判定モデルを使ったモデル評価ジョブを作成するために必要なサービスロールのアクセス許可 - Amazon Bedrock
必要な Amazon Bedrock の IAM アクション必要な Amazon S3 の IAM アクションとリソース

判定モデルを使ったモデル評価ジョブを作成するために必要なサービスロールのアクセス許可

LLM を判定基準として使用するモデル評価ジョブを作成するには、サービスロールを指定する必要があります。アタッチするポリシーで、Amazon Bedrock にアカウント内のリソースへのアクセスを許可し、Amazon Bedrock がユーザーに代わって選択したモデルを呼び出すことを許可します。

信頼ポリシーは、bedrock.amazonaws.com を使用して、Amazon Bedrock をサービスプリンシパルとして定義します。以下の各ポリシーの例では、モデル評価ジョブで呼び出される各サービスで必要な IAM アクションを説明しています。

下記のとおりカスタムサービスロールを作成するには、「IAM ユーザーガイド」の「カスタム信頼ポリシーを使用してロールを作成する」を参照してください。

必要な Amazon Bedrock の IAM アクション

モデル評価ジョブで指定する予定のモデルを Amazon Bedrock が呼び出すことを許可するポリシーを作成する必要があります。Amazon Bedrock モデルへのアクセスの管理については、「Access Amazon Bedrock foundation models」を参照してください。ポリシーの "Resource" セクションでは、アクセス可能なモデルの ARN を少なくとも 1 つ指定する必要があります。カスタマーマネージド KMS キーで暗号化されたモデルを使用するには、必要な IAM アクションとリソースを IAM サービスロールポリシーに追加する必要があります。また、サービスロールに AWS KMS キーポリシーを追加する必要があります。

サービスロールには、少なくとも 1 つのサポートされている評価者モデルへのアクセス権限が含まれている必要があります。現時点でのサポート対象の評価者モデルのリストについては、「サポートされているモデル」を参照してください。

JSON
{
	"Version":"2012-10-17",		 	 	 
	"Statement": [
		{
			"Sid": "BedrockModelInvoke",
			"Effect": "Allow",
			"Action": [
				"bedrock:InvokeModel",
				"bedrock:CreateModelInvocationJob",
				"bedrock:StopModelInvocationJob"
			],
			"Resource": [
				"arn:aws:bedrock:us-east-1::foundation-model/*",
				"arn:aws:bedrock:us-east-1:111122223333:inference-profile/*",
				"arn:aws:bedrock:us-east-1:111122223333:provisioned-model/*",
				"arn:aws:bedrock:us-east-1:111122223333:imported-model/*"
			]
		}
	]
}

必要な Amazon S3 の IAM アクションとリソース

サービスロールポリシーには、モデル評価ジョブの出力を保存する Amazon S3 バケットへのアクセス権限と、CreateEvaluationJob リクエストまたは Amazon Bedrock コンソールで指定したプロンプトデータセットへのアクセス権限を含める必要があります。

JSON
{
	"Version":"2012-10-17",		 	 	 
	"Statement": [
		{
			"Sid": "FetchAndUpdateOutputBucket",
			"Effect": "Allow",
			"Action": [
				"s3:GetObject",
				"s3:ListBucket",
				"s3:PutObject",
				"s3:GetBucketLocation",
				"s3:AbortMultipartUpload",
				"s3:ListBucketMultipartUploads"
			],
			"Resource": [
				"arn:aws:s3:::my_customdataset1_bucket",
	            "arn:aws:s3:::my_customdataset1_bucket/myfolder",
	            "arn:aws:s3:::my_customdataset2_bucket",
				"arn:aws:s3:::my_customdataset2_bucket/myfolder"
			]
		}
	]
}