기계 번역으로 제공되는 번역입니다. 제공된 번역과 원본 영어의 내용이 상충하는 경우에는 영어 버전이 우선합니다.

Amazon Bedrock API 키 생성 및 사용에 대한 권한 제어

Amazon Bedrock API 키의 생성 및 사용은 Amazon Bedrock 및 IAM 서비스 모두에서 작업 및 조건 키로 제어됩니다.

Amazon Bedrock API 키 생성 제어

iam:CreateServiceSpecificCredential 작업은 서비스별 키(예: 장기 Amazon Bedrock API 키)의 생성을 제어합니다. 이 작업의 범위를 리소스인 IAM 사용자로 지정하여 키를 생성할 수 있는 사용자를 제한할 수 있습니다.

다음 조건 키를 사용하여 iam:CreateServiceSpecificCredential 작업에 대한 권한에 조건을 적용할 수 있습니다.

Amazon Bedrock API 키 사용 제어

bedrock:CallWithBearerToken 작업은 단기 또는 장기 Amazon Bedrock API 키의 사용을 제어합니다.

bedrock:bearerTokenType 조건 키를 문자열 조건 연산자와 함께 사용하여에 대한 권한을 적용할 보유자 토큰 유형을 지정할 수 있습니다bedrock:CallWithBearerToken. 다음 값 중 하나를 지정할 수 있습니다.

다음 표에는 자격 증명이 Amazon Bedrock API 키를 생성하거나 사용하지 못하도록 하는 방법이 요약되어 있습니다.

API 키의 생성 및 사용을 제어하는 정책 예제

예를 들어 API 키의 생성 및 사용을 제어하는 IAM 정책을 보려면 다음 주제 중에서 선택합니다.

자격 증명이 장기 키를 생성하고 Amazon Bedrock API 키를 사용하지 못하도록 방지

IAM 자격 증명이 장기 Amazon Bedrock API 키를 생성하고 Amazon Bedrock API 키를 사용하지 못하도록 하려면 자격 증명에 다음 정책을 연결합니다.

JSON

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid":"DenyBedrockShortAndLongTermAPIKeys",
      "Effect": "Deny",
      "Action": [
        "iam:CreateServiceSpecificCredential",
        "bedrock:CallWithBearerToken"
      ],
      "Resource": [
        "*"
      ]
    }
  ]
}

자격 증명이 단기 API 키를 사용하지 못하도록 방지

IAM 자격 증명이 단기 Amazon Bedrock API 키를 사용하지 못하도록 하려면 다음 정책을 자격 증명에 연결합니다.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Deny",
            "Action": "bedrock:CallWithBearerToken",
            "Resource": "*",
            "Condition": {
                "StringEquals": {
                    "bedrock:bearerTokenType": "SHORT_TERM"
                }
            }
        }
}

자격 증명이 장기 API 키를 사용하지 못하도록 방지

IAM 자격 증명이 장기 Amazon Bedrock API 키를 사용하지 못하도록 하려면 자격 증명에 다음 정책을 연결합니다.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Deny",
            "Action": "bedrock:CallWithBearerToken",
            "Resource": "*",
            "Condition": {
                "StringEquals": {
                    "bedrock:bearerTokenType": "LONG_TERM"
                }
            }
        }
    ]
}

자격 증명이 단기 API 키를 사용하지 않도록 명시적으로 방지

IAM 자격 증명이 단기 Amazon Bedrock API 키를 사용하는 것을 명시적으로 방지하지만 다른 API 키 사용을 허용하려면 다음 정책을 자격 증명에 연결합니다.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Deny",
            "Action": "bedrock:CallWithBearerToken",
            "Resource": "*",
            "Condition": {
                "StringEquals": {
                    "bedrock:bearerTokenType": "SHORT_TERM"
                }
            }
        },
        {
            "Effect": "Allow",
            "Action": "bedrock:CallWithBearerToken",
            "Resource": "*"
        }
    ]
}

자격 증명이 장기 API 키를 사용하지 않도록 명시적으로 방지

IAM 자격 증명이 장기 Amazon Bedrock API 키를 사용하는 것을 명시적으로 방지하지만 다른 API 키 사용을 허용하려면 자격 증명에 다음 정책을 연결합니다.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Deny",
            "Action": "bedrock:CallWithBearerToken",
            "Resource": "*",
            "Condition": {
                "StringEquals": {
                    "bedrock:bearerTokenType": "LONG_TERM"
                }
            }
        },
        {
            "Effect": "Allow",
            "Action": "bedrock:CallWithBearerToken",
            "Resource": "*"
        }
    ]
}

90일 이내에 만료되는 경우에만 Amazon Bedrock 키 생성 허용

Amazon Bedrock용이고 만료 시간이 90일 이하인 경우에만 IAM 자격 증명이 장기 API 키를 생성하도록 허용하려면 자격 증명에 다음 정책을 연결합니다.

{
   "Version": "2012-10-17",
   "Statement": [
       {
           "Effect": "Allow",
           "Action": "iam:CreateServiceSpecificCredential",
           "Resource": "arn:aws:iam::123456789012:user/username",
           "Condition": {
               "StringEquals": {
                   "iam:ServiceSpecificCredentialServiceName": "bedrock.amazonaws.com"
               },
               "NumericLessThanEquals": {
                   "iam:ServiceSpecificCredentialAgeDays": "90"
               }
           }
       }
   ]
}