Chiffrement des tâches et des artefacts de personnalisation des modèles Amazon Nova

Pour plus d’informations sur le chiffrement de vos tâches de personnalisation de modèle et de vos artefacts dans Amazon Bedrock, consultez Chiffrement des tâches de personnalisation de modèle et des artefacts.

Autorisations et stratégies de clé pour les modèles Amazon Nova personnalisés

Les instructions suivantes sont nécessaires pour établir les autorisations pour votre clé KMS.

Instruction PermissionsModelCustomization

Dans le champ Principal, ajoutez les comptes auxquels vous voulez autoriser les opérations Decrypt, GenerateDataKey, DescribeKey et CreateGrant à la liste à laquelle le sous-champ AWS est associé. Si vous utilisez la clé de condition kms:ViaService, vous pouvez ajouter une ligne pour chaque région ou utiliser * à la place de ${region} pour autoriser toutes les régions qui prennent en charge Amazon Bedrock.

{
    "Sid": "PermissionsModelCustomization",
    "Effect": "Allow",
    "Principal": {
        "AWS": [
            "arn:aws:iam::${account-id}:role/${customization-role}"
        ]
    },
    "Action": [
        "kms:Decrypt",
        "kms:GenerateDataKey",
        "kms:DescribeKey",
        "kms:CreateGrant"
    ],
    "Resource": "*",
    "Condition": {
        "StringLike": {
            "kms:ViaService": [
                "bedrock.${region}.amazonaws.com"
            ] 
        }
    }
}

Instruction PermissionsModelInvocation

Dans le champ Principal, veuillez ajouter les comptes auxquels vous voulez autoriser les opérations Decrypt et GenerateDataKey à la liste à laquelle le sous-champ AWS est associé. Si vous utilisez la clé de condition kms:ViaService, vous pouvez ajouter une ligne pour chaque région ou utiliser * à la place de ${region} pour autoriser toutes les régions qui prennent en charge Amazon Bedrock.

{
    "Sid": "PermissionsModelInvocation",
    "Effect": "Allow",
    "Principal": {
        "AWS": [
            "arn:aws:iam::${account-id}:user/${invocation-role}"
        ]
    },
    "Action": [
        "kms:Decrypt",
        "kms:GenerateDataKey"
    ],
    "Resource": "*",
    "Condition": {
        "StringLike": {
            "kms:ViaService": [
                "bedrock.${region}.amazonaws.com"
            ] 
        }
    }
}

Instruction PermissionsNovaProvisionedThroughput

Lorsque vous créez un débit alloué pour votre modèle Amazon Nova personnalisé, Amazon Bedrock effectue des optimisations d’inférence et de déploiement sur le modèle. Au cours de ce processus, Amazon Bedrock utilise la même clé KMS que celle utilisée pour créer le modèle personnalisé afin de maintenir le plus haut niveau de sécurité, à l’instar du modèle personnalisé lui-même.

{
    "Sid": "PermissionsNovaProvisionedThroughput",
    "Effect": "Allow",
    "Principal": {
        "Service": [
            "bedrock.amazonaws.com",
        ]
    },
    "Action": [
        "kms:Decrypt",
        "kms:GenerateDataKey"
    ],
    "Resource": "*",
    "Condition": {
        "ForAnyValue:StringEquals": {
            "kms:EncryptionContextKeys": "aws:bedrock:custom-model"
        }
    }
 }

Configurer les autorisations de clé pour le chiffrement et invoquer des modèles personnalisés

Si vous prévoyez de procéder au chiffrement d’un modèle que vous personnalisez avec une clé KMS, la stratégie de clé pour la clé dépendra de votre cas d’utilisation. Développez la section qui correspond à votre cas d’utilisation :