Aplique salvaguardas entre contas com as fiscalizações do Amazon Bedrock Guardrails

Planeje sua configuração de guardrail

1. Defina suas salvaguardas:

   • Revise os filtros de guardrail disponíveis na documentação do Amazon Bedrock Guardrails

   • Identifique qual filtro você precisa. Atualmente, filtros de conteúdo, tópicos negados, filtros de palavras, filtros de informações confidenciais e verificações de fundamento contextual são suportados.

   • Importante

     Não inclua a política de raciocínio automatizado, pois ela não é suportada pela aplicação de barreiras de proteção e causará falhas no tempo de execução.

2. Identifique as contas-alvo:

   • Determine quais OUs, contas ou toda a sua organização terão essa barreira aplicada

Crie seu guardrail na conta de gerenciamento

Crie uma grade de proteção em cada região em que você deseja aplicá-la com um dos seguintes métodos:

• Usando o Console de gerenciamento da AWS:

  1. Faça login no Console de gerenciamento da AWS com uma identidade IAM que tenha permissões para usar o console Amazon Bedrock. Em seguida, abra o console Amazon Bedrock em https://console.aws.amazon.com/bedrock.

  2. No painel de navegação esquerdo, escolha Guardrails

  3. Escolha Criar guardrail

  4. Siga o assistente para configurar os filtros ou proteções desejados (filtros de conteúdo, tópicos negados, filtros de palavras, filtros de informações confidenciais, verificações contextuais de base)

  5. Não habilite a política de raciocínio automatizado

  6. Complete o assistente para criar sua grade de proteção

• Usando a API: Use a CreateGuardrail API

Verificar

Depois de criado, você deve vê-lo na lista de grades de proteção na página inicial do Guardrails ou procurá-lo na lista de grades de proteção usando o nome do guardrail.

Crie uma versão de guardrail

Crie uma versão numérica para garantir que a configuração do guardrail permaneça imutável e não possa ser modificada pelas contas dos membros.

• Usando o Console de gerenciamento da AWS:

  1. Selecione a grade de proteção criada na etapa anterior na página Guardrails no console Amazon Bedrock

  2. Escolha Criar versão

  3. Observe o ARN do guardrail e o número da versão (por exemplo, “1", “2")

• Usando a API: Use a CreateGuardrailVersion API

Verificar

Confirme se a versão foi criada com sucesso verificando a lista de versões na página de detalhes do Guardrail.

Anexe uma política baseada em recursos

Permita o acesso entre contas anexando uma política baseada em recursos à sua grade de proteção.

• Usando o Console de gerenciamento da AWS — Para anexar uma política baseada em recursos usando o console:

  1. No console Amazon Bedrock Guardrails, selecione sua grade de proteção

  2. Escolha Adicionar para adicionar uma política baseada em recursos

  3. Adicione uma política que conceda bedrock:ApplyGuardrail permissão a todas as contas ou organizações dos membros. Consulte Compartilhe o guardrail com sua organização em Usando políticas baseadas em recursos para grades de proteção.

  4. Salve a política

Verificar

Teste o acesso de uma conta de membro usando a ApplyGuardrail API para garantir que a autorização seja configurada corretamente.

Configurar permissões do IAM nas contas dos membros

Certifique-se de que todas as funções nas contas dos membros tenham permissões do IAM para acessar a barreira de proteção aplicada.

Permissões obrigatórias

As funções da conta do membro precisam de bedrock:ApplyGuardrail permissão para a proteção da conta de gerenciamento. Consulte Configurar permissões para usar Barreiras de Proteção do Amazon Bedrock exemplos detalhados de políticas de IAM

Verificar

Confirme se as funções com permissões de escopo reduzido nas contas dos membros podem chamar a ApplyGuardrail API com sucesso com a grade de proteção.

Habilitar a política Amazon Bedrock Digite AWS Organizations

• Usando o Console de gerenciamento da AWS — Para habilitar o tipo de política Amazon Bedrock usando o console:

  1. Navegue até o AWS Organizations console

  2. Escolha as políticas

  3. Escolha as políticas da Amazon Bedrock

  4. Escolha Habilitar políticas do Amazon Bedrock para habilitar o tipo de política do Amazon Bedrock para sua organização

• Usando a API — Use a AWS Organizations EnablePolicyType API com o tipo de política BEDROCK_POLICY

Verificar

Confirme se o tipo de política Amazon Bedrock é exibido como habilitado no AWS Organizations console.

Crie e anexe um AWS Organizations política

Crie uma política de gerenciamento que especifique sua grade de proteção e a anexe às suas contas de destino ou OUs.

• Usando o Console de gerenciamento da AWS — Para criar e anexar uma AWS Organizations política usando o console:

  1. No AWS Organizations console, navegue até Políticas > Políticas do Amazon Bedrock

  2. Escolha Criar política.

  3. Especifique o ARN e a versão do guardrail

     Importante

     Certifique-se de especificar o ARN preciso do guardrail na política. A especificação de um ARN incorreto ou inválido resultará em violações de políticas, na não aplicação de salvaguardas e na incapacidade de usar os modelos no Amazon Bedrock para inferência.

  4. Configure controles seletivos de proteção de conteúdo (opcional).

     • As APIs do Amazon Bedrock permitem que os chamadores marquem conteúdo específico em suas solicitações de entrada para avaliação do guardrail.

     • Os controles seletivos de proteção de conteúdo permitem que os administradores decidam se devem honrar as decisões de marcação tomadas pelos chamadores da API.

     • Os messages controles system e determinam como as solicitações do sistema e o conteúdo das mensagens são processados pelos guardrails. Cada um aceita um dos seguintes valores:

       • Seletivo: avalie somente o conteúdo dentro das tags de conteúdo de proteção. Quando nenhuma tag é especificada, o comportamento depende do controle. Parasystem, nenhum conteúdo é avaliado e paramessages, todo o conteúdo é avaliado.

       • Abrangente: avalie todo o conteúdo, independentemente das tags de proteção de conteúdo.

     • Se não estiverem configurados, os dois controles assumirão como padrão Abrangente.

     {
         "bedrock": {
             "guardrail_inference": {
                 "us-east-1": {
                     "config_1": {
                         "identifier": {
                             "@@assign": "arn:aws:bedrock:us-east-1:123456789012:guardrail/guardrail-id:1"
                         },
                         "selective_content_guarding": {
                             "system": {
                                 "@@assign": "selective"
                             },
                             "messages": {
                                 "@@assign": "comprehensive"
                             }
                         },
                         "model_enforcement": {
                             "included_models": {
                                 "@@assign": ["ALL"]
                             },
                             "excluded_models": {
                                 "@@assign": ["amazon.titan-embed-text-v2:0", "cohere.embed-english-v3"]
                             }
                         }
                     }
                 }
             }
         }
     }

  5. Salve a política

  6. Anexe a política às metas desejadas (raiz da organização, OUs ou contas individuais) navegando até a guia Metas e escolhendo Anexar

• Usando a API — Use a AWS Organizations CreatePolicy API com o tipo de políticaBEDROCK_POLICY. Use AttachPolicy para anexar aos alvos

Saiba mais: Políticas da Amazon Bedrock em AWS Organizations

Verificar

Verifique se a política está anexada aos alvos corretos no AWS Organizations console.

Teste e verifique a fiscalização

Teste se a proteção está sendo aplicada nas contas dos membros.

Planeje sua configuração de guardrail

Defina suas salvaguardas

Para definir suas salvaguardas:

Criar uma barreira de proteção

Crie uma grade de proteção em todas as regiões em que você deseja aplicá-la.

Via Console de gerenciamento da AWS

Para criar uma grade de proteção usando o console:

1. Faça login no Console de gerenciamento da AWS com uma identidade IAM que tenha permissões para usar o console Amazon Bedrock. Em seguida, abra o console Amazon Bedrock em https://console.aws.amazon.com/bedrock.

2. No painel de navegação esquerdo, escolha Guardrails

3. Escolha Criar guardrail

4. Siga o assistente para configurar as políticas desejadas (filtros de conteúdo, tópicos negados, filtros de palavras, filtros de informações confidenciais)

5. Não habilite a política de raciocínio automatizado

6. Complete o assistente para criar sua grade de proteção

Por meio da API

Usar a API CreateGuardrail

Verificar

Depois de criado, você deve vê-lo na lista de grades de proteção na página inicial do Guardrails ou procurá-lo na lista de grades de proteção usando o nome do guardrail.

Crie uma versão de guardrail

Crie uma versão numérica para garantir que a configuração do guardrail permaneça imutável e não possa ser modificada pelas contas dos membros.

Via Console de gerenciamento da AWS

Para criar uma versão do guardrail usando o console:

1. Selecione a grade de proteção criada na etapa anterior na página Guardrails no console Amazon Bedrock

2. Escolha Criar versão

3. Observe o ARN do guardrail e o número da versão (por exemplo, “1", “2")

Por meio da API

Usar a API CreateGuardrailVersion

Verificar

Confirme se a versão foi criada com sucesso verificando a lista de versões na página de detalhes do Guardrail.

Anexar uma política baseada em recursos (opcional)

Se você quiser compartilhar a grade de proteção com funções específicas em sua conta, anexe uma política baseada em recursos.

Via Console de gerenciamento da AWS

Para anexar uma política baseada em recursos usando o console:

1. No console Amazon Bedrock Guardrails, selecione seu guardrail

2. Escolha Adicionar para adicionar uma política baseada em recursos

3. Adicione uma política que conceda bedrock:ApplyGuardrail permissão às funções desejadas

4. Salve a política

Habilitar a fiscalização em nível de conta

Configure a conta para usar sua grade de proteção em todas as invocações do Amazon Bedrock. Isso deve ser feito em todas as regiões em que você deseja fiscalização.

Via Console de gerenciamento da AWS

Para ativar a imposição em nível de conta usando o console:

1. Navegue até o console Amazon Bedrock

2. Escolha Guardrails no painel de navegação esquerdo

3. Na seção de configurações de Account-level imposição, escolha Adicionar

4. Selecione sua grade de proteção e versão

5. Configure controles seletivos de proteção de conteúdo (opcional).

   • As APIs do Amazon Bedrock permitem que os chamadores marquem conteúdo específico em suas solicitações de entrada para avaliação do guardrail.

   • Os controles seletivos de proteção de conteúdo permitem que os administradores decidam se devem honrar as decisões de marcação tomadas pelos chamadores da API.

   • Os messages controles system e determinam como as solicitações do sistema e o conteúdo das mensagens são processados pelos guardrails. Cada um aceita um dos seguintes valores:

     • Seletivo: avalie somente o conteúdo dentro das tags de conteúdo de proteção.

     • Abrangente: avalie todo o conteúdo, independentemente das tags de proteção de conteúdo.

   • Se não estiverem configurados, os dois controles assumirão como padrão Abrangente.

6. Envie a configuração

7. Repita o procedimento para cada região em que você deseja a fiscalização

Por meio da API

Use a PutEnforcedGuardrailConfiguration API em todas as regiões em que você deseja aplicar a barreira de proteção

Verificar

Você deve ver a grade de proteção aplicada pela conta na seção Configuração da grade de proteção aplicada pela conta na página Guardrails. Você pode chamar a ListEnforcedGuardrailsConfiguration API para garantir que a grade de proteção aplicada esteja listada.

Teste e verifique a fiscalização

Teste usando uma função em sua conta

Para testar a fiscalização em sua conta:

1. Faça uma chamada de inferência do Amazon Bedrock usandoInvokeModel,,Converse, ou InvokeModelWithResponseStream ConverseStream

2. A grade de proteção aplicada pela conta deve ser aplicada automaticamente às entradas e saídas

3. Verifique a resposta para obter informações sobre a avaliação do guardrail. A resposta do guardrail incluirá informações forçadas sobre o guardrail.