프롬프트 관리를 위한 사전 조건

역할에 AmazonBedrockFullAccessAWS 관리형 정책이 연결되어 있는 경우이 섹션을 건너뛸 수 있습니다. 그렇지 않으면 역할의 권한 정책 업데이트의 단계에 따라 다음 정책을 역할에 연결하여 프롬프트 관리와 관련된 작업을 수행할 수 있는 권한을 제공합니다.

권한을 더욱 제한하려면 작업을 생략하거나 리소스 및 조건 키를 지정하여 권한을 필터링할 수 있습니다. 작업, 리소스 및 조건 키에 대한 자세한 내용은 서비스 권한 부여 참조에서 다음 주제를 참조하세요.

를 사용하는 대신 고객 관리형 키로 프롬프트를 암호화하려는 경우AWS 관리형 키(자세한 내용은 AWS KMS키 참조) 다음 정책을 생성합니다.

1. 키 정책 생성의 단계에 따라, 다음 키 정책을 KMS 키에 연결하여 Amazon Bedrock이 키로 프롬프트를 암호화 및 복호화할 수 있도록 허용하고 필요에 따라 값을 바꿉니다. 이 정책에는 보안 모범 사례로 사용할 것을 권장하는 선택적 조건 키(Amazon Bedrock의 조건 키 및 AWS 전역 조건 컨텍스트 키 참조)가 Condition 필드에 포함되어 있습니다.

   {
       "Sid": "EncryptFlowKMS",
       "Effect": "Allow",
       "Principal": {
           "Service": "bedrock.amazonaws.com"
       },
       "Action": [
           "kms:GenerateDataKey",
           "kms:Decrypt"
       ],
       "Resource": "*",
       "Condition": {
           "StringEquals": {
               "kms:EncryptionContext:aws:bedrock-prompts:arn": "arn:${partition}:bedrock:${region}:${account-id}:prompt/${prompt-id}"
           }
       }
   }

2. 역할에 대한 권한 정책 업데이트의 단계에 따라 다음 정책을 프롬프트 관리 역할에 연결하고 필요에 따라 값을 대체하여 프롬프트에 대한 고객 관리형 키를 생성하고 복호화할 수 있도록 합니다. 이 정책에는 보안 모범 사례로 사용할 것을 권장하는 선택적 조건 키(Amazon Bedrock의 조건 키 및 AWS 전역 조건 컨텍스트 키 참조)가 Condition 필드에 포함되어 있습니다.

   {
       "Sid": "KMSPermissions",
       "Effect": "Allow",
       "Action": [
           "kms:GenerateDataKey",
           "kms:Decrypt"
       ],
       "Resource": [
           "arn:aws:kms:${region}:${account-id}:key/${key-id}"
       ],
        "Condition": {
           "StringEquals": {
               "aws:ResourceAccount": "${account-id}"
           }
       }
   }