Amazon Bedrock ガードレールの適用によるクロスアカウント保護の適用

ガードレール設定の計画

1. 安全策を定義します。

   • Amazon Bedrock ガードレールドキュメントで利用可能なガードレールフィルターを確認する

   • 必要なフィルターを特定します。現在、コンテンツフィルター、拒否されたトピック、単語フィルター、機密情報フィルター、コンテキストグラウンディングチェックがサポートされています。

   • 注: 自動推論ポリシーはガードレールの適用ではサポートされておらず、ランタイム障害を引き起こすため、含めないでください。

2. ターゲットアカウントを特定します。

   • このガードレールを適用する OUs、アカウント、または組織全体を決定する

管理アカウントにガードレールを作成する

次のいずれかの方法を使用して、適用するすべてのリージョンにガードレールを作成します。

• の使用AWS マネジメントコンソール:

  1. Amazon Bedrock コンソールを使用するアクセス許可を持つ IAM ID AWS マネジメントコンソールを使用して にサインインします。Amazon Bedrock コンソール (https://console.aws.amazon.com/bedrock) を開きます。

  2. 左側のナビゲーションパネルで、ガードレールを選択します。

  3. ガードレールの作成を選択する

  4. ウィザードに従って、必要なフィルターまたは保護 (コンテンツフィルター、拒否トピック、単語フィルター、機密情報フィルター、コンテキストグラウンディングチェック) を設定します。

  5. 自動推論ポリシーを有効にしない

  6. ウィザードを完了してガードレールを作成する

• API の使用: CreateGuardrail API の使用

検証

作成後、ガードレールランディングページのガードレールのリストに表示されるか、ガードレール名を使用してガードレールのリストで検索します。

ガードレールバージョンを作成する

数値バージョンを作成して、ガードレール設定が不変のままであり、メンバーアカウントで変更できないようにします。

• の使用AWS マネジメントコンソール:

  1. Amazon Bedrock コンソールのガードレールページの前のステップで作成したガードレールを選択します。

  2. バージョンの作成を選択する

  3. ガードレール ARN とバージョン番号 (例：「1」、「2」など) を書き留めます。

• API の使用: CreateGuardrailVersion API を使用する

検証

Guardrail の詳細ページでバージョンのリストを確認して、バージョンが正常に作成されたことを確認します。

リソースベースのポリシーをアタッチする

リソースベースのポリシーをガードレールにアタッチして、クロスアカウントアクセスを有効にします。

• の使用 AWS マネジメントコンソール– コンソールを使用してリソースベースのポリシーをアタッチするには:

  1. Amazon Bedrock ガードレールコンソールで、ガードレールを選択します。

  2. 追加をクリックしてリソースベースのポリシーを追加します。

  3. すべてのメンバーアカウントまたは組織にアクセスbedrock:ApplyGuardrail許可を付与するポリシーを追加します。ガードレールのリソースベースのポリシーの使用 の「ガードレールを組織と共有する」を参照してください。

  4. ポリシーを保存する

検証

ApplyGuardrail API を使用してメンバーアカウントからのアクセスをテストし、認可が正しく設定されていることを確認します。

メンバーアカウントで IAM アクセス許可を設定する

メンバーアカウントのすべてのロールに、強制ガードレールにアクセスするための IAM アクセス許可があることを確認します。

必要なアクセス許可

メンバーアカウントロールには、管理アカウントのガードレールに対するアクセスbedrock:ApplyGuardrail許可が必要です。IAM ポリシーの詳細な例Amazon Bedrock ガードレールを使用するためのアクセス許可を設定するについては、「」を参照してください。

検証

メンバーアカウントでスコープダウンされたアクセス許可を持つロールが、ガードレールを使用して ApplyGuardrail API を正常に呼び出せることを確認します。

で Amazon Bedrock ポリシータイプを有効にするAWS Organizations

• の使用 AWS マネジメントコンソール– コンソールを使用して Amazon Bedrock ポリシータイプを有効にするには:

  1. AWS Organizationsコンソールに移動する

  2. ポリシーの選択

  3. Amazon Bedrock ポリシーを選択する (現在プレビュー中)

  4. Amazon Bedrock ポリシーを有効にするを選択して、組織の Amazon Bedrock ポリシータイプを有効にします。

• API の使用 – ポリシータイプで AWS OrganizationsEnablePolicyType API を使用する BEDROCK_POLICY

検証

Amazon Bedrock ポリシータイプが AWS Organizationsコンソールで有効になっていることを確認します。

AWS Organizationsポリシーを作成してアタッチする

ガードレールを指定する管理ポリシーを作成し、ターゲットアカウントまたは OUs。

• の使用 AWS マネジメントコンソール– コンソールを使用して AWS Organizationsポリシーを作成してアタッチするには:

  1. AWS Organizationsコンソールで、ポリシー > Amazon Bedrock ポリシーに移動します。

  2. [ ポリシーの作成 ] を選択します。

  3. ガードレールの ARN とバージョンを指定する

  4. input_tags 設定 (メンバーアカウントがガードレール入力タグを介して入力のガードレールをバイパスしないように無視するように設定) を設定します。

     {
         "bedrock": {
             "guardrail_inference": {
                 "us-east-1": {
                     "config_1": {
                         "identifier": {
                             "@@assign": "arn:aws:bedrock:us-east-1:account_id:guardrail/guardrail_id:1"
                         },
                         "input_tags": {
                             "@@assign": "honor"
                         }
                     }
                 }
             }
         }
     }

  5. ポリシーを保存する

  6. Targets タブに移動し、Attach を選択して、目的のターゲット (組織ルート、OUs、または個々のアカウント) にポリシーをアタッチします。

• API の使用 – ポリシータイプ で AWS OrganizationsCreatePolicy API を使用しますBEDROCK_POLICY。AttachPolicy を使用してターゲットにアタッチする

詳細: の Amazon Bedrock ポリシーAWS Organizations

検証

ポリシーがAWS Organizationsコンソールの正しいターゲットにアタッチされていることを確認します。

適用のテストと検証

ガードレールがメンバーアカウントに適用されていることをテストします。

ガードレール設定を計画する

安全策を定義する

安全策を定義するには:

ガードレールを作成する

適用するすべてのリージョンにガードレールを作成します。

経由AWS マネジメントコンソール

コンソールを使用してガードレールを作成するには:

1. Amazon Bedrock コンソールを使用するアクセス許可を持つ IAM ID AWS マネジメントコンソールを使用して にサインインします。Amazon Bedrock コンソール (https://console.aws.amazon.com/bedrock) を開きます。

2. 左側のナビゲーションパネルで、ガードレールを選択します。

3. ガードレールの作成を選択する

4. ウィザードに従って、目的のポリシー (コンテンツフィルター、拒否トピック、単語フィルター、機密情報フィルター) を設定します。

5. 自動推論ポリシーを有効にしない

6. ウィザードを完了してガードレールを作成する

API 経由

CreateGuardrail API を使用する

検証

作成されると、ガードレールランディングページのガードレールのリストに表示されるか、ガードレール名を使用してガードレールのリストで検索されます。

ガードレールバージョンを作成する

数値バージョンを作成して、ガードレール設定が不変のままであり、メンバーアカウントで変更できないようにします。

経由AWS マネジメントコンソール

コンソールを使用してガードレールバージョンを作成するには:

1. Amazon Bedrock コンソールのガードレールページの前のステップで作成したガードレールを選択します。

2. バージョンの作成を選択する

3. ガードレール ARN とバージョン番号 (例：「1」、「2」など) を書き留めます。

API 経由

CreateGuardrailVersion API を使用する

検証

Guardrail の詳細ページでバージョンのリストを確認して、バージョンが正常に作成されたことを確認します。

リソースベースのポリシーをアタッチする (オプション)

アカウントの特定のロールとガードレールを共有する場合は、リソースベースのポリシーをアタッチします。

経由AWS マネジメントコンソール

コンソールを使用してリソースベースのポリシーをアタッチするには:

1. Amazon Bedrock ガードレールコンソールで、ガードレールを選択します。

2. 追加をクリックしてリソースベースのポリシーを追加します。

3. 目的のロールにアクセスbedrock:ApplyGuardrail許可を付与するポリシーを追加する

4. ポリシーを保存する

アカウントレベルの強制を有効にする

すべての Amazon Bedrock 呼び出しにガードレールを使用するようにアカウントを設定します。これは、強制するすべてのリージョンで実行する必要があります。

経由AWS マネジメントコンソール

コンソールを使用してアカウントレベルの強制を有効にするには:

1. Amazon Bedrock コンソールに移動します。

2. 左側のナビゲーションパネルでガードレールを選択する

3. アカウントレベルの強制設定セクションで、追加 を選択します。

4. ガードレールとバージョンを選択する

5. input_tags 設定を構成する (メンバーアカウントが Guardrails 入力タグを介して入力のガードレールをバイパスしないように IGNORE に設定する)

6. 設定を送信する

7. 適用するリージョンごとに繰り返します。

API 経由

ガードレールを適用するすべてのリージョンで PutEnforcedGuardrailConfiguration API を使用する

検証

アカウント強制ガードレールは、ガードレールページの「アカウント強制ガードレール設定」セクションに表示されます。ListEnforcedGuardrailsConfiguration API を呼び出して、強制ガードレールがリストされていることを確認することができます。

適用のテストと検証

アカウントのロールを使用してテストする

アカウントから適用をテストするには:

1. InvokeModel、、Converse、InvokeModelWithResponseStreamまたは を使用して Amazon Bedrock 推論呼び出しを行う ConverseStream

2. アカウント強制ガードレールは、入力と出力の両方に自動的に適用される必要があります

3. ガードレール評価情報のレスポンスを確認します。ガードレールレスポンスには、強制されたガードレール情報が含まれます。