プロンプト管理の前提条件

ロールに AmazonBedrockFullAccessAWS 管理ポリシーがアタッチされている場合は、このセクションをスキップできます。それ以外の場合は、「「ロールのアクセス許可ポリシーを更新」のステップに従って、以下のポリシーをロールにアタッチし、プロンプト管理に関連するアクションを実行するアクセス許可を付与します。

アクセス許可をさらに制限するには、アクションを省略するか、アクセス許可をフィルタリングするためのリソースや条件キーを指定できます。アクション、リソース、条件キーの詳細については、「サービス認可リファレンス」の以下のトピックを参照してください。

(AWS マネージドキー詳細については、「 キー」を参照) を使用するのではなく、カスタマーマネージドAWS KMSキーを使用してプロンプトを暗号化する場合は、次のポリシーを作成します。

1. 「キーポリシーの作成」の手順に従い、Amazon Bedrock がプロンプトをキーで暗号化および復号できるように、以下のキーポリシーを KMS キーにアタッチします。values は、必要に応じて置き換えます。このポリシーには、セキュリティのベストプラクティスとして使用することを推奨する Condition フィールドに、オプションの条件キー (「Amazon Bedrock の条件キー」および「AWS のグローバル条件コンテキストキー」を参照) が含まれています。

   {
       "Sid": "EncryptFlowKMS",
       "Effect": "Allow",
       "Principal": {
           "Service": "bedrock.amazonaws.com"
       },
       "Action": [
           "kms:GenerateDataKey",
           "kms:Decrypt"
       ],
       "Resource": "*",
       "Condition": {
           "StringEquals": {
               "kms:EncryptionContext:aws:bedrock-prompts:arn": "arn:${partition}:bedrock:${region}:${account-id}:prompt/${prompt-id}"
           }
       }
   }

2. 「ロールに対するアクセス許可を更新する」の手順に従い、プロンプトのカスタマーマネージドキーを生成および復号できるように、以下のポリシーをプロンプト管理ロールにアタッチします。values は、必要に応じて置き換えます。このポリシーには、セキュリティのベストプラクティスとして使用することを推奨する Condition フィールドに、オプションの条件キー (「Amazon Bedrock の条件キー」および「AWS のグローバル条件コンテキストキー」を参照) が含まれています。

   {
       "Sid": "KMSPermissions",
       "Effect": "Allow",
       "Action": [
           "kms:GenerateDataKey",
           "kms:Decrypt"
       ],
       "Resource": [
           "arn:aws:kms:${region}:${account-id}:key/${key-id}"
       ],
        "Condition": {
           "StringEquals": {
               "aws:ResourceAccount": "${account-id}"
           }
       }
   }