View a markdown version of this page

Lidar com chaves de API de longo e curto prazo comprometidas do Amazon Bedrock - Amazon Bedrock
Alterar o status de uma chave de API de longo prazoRedefinir uma chave de API de longo prazoExcluir uma chave de API de longo prazoAnexar políticas do IAM para remover as permissões de uso de uma chave de API

As traduções são geradas por tradução automática. Em caso de conflito entre o conteúdo da tradução e da versão original em inglês, a versão em inglês prevalecerá.

Lidar com chaves de API de longo e curto prazo comprometidas do Amazon Bedrock

Se sua chave de API for comprometida, você deverá revogar as permissões para usá-la. Há vários métodos que você pode usar para revogar as permissões de uma chave de API do Amazon Bedrock:

  • Para chaves de API Amazon Bedrock de longo prazo, você pode usar o UpdateServiceSpecificCredential ResetServiceSpecificCredential, ou DeleteServiceSpecificCredential para revogar as permissões das seguintes maneiras:

    • Defina o status da chave como inativa. Você poderá reativar a chave posteriormente.

    • Redefina a chave. Essa ação gera uma nova senha para a chave.

    • Exclua a chave permanentemente.

    nota

    Para realizar essas ações por meio da API, você deve se autenticar com AWS credenciais e não com uma chave de API do Amazon Bedrock.

  • Para chaves de API de longo e curto prazo do Amazon Bedrock, você pode anexar políticas do IAM para revogar permissões.

nota

Você não pode desativar, redefinir ou excluir uma chave individual de curto prazo da API Amazon Bedrock. O console Amazon Bedrock não lista chaves de curto prazo depois que você as gera nem fornece ações de revogação para elas. Uma chave de curto prazo é uma URL pré-assinada que herda as credenciais e a expiração da sessão que a gerou. Para evitar o uso antes que a chave expire, consulte Invalidar uma sessão do IAM ouNegar a uma identidade a possibilidade de fazer chamadas com uma chave de API do Amazon Bedrock. Esses controles afetam a sessão ou identidade geradora, não apenas uma chave de curto prazo.

Alterar o status de uma chave de API de longo prazo do Amazon Bedrock

Se você precisar evitar que uma chave seja usada temporariamente, desative-a. Quando estiver tudo pronto para ela ser usada novamente, reative-a.

Escolha a guia correspondente ao método de sua preferência e siga as etapas:

Console
Como desativar uma chave

  1. Faça login no Console de gerenciamento da AWS com uma identidade IAM que tenha permissões para usar o console Amazon Bedrock. Em seguida, abra o console Amazon Bedrock em https://console.aws.amazon.com/bedrock.

  2. No painel de navegação à esquerda, selecione Chaves de API.

  3. Na seção Chaves de Long-term API, escolha uma chave cujo status seja Inativo.

  4. Escolha Ações.

  5. Selecione Deactivate (Desativar).

  6. Para confirmar, selecione Desativar chave de API. O status da chave se torna inativa.

Como reativar uma chave

  1. Faça login no Console de gerenciamento da AWS com uma identidade IAM que tenha permissões para usar o console Amazon Bedrock. Em seguida, abra o console Amazon Bedrock em https://console.aws.amazon.com/bedrock.

  2. No painel de navegação à esquerda, selecione Chaves de API.

  3. Na seção Chaves de Long-term API, escolha uma chave cujo status seja Inativo.

  4. Escolha Ações.

  5. Selecione Ativar.

  6. Para confirmar, selecione Ativar chave de API. O status da chave se torna ativa.

Python

Para desativar uma chave usando a API, envie uma UpdateServiceSpecificCredential solicitação com um endpoint do IAM e especifique o asStatus. Inactive Você pode usar o trecho de código a seguir para desativar uma chave, ${ServiceSpecificCredentialId} substituindo-a pelo valor retornado quando você criou a chave.

import boto3
                        
iam_client = boto3.client("iam")
                      
iam_client.update_service_specific_credential(
    service_specific_credential_id=${ServiceSpecificCredentialId},
    status="Inactive"
)

Para reativar uma chave usando a API, envie uma UpdateServiceSpecificCredential solicitação com um endpoint do IAM e especifique o asStatus. Active Você pode usar o trecho de código a seguir para reativar uma chave, ${ServiceSpecificCredentialId} substituindo-a pelo valor retornado quando você criou a chave.

import boto3
                        
iam_client = boto3.client("iam")
                      
iam_client.update_service_specific_credential(
    service_specific_credential_id=${ServiceSpecificCredentialId},
    status="Active"
)

Redefinir uma chave de API de longo prazo do Amazon Bedrock

Se o valor da chave tiver sido comprometido ou você não a tiver mais, redefina-a. A chave ainda não deve ter expirado. Se ela já tiver expirado, exclua a chave e crie outra.

Escolha a guia correspondente ao método de sua preferência e siga as etapas:

Console
Como redefinir uma chave

  1. Faça login no Console de gerenciamento da AWS com uma identidade IAM que tenha permissões para usar o console Amazon Bedrock. Em seguida, abra o console Amazon Bedrock em https://console.aws.amazon.com/bedrock.

  2. No painel de navegação à esquerda, selecione Chaves de API.

  3. Na seção Chaves de Long-term API, escolha uma chave.

  4. Escolha Ações.

  5. Selecione Redefinir chave.

  6. Escolha Próximo.

Python

Para redefinir uma chave usando a API, envie uma ResetServiceSpecificCredential solicitação com um endpoint https://docs.aws.amazon.com/general/latest/gr/iam-service.html do IAM. Você pode usar o trecho de código a seguir para redefinir uma chave, ${ServiceSpecificCredentialId} substituindo-a pelo valor retornado quando você criou a chave.

import boto3
            
iam_client = boto3.client("iam")
          
iam_client.reset_service_specific_credential(
    service_specific_credential_id=${ServiceSpecificCredentialId}
)

Excluir uma chave de API de longo prazo do Amazon Bedrock

Se você não precisar mais de uma chave ou ela tiver expirado, exclua-a.

Escolha a guia correspondente ao método de sua preferência e siga as etapas:

Console
Para excluir uma chave

  1. Faça login no Console de gerenciamento da AWS com uma identidade IAM que tenha permissões para usar o console Amazon Bedrock. Em seguida, abra o console Amazon Bedrock em https://console.aws.amazon.com/bedrock.

  2. No painel de navegação à esquerda, selecione Chaves de API.

  3. Na seção Chaves de Long-term API, escolha uma chave.

  4. Escolha Ações.

  5. Selecione Excluir.

  6. Confirme a exclusão.

Uma chave de API está vinculada a um usuário do IAM

A exclusão dessa chave de API não exclui o usuário do IAM que foi criado com essa chave como proprietário. Você pode excluir o usuário do IAM do console do IAM na próxima etapa.

Python

Para excluir uma chave usando a API, envie uma DeleteServiceSpecificCredential solicitação com um endpoint https://docs.aws.amazon.com/general/latest/gr/iam-service.html do IAM. Você pode usar o trecho de código a seguir para excluir uma chave, ${ServiceSpecificCredentialId} substituindo-a pelo valor retornado quando você criou a chave.

import boto3
            
iam_client = boto3.client("iam")
          
iam_client.delete_service_specific_credential(
    service_specific_credential_id=${ServiceSpecificCredentialId}
)

Anexar políticas do IAM para remover as permissões de uso de uma chave de API do Amazon Bedrock

Esta seção apresenta algumas políticas do IAM que você pode usar para restringir o acesso ao perfil de uma chave de API do Amazon Bedrock.

Negar a uma identidade a possibilidade de fazer chamadas com uma chave de API do Amazon Bedrock

Para evitar totalmente que uma identidade faça chamadas com uma chave de API do Amazon Bedrock, você deve negar as duas ações a seguir:

  • bedrock:CallWithBearerToken— Controla o uso da chave de API por meio do endpoint Amazon Bedrock.

  • bedrock-mantle:CallWithBearerToken— Controla o uso da chave de API por meio do endpoint Amazon Bedrock Mantle.

Importante

Negar apenas bedrock:CallWithBearerToken não impede o uso da chave de API por meio do endpoint Mantle. Você também deve bedrock-mantle:CallWithBearerToken negar o bloqueio total do uso da chave de API.

Para evitar que uma identidade faça chamadas com uma chave de API, anexe uma política do IAM à identidade, dependendo do tipo de chave:

  • Long-term chave — Anexe a política ao usuário do IAM associado à chave.

  • Short-term chave — Anexe a política à identidade do IAM usada para gerar a chave.

A política do IAM que você pode anexar à identidade do IAM é a seguinte:

JSON
{
  "Version":"2012-10-17",
  "Statement": {
    "Effect": "Deny",
    "Action": [
      "bedrock:CallWithBearerToken",
      "bedrock-mantle:CallWithBearerToken"
    ],
    "Resource": "*"
  }
}

Invalidar uma sessão do IAM

Se uma chave de curto prazo for comprometida, você poderá impedir seu uso invalidando a sessão que foi usada para gerar a chave. Para invalidar a sessão, anexe a política a seguir à identidade do IAM que gerou a chave. 2014-05-07T23:47:00ZSubstitua pelo tempo após o qual você deseja que a sessão seja invalidada.

JSON
{
  "Version":"2012-10-17",
  "Statement": {
    "Effect": "Deny",
    "Action": "*",
    "Resource": "*",
    "Condition": {
      "DateLessThan": {"aws:TokenIssueTime": "2014-05-07T23:47:00Z"}
    }
  }
}