques

  3. Choisissez les politiques d'Amazon Bedrock (actuellement en version préliminaire)

  4. Choisissez Activer les politiques Amazon Bedrock pour activer le type de politique Amazon Bedrock pour votre organisation.

• Utilisation de l'API — Utiliser l'AWS OrganizationsEnablePolicyTypeAPI avec le type de politique BEDROCK_POLICY

Vérification

Vérifiez que le type de politique Amazon Bedrock est activé dans la AWS Organizations console.

Créer et joindre une AWS Organizations politique

Créez une politique de gestion qui spécifie votre garde-fou et attachez-la à vos comptes cibles ou. OUs

• À l'aide de AWS Management Console — Pour créer et associer une AWS Organizations politique à l'aide de la console, procédez comme suit :

  1. Dans la AWS Organizations console, accédez à Politiques > Politiques d'Amazon Bedrock

  2. Choisir Create policy (Créer une stratégie)

  3. Spécifiez l'ARN et la version de votre garde-corps

  4. Configurez le input_tags paramètre (défini sur ignorer pour empêcher les comptes membres de contourner le garde-corps lors de l'entrée via les balises de saisie Guardrails).

     {
         "bedrock": {
             "guardrail_inference": {
                 "us-east-1": {
                     "config_1": {
                         "identifier": {
                             "@@assign": "arn:aws:bedrock:us-east-1:account_id:guardrail/guardrail_id:1"
                         },
                         "input_tags": {
                             "@@assign": "honor"
                         }
                     }
                 }
             }
         }
     }

  5. Enregistrez la politique

  6. Associez la politique aux cibles souhaitées (racine de l'organisation ou comptes individuels) en accédant à l'onglet Cibles et en choisissant Joindre OUs

• Utilisation de l'API — Utilisez l'AWS OrganizationsCreatePolicyAPI avec le type de politiqueBEDROCK_POLICY. AttachPolicyÀ utiliser pour attacher à des cibles

Pour en savoir plus : Politiques d'Amazon Bedrock dans AWS Organizations

Vérification

Vérifiez que la politique est attachée aux bonnes cibles dans la AWS Organizations console.

Tester et vérifier l'application

Vérifiez que le garde-fou est appliqué sur les comptes des membres.

Planifiez la configuration de votre garde-corps

Définissez vos mesures de protection

Pour définir vos mesures de protection :

Création d’une barrière de protection

Créez un garde-corps dans chaque région où vous souhaitez le renforcer.

Via AWS Management Console

Pour créer un garde-corps à l'aide de la console :

1. Connectez-vous au AWS Management Console avec une identité IAM autorisée à utiliser la console Amazon Bedrock. Ouvrez ensuite la console Amazon Bedrock à l'adresse https://console.aws.amazon.com/bedrock.

2. Dans le panneau de navigation de gauche, choisissez Guardrails

3. Choisissez Créer un garde-corps

4. Suivez l'assistant pour configurer les politiques souhaitées (filtres de contenu, sujets refusés, filtres de mots, filtres d'informations sensibles)

5. Ne pas activer la politique de raisonnement automatique

6. Complétez l'assistant pour créer votre garde-corps

Via l'API

Utilisation de l'API CreateGuardrail

Vérification

Une fois créé, vous devriez le voir dans la liste des rambardes sur la page d'accueil des rambardes ou le rechercher dans la liste des rambardes en utilisant le nom du garde-corps

Création d'une version de garde-corps

Créez une version numérique pour garantir que la configuration du garde-corps reste immuable et ne peut pas être modifiée par les comptes des membres.

Via AWS Management Console

Pour créer une version de garde-corps à l'aide de la console :

1. Sélectionnez le garde-corps créé à l'étape précédente sur la page Gardrails de la console Amazon Bedrock.

2. Choisissez Créer une version

3. Notez l'ARN du garde-corps et le numéro de version (par exemple, « 1 », « 2 », etc.)

Via l'API

Utilisation de l'API CreateGuardrailVersion

Vérification

Vérifiez que la version a été créée avec succès en consultant la liste des versions sur la page détaillée de Guardrail.

Joindre une politique basée sur les ressources (facultatif)

Si vous souhaitez partager le garde-fou avec des rôles spécifiques dans votre compte, joignez une politique basée sur les ressources.

Via AWS Management Console

Pour associer une politique basée sur les ressources à l'aide de la console :

1. Dans la console Amazon Bedrock Guardrails, sélectionnez votre garde-corps

2. Cliquez sur Ajouter pour ajouter une politique basée sur les ressources

3. Ajoutez une politique qui accorde bedrock:ApplyGuardrail l'autorisation aux rôles souhaités

4. Enregistrez la politique

Permettre l'application au niveau du compte

Configurez le compte pour utiliser votre garde-corps pour toutes les invocations d'Amazon Bedrock. Cela doit être fait dans toutes les régions où vous souhaitez faire appliquer la loi.

Via AWS Management Console

Pour activer l'application au niveau du compte à l'aide de la console :

1. Accédez à la console Amazon Bedrock

2. Choisissez Guardrails dans le panneau de navigation de gauche

3. Dans la section Configurations d'application au niveau du compte, choisissez Ajouter

4. Sélectionnez votre garde-corps et votre version

5. Configurez le input_tags paramètre (défini sur IGNORE pour empêcher les comptes membres de contourner le garde-corps en entrée via les balises de saisie Guardrails)

6. Soumettre la configuration

7. Répétez l'opération pour chaque région où vous souhaitez faire appliquer la loi

Via l'API

Utilisez l'PutEnforcedGuardrailConfigurationAPI dans toutes les régions où vous souhaitez appliquer le garde-corps

Vérification

Vous devriez voir le garde-corps imposé par le compte dans la section Configuration du garde-corps imposé par le compte sur la page Gardrails. Vous pouvez appeler ListEnforcedGuardrailsConfigurationl'API pour vous assurer que le garde-corps imposé est répertorié

Tester et vérifier l'application

Testez l'utilisation d'un rôle dans votre compte

Pour tester l'application depuis votre compte, procédez comme suit :

1. Passez un appel d'inférence Amazon Bedrock en utilisantInvokeModel,Converse, ou InvokeModelWithResponseStream ConverseStream

2. Le garde-fou imposé par le compte devrait s'appliquer automatiquement aux entrées et aux sorties

3. Consultez la réponse pour obtenir des informations sur l'évaluation du garde-corps. La réponse du garde-corps comprendra des informations sur le garde-corps imposé.