Amazon Bedrock Guardrails 적용으로 교차 계정 보호 적용

가드레일 구성 계획

1. 보호 조치를 정의합니다.

   • Amazon Bedrock Guardrails 설명서에서 사용 가능한 가드레일 필터 검토

   • 필요한 필터를 식별합니다. 현재 콘텐츠 필터, 거부된 주제, 단어 필터, 민감한 정보 필터, 컨텍스트 근거 검사가 지원됩니다.

   • 중요

     자동 추론 정책은 가드레일 적용에 지원되지 않으므로 포함하지 마십시오. 그러면 런타임 오류가 발생합니다.

2. 대상 계정 식별:

   • 이 가드레일을 적용할 OUs, 계정 또는 전체 조직 결정

관리 계정에서 가드레일 생성

다음 방법 중 하나를 사용하여 가드레일을 적용하려는 모든 리전에서 가드레일을 생성합니다.

• 사용 AWS Management Console:

  1. Amazon Bedrock 콘솔을 사용할 권한이 있는 IAM 자격 증명 AWS Management Console 으로에 로그인합니다. 그 다음 https://console.aws.amazon.com/bedrock에서 Amazon Bedrock 콘솔을 엽니다.

  2. 왼쪽 탐색 패널에서 가드레일을 선택합니다.

  3. 가드레일 생성을 선택합니다.

  4. 마법사에 따라 원하는 필터 또는 보호 장치(콘텐츠 필터, 거부된 주제, 단어 필터, 민감한 정보 필터, 컨텍스트 근거 검사)를 구성합니다.

  5. 자동 추론 정책을 활성화하지 마십시오.

  6. 마법사를 완료하여 가드레일을 생성합니다.

• API 사용: CreateGuardrail API 사용

확인

생성되면 가드레일 랜딩 페이지의 가드레일 목록에 표시되거나 가드레일 이름을 사용하여 가드레일 목록에서 검색해야 합니다.

가드레일 버전 생성

가드레일 구성을 변경할 수 없고 멤버 계정에서 수정할 수 없도록 숫자 버전을 생성합니다.

• 사용 AWS Management Console:

  1. Amazon Bedrock 콘솔의 가드레일 페이지에서 이전 단계에서 생성한 가드레일을 선택합니다.

  2. 버전 생성을 선택합니다.

  3. 가드레일 ARN과 버전 번호(예: "1", "2")를 기록해 둡니다.

• API 사용: CreateGuardrailVersion API 사용

확인

가드레일 세부 정보 페이지에서 버전 목록을 확인하여 버전이 성공적으로 생성되었는지 확인합니다.

리소스 기반 정책 연결

가드레일에 리소스 기반 정책을 연결하여 교차 계정 액세스를 활성화합니다.

• 사용 AWS Management Console - 콘솔을 사용하여 리소스 기반 정책을 연결하려면:

  1. Amazon Bedrock Guardrails 콘솔에서 가드레일을 선택합니다.

  2. 추가를 선택하여 리소스 기반 정책 추가

  3. 모든 멤버 계정 또는 조직에 bedrock:ApplyGuardrail 권한을 부여하는 정책을 추가합니다. (가드레일에 리소스 기반 정책 사용의 조직과 가드레일 공유 섹션 참조)

  4. 정책 저장

확인

ApplyGuardrail API를 사용하여 멤버 계정의 액세스를 테스트하여 권한이 올바르게 구성되었는지 확인합니다.

멤버 계정에서 IAM 권한 구성

멤버 계정의 모든 역할에 적용된 가드레일에 액세스할 수 있는 IAM 권한이 있는지 확인합니다.

필수 권한

멤버 계정 역할에는 관리 계정의 가드레일에 대한 bedrock:ApplyGuardrail 권한이 필요합니다. 자세한 IAM 정책 예제Amazon Bedrock Guardrails 사용 권한 설정는 섹션을 참조하세요.

확인

멤버 계정에서 범위가 축소된 권한이 있는 역할이 가드레일을 사용하여 ApplyGuardrail API를 성공적으로 호출할 수 있는지 확인합니다.

에서 Amazon Bedrock 정책 유형 활성화 AWS Organizations

• 사용 AWS Management Console - 콘솔을 사용하여 Amazon Bedrock 정책 유형을 활성화하려면:

  1. AWS Organizations 콘솔로 이동합니다.

  2. 정책 선택

  3. Amazon Bedrock 정책 선택

  4. Amazon Bedrock 정책 활성화를 선택하여 조직의 Amazon Bedrock 정책 유형을 활성화합니다.

• API 사용 - 정책 유형과 함께 AWS Organizations EnablePolicyType API 사용 BEDROCK_POLICY

확인

AWS Organizations 콘솔에서 Amazon Bedrock 정책 유형이 활성화된 것으로 표시되는지 확인합니다.

AWS Organizations 정책 생성 및 연결

가드레일을 지정하는 관리 정책을 생성하여 대상 계정 또는 OUs에 연결합니다.

• 사용 AWS Management Console - 콘솔을 사용하여 AWS Organizations 정책을 생성하고 연결하려면:

  1. AWS Organizations 콘솔에서 정책 > Amazon Bedrock 정책으로 이동합니다.

  2. 정책 생성(Create policy)을 선택합니다.

  3. 가드레일 ARN 및 버전 지정

     중요

     정책에서 정확한 가드레일 ARN을 지정하고 있는지 확인합니다. 올바르지 않거나 잘못된 ARN을 지정하면 정책 위반, 보호 조치 미적용, 추론을 위해 Amazon Bedrock에서 모델을 사용할 수 없게 됩니다.

  4. 선택적 콘텐츠 보호 제어를 구성합니다(선택 사항).

     • Amazon Bedrock APIs 사용하면 호출자가 가드레일 평가를 위한 입력 프롬프트 내에서 특정 콘텐츠에 태그를 지정할 수 있습니다.

     • 선택적 콘텐츠 보호 제어를 통해 관리자는 API 호출자의 태그 지정 결정을 적용할지 여부를 결정할 수 있습니다.

     • system 및 messages 제어는 가드레일에 의해 시스템 프롬프트 및 메시지 콘텐츠가 처리되는 방식을 결정합니다. 각는 다음 값 중 하나를 허용합니다.

       • 선택: 가드 콘텐츠 태그 내의 콘텐츠만 평가합니다. 태그가 지정되지 않은 경우 동작은 제어에 따라 달라집니다. system의 경우 콘텐츠가 평가되지 않고 messages의 경우 모든 콘텐츠가 평가됩니다.

       • 포괄적: 가드 콘텐츠 태그에 관계없이 모든 콘텐츠를 평가합니다.

     • 구성되지 않은 경우 두 제어 모두 기본적으로 포괄적으로 설정됩니다.

     {
         "bedrock": {
             "guardrail_inference": {
                 "us-east-1": {
                     "config_1": {
                         "identifier": {
                             "@@assign": "arn:aws:bedrock:us-east-1:123456789012:guardrail/guardrail-id:1"
                         },
                         "selective_content_guarding": {
                             "system": {
                                 "@@assign": "selective"
                             },
                             "messages": {
                                 "@@assign": "comprehensive"
                             }
                         },
                         "model_enforcement": {
                             "included_models": {
                                 "@@assign": ["ALL"]
                             },
                             "excluded_models": {
                                 "@@assign": ["amazon.titan-embed-text-v2:0", "cohere.embed-english-v3"]
                             }
                         }
                     }
                 }
             }
         }
     }

  5. 정책 저장

  6. 대상 탭으로 이동하여 연결을 선택하여 원하는 대상(조직 루트, OUs 또는 개별 계정)에 정책을 연결합니다.

• API 사용 - 정책 유형이 인 AWS Organizations CreatePolicy API를 사용합니다BEDROCK_POLICY. AttachPolicy를 사용하여 대상에 연결

자세히 알아보기: 의 Amazon Bedrock 정책 AWS Organizations

확인

정책이 AWS Organizations 콘솔의 올바른 대상에 연결되어 있는지 확인합니다.

적용 테스트 및 확인

가드레일이 멤버 계정에 적용되고 있는지 테스트합니다.

가드레일 구성 계획

안전 장치 정의

보호 장치를 정의하려면:

가드레일 생성

가드레일을 적용하려는 모든 리전에서 가드레일을 생성합니다.

경유 AWS Management Console

콘솔을 사용하여 가드레일을 생성하려면:

1. Amazon Bedrock 콘솔을 사용할 권한이 있는 IAM 자격 증명 AWS Management Console 으로에 로그인합니다. 그 다음 https://console.aws.amazon.com/bedrock에서 Amazon Bedrock 콘솔을 엽니다.

2. 왼쪽 탐색 패널에서 가드레일을 선택합니다.

3. 가드레일 생성을 선택합니다.

4. 마법사에 따라 원하는 정책(콘텐츠 필터, 거부된 주제, 단어 필터, 민감한 정보 필터)을 구성합니다.

5. 자동 추론 정책을 활성화하지 마십시오.

6. 마법사를 완료하여 가드레일을 생성합니다.

API를 통해

CreateGuardrail API를 사용합니다.

확인

생성되면 가드레일 랜딩 페이지의 가드레일 목록에 표시되거나 가드레일 이름을 사용하여 가드레일 목록에서 검색해야 합니다.

가드레일 버전 생성

가드레일 구성을 변경할 수 없고 멤버 계정에서 수정할 수 없도록 숫자 버전을 생성합니다.

경유 AWS Management Console

콘솔을 사용하여 가드레일 버전을 생성하려면:

1. Amazon Bedrock 콘솔의 가드레일 페이지에서 이전 단계에서 생성한 가드레일을 선택합니다.

2. 버전 생성을 선택합니다.

3. 가드레일 ARN과 버전 번호(예: "1", "2")를 기록해 둡니다.

API를 통해

CreateGuardrailVersion API를 사용합니다.

확인

가드레일 세부 정보 페이지에서 버전 목록을 확인하여 버전이 성공적으로 생성되었는지 확인합니다.

리소스 기반 정책 연결(선택 사항)

계정의 특정 역할과 가드레일을 공유하려면 리소스 기반 정책을 연결합니다.

경유 AWS Management Console

콘솔을 사용하여 리소스 기반 정책을 연결하려면:

1. Amazon Bedrock Guardrails 콘솔에서 가드레일을 선택합니다.

2. 추가를 선택하여 리소스 기반 정책 추가

3. 원하는 역할에 bedrock:ApplyGuardrail 권한을 부여하는 정책 추가

4. 정책 저장

계정 수준 적용 활성화

모든 Amazon Bedrock 호출에 가드레일을 사용하도록 계정을 구성합니다. 이 작업은 적용하려는 모든 리전에서 수행해야 합니다.

경유 AWS Management Console

콘솔을 사용하여 계정 수준 적용을 활성화하려면:

1. Amazon Bedrock 콘솔로 이동합니다.

2. 왼쪽 탐색 패널에서 가드레일을 선택합니다.

3. 계정 수준 적용 구성 섹션에서 추가를 선택합니다.

4. 가드레일 및 버전 선택

5. 선택적 콘텐츠 보호 제어를 구성합니다(선택 사항).

   • Amazon Bedrock APIs 사용하면 호출자가 가드레일 평가를 위한 입력 프롬프트 내에서 특정 콘텐츠에 태그를 지정할 수 있습니다.

   • 선택적 콘텐츠 보호 제어를 통해 관리자는 API 호출자의 태그 지정 결정을 적용할지 여부를 결정할 수 있습니다.

   • system 및 messages 제어는 가드레일에 의해 시스템 프롬프트 및 메시지 콘텐츠가 처리되는 방식을 결정합니다. 각는 다음 값 중 하나를 허용합니다.

     • 선택: 가드 콘텐츠 태그 내의 콘텐츠만 평가합니다.

     • 포괄적: 가드 콘텐츠 태그에 관계없이 모든 콘텐츠를 평가합니다.

   • 구성되지 않은 경우 두 제어 모두 기본적으로 포괄적으로 설정됩니다.

6. 구성 제출

7. 적용하려는 각 리전에 대해 반복합니다.

API를 통해

가드레일을 적용하려는 모든 리전에서 PutEnforcedGuardrailConfiguration API 사용

확인

가드레일 페이지의 계정 적용 가드레일 구성 섹션에 계정 적용 가드레일이 표시됩니다. ListEnforcedGuardrailsConfiguration API를 호출하여 적용 가드레일이 나열되도록 할 수 있습니다.

적용 테스트 및 확인

계정의 역할을 사용하여 테스트

계정에서 적용을 테스트하려면:

1. InvokeModel, ConverseInvokeModelWithResponseStream, 또는를 사용하여 Amazon Bedrock 추론 호출 수행 ConverseStream

2. 계정 적용 가드레일은 입력과 출력 모두에 자동으로 적용되어야 합니다.

3. 가드레일 평가 정보는 응답을 확인하세요. 가드레일 응답에는 적용된 가드레일 정보가 포함됩니다.