翻訳は機械翻訳により提供されています。提供された翻訳内容と英語版の間で齟齬、不一致または矛盾がある場合、英語版が優先します。 # Amazon Bedrock Marketplace を設定する [Amazon Bedrock フルアクセスポリシー](https://docs.aws.amazon.com/aws-managed-policy/latest/reference/AmazonBedrockFullAccess.html)を使用して、SageMaker AI にアクセス許可を付与できます。マネージドポリシーの使用をお勧めしますが、マネージドポリシーを使用できない場合は、IAM ロールに以下のアクセス許可があることを確認してください。 以下は、Amazon Bedrock Marketplace に推奨されるカスタムポリシーです。Amazon Bedrock フルアクセス管理ポリシーの最新バージョンについては、[AmazonBedrockFullAccess](https://docs.aws.amazon.com/aws-managed-policy/latest/reference/AmazonBedrockFullAccess.html)」を参照してください。 ``` { "Version":"2012-10-17", "Statement": [ { "Sid": "BedrockAll", "Effect": "Allow", "Action": [ "bedrock:*" ], "Resource": "*" }, { "Sid": "DescribeKey", "Effect": "Allow", "Action": [ "kms:DescribeKey" ], "Resource": "arn:*:kms:*:::*" }, { "Sid": "APIsWithAllResourceAccess", "Effect": "Allow", "Action": [ "iam:ListRoles", "ec2:DescribeVpcs", "ec2:DescribeSubnets", "ec2:DescribeSecurityGroups" ], "Resource": "*" }, { "Sid": "MarketplaceModelEndpointMutatingAPIs", "Effect": "Allow", "Action": [ "sagemaker:CreateEndpoint", "sagemaker:CreateEndpointConfig", "sagemaker:CreateModel", "sagemaker:DeleteEndpoint", "sagemaker:UpdateEndpoint" ], "Resource": [ "arn:*:sagemaker:*:*:endpoint/*", "arn:*:sagemaker:*:*:endpoint-config/*", "arn:*:sagemaker:*:*:model/*" ], "Condition": { "StringEquals": { "aws:CalledViaLast": "bedrock.amazonaws.com" } } }, { "Sid": "BedrockEndpointTaggingOperations", "Effect": "Allow", "Action": [ "sagemaker:AddTags", "sagemaker:DeleteTags" ], "Resource": [ "arn:*:sagemaker:*:*:endpoint/*", "arn:*:sagemaker:*:*:endpoint-config/*", "arn:*:sagemaker:*:*:model/*" ] }, { "Sid": "MarketplaceModelEndpointNonMutatingAPIs", "Effect": "Allow", "Action": [ "sagemaker:DescribeEndpoint", "sagemaker:DescribeEndpointConfig", "sagemaker:DescribeModel", "sagemaker:DescribeInferenceComponent", "sagemaker:ListEndpoints", "sagemaker:ListTags" ], "Resource": [ "arn:*:sagemaker:*:*:endpoint/*", "arn:*:sagemaker:*:*:endpoint-config/*", "arn:*:sagemaker:*:*:model/*" ], "Condition": { "StringEquals": { "aws:CalledViaLast": "bedrock.amazonaws.com" } } }, { "Sid": "BedrockEndpointInvokingOperations", "Effect": "Allow", "Action": [ "sagemaker:InvokeEndpoint", "sagemaker:InvokeEndpointWithResponseStream" ], "Resource": [ "arn:*:sagemaker:*:*:endpoint/*" ], "Condition": { "StringEquals": { "aws:CalledViaLast": "bedrock.amazonaws.com" } } }, { "Sid": "DiscoveringMarketplaceModel", "Effect": "Allow", "Action": [ "sagemaker:DescribeHubContent" ], "Resource": [ "arn:*:sagemaker:*:aws:hub-content/SageMakerPublicHub/Model/*", "arn:*:sagemaker:*:aws:hub/SageMakerPublicHub" ] }, { "Sid": "AllowMarketplaceModelsListing", "Effect": "Allow", "Action": [ "sagemaker:ListHubContents" ], "Resource": "arn:*:sagemaker:*:aws:hub/SageMakerPublicHub" }, { "Sid": "RetrieveSubscribedMarketplaceLicenses", "Effect": "Allow", "Action": [ "license-manager:ListReceivedLicenses" ], "Resource": [ "*" ] }, { "Sid": "PassRoleToSageMaker", "Effect": "Allow", "Action": [ "iam:PassRole" ], "Resource": [ "arn:*:iam::*:role/*Sagemaker*ForBedrock*" ], "Condition": { "StringEquals": { "iam:PassedToService": [ "sagemaker.amazonaws.com", "bedrock.amazonaws.com" ] } } }, { "Sid": "PassRoleToBedrock", "Effect": "Allow", "Action": [ "iam:PassRole" ], "Resource": "arn:*:iam::*:role/*AmazonBedrock*", "Condition": { "StringEquals": { "iam:PassedToService": [ "bedrock.amazonaws.com" ] } } } ] } ``` **重要** Amazon Bedrock フルアクセスポリシーは、Amazon Bedrock API へのアクセス許可のみを提供します。で Amazon Bedrock を使用するには AWS マネジメントコンソール、IAM ロールに次のアクセス許可も必要です。 ``` { "Sid": "AllowConsoleS3AccessForBedrockMarketplace", "Effect": "Allow", "Action": [ "s3:GetObject", "s3:GetBucketCORS", "s3:ListBucket", "s3:ListBucketVersions", "s3:GetBucketLocation" ], "Resource": "*" } ``` 独自のポリシーを作成する場合は、リソースに対して Amazon Bedrock Marketplace アクションを許可するポリシーステートメントを含める必要があります。例えば、次のポリシーでは、Amazon Bedrock がエンドポイントにデプロイしたモデルへの `InvokeModel` オペレーションを使用することを許可します。 ------ #### [ JSON ] **** ``` { "Version":"2012-10-17", "Statement": [ { "Sid": "BedrockAll", "Effect": "Allow", "Action": [ "bedrock:InvokeModel" ], "Resource": [ "arn:aws:bedrock:{{us-east-1}}:{{111122223333}}:marketplace/model-endpoint/all-access" ] }, { "Sid": "VisualEditor1", "Effect": "Allow", "Action": ["sagemaker:InvokeEndpoint"], "Resource": "arn:aws:sagemaker:{{us-east-1}}:{{111122223333}}:endpoint/*", "Condition": { "StringEquals": { "aws:ResourceTag/project": "{{example-project-id}}", "aws:CalledViaLast": "bedrock.amazonaws.com" } } } ] } ``` ------ Amazon Bedrock の設定の詳細については、「[クイックスタート](getting-started.md)」を参照してください。 AWS Key Management Service キーを使用して、モデルをデプロイしたエンドポイントを暗号化できます。この場合は、 AWS KMS キーを使用するためのアクセス許可を付与するように、上記のポリシーを変更する必要があります。 AWS KMS キーには、エンドポイントを暗号化するアクセス許可も必要です。エンドポイントを暗号化するには、 AWS KMS リソースポリシーを変更する必要があります。ポリシーの変更の詳細については、「 [での IAM ポリシーの使用 AWS Key Management Service](https://docs.aws.amazon.com/kms/latest/developerguide/iam-policies)」を参照してください。 AWS KMS キーには アクセス`CreateGrant`許可も必要です。キーポリシーに含める必要があるアクセス許可の例は以下のとおりです。 ``` { "Sid": "Allow access for AmazonSageMaker-ExecutionRole", "Effect": "Allow", "Principal": { "AWS": "arn:aws:iam::111122223333:role/{{SagemakerExecutionRole}}" }, "Action": "kms:CreateGrant", "Resource": "*" } ``` 作成許可を付与する方法の詳細については、「[CreateGrant アクセス許可の付与](https://docs.aws.amazon.com/kms/latest/developerguide/create-grant-overview.html#grant-creategrant)」を参照してください。