Surveillez l'invocation des modèles à l'aide de CloudWatch Logs et d'Amazon S3

1. Créez un compartiment S3 dans lequel les journaux seront envoyés.

2. Ajoutez-y une politique de compartiment comme celle ci-dessous (remplacez les valeurs pour accountIdregion,bucketName, et éventuellementprefix) :

   Note

   Une politique de compartiment est automatiquement attachée au compartiment en votre nom lorsque vous configurez la journalisation avec les autorisations S3:GetBucketPolicy et S3:PutBucketPolicy.

   JSON

   {
       "Version":"2012-10-17",
       "Statement": [
           {
               "Sid": "AmazonBedrockLogsWrite",
               "Effect": "Allow",
               "Principal": {
                   "Service": "bedrock.amazonaws.com"
               },
               "Action": [
                   "s3:PutObject"
               ],
               "Resource": [
                   "arn:aws:s3:::bucketName/prefix/AWSLogs/123456789012/BedrockModelInvocationLogs/*"
               ],
               "Condition": {
                   "StringEquals": {
                       "aws:SourceAccount": "123456789012"
                   },
                   "ArnLike": {
                       "aws:SourceArn": "arn:aws:bedrock:us-east-1:123456789012:*"
                   }
               }
           }
       ]
   }
   

3. (Facultatif) Si vous configurez SSE-KMS sur le bucket, ajoutez la politique suivante sur la clé KMS :

   {
       "Effect": "Allow",
       "Principal": {
           "Service": "bedrock.amazonaws.com"
       },
       "Action": "kms:GenerateDataKey",
       "Resource": "*",
       "Condition": {
           "StringEquals": {
             "aws:SourceAccount": "accountId" 
           },
           "ArnLike": {
              "aws:SourceArn": "arn:aws:bedrock:region:accountId:*"
           }
       }
   }                

1. Créez un CloudWatch groupe de journaux dans lequel les journaux seront publiés.

2. Créez un rôle IAM avec les autorisations suivantes pour les CloudWatch journaux.

   Entité de confiance :

   JSON

   {
       "Version":"2012-10-17",
       "Statement": [
           {
               "Effect": "Allow",
               "Principal": {
                   "Service": "bedrock.amazonaws.com"
               },
               "Action": "sts:AssumeRole",
               "Condition": {
                   "StringEquals": {
                       "aws:SourceAccount": "123456789012"
                   },
                   "ArnLike": {
                       "aws:SourceArn": "arn:aws:bedrock:us-east-1:123456789012:*"
                   }
               }
           }
       ]
   }
   

   Politique de rôle :

   JSON

   {
       "Version":"2012-10-17",
       "Statement": [
           {
               "Effect": "Allow",
               "Action": [
                   "logs:CreateLogStream",
                   "logs:PutLogEvents"
               ],
               "Resource": "arn:aws:logs:us-east-1:123456789012:log-group:logGroupName:log-stream:aws/bedrock/modelinvocations"
           }
       ]
   }
   

Pour activer la journalisation des appels de modèles

Connectez-vous au Console de gestion AWS avec une identité IAM autorisée à utiliser la console Amazon Bedrock. Ouvrez ensuite la console Amazon Bedrock à https://console.aws.amazon.com/bedrock l'adresse.

1. Dans le volet de navigation de gauche, sélectionnez Paramètres.

2. Sur la page Enregistrement des invocations des modèles, sélectionnez Enregistrement des invocations des modèles. Des paramètres de configuration supplémentaires pour la journalisation apparaîtront.

3. Sélectionnez les modalités des demandes de données et des réponses que vous souhaitez publier dans les journaux. Vous pouvez sélectionner n'importe quelle combinaison des options de sortie suivantes :

   • Texte

   • Image

   • Intégration

   • Vidéo

   Note

   Les données seront enregistrées pour tous les modèles qui prennent en charge les modalités (que ce soit en entrée ou en sortie) que vous choisissez. Par exemple, si vous sélectionnez Image, l'invocation du modèle sera enregistrée pour tous les modèles qui prennent en charge la saisie d'image, la sortie d'image ou les deux.

4. Sélectionnez l'endroit où vous souhaitez publier les journaux :

   • Amazon S3 uniquement

   • CloudWatch Journaux uniquement

   • Amazon S3 et CloudWatch Logs