Le traduzioni sono generate tramite traduzione automatica. In caso di conflitto tra il contenuto di una traduzione e la versione originale in Inglese, quest'ultima prevarrà.
Accesso e sicurezza per la personalizzazione del modello
Questa pagina fornisce informazioni complete sulla sicurezza e sulle autorizzazioni per tutti i tipi di personalizzazione del modello Amazon Bedrock, tra cui la messa a punto, la messa a punto del rinforzo, la distillazione e le operazioni del modello. Prima di iniziare a personalizzare un modello, assicurarsi di comprendere il tipo di accesso necessario per Amazon Bedrock e prendere in considerazione alcune opzioni per proteggere gli artefatti e i processi di personalizzazione.
Le seguenti sezioni contengono le autorizzazioni necessarie per diversi scenari di personalizzazione. Scegli le autorizzazioni appropriate in base al tuo caso d'uso specifico:
Tutti i lavori di personalizzazione del modello richiedono queste autorizzazioni di base. Questi si applicano alla messa a punto, alla distillazione e ad altri tipi di personalizzazione.
Creare un ruolo di servizio IAM per la personalizzazione del modello
Amazon Bedrock necessita di un ruolo di servizio AWS Identity and Access Management (IAM) per accedere al bucket S3 in cui desideri archiviare i dati di formazione e convalida per la personalizzazione del modello. Esistono due modi per eseguire questa operazione:
-
Creare automaticamente il ruolo di servizio utilizzando la Console di gestione AWS.
-
Creare il ruolo di servizio manualmente con le autorizzazioni appropriate per accedere al bucket S3.
Per l'opzione manuale, crea un ruolo IAM e allega le seguenti autorizzazioni seguendo i passaggi riportati in Creazione di un ruolo per delegare le autorizzazioni a un servizio. AWS
-
Relazione di attendibilità
-
Autorizzazioni per accedere ai dati di addestramento e convalida in S3 e per scrivere i dati di output in S3
-
(Facoltativo) Se una delle seguenti risorse è crittografata con una chiave KMS, le autorizzazioni per decrittare la chiave (consultare Crittografia di modelli personalizzati)
-
Un processo di personalizzazione del modello o il modello personalizzato risultante
-
Dati di addestramento, convalida o output per il processo di personalizzazione del modello
-
Relazione di attendibilità
La seguente policy consente ad Amazon Bedrock di assumere questo ruolo ed eseguire il processo di personalizzazione del modello. Di seguito viene riportato un esempio di policy utilizzabile.
Facoltativamente, è possibile limitare l’ambito dell’autorizzazione per la prevenzione del “confused deputy” multi-servizio utilizzando una o più chiavi di contesto delle condizioni globali con il campo Condition. Per ulteriori informazioni, consulta Chiavi di contesto delle condizioni globali di AWS.
-
Impostare il valore
aws:SourceAccountsull’ID dell’account. -
(Facoltativo) Utilizza la condizione
ArnEqualsoArnLikeper limitare l’ambito a specifici processi di personalizzazione del modello nell’ID account.
Autorizzazioni per accedere ai file di addestramento e convalida e scrivere i file di output in S3
Collegare la seguente policy per consentire al ruolo di accedere ai dati di addestramento e convalida e al bucket in cui scrivere i dati di output. Sostituire i valori nell’elenco Resource con i nomi effettivi dei bucket.
Per limitare l’accesso a una cartella specifica in un bucket, aggiungere una chiave di condizione s3:prefix con il percorso della cartella. Puoi seguire l’esempio di Policy utente in Esempio 2: recupero di un elenco di oggetti in un bucket con un prefisso specifico.
Per copiare un modello in un'altra regione, sono necessarie autorizzazioni specifiche a seconda delle autorizzazioni correnti del ruolo e della configurazione del modello.
-
Se al tuo ruolo non è associata la AmazonBedrockFullAccesspolicy, allega al ruolo la seguente politica basata sull'identità per consentire le autorizzazioni minime per copiare i modelli e tenere traccia dei lavori di copia.
-
(Facoltativo) Se il modello da copiare è crittografato con una chiave KMS, allega una policy alla chiave KMS che ha crittografato il modello per consentire a un ruolo di decrittografarlo.
-
(Facoltativo) Se prevedi di crittografare la copia del modello con una chiave KMS, allega una policy alla chiave KMS che verrà utilizzata per crittografare il modello per consentire a un ruolo di crittografarlo con la chiave.
Per utilizzare un profilo di inferenza interregionale per un modello di insegnante in un lavoro di distillazione, il ruolo di servizio deve disporre delle autorizzazioni per richiamare il profilo di inferenza in un Regione AWS, oltre al modello in ogni regione del profilo di inferenza.
Per utilizzare un profilo di inferenza interregionale per un modello di insegnante in un lavoro di distillazione, il ruolo di servizio deve disporre delle autorizzazioni per richiamare il profilo di inferenza in un Regione AWS, oltre al modello di ciascuna regione nel profilo di inferenza.
Per le autorizzazioni da invocare con un profilo di inferenza interregionale (definito dal sistema), utilizzare la seguente policy come modello per la policy di autorizzazioni da collegare al tuo ruolo di servizio:
Crittografare i dati di input e output, i processi di personalizzazione o le richieste di inferenza effettuate su modelli personalizzati. Per ulteriori informazioni, consulta Crittografia di modelli personalizzati.
Durante l’esecuzione, un processo di personalizzazione del modello accede al bucket Amazon S3 per scaricare i dati di input e caricare le metriche del processo. Per controllare l’accesso ai dati, consigliamo di creare un cloud privato virtuale (VPC) con Amazon VPC. Per proteggere ulteriormente i dati, configura il VPC in modo che non sia disponibile su Internet e crea invece un endpoint di interfaccia VPC con AWS PrivateLink per stabilire una connessione privata ai dati. Per ulteriori informazioni su come Amazon VPC si AWS PrivateLink integra con Amazon Bedrock, consulta. Protezione dei dati con Amazon VPC e AWS PrivateLink
Eseguire le seguenti fasi per configurare e utilizzare un VPC per l’addestramento, la convalida e i dati di output per i processi di personalizzazione del modello.
Argomenti
Configurare VPC per proteggere i dati durante la personalizzazione del modello
Per configurare un VPC, seguire la procedura descritta in Configurazione di un VPC. Per proteggere ulteriormente il VPC, configurare un endpoint VPC S3 e utilizzare policy IAM basate su risorse per limitare l’accesso al bucket S3 contenente i dati di personalizzazione del modello seguendo la procedura descritta in (Esempio) Limitazione dell’accesso ai dati di Amazon S3 utilizzando VPC.
Associare le autorizzazioni VPC a un ruolo di personalizzazione del modello
Dopo aver completato la configurazione del VPC, assegnare le seguenti autorizzazioni al ruolo di servizio di personalizzazione del modello per consentirgli di accedere al VPC. Modifica questa policy per consentire l’accesso solo alle risorse VPC necessarie per il processo. Sostituisci ${{subnet-ids}} e security-group-id con i valori del tuo VPC.
Aggiungere la configurazione VPC durante l’invio di un processo di personalizzazione del modello
Dopo aver configurato il VPC, nonché le autorizzazioni e i ruoli richiesti e descritti nelle sezioni precedenti, è possibile creare un processo di personalizzazione del modello che utilizza questo VPC.
Quando specifichi le sottoreti VPC e i gruppi di sicurezza per un job, Amazon Bedrock crea interfacce di rete elastiche (ENIs) associate ai tuoi gruppi di sicurezza in una delle sottoreti. ENIs consenti al job Amazon Bedrock di connettersi alle risorse nel tuo VPC. Per informazioni su ENIs, consulta Elastic Network Interfaces nella Amazon VPC User Guide. Tag Amazon Bedrock con ENIs cui crea BedrockManaged e BedrockModelCustomizationJobArn tag.
Si consiglia di fornire almeno una sottorete in ogni zona di disponibilità.
È possibile utilizzare i gruppi di sicurezza per stabilire delle regole per controllare l’accesso di Amazon Bedrock alle risorse VPC.
È possibile configurare il VPC da utilizzare nella console o tramite l’API. Scegli la scheda relativa al metodo che preferisci, quindi segui la procedura:
