Applica misure di protezione tra account con le normative di Amazon Bedrock Guardrails

Pianifica la configurazione del guardrail

1. Definisci le tue protezioni:

   • Consulta i filtri guardrail disponibili nella documentazione di Amazon Bedrock Guardrails

   • Identifica il filtro di cui hai bisogno. Attualmente sono supportati filtri per i contenuti, gli argomenti negati, i filtri per le parole, i filtri per le informazioni sensibili e i controlli contestuali di base.

   • Importante

     Non includete la politica di ragionamento automatico, in quanto non è supportata per l'applicazione del guardrail e causerà errori di runtime.

2. Identifica gli account target:

   • Determina a quali OUs account o all'intera organizzazione verrà applicata questa barriera

Crea il tuo guardrail nell'account di gestione

Crea un guardrail in ogni regione in cui desideri applicarlo con uno dei seguenti metodi:

• Utilizzando: Console di gestione AWS

  1. Accedi a Console di gestione AWS con un'identità IAM che dispone delle autorizzazioni per utilizzare la console Amazon Bedrock. Quindi, apri la console Amazon Bedrock in https://console.aws.amazon.com/bedrock.

  2. Nel pannello di navigazione a sinistra, scegli Guardrails

  3. Scegli Crea guardrail

  4. Segui la procedura guidata per configurare i filtri o le misure di protezione desiderati (filtri per i contenuti, argomenti negati, filtri per parole, filtri per informazioni sensibili, controlli contestuali di base)

  5. Non abilitate la politica di ragionamento automatico

  6. Completa la procedura guidata per creare il tuo guardrail

• Utilizzo dell'API: utilizza l'API CreateGuardrail

Verifica

Una volta creato, dovresti vederlo nell'elenco dei guardrail sulla landing page di Guardrails o cercarlo nell'elenco dei guardrail usando il nome del guardrail

Crea una versione guardrail

Crea una versione numerica per garantire che la configurazione del guardrail rimanga immutabile e non possa essere modificata dagli account dei membri.

• Usando: Console di gestione AWS

  1. Seleziona il guardrail creato nel passaggio precedente nella pagina Guardrails sulla console Amazon Bedrock

  2. Scegli Crea versione

  3. Annotate l'ARN del guardrail e il numero di versione (ad esempio, «1", «2")

• Utilizzo dell'API: utilizza l'API CreateGuardrailVersion

Verifica

Conferma che la versione è stata creata correttamente controllando l'elenco delle versioni nella pagina dei dettagli di Guardrail.

Allega una politica basata sulle risorse

Abilita l'accesso su più account allegando una politica basata sulle risorse al tuo guardrail.

• Utilizzo di Console di gestione AWS : per allegare una policy basata sulle risorse tramite la console:

  1. Nella console Amazon Bedrock Guardrails, seleziona il tuo guardrail

  2. Scegli Aggiungi per aggiungere una politica basata sulle risorse

  3. Aggiungi una politica che conceda l'bedrock:ApplyGuardrailautorizzazione a tutti gli account membri o all'organizzazione. Consulta Condividi guardrail con la tua organizzazione in Utilizzo di politiche basate sulle risorse per i guardrail.

  4. Salva la politica

Verifica

Verifica l'accesso da un account membro utilizzando l'ApplyGuardrailAPI per assicurarti che l'autorizzazione sia configurata correttamente.

Configura le autorizzazioni IAM negli account dei membri

Assicurati che tutti i ruoli negli account dei membri dispongano delle autorizzazioni IAM per accedere al guardrail applicato.

Autorizzazioni richieste

I ruoli degli account membro richiedono bedrock:ApplyGuardrail l'autorizzazione per il guardrail dell'account di gestione. Vedi esempi Configurazione delle autorizzazioni per utilizzare Guardrail per Amazon Bedrock dettagliati di policy IAM

Verifica

Conferma che i ruoli con autorizzazioni limitate negli account dei membri possano chiamare correttamente l'ApplyGuardrailAPI con il guardrail.

Abilita il tipo di policy Amazon Bedrock in AWS Organizations

• Utilizzo di Console di gestione AWS : per abilitare il tipo di policy Amazon Bedrock utilizzando la console:

  1. Vai alla console AWS Organizations

  2. Scegli Politiche

  3. Scegli le politiche di Amazon Bedrock

  4. Scegli Abilita le politiche di Amazon Bedrock per abilitare il tipo di policy Amazon Bedrock per la tua organizzazione

• Utilizzo dell'API: utilizza l' AWS Organizations EnablePolicyTypeAPI con il tipo di policy BEDROCK_POLICY

Verifica

Verifica che il tipo di policy di Amazon Bedrock sia visualizzato come abilitato nella AWS Organizations console.

Crea e allega una policy AWS Organizations

Crea una politica di gestione che specifichi il tuo guardrail e allegala agli account di destinazione oppure. OUs

• Utilizzo di Console di gestione AWS : per creare e allegare una AWS Organizations politica utilizzando la console:

  1. Nella AWS Organizations console, accedi a Politiche > Politiche Amazon Bedrock

  2. Selezionare Creare policy

  3. Specificate l'ARN e la versione del guardrail

     Importante

     Assicurati di specificare l'ARN del guardrail accurato nella politica. Specificare un ARN errato o non valido comporterà violazioni delle politiche, la mancata applicazione delle misure di protezione e l'impossibilità di utilizzare i modelli in Amazon Bedrock per l'inferenza.

  4. Configura controlli selettivi di protezione dei contenuti (opzionale).

     • Amazon Bedrock APIs consente ai chiamanti di taggare contenuti specifici all'interno dei prompt di input per la valutazione del guardrail.

     • I controlli selettivi di protezione dei contenuti consentono agli amministratori di decidere se rispettare le decisioni di tagging prese dai chiamanti delle API.

     • I messages controlli system and determinano il modo in cui i prompt di sistema e il contenuto dei messaggi vengono elaborati dai guardrail. Ciascuno accetta uno dei seguenti valori:

       • Selettivo: valuta solo i contenuti all'interno dei tag di contenuto di Guard. Quando non viene specificato alcun tag, il comportamento dipende dal controllo. Perchésystem, nessun contenuto viene valutato e permessages, tutto il contenuto viene valutato.

       • Completo: valuta tutti i contenuti, indipendentemente dai tag di contenuto di Guard.

     • Se non configurati, entrambi i controlli sono impostati automaticamente su Comprehensive.

     {
         "bedrock": {
             "guardrail_inference": {
                 "us-east-1": {
                     "config_1": {
                         "identifier": {
                             "@@assign": "arn:aws:bedrock:us-east-1:123456789012:guardrail/guardrail-id:1"
                         },
                         "selective_content_guarding": {
                             "system": {
                                 "@@assign": "selective"
                             },
                             "messages": {
                                 "@@assign": "comprehensive"
                             }
                         },
                         "model_enforcement": {
                             "included_models": {
                                 "@@assign": ["ALL"]
                             },
                             "excluded_models": {
                                 "@@assign": ["amazon.titan-embed-text-v2:0", "cohere.embed-english-v3"]
                             }
                         }
                     }
                 }
             }
         }
     }

  5. Salva la politica

  6. Allega la politica agli obiettivi desiderati (account principali dell'organizzazione o singoli account) accedendo alla scheda Target e selezionando Allega OUs

• Utilizzo dell'API: utilizza l' AWS Organizations CreatePolicyAPI con il tipo di BEDROCK_POLICY policy. AttachPolicyDa utilizzare per il collegamento agli obiettivi

Per saperne di più: politiche di Amazon Bedrock in AWS Organizations

Verifica

Verifica che la policy sia associata agli obiettivi corretti nella AWS Organizations console.

Testa e verifica l'applicazione

Verifica che il guardrail venga applicato agli account dei membri.

Pianifica la configurazione del guardrail

Definisci le tue protezioni

Per definire le tue misure di protezione:

Creare un guardrail

Crea un guardrail in ogni regione in cui desideri applicarlo.

Tramite Console di gestione AWS

Per creare un guardrail utilizzando la console:

1. Accedi a Console di gestione AWS con un'identità IAM che dispone delle autorizzazioni per utilizzare la console Amazon Bedrock. Quindi, apri la console Amazon Bedrock in https://console.aws.amazon.com/bedrock.

2. Nel pannello di navigazione a sinistra, scegli Guardrails

3. Scegli Crea guardrail

4. Segui la procedura guidata per configurare le politiche desiderate (filtri per i contenuti, argomenti negati, filtri per parole, filtri per informazioni sensibili)

5. Non abilitate la politica di ragionamento automatico

6. Completa la procedura guidata per creare il tuo guardrail

Tramite API

Utilizzare l'API CreateGuardrail

Verifica

Una volta creato, dovresti vederlo nell'elenco dei guardrail sulla landing page di Guardrails o cercarlo nell'elenco dei guardrail usando il nome del guardrail

Crea una versione guardrail

Crea una versione numerica per garantire che la configurazione del guardrail rimanga immutabile e non possa essere modificata dagli account dei membri.

Tramite Console di gestione AWS

Per creare una versione guardrail utilizzando la console:

1. Seleziona il guardrail creato nel passaggio precedente nella pagina Guardrails sulla console Amazon Bedrock

2. Scegli Crea versione

3. Annotate l'ARN del guardrail e il numero di versione (ad esempio, «1", «2")

Tramite API

Utilizzare l'API CreateGuardrailVersion

Verifica

Verifica che la versione sia stata creata correttamente controllando l'elenco delle versioni nella pagina dei dettagli di Guardrail.

Allega una politica basata sulle risorse (opzionale)

Se desideri condividere il guardrail con ruoli specifici nel tuo account, allega una politica basata sulle risorse.

Tramite Console di gestione AWS

Per allegare una policy basata sulle risorse utilizzando la console:

1. Nella console Amazon Bedrock Guardrails, seleziona il tuo guardrail

2. Scegli Aggiungi per aggiungere una politica basata sulle risorse

3. Aggiungi una politica che conceda l'bedrock:ApplyGuardrailautorizzazione ai ruoli desiderati

4. Salva la politica

Abilita l'applicazione a livello di account

Configura l'account per utilizzare il tuo guardrail per tutte le chiamate di Amazon Bedrock. Questa operazione deve essere eseguita in ogni regione in cui si desidera che venga applicata.

Tramite Console di gestione AWS

Per abilitare l'applicazione a livello di account utilizzando la console:

1. Passa alla console Amazon Bedrock

2. Scegli Guardrails nel pannello di navigazione a sinistra

3. Nella sezione Configurazioni di applicazione a livello di account, scegli Aggiungi

4. Seleziona il guardrail e la versione

5. Configura i controlli selettivi di protezione dei contenuti (opzionale).

   • Amazon Bedrock APIs consente ai chiamanti di taggare contenuti specifici all'interno dei prompt di input per la valutazione del guardrail.

   • I controlli selettivi di protezione dei contenuti consentono agli amministratori di decidere se rispettare le decisioni di tagging prese dai chiamanti delle API.

   • I messages controlli system and determinano il modo in cui i prompt di sistema e il contenuto dei messaggi vengono elaborati dai guardrail. Ciascuno accetta uno dei seguenti valori:

     • Selettivo: valuta solo i contenuti all'interno dei tag di contenuto di Guard.

     • Completo: valuta tutti i contenuti, indipendentemente dai tag di contenuto di guard.

   • Se non configurati, entrambi i controlli sono impostati automaticamente su Comprehensive.

6. Invia la configurazione

7. Ripeti l'operazione per ogni regione in cui desideri che venga applicata

Tramite API

Utilizza l'PutEnforcedGuardrailConfigurationAPI in ogni regione in cui desideri applicare il guardrail

Verifica

Dovresti vedere il guardrail applicato all'account nella sezione Account enforced guardrail configuration nella pagina Guardrails. Puoi chiamare l'ListEnforcedGuardrailsConfigurationAPI per assicurarti che il guardrail applicato sia elencato

Testa e verifica l'applicazione

Prova a utilizzare un ruolo nel tuo account

Per verificare l'applicazione delle norme dal tuo account:

1. Effettua una chiamata di inferenza Amazon Bedrock utilizzandoInvokeModel,Converse, o InvokeModelWithResponseStream ConverseStream

2. Il guardrail imposto dall'account dovrebbe applicarsi automaticamente sia agli input che agli output

3. Controlla la risposta per le informazioni sulla valutazione del guardrail. La risposta del guardrail includerà informazioni sul guardrail forzato.