Monitora la chiamata del modello utilizzando CloudWatch Logs e Amazon S3

1. Crea un bucket S3 in cui verranno recapitati i log.

2. Aggiungi una policy bucket come quella riportata di seguito (sostituisci i valori peraccountId, e facoltativamente): region bucketName prefix

   Nota

   Una policy del bucket viene associata automaticamente al bucket per conto tuo quando configuri la registrazione di log con le autorizzazioni S3:GetBucketPolicy e S3:PutBucketPolicy.

   JSON

   {
       "Version":"2012-10-17",		 	 	 
       "Statement": [
           {
               "Sid": "AmazonBedrockLogsWrite",
               "Effect": "Allow",
               "Principal": {
                   "Service": "bedrock.amazonaws.com"
               },
               "Action": [
                   "s3:PutObject"
               ],
               "Resource": [
                   "arn:aws:s3:::bucketName/prefix/AWSLogs/123456789012/BedrockModelInvocationLogs/*"
               ],
               "Condition": {
                   "StringEquals": {
                       "aws:SourceAccount": "123456789012"
                   },
                   "ArnLike": {
                       "aws:SourceArn": "arn:aws:bedrock:us-east-1:123456789012:*"
                   }
               }
           }
       ]
   }
   

3. (Facoltativo) Se configuri SSE-KMS sul bucket, aggiungi la seguente policy alla chiave KMS:

   {
       "Effect": "Allow",
       "Principal": {
           "Service": "bedrock.amazonaws.com"
       },
       "Action": "kms:GenerateDataKey",
       "Resource": "*",
       "Condition": {
           "StringEquals": {
             "aws:SourceAccount": "accountId" 
           },
           "ArnLike": {
              "aws:SourceArn": "arn:aws:bedrock:region:accountId:*"
           }
       }
   }                

1. Crea un gruppo di CloudWatch log in cui verranno pubblicati i log.

2. Crea un ruolo IAM con le seguenti autorizzazioni per CloudWatch i registri.

   Entità attendibile:

   JSON

   {
       "Version":"2012-10-17",		 	 	 
       "Statement": [
           {
               "Effect": "Allow",
               "Principal": {
                   "Service": "bedrock.amazonaws.com"
               },
               "Action": "sts:AssumeRole",
               "Condition": {
                   "StringEquals": {
                       "aws:SourceAccount": "123456789012"
                   },
                   "ArnLike": {
                       "aws:SourceArn": "arn:aws:bedrock:us-east-1:123456789012:*"
                   }
               }
           }
       ]
   }
   

   Policy del ruolo:

   JSON

   {
       "Version":"2012-10-17",		 	 	 
       "Statement": [
           {
               "Effect": "Allow",
               "Action": [
                   "logs:CreateLogStream",
                   "logs:PutLogEvents"
               ],
               "Resource": "arn:aws:logs:us-east-1:123456789012:log-group:logGroupName:log-stream:aws/bedrock/modelinvocations"
           }
       ]
   }
   

Per abilitare la registrazione delle invocazioni dei modelli

Accedi a Console di gestione AWS con un'identità IAM che dispone delle autorizzazioni per utilizzare la console Amazon Bedrock. Quindi, apri la console Amazon Bedrock in https://console.aws.amazon.com/bedrock.

1. Dal riquadro di navigazione a sinistra, seleziona Impostazioni.

2. Nella pagina di registrazione delle chiamate del modello, selezionate Registrazione delle chiamate del modello. Verranno visualizzate impostazioni di configurazione aggiuntive per la registrazione.

3. Seleziona le modalità delle richieste e delle risposte di dati che desideri pubblicare nei log. È possibile selezionare qualsiasi combinazione delle seguenti opzioni di output:

   • Testo

   • Immagine

   • Embedding

   • Video

   Nota

   I dati verranno registrati per tutti i modelli che supportano le modalità (di input o output) scelte. Ad esempio, se selezionate Immagine, l'invocazione del modello verrà registrata per tutti i modelli che supportano l'input, l'output dell'immagine o entrambi.

4. Seleziona dove pubblicare i log:

   • Solo Amazon S3

   • CloudWatch Solo registri

   • Sia Amazon S3 che Logs CloudWatch