Amazon Bedrock ガードレールの適用によるクロスアカウント保護の適用

ガードレール設定の計画

1. 安全策を定義します。

   • Amazon Bedrock ガードレールドキュメントで利用可能なガードレールフィルターを確認する

   • 必要なフィルターを特定します。現在、コンテンツフィルター、拒否されたトピック、単語フィルター、機密情報フィルター、コンテキストグラウンディングチェックがサポートされています。

   • 重要

     自動推論ポリシーはガードレールの適用ではサポートされておらず、ランタイムの失敗を引き起こすため、含めないでください。

2. ターゲットアカウントを特定します。

   • このガードレールを適用する OUs、アカウント、または組織全体を決定する

管理アカウントにガードレールを作成する

次のいずれかの方法を使用して、適用するすべてのリージョンにガードレールを作成します。

• の使用 AWS マネジメントコンソール:

  1. Amazon Bedrock コンソールを使用するアクセス許可を持つ IAM ID AWS マネジメントコンソール を使用して にサインインします。Amazon Bedrock コンソール (https://console.aws.amazon.com/bedrock) を開きます。

  2. 左側のナビゲーションパネルで、ガードレールを選択します。

  3. ガードレールの作成を選択する

  4. ウィザードに従って、必要なフィルターまたは保護 (コンテンツフィルター、拒否トピック、単語フィルター、機密情報フィルター、コンテキストグラウンディングチェック) を設定します。

  5. 自動推論ポリシーを有効にしない

  6. ウィザードを完了してガードレールを作成する

• API の使用: CreateGuardrail API を使用する

検証

作成後、ガードレールランディングページのガードレールのリストに表示されるか、ガードレール名を使用してガードレールのリストで検索します。

ガードレールバージョンを作成する

数値バージョンを作成して、ガードレール設定が不変のままであり、メンバーアカウントで変更できないようにします。

• の使用 AWS マネジメントコンソール:

  1. Amazon Bedrock コンソールのガードレールページの前のステップで作成したガードレールを選択します。

  2. バージョンの作成を選択する

  3. ガードレール ARN とバージョン番号 (例：「1」、「2」) を書き留めます。

• API の使用: CreateGuardrailVersion API を使用する

検証

Guardrail の詳細ページでバージョンのリストを確認して、バージョンが正常に作成されたことを確認します。

リソースベースのポリシーをアタッチする

リソースベースのポリシーをガードレールにアタッチして、クロスアカウントアクセスを有効にします。

• の使用 AWS マネジメントコンソール – コンソールを使用してリソースベースのポリシーをアタッチするには:

  1. Amazon Bedrock ガードレールコンソールで、ガードレールを選択します。

  2. 追加を選択してリソースベースのポリシーを追加する

  3. すべてのメンバーアカウントまたは組織にアクセスbedrock:ApplyGuardrail許可を付与するポリシーを追加します。ガードレールにリソースベースのポリシーを使用する の「ガードレールを組織と共有する」を参照してください。

  4. ポリシーを保存する

検証

ApplyGuardrail API を使用してメンバーアカウントからのアクセスをテストし、認可が正しく設定されていることを確認します。

メンバーアカウントで IAM アクセス許可を設定する

メンバーアカウントのすべてのロールに、強制ガードレールにアクセスするための IAM アクセス許可があることを確認します。

必要なアクセス許可

メンバーアカウントロールには、管理アカウントのガードレールに対するアクセスbedrock:ApplyGuardrail許可が必要です。IAM ポリシーの詳細な例Amazon Bedrock ガードレールを使用するためのアクセス許可を設定するについては、「」を参照してください。

検証

メンバーアカウントでスコープダウンされたアクセス許可を持つロールが、ガードレールを使用して ApplyGuardrail API を正常に呼び出せることを確認します。

で Amazon Bedrock ポリシータイプを有効にする AWS Organizations

• の使用 AWS マネジメントコンソール – コンソールを使用して Amazon Bedrock ポリシータイプを有効にするには:

  1. AWS Organizations コンソールに移動する

  2. ポリシーの選択

  3. Amazon Bedrock ポリシーを選択する

  4. Amazon Bedrock ポリシーを有効にするを選択して、組織の Amazon Bedrock ポリシータイプを有効にします。

• API の使用 – ポリシータイプで AWS Organizations EnablePolicyType API を使用する BEDROCK_POLICY

検証

Amazon Bedrock ポリシータイプが AWS Organizations コンソールで有効になっていると表示されることを確認します。

AWS Organizations ポリシーを作成してアタッチする

ガードレールを指定する管理ポリシーを作成し、ターゲットアカウントまたは OUs。

• の使用 AWS マネジメントコンソール – コンソールを使用して AWS Organizations ポリシーを作成してアタッチするには:

  1. AWS Organizations コンソールで、ポリシー > Amazon Bedrock ポリシーに移動します。

  2. [ ポリシーの作成 ] を選択します。

  3. ガードレールの ARN とバージョンを指定する

     重要

     ポリシーで正確なガードレール ARN を指定していることを確認します。正しくない、または無効な ARN を指定すると、ポリシー違反、保護の非実施、Amazon Bedrock でモデルを推論に使用できなくなります。

  4. 選択的なコンテンツガードコントロールを設定します (オプション）。

     • Amazon Bedrock APIsを使用すると、発信者は入力プロンプト内の特定のコンテンツをタグ付けしてガードレール評価を行うことができます。

     • 選択的コンテンツガードコントロールを使用すると、管理者は API 発信者によるタグ付けの決定に従うかどうかを判断できます。

     • system および messagesコントロールは、システムプロンプトとメッセージコンテンツがガードレールによってどのように処理されるかを決定します。各 は、次のいずれかの値を受け入れます。

       • 選択: ガードコンテンツタグ内のコンテンツのみを評価します。タグが指定されていない場合、動作はコントロールによって異なります。ではコンテンツは評価systemされず、 ではmessagesすべてのコンテンツが評価されます。

       • 包括的: ガードコンテンツタグに関係なく、すべてのコンテンツを評価します。

     • 設定されていない場合、両方のコントロールはデフォルトで Comprehensive になります。

     {
         "bedrock": {
             "guardrail_inference": {
                 "us-east-1": {
                     "config_1": {
                         "identifier": {
                             "@@assign": "arn:aws:bedrock:us-east-1:123456789012:guardrail/guardrail-id:1"
                         },
                         "selective_content_guarding": {
                             "system": {
                                 "@@assign": "selective"
                             },
                             "messages": {
                                 "@@assign": "comprehensive"
                             }
                         },
                         "model_enforcement": {
                             "included_models": {
                                 "@@assign": ["ALL"]
                             },
                             "excluded_models": {
                                 "@@assign": ["amazon.titan-embed-text-v2:0", "cohere.embed-english-v3"]
                             }
                         }
                     }
                 }
             }
         }
     }

  5. ポリシーを保存する

  6. Targets タブに移動し、Attach を選択して、目的のターゲット (組織ルート、OUs、または個々のアカウント) にポリシーをアタッチします。

• API の使用 – ポリシータイプ で AWS Organizations CreatePolicy API を使用しますBEDROCK_POLICY。AttachPolicy を使用してターゲットにアタッチする

詳細: の Amazon Bedrock ポリシー AWS Organizations

検証

ポリシーが AWS Organizations コンソールの正しいターゲットにアタッチされていることを確認します。

適用のテストと検証

ガードレールがメンバーアカウントに適用されていることを確認します。

ガードレール設定の計画

安全策を定義する

セーフガードを定義するには:

ガードレールを作成する

適用するすべてのリージョンにガードレールを作成します。

経由 AWS マネジメントコンソール

コンソールを使用してガードレールを作成するには:

1. Amazon Bedrock コンソールを使用するアクセス許可を持つ IAM ID AWS マネジメントコンソール を使用して にサインインします。Amazon Bedrock コンソール (https://console.aws.amazon.com/bedrock) を開きます。

2. 左側のナビゲーションパネルで、ガードレールを選択します。

3. ガードレールの作成を選択する

4. ウィザードに従って、目的のポリシー (コンテンツフィルター、拒否されたトピック、単語フィルター、機密情報フィルター) を設定します。

5. 自動推論ポリシーを有効にしない

6. ウィザードを完了してガードレールを作成する

API 経由

CreateGuardrail API を使用する

検証

作成されると、ガードレールランディングページのガードレールのリストに表示されるか、ガードレール名を使用してガードレールのリストで検索されます。

ガードレールバージョンを作成する

数値バージョンを作成して、ガードレール設定が不変のままであり、メンバーアカウントで変更できないようにします。

経由 AWS マネジメントコンソール

コンソールを使用してガードレールバージョンを作成するには:

1. Amazon Bedrock コンソールのガードレールページの前のステップで作成したガードレールを選択します。

2. バージョンの作成を選択する

3. ガードレール ARN とバージョン番号 (例：「1」、「2」) を書き留めます。

API 経由

CreateGuardrailVersion API を使用する

検証

Guardrail の詳細ページでバージョンのリストを確認して、バージョンが正常に作成されたことを確認します。

リソースベースのポリシーをアタッチする (オプション)

アカウントの特定のロールとガードレールを共有する場合は、リソースベースのポリシーをアタッチします。

経由 AWS マネジメントコンソール

コンソールを使用してリソースベースのポリシーをアタッチするには:

1. Amazon Bedrock ガードレールコンソールで、ガードレールを選択します。

2. 追加を選択してリソースベースのポリシーを追加する

3. 目的のロールにアクセスbedrock:ApplyGuardrail許可を付与するポリシーを追加する

4. ポリシーを保存する

アカウントレベルの強制を有効にする

すべての Amazon Bedrock 呼び出しにガードレールを使用するようにアカウントを設定します。これは、強制するすべてのリージョンで実行する必要があります。

経由 AWS マネジメントコンソール

コンソールを使用してアカウントレベルの強制を有効にするには:

1. Amazon Bedrock コンソールに移動します。

2. 左側のナビゲーションパネルでガードレールを選択する

3. アカウントレベルの強制設定セクションで、追加 を選択します。

4. ガードレールとバージョンを選択する

5. 選択的なコンテンツガードコントロールを設定します (オプション）。

   • Amazon Bedrock APIsを使用すると、発信者は入力プロンプト内の特定のコンテンツをタグ付けしてガードレール評価を行うことができます。

   • 選択的コンテンツガードコントロールを使用すると、管理者は API 発信者によるタグ付けの決定に従うかどうかを判断できます。

   • system および messagesコントロールは、システムプロンプトとメッセージコンテンツがガードレールによってどのように処理されるかを決定します。各 は、次のいずれかの値を受け入れます。

     • 選択: ガードコンテンツタグ内のコンテンツのみを評価します。

     • 包括的: ガードコンテンツタグに関係なく、すべてのコンテンツを評価します。

   • 設定されていない場合、両方のコントロールはデフォルトで Comprehensive になります。

6. 設定を送信する

7. 適用するリージョンごとに繰り返します。

API 経由

ガードレールを適用するすべてのリージョンで PutEnforcedGuardrailConfiguration API を使用する

検証

アカウント強制ガードレールは、ガードレールページの「アカウント強制ガードレール設定」セクションに表示されます。ListEnforcedGuardrailsConfiguration API を呼び出して、強制ガードレールがリストされていることを確認することができます。

適用のテストと検証

アカウントのロールを使用してテストする

アカウントから適用をテストするには:

1. InvokeModel、、Converse、InvokeModelWithResponseStreamまたは を使用して Amazon Bedrock 推論呼び出しを行う ConverseStream

2. アカウント強制ガードレールは、入力と出力の両方に自動的に適用される必要があります

3. ガードレール評価情報のレスポンスを確認します。ガードレールレスポンスには、強制されたガードレール情報が含まれます。