Prerequisiti per la gestione dei prompt

Se al tuo ruolo è allegata la policy AmazonBedrockFullAccessAWSgestita, puoi saltare questa sezione. Altrimenti, segui i passaggi indicati in Aggiornamento di una policy delle autorizzazioni per un ruolo per fornire le autorizzazioni per eseguire azioni relative a Gestione dei prompt:

Per limitare ulteriormente le autorizzazioni, è possibile omettere azioni o specificare risorse e chiavi di condizione con cui filtrare le autorizzazioni. Per ulteriori informazioni su azioni, risorse e chiavi di condizione, consultare i seguenti argomenti nella documentazione di riferimento per l’autorizzazione al servizio:

Se prevedi di crittografare il prompt con una chiave gestita dal cliente anziché utilizzare una Chiave gestita da AWS (per ulteriori informazioni, consulta le AWS KMSchiavi), crea le seguenti politiche:

1. Segui la procedura descritta in Creazione di una policy chiave e allega la seguente policy chiave a una chiave KMS per consentire ad Amazon Bedrock di crittografare e decrittografare un prompt con la chiave, sostituendola se necessario. values La policy contiene chiavi di condizione opzionali (vedi Chiavi di condizione Amazon Bedrock e chiavi di contesto delle condizioni globali AWS) nel campo Condition che ti consigliamo di utilizzare come best practice di sicurezza.

   {
       "Sid": "EncryptFlowKMS",
       "Effect": "Allow",
       "Principal": {
           "Service": "bedrock.amazonaws.com"
       },
       "Action": [
           "kms:GenerateDataKey",
           "kms:Decrypt"
       ],
       "Resource": "*",
       "Condition": {
           "StringEquals": {
               "kms:EncryptionContext:aws:bedrock-prompts:arn": "arn:${partition}:bedrock:${region}:${account-id}:prompt/${prompt-id}"
           }
       }
   }

2. Segui i passaggi indicati in Aggiornamento della politica delle autorizzazioni per un ruolo e allega la seguente politica al ruolo di gestione dei prompt, sostituendola se necessario, per consentirgli values di generare e decrittografare la chiave gestita dal cliente per una richiesta. La policy contiene chiavi di condizione opzionali (vedi Chiavi di condizione Amazon Bedrock e chiavi di contesto delle condizioni globali AWS) nel campo Condition che ti consigliamo di utilizzare come best practice di sicurezza.

   {
       "Sid": "KMSPermissions",
       "Effect": "Allow",
       "Action": [
           "kms:GenerateDataKey",
           "kms:Decrypt"
       ],
       "Resource": [
           "arn:aws:kms:${region}:${account-id}:key/${key-id}"
       ],
        "Condition": {
           "StringEquals": {
               "aws:ResourceAccount": "${account-id}"
           }
       }
   }