Amazon Nova モデルのカスタマイズジョブとアーティファクトの暗号化
Amazon Bedrock でのモデルのカスタマイズジョブおよびアーティファクトの暗号化の詳細については、「モデルのカスタマイズジョブとアーティファクトの暗号化」を参照してください。
カスタムのAmazon Nova モデルのアクセス権とキーポリシー
KMS キーのアクセス許可を確立するには、次のステートメントが必要です。
PermissionsModelCustomization ステートメント
Principal フィールドで、AWS サブフィールドがマッピングするリストに対して Decrypt、GenerateDataKey、DescribeKey、CreateGrant 操作を許可するアカウントを追加します。kms:ViaService 条件キーを使用する場合、領域ごとに行を追加するか、${region} の代わりに * を使用して Amazon Bedrock をサポートするすべての領域を許可できます。
{ "Sid": "PermissionsModelCustomization", "Effect": "Allow", "Principal": { "AWS": [ "arn:aws:iam::${account-id}:role/${customization-role}" ] }, "Action": [ "kms:Decrypt", "kms:GenerateDataKey", "kms:DescribeKey", "kms:CreateGrant" ], "Resource": "*", "Condition": { "StringLike": { "kms:ViaService": [ "bedrock.${region}.amazonaws.com" ] } } }
PermissionsModelInvocation ステートメント
Principal フィールドで、AWS サブフィールドがマッピングするリストに対して Decrypt および GenerateDataKey の操作を許可するアカウントを追加します。kms:ViaService 条件キーを使用する場合、領域ごとに行を追加するか、${region} の代わりに * を使用して Amazon Bedrock をサポートするすべての領域を許可できます。
{ "Sid": "PermissionsModelInvocation", "Effect": "Allow", "Principal": { "AWS": [ "arn:aws:iam::${account-id}:user/${invocation-role}" ] }, "Action": [ "kms:Decrypt", "kms:GenerateDataKey" ], "Resource": "*", "Condition": { "StringLike": { "kms:ViaService": [ "bedrock.${region}.amazonaws.com" ] } } }
PermissionsNovaProvisionedThroughput ステートメント
カスタム Amazon Nova モデルのプロビジョニングされたスループットを作成すると、Amazon Bedrock はモデルに対して推論およびデプロイの最適化を実行します。このプロセスでは、Amazon Bedrock はカスタムモデルの作成に使用した KMS キーと同じものを使用し、カスタムモデル自体と同じ最高レベルのセキュリティを維持します。
{ "Sid": "PermissionsNovaProvisionedThroughput", "Effect": "Allow", "Principal": { "Service": [ "bedrock.amazonaws.com", ] }, "Action": [ "kms:Decrypt", "kms:GenerateDataKey" ], "Resource": "*", "Condition": { "ForAnyValue:StringEquals": { "kms:EncryptionContextKeys": "aws:bedrock:custom-model" } } }
カスタムモデルの暗号化および呼び出しのキーアクセス権を設定する
カスタマイズしたモデルを KMS キーで暗号化する場合、そのキーのキーポリシーはユースケースに依存します。自分のユースケースに対応するセクションを展開してください。
カスタムモデルを呼び出すロールが、モデルをカスタマイズするロールと同じである場合、アクセス権ステートメントで PermissionsModelCustomization および PermissionsNovaProvisionedThroughput のステートメントのみが必要です。
-
Principalフィールドで、カスタムモデルをカスタマイズして呼び出すことを許可するアカウントを、AWSサブフィールドがPermissionsModelCustomizationステートメントにマッピングされるリストに追加します。 -
PermissionsNovaProvisionedThroughputステートメントは、デフォルトでキーポリシーに追加し、kms:EncryptionContextKeysが使用される条件を持つ許可されたサービスプリンシパルとしてbedrock.amazonaws.comを指定する必要があります。
カスタムモデルを呼び出すロールが、モデルをカスタマイズするロールと異なる場合、3 つのアクセス権ステートメントがすべて必要です。次のポリシーテンプレートのステートメントを次のように変更します。
-
Principalフィールドで、カスタムモデルをカスタマイズのみすることを許可するアカウントを、AWSサブフィールドがPermissionsModelCustomizationステートメントにマッピングされるリストに追加します。 -
Principalフィールドで、カスタムモデルを呼び出しのみすることを許可するアカウントを、AWSサブフィールドがPermissionsModelInvocationステートメントにマッピングされるリストに追加します。 -
PermissionsNovaProvisionedThroughputステートメントは、デフォルトでキーポリシーに追加し、kms:EncryptionContextKeysが使用される条件を持つ許可されたサービスプリンシパルとしてbedrock.amazonaws.comを指定する必要があります。
