Surveillez l'invocation du modèle à l'aide de CloudWatch Logs et d'Amazon S3

1. Créez un compartiment S3 dans lequel les journaux seront envoyés.

2. Ajoutez-y une politique de compartiment comme celle ci-dessous (remplacez les valeurs pour accountIdregion,bucketName, et éventuellementprefix) :

   Note

   Une politique de compartiment est automatiquement attachée au compartiment en votre nom lorsque vous configurez la journalisation avec les autorisations S3:GetBucketPolicy et S3:PutBucketPolicy.

   JSON

   {
       "Version":"2012-10-17",		 	 	 
       "Statement": [
           {
               "Sid": "AmazonBedrockLogsWrite",
               "Effect": "Allow",
               "Principal": {
                   "Service": "bedrock.amazonaws.com"
               },
               "Action": [
                   "s3:PutObject"
               ],
               "Resource": [
                   "arn:aws:s3:::bucketName/prefix/AWSLogs/123456789012/BedrockModelInvocationLogs/*"
               ],
               "Condition": {
                   "StringEquals": {
                       "aws:SourceAccount": "123456789012"
                   },
                   "ArnLike": {
                       "aws:SourceArn": "arn:aws:bedrock:us-east-1:123456789012:*"
                   }
               }
           }
       ]
   }
   

3. (Facultatif) Si vous configurez SSE-KMS sur le compartiment, ajoutez la politique ci-dessous au niveau de la clé KMS :

   {
       "Effect": "Allow",
       "Principal": {
           "Service": "bedrock.amazonaws.com"
       },
       "Action": "kms:GenerateDataKey",
       "Resource": "*",
       "Condition": {
           "StringEquals": {
             "aws:SourceAccount": "accountId" 
           },
           "ArnLike": {
              "aws:SourceArn": "arn:aws:bedrock:region:accountId:*"
           }
       }
   }                

1. Créez un CloudWatch groupe de journaux dans lequel les journaux seront publiés.

2. Créez un rôle IAM avec les autorisations suivantes pour les CloudWatch journaux.

   Entité de confiance :

   JSON

   {
       "Version":"2012-10-17",		 	 	 
       "Statement": [
           {
               "Effect": "Allow",
               "Principal": {
                   "Service": "bedrock.amazonaws.com"
               },
               "Action": "sts:AssumeRole",
               "Condition": {
                   "StringEquals": {
                       "aws:SourceAccount": "123456789012"
                   },
                   "ArnLike": {
                       "aws:SourceArn": "arn:aws:bedrock:us-east-1:123456789012:*"
                   }
               }
           }
       ]
   }
   

   Politique de rôle :

   JSON

   {
       "Version":"2012-10-17",		 	 	 
       "Statement": [
           {
               "Effect": "Allow",
               "Action": [
                   "logs:CreateLogStream",
                   "logs:PutLogEvents"
               ],
               "Resource": "arn:aws:logs:us-east-1:123456789012:log-group:logGroupName:log-stream:aws/bedrock/modelinvocations"
           }
       ]
   }
   

Pour activer la journalisation des appels de modèles

Connectez-vous au AWS Management Console avec une identité IAM autorisée à utiliser la console Amazon Bedrock. Ouvrez ensuite la console Amazon Bedrock à l'adresse https://console.aws.amazon.com/bedrock.

1. Dans le volet de navigation de gauche, sélectionnez Paramètres.

2. Sur la page de journalisation des appels du modèle, sélectionnez le modèle de journalisation des appels. Des paramètres de configuration supplémentaires pour la journalisation apparaîtront.

3. Sélectionnez les modalités des demandes de données et des réponses que vous souhaitez publier dans les journaux. Vous pouvez sélectionner n'importe quelle combinaison des options de sortie suivantes :

   • Texte

   • Image

   • Intégration

   • Vidéo

   Note

   Les données seront enregistrées pour tous les modèles compatibles avec les modalités (que ce soit en entrée ou en sortie) que vous avez choisies. Par exemple, si vous sélectionnez Image, l'invocation du modèle sera enregistrée pour tous les modèles qui prennent en charge l'entrée d'image, la sortie d'image, ou les deux.

4. Sélectionnez l'endroit où vous souhaitez publier les journaux :

   • Amazon S3 uniquement

   • CloudWatch Logs uniquement

   • Amazon S3 et CloudWatch Logs