翻訳は機械翻訳により提供されています。提供された翻訳内容と英語版の間で齟齬、不一致または矛盾がある場合、英語版が優先します。
# Amazon Bedrock ガードレールの適用によるクロスアカウント保護の適用
Amazon Bedrock ガードレールを使用すると、[AWS Organizations Amazon Bedrock ポリシー](https://docs.aws.amazon.com/organizations/latest/userguide/orgs_manage_policies_bedrock.html)を通じて、組織内の複数のアカウントに自動的に保護を適用できます。これにより、一元的な制御と管理により、すべてのアカウントで統一された保護が可能になります。さらに、この機能を使用すると、ユースケースの要件に応じて、アカウントレベルおよびアプリケーション固有のコントロールを柔軟に適用できます。
**主な機能**
ガードレールの適用の主な機能は次のとおりです。
+ **組織レベルの適用** – Amazon Bedrock を使用したすべてのモデル呼び出しに、Amazon Bedrock ポリシーを使用して、組織単位 (OUs)、個々のアカウント、または組織全体にガードレールを適用します AWS Organizations。
+ **アカウントレベルの適用** – AWS アカウントからのすべての Amazon Bedrock モデル呼び出しについて、アカウント内のガードレールの特定のバージョンを指定します。
+ **レイヤード保護** – 両方が存在する場合は、組織とアプリケーション固有のガードレールを組み合わせます。有効な安全コントロールは、両方のガードレールから同じコントロールがある場合に優先される最も制限の厳しいコントロールを持つ両方のガードレールの結合です。
以下のトピックでは、Amazon Bedrock ガードレールの適用を使用する方法について説明します。
**Topics**
+ [実装ガイド](#guardrails-enforcements-implementation-guide)
+ [モニタリング](#monitoring)
+ [料金](#pricing)
+ [よくある質問](#faq)
## 実装ガイド
以下の手順では、 AWS 組織内のアカウントと 1 つの AWS アカウントに対してガードレールの適用を実装する方法について詳しく説明します。これらの適用により、Amazon Bedrock へのすべてのモデル呼び出しは、指定されたガードレール内で設定された保護を適用します。
### 組織レベルの適用
このセクションでは、 AWS 組織全体でのガードレールの適用の設定について詳しく説明します。セットアップすると、指定したアカウントまたは OUs のすべての Amazon Bedrock モデル呼び出しに自動的に適用されるガードレールが作成されます。
**前提条件**
AWS ガードレールを作成し、 AWS Organizations ポリシーを管理するアクセス許可を持つ組織管理者 (管理アカウントアクセスを持つ）。
**必要なもの**
以下が必要です。
+ [AWS Organizations](https://docs.aws.amazon.com/organizations/latest/userguide/orgs_introduction.html) 管理アカウントアクセスを使用する
+ ガードレールを作成して[AWS Organizations ポリシーを管理する](https://docs.aws.amazon.com/organizations/latest/userguide/orgs_permissions_overview.html)ための [IAM アクセス許可](guardrails-permissions.md#guardrails-permissions-use)
+ 組織の安全要件を理解する
**組織レベルのガードレールの適用を設定するには**
1.
**ガードレール設定の計画**
1. 安全策を定義します。
+ [Amazon Bedrock ガードレールドキュメントで利用可能なガードレール](guardrails.md)フィルターを確認する
+ 必要なフィルターを特定します。現在、コンテンツフィルター、拒否されたトピック、単語フィルター、機密情報フィルター、コンテキストグラウンディングチェックがサポートされています。
+
**重要**
自動推論ポリシーはガードレールの適用ではサポートされておらず、ランタイムの失敗を引き起こすため、含めないでください。
1. ターゲットアカウントを特定します。
+ このガードレールを適用する OUs、アカウント、または組織全体を決定する
1.
**管理アカウントにガードレールを作成する**
次のいずれかの方法を使用して、適用するすべてのリージョンにガードレールを作成します。
+ の使用 AWS マネジメントコンソール:
1. Amazon Bedrock コンソールを使用するアクセス許可を持つ IAM ID AWS マネジメントコンソール を使用して にサインインします。Amazon Bedrock コンソール ([https://console.aws.amazon.com/bedrock](https://console.aws.amazon.com/bedrock)) を開きます。
1. 左側のナビゲーションパネルで、**ガードレールを選択します。**
1. **ガードレールの作成**を選択する
1. ウィザードに従って、必要なフィルターまたは保護 (コンテンツフィルター、拒否トピック、単語フィルター、機密情報フィルター、コンテキストグラウンディングチェック) を設定します。
1. 自動推論ポリシーを有効にしない
1. ウィザードを完了してガードレールを作成する
+ API の使用: [CreateGuardrail](https://docs.aws.amazon.com/bedrock/latest/APIReference/API_agent_CreateGuardrail.html) API を使用する
**検証**
作成後、ガードレールランディングページのガードレールのリストに表示されるか、ガードレール名を使用してガードレールのリストで検索します。
1.
**ガードレールバージョンを作成する**
数値バージョンを作成して、ガードレール設定が不変のままであり、メンバーアカウントで変更できないようにします。
+ の使用 AWS マネジメントコンソール:
1. Amazon Bedrock コンソールのガードレールページの前のステップで作成したガードレールを選択します。
1. **バージョンの作成**を選択する
1. ガードレール ARN とバージョン番号 (例：「1」、「2」) を書き留めます。
+ API の使用: [CreateGuardrailVersion](https://docs.aws.amazon.com/bedrock/latest/APIReference/API_agent_CreateGuardrailVersion.html) API を使用する
**検証**
Guardrail の詳細ページでバージョンのリストを確認して、バージョンが正常に作成されたことを確認します。
1.
**リソースベースのポリシーをアタッチする**
リソースベースのポリシーをガードレールにアタッチして、クロスアカウントアクセスを有効にします。
+ の使用 AWS マネジメントコンソール – コンソールを使用してリソースベースのポリシーをアタッチするには:
1. Amazon Bedrock ガードレールコンソールで、ガードレールを選択します。
1. **追加**を選択してリソースベースのポリシーを追加する
1. すべてのメンバーアカウントまたは組織にアクセス`bedrock:ApplyGuardrail`許可を付与するポリシーを追加します。[ガードレールにリソースベースのポリシーを使用する](guardrails-resource-based-policies.md) の「[ガードレールを組織と共有する](guardrails-resource-based-policies.md#share-guardrail-with-organization)」を参照してください。
1. ポリシーを保存する
**検証**
[ApplyGuardrail](https://docs.aws.amazon.com/bedrock/latest/APIReference/API_agent_ApplyGuardrail.html) API を使用してメンバーアカウントからのアクセスをテストし、認可が正しく設定されていることを確認します。
1.
**メンバーアカウントで IAM アクセス許可を設定する**
メンバーアカウントのすべてのロールに、強制ガードレールにアクセスするための IAM アクセス許可があることを確認します。
**必要なアクセス許可**
メンバーアカウントロールには、管理アカウントのガードレールに対するアクセス`bedrock:ApplyGuardrail`許可が必要です。IAM ポリシーの詳細な例[Amazon Bedrock ガードレールを使用するためのアクセス許可を設定する](guardrails-permissions.md)については、「」を参照してください。
**検証**
メンバーアカウントでスコープダウンされたアクセス許可を持つロールが、ガードレールを使用して `ApplyGuardrail` API を正常に呼び出せることを確認します。
1.
**で Amazon Bedrock ポリシータイプを有効にする AWS Organizations**
+ の使用 AWS マネジメントコンソール – コンソールを使用して Amazon Bedrock ポリシータイプを有効にするには:
1. AWS Organizations コンソールに移動する
1. **ポリシー**の選択
1. **Amazon Bedrock ポリシー**を選択する
1. **Amazon Bedrock ポリシーを有効にする**を選択して、組織の Amazon Bedrock ポリシータイプを有効にします。
+ API の使用 – ポリシータイプで AWS Organizations [EnablePolicyType](https://docs.aws.amazon.com/organizations/latest/APIReference/API_EnablePolicyType.html) API を使用する `BEDROCK_POLICY`
**検証**
Amazon Bedrock ポリシータイプが AWS Organizations コンソールで有効になっていると表示されることを確認します。
1.
**AWS Organizations ポリシーを作成してアタッチする**
ガードレールを指定する管理ポリシーを作成し、ターゲットアカウントまたは OUs。
+ の使用 AWS マネジメントコンソール – コンソールを使用して AWS Organizations ポリシーを作成してアタッチするには:
1. AWS Organizations コンソールで、**ポリシー** > **Amazon Bedrock ポリシー**に移動します。
1. [** ポリシーの作成 **] を選択します。
1. ガードレールの ARN とバージョンを指定する
**重要**
ポリシーで正確なガードレール ARN を指定していることを確認します。正しくない、または無効な ARN を指定すると、ポリシー違反、保護の非実施、Amazon Bedrock でモデルを推論に使用できなくなります。
1. 選択的なコンテンツガードコントロールを設定します (オプション）。
+ Amazon Bedrock APIsを使用すると、発信者は[入力プロンプト内の特定のコンテンツをタグ付け](guardrails-tagging.md)してガードレール評価を行うことができます。
+ 選択的コンテンツガードコントロールを使用すると、管理者は API 発信者によるタグ付けの決定に従うかどうかを判断できます。
+ `system` および `messages`コントロールは、システムプロンプトとメッセージコンテンツがガードレールによってどのように処理されるかを決定します。各 は、次のいずれかの値を受け入れます。
+ **選択:** ガードコンテンツタグ内のコンテンツのみを評価します。タグが指定されていない場合、動作はコントロールによって異なります。ではコンテンツは評価`system`されず、 では`messages`すべてのコンテンツが評価されます。
+ **包括的**: ガードコンテンツタグに関係なく、すべてのコンテンツを評価します。
+ 設定されていない場合、両方のコントロールはデフォルトで **Comprehensive** になります。
```
{
"bedrock": {
"guardrail_inference": {
"us-east-1": {
"config_1": {
"identifier": {
"@@assign": "arn:aws:bedrock:us-east-1:123456789012:guardrail/guardrail-id:1"
},
"selective_content_guarding": {
"system": {
"@@assign": "selective"
},
"messages": {
"@@assign": "comprehensive"
}
},
"model_enforcement": {
"included_models": {
"@@assign": ["ALL"]
},
"excluded_models": {
"@@assign": ["amazon.titan-embed-text-v2:0", "cohere.embed-english-v3"]
}
}
}
}
}
}
}
```
1. ポリシーを保存する
1. Targets タブに移動し、Attach を選択して、目的のターゲット (組織ルート、OUs、または個々のアカウント) にポリシーを**アタッチ****します**。
+ API の使用 – ポリシータイプ で AWS Organizations [CreatePolicy](https://docs.aws.amazon.com/organizations/latest/APIReference/API_CreatePolicy.html) API を使用します`BEDROCK_POLICY`。[AttachPolicy](https://docs.aws.amazon.com/organizations/latest/APIReference/API_AttachPolicy.html) を使用してターゲットにアタッチする
詳細: [の Amazon Bedrock ポリシー AWS Organizations](https://docs.aws.amazon.com/organizations/latest/userguide/orgs_manage_policies_bedrock.html)
**検証**
ポリシーが AWS Organizations コンソールの正しいターゲットにアタッチされていることを確認します。
1.
**適用のテストと検証**
ガードレールがメンバーアカウントに適用されていることを確認します。
**どのガードレールが適用されているかを検証する**
+ の使用 AWS マネジメントコンソール – メンバーアカウントから Amazon Bedrock コンソールに移動し、左側のナビゲーションパネルで**ガードレール**を選択します。ガードレールのホームページで、管理アカウントの組織**レベルの強制設定**セクションとメンバーアカウントの**組織レベルの強制ガードレールの下に組織の強制ガードレール**が表示されます。
+ API の使用 – メンバーアカウントから、メンバーアカウント ID をターゲット ID として [DescribeEffectivePolicy](https://docs.aws.amazon.com/organizations/latest/APIReference/API_DescribeEffectivePolicy.html) を呼び出します。
**メンバーアカウントからテストする**
1. [InvokeModel](https://docs.aws.amazon.com/bedrock/latest/APIReference/API_runtime_InvokeModel.html)、[InvokeModelWithResponseStream](https://docs.aws.amazon.com/bedrock/latest/APIReference/API_runtime_InvokeModelWithResponseStream.html)[https://docs.aws.amazon.com/bedrock/latest/APIReference/API_runtime_Converse.html](https://docs.aws.amazon.com/bedrock/latest/APIReference/API_runtime_Converse.html)、または [ConverseStream](https://docs.aws.amazon.com/bedrock/latest/APIReference/API_runtime_ConverseStream.html) を使用して Amazon Bedrock 推論呼び出しを行います。
1. 強制ガードレールは、入力と出力の両方に自動的に適用される必要があります
1. ガードレール評価情報のレスポンスを確認します。ガードレールレスポンスには、強制されたガードレール情報が含まれます。
### アカウントレベルの適用
このセクションでは、1 つの AWS アカウント内でのガードレールの適用の設定について詳しく説明します。設定すると、アカウントのすべての Amazon Bedrock モデル呼び出しに自動的に適用されるガードレールが作成されます。
**前提条件**
AWS ガードレールを作成し、アカウントレベルの設定を構成するアクセス許可を持つアカウント管理者。
**必要なもの**
以下が必要です。
+ 適切な IAM アクセス許可を持つ AWS アカウント
+ アカウントの安全性要件の理解
**アカウントレベルのガードレールの適用を設定するには**
1.
**ガードレール設定の計画**
**安全策を定義する**
セーフガードを定義するには:
+ [Amazon Bedrock ガードレールドキュメントで利用可能なガードレール](guardrails.md)フィルターを確認する
+ 必要なフィルターを特定します。現在、コンテンツフィルター、拒否されたトピック、単語フィルター、機密情報フィルター、コンテキストグラウンディングチェックがサポートされています。
+
**重要**
自動推論ポリシーはガードレールの適用ではサポートされておらず、ランタイム障害を引き起こすため、含めないでください。
1.
**ガードレールを作成する**
適用するすべてのリージョンにガードレールを作成します。
**経由 AWS マネジメントコンソール**
コンソールを使用してガードレールを作成するには:
1. Amazon Bedrock コンソールを使用するアクセス許可を持つ IAM ID AWS マネジメントコンソール を使用して にサインインします。Amazon Bedrock コンソール ([https://console.aws.amazon.com/bedrock](https://console.aws.amazon.com/bedrock)) を開きます。
1. 左側のナビゲーションパネルで、**ガードレールを選択します。**
1. **ガードレールの作成**を選択する
1. ウィザードに従って、目的のポリシー (コンテンツフィルター、拒否されたトピック、単語フィルター、機密情報フィルター) を設定します。
1. 自動推論ポリシーを有効にしない
1. ウィザードを完了してガードレールを作成する
**API 経由**
`CreateGuardrail` API を使用する
**検証**
作成されると、ガードレールランディングページのガードレールのリストに表示されるか、ガードレール名を使用してガードレールのリストで検索されます。
1.
**ガードレールバージョンを作成する**
数値バージョンを作成して、ガードレール設定が不変のままであり、メンバーアカウントで変更できないようにします。
**経由 AWS マネジメントコンソール**
コンソールを使用してガードレールバージョンを作成するには:
1. Amazon Bedrock コンソールのガードレールページの前のステップで作成したガードレールを選択します。
1. **バージョンの作成**を選択する
1. ガードレール ARN とバージョン番号 (例：「1」、「2」) を書き留めます。
**API 経由**
`CreateGuardrailVersion` API を使用する
**検証**
Guardrail の詳細ページでバージョンのリストを確認して、バージョンが正常に作成されたことを確認します。
1.
**リソースベースのポリシーをアタッチする (オプション)**
アカウントの特定のロールとガードレールを共有する場合は、リソースベースのポリシーをアタッチします。
**経由 AWS マネジメントコンソール**
コンソールを使用してリソースベースのポリシーをアタッチするには:
1. Amazon Bedrock ガードレールコンソールで、ガードレールを選択します。
1. **追加**を選択してリソースベースのポリシーを追加する
1. 目的のロールにアクセス`bedrock:ApplyGuardrail`許可を付与するポリシーを追加する
1. ポリシーを保存する
1.
**アカウントレベルの強制を有効にする**
すべての Amazon Bedrock 呼び出しにガードレールを使用するようにアカウントを設定します。これは、強制するすべてのリージョンで実行する必要があります。
**経由 AWS マネジメントコンソール**
コンソールを使用してアカウントレベルの強制を有効にするには:
1. Amazon Bedrock コンソールに移動します。
1. 左側のナビゲーションパネルで**ガードレール**を選択する
1. **アカウントレベルの強制設定**セクションで、**追加** を選択します。
1. ガードレールとバージョンを選択する
1. 選択的なコンテンツガードコントロールを設定します (オプション）。
+ Amazon Bedrock APIsを使用すると、発信者は[入力プロンプト内の特定のコンテンツをタグ付け](guardrails-tagging.md)してガードレール評価を行うことができます。
+ 選択的コンテンツガードコントロールを使用すると、管理者は API 発信者によるタグ付けの決定に従うかどうかを判断できます。
+ `system` および `messages`コントロールは、システムプロンプトとメッセージコンテンツがガードレールによってどのように処理されるかを決定します。各 は、次のいずれかの値を受け入れます。
+ **選択:** ガードコンテンツタグ内のコンテンツのみを評価します。
+ **包括的**: ガードコンテンツタグに関係なく、すべてのコンテンツを評価します。
+ 設定されていない場合、両方のコントロールはデフォルトで **Comprehensive** になります。
1. 設定を送信する
1. 適用するリージョンごとに繰り返します。
**API 経由**
ガードレールを適用するすべてのリージョンで `PutEnforcedGuardrailConfiguration` API を使用する
**検証**
アカウント強制ガードレールは、ガードレールページの**「アカウント強制ガードレール設定**」セクションに表示されます。[ListEnforcedGuardrailsConfiguration](https://docs.aws.amazon.com/bedrock/latest/APIReference/API_agent_ListEnforcedGuardrailsConfiguration.html) API を呼び出して、強制ガードレールがリストされていることを確認することができます。
1.
**適用のテストと検証**
**アカウントのロールを使用してテストする**
アカウントから適用をテストするには:
1. `InvokeModel`、、`Converse`、`InvokeModelWithResponseStream`または を使用して Amazon Bedrock 推論呼び出しを行う `ConverseStream`
1. アカウント強制ガードレールは、入力と出力の両方に自動的に適用される必要があります
1. ガードレール評価情報のレスポンスを確認します。ガードレールレスポンスには、強制されたガードレール情報が含まれます。
## モニタリング
+ [Amazon Bedrock ガードレールの CloudWatch メトリクスを使用してガードレールの介入とメトリクスを追跡する](monitoring-guardrails-cw-metrics.md)
+ `ApplyGuardrail` API コールの CloudTrail ログを確認して、IAM アクセス許可設定の問題を示す AccessDenied 例外などの使用パターンをモニタリングします。[CloudTrail で Amazon Bedrock データイベント](logging-using-cloudtrail.md#service-name-data-events-cloudtrail)を参照する
## 料金
Amazon Bedrock ガードレールの適用は、設定された保護ごとに消費されるテキストユニットの数に基づいて、Amazon Bedrock ガードレールの現在の料金モデルに従います。料金は、設定された保護に従って、強制された各ガードレールに適用されます。個々の安全策の料金の詳細については、[「Amazon Bedrock の料金](https://aws.amazon.com/bedrock/pricing/)」を参照してください。
## よくある質問
**強制ガードレールが適用される場合、クォータへの消費はどのように計算されますか?**
消費は、各リクエストに関連付けられたガードレール ARN ごとに計算され、API コールを行う AWS アカウントにカウントされます。例えば、1,000 文字のテキストと 3 つのガードレールを持つ`ApplyGuardrail`呼び出しでは、ガードレール内の保護ごとにガードレールごとに 3 つのテキスト単位の消費が生成されます。
Amazon Bedrock ポリシーを使用したメンバーアカウントの呼び出しは、メンバーアカウントの Service Quotas にカウントされます。Service Quotas コンソールまたは [Service Quotas ドキュメント](https://docs.aws.amazon.com/general/latest/gr/bedrock.html)を確認し、Guardrails ランタイム制限が通話量に十分であることを確認します。
**リクエストに組織レベルとアカウントレベルの両方の強制ガードレールとガードレールがある場合はどうなりますか?**
3 つのガードレールはすべて実行時に適用されます。ネット効果はすべてのガードレールを結合したもので、最も制限の厳しいコントロールが優先されます。
**選択的または包括的なガードコントロールはいつ使用すべきですか?**
発信者を信頼して適切なコンテンツをタグ付けし、不要なガードレール処理を減らす場合は、 **Selective** を使用します。これは、発信者が事前に検証されたコンテンツとユーザー生成コンテンツを組み合わせて処理し、特定の部分に適用されるガードレールのみが必要な場合に便利です。発信者のタグに関係なく、すべてにガードレールを適用する場合は、**Comprehensive** を使用します。これは、機密性の高いコンテンツを正しく識別するために発信者に依存したくない場合の、より安全なデフォルトです。
**特定のモデルを強制に含めたり、強制から除外したりするにはどうすればよいですか?**
モデル強制コントロールを使用して、ガードレールが推論に適用する Amazon Bedrock 上のモデルの範囲を指定します。設定されていない場合、適用はデフォルトで Amazon Bedrock のすべてのモデルに適用されます。このコントロールは、次のリストを受け入れます。
+ **含まれるモデル:** ガードレールを適用するモデル。特定のモデル識別子またはキーワードを受け入れ`ALL`て、すべてのモデルを明示的に含めます。空の場合、適用はすべてのモデルに適用されます。
+ **除外されたモデル:** ガードレールの適用から除外するモデル。空の場合、モデルは除外されません。
モデルが両方のリストに表示される場合、そのモデルは除外されます。
**include モデルと exclude モデルをいつ使用すべきですか?**
+ 特定の**モデルにのみガードレールを適用する場合は、含まれ**ているモデルを使用します。
+ 広範な適用が必要なが、特定の**モデルの例外を除外する必要がある場合は、除外**されたモデルを使用します。
**強制設定で使用されているガードレールを削除できますか?**
いいえ。デフォルトでは、[DeleteGuardrail](https://docs.aws.amazon.com/bedrock/latest/APIReference/API_agent_DeleteGuardrail.html) API はアカウントレベルまたは組織レベルの強制設定に関連付けられたガードレールの削除を防止します。