Aplique proteções entre contas com as imposições do Amazon Bedrock Guardrails

Planeje sua configuração de guardrail

1. Defina suas salvaguardas:

   • Analise os filtros de proteção disponíveis na documentação do Amazon Bedrock Guardrails

   • Identifique qual filtro você precisa. Atualmente, há suporte para filtros de conteúdo, tópicos negados, filtros de palavras, filtros de informações confidenciais e verificações contextuais de fundamentação.

   • Importante

     Não inclua a política de raciocínio automatizado, pois ela não tem suporte para imposições de proteção e causará falhas no tempo de execução.

2. Identifique as contas-alvo:

   • Determine quais OUs contas ou toda a sua organização terão essa proteção aplicada

Crie sua grade de proteção na conta de gerenciamento

Crie uma grade de proteção em cada região em que você deseja aplicá-la com um dos seguintes métodos:

• Usando o Console de gerenciamento da AWS:

  1. Faça login no Console de gerenciamento da AWS com uma identidade do IAM que tenha permissões para usar o console Amazon Bedrock. Em seguida, abra o console Amazon Bedrock em https://console.aws.amazon.com/bedrock.

  2. No painel de navegação esquerdo, escolha Guardrails

  3. Escolha Criar guarda-corpo

  4. Siga o assistente para configurar os filtros ou proteções desejados (filtros de conteúdo, tópicos negados, filtros de palavras, filtros de informações confidenciais, verificações contextuais de aterramento)

  5. Não habilite a política de raciocínio automatizado

  6. Complete o assistente para criar sua grade de proteção

• Usando a API: Use a CreateGuardrailAPI

Verificar

Depois de criado, você deve vê-lo na lista de grades de proteção na página inicial do Guardrails ou procurá-lo na lista de grades de proteção usando o nome do guarda-corpo

Crie uma versão de guardrail

Crie uma versão numérica para garantir que a configuração do guardrail permaneça imutável e não possa ser modificada pelas contas dos membros.

• Usando o Console de gerenciamento da AWS:

  1. Selecione a grade de proteção criada na etapa anterior na página Guardrails no console do Amazon Bedrock.

  2. Escolha Criar versão

  3. Observe o ARN do guarda-corpo e o número da versão (por exemplo, “1", “2")

• Usando a API: Use a CreateGuardrailVersionAPI

Verificar

Confirme se a versão foi criada com sucesso verificando a lista de versões na página de detalhes do Guardrail.

Anexe uma política baseada em recursos

Habilite o acesso entre contas anexando uma política baseada em recursos à sua grade de proteção.

• Usando o Console de gerenciamento da AWS — Para anexar uma política baseada em recursos usando o console:

  1. No console Amazon Bedrock Guardrails, selecione seu guarda-corpo

  2. Escolha Adicionar para adicionar uma política baseada em recursos

  3. Adicione uma política que conceda bedrock:ApplyGuardrail permissão a todas as contas ou organizações membros. Consulte Compartilhe o guardrail com sua organização em Usando políticas baseadas em recursos para grades de proteção.

  4. Salve a política

Verificar

Teste o acesso de uma conta de membro usando a ApplyGuardrailAPI para garantir que a autorização seja configurada corretamente.

Configurar permissões do IAM nas contas dos membros

Certifique-se de que todas as funções nas contas dos membros tenham permissões do IAM para acessar a grade de proteção aplicada.

Permissões obrigatórias

As funções da conta de membro precisam de bedrock:ApplyGuardrail permissão para a grade de proteção da conta de gerenciamento. Consulte Configurar permissões para usar Barreiras de Proteção do Amazon Bedrock para obter exemplos detalhados de políticas do IAM

Verificar

Confirme se as funções com permissões reduzidas nas contas dos membros podem chamar a ApplyGuardrail API com sucesso com o guardrail.

Habilite a política Amazon Bedrock. Digite AWS Organizations

• Usando o Console de gerenciamento da AWS — Para habilitar a política Amazon Bedrock, digite usando o console:

  1. Navegue até o AWS Organizations console

  2. Escolha políticas

  3. Escolha as políticas do Amazon Bedrock

  4. Escolha Ativar políticas do Amazon Bedrock para habilitar o tipo de política Amazon Bedrock para sua organização.

• Usando a API — Use a AWS Organizations EnablePolicyTypeAPI com o tipo de política BEDROCK_POLICY

Verificar

Confirme se o tipo de política do Amazon Bedrock aparece como ativado no AWS Organizations console.

Crie e anexe uma AWS Organizations política

Crie uma política de gerenciamento que especifique sua grade de proteção e a anexe às suas contas de destino ou. OUs

• Usando o Console de gerenciamento da AWS — Para criar e anexar uma AWS Organizations política usando o console:

  1. No AWS Organizations console, navegue até Políticas > Políticas do Amazon Bedrock

  2. Escolha Criar política.

  3. Especifique o ARN e a versão do guardrail

     Importante

     Verifique se você está especificando o ARN preciso do guardrail na política. Especificar um ARN incorreto ou inválido resultará em violações de políticas, não aplicação de salvaguardas e na incapacidade de usar os modelos no Amazon Bedrock para inferência.

  4. Configure controles seletivos de proteção de conteúdo (opcional).

     • O Amazon Bedrock APIs permite que os chamadores marquem conteúdo específico em seus prompts de entrada para avaliação do guardrail.

     • Os controles seletivos de proteção de conteúdo permitem que os administradores decidam se devem honrar as decisões de marcação tomadas pelos chamadores da API.

     • Os messages controles system e determinam como as solicitações do sistema e o conteúdo das mensagens são processados por grades de proteção. Cada um aceita um dos seguintes valores:

       • Seletivo: avalie somente o conteúdo dentro das tags de proteção de conteúdo. Quando nenhuma tag é especificada, o comportamento depende do controle. Poissystem, nenhum conteúdo é avaliado e, paramessages, todo o conteúdo é avaliado.

       • Abrangente: avalie todo o conteúdo, independentemente das tags de proteção de conteúdo.

     • Se não estiverem configurados, os dois controles assumem como padrão Abrangente.

     {
         "bedrock": {
             "guardrail_inference": {
                 "us-east-1": {
                     "config_1": {
                         "identifier": {
                             "@@assign": "arn:aws:bedrock:us-east-1:123456789012:guardrail/guardrail-id:1"
                         },
                         "selective_content_guarding": {
                             "system": {
                                 "@@assign": "selective"
                             },
                             "messages": {
                                 "@@assign": "comprehensive"
                             }
                         },
                         "model_enforcement": {
                             "included_models": {
                                 "@@assign": ["ALL"]
                             },
                             "excluded_models": {
                                 "@@assign": ["amazon.titan-embed-text-v2:0", "cohere.embed-english-v3"]
                             }
                         }
                     }
                 }
             }
         }
     }

  5. Salve a política

  6. Anexe a política aos alvos desejados (contas raiz da organização ou contas individuais) navegando até a guia Metas e escolhendo Anexar OUs

• Usando a API — Use a AWS Organizations CreatePolicyAPI com o tipo de políticaBEDROCK_POLICY. Use AttachPolicypara anexar aos alvos

Saiba mais: Políticas do Amazon Bedrock em AWS Organizations

Verificar

Verifique se a política está conectada aos alvos corretos no AWS Organizations console.

Teste e verifique a aplicação

Teste se a grade de proteção está sendo aplicada às contas dos membros.

Planeje sua configuração de guardrail

Defina suas salvaguardas

Para definir suas salvaguardas:

Criar uma barreira de proteção

Crie uma grade de proteção em todas as regiões em que você deseja aplicá-la.

Via Console de gerenciamento da AWS

Para criar uma grade de proteção usando o console:

1. Faça login no Console de gerenciamento da AWS com uma identidade do IAM que tenha permissões para usar o console Amazon Bedrock. Em seguida, abra o console Amazon Bedrock em https://console.aws.amazon.com/bedrock.

2. No painel de navegação esquerdo, escolha Guardrails

3. Escolha Criar guarda-corpo

4. Siga o assistente para configurar as políticas desejadas (filtros de conteúdo, tópicos negados, filtros de palavras, filtros de informações confidenciais)

5. Não habilite a política de raciocínio automatizado

6. Complete o assistente para criar sua grade de proteção

Por meio da API

Usar a API CreateGuardrail

Verificar

Depois de criado, você deve vê-lo na lista de grades de proteção na página inicial do Guardrails ou procurá-lo na lista de grades de proteção usando o nome do guarda-corpo

Crie uma versão de guardrail

Crie uma versão numérica para garantir que a configuração do guardrail permaneça imutável e não possa ser modificada pelas contas dos membros.

Via Console de gerenciamento da AWS

Para criar uma versão de guardrail usando o console:

1. Selecione a grade de proteção criada na etapa anterior na página Guardrails no console do Amazon Bedrock.

2. Escolha Criar versão

3. Observe o ARN do guarda-corpo e o número da versão (por exemplo, “1", “2")

Por meio da API

Usar a API CreateGuardrailVersion

Verificar

Confirme se a versão foi criada com sucesso verificando a lista de versões na página de detalhes do Guardrail.

Anexe uma política baseada em recursos (opcional)

Se você quiser compartilhar a grade de proteção com funções específicas em sua conta, anexe uma política baseada em recursos.

Via Console de gerenciamento da AWS

Para anexar uma política baseada em recursos usando o console:

1. No console Amazon Bedrock Guardrails, selecione seu guarda-corpo

2. Escolha Adicionar para adicionar uma política baseada em recursos

3. Adicione uma política que conceda bedrock:ApplyGuardrail permissão às funções desejadas

4. Salve a política

Habilite a fiscalização em nível de conta

Configure a conta para usar sua grade de proteção para todas as invocações do Amazon Bedrock. Isso deve ser feito em todas as regiões em que você deseja fiscalização.

Via Console de gerenciamento da AWS

Para ativar a fiscalização em nível de conta usando o console:

1. Navegue até o console Amazon Bedrock

2. Escolha Guardrails no painel de navegação esquerdo

3. Na seção Configurações de fiscalização em nível de conta, escolha Adicionar

4. Selecione sua grade de proteção e versão

5. Configure controles seletivos de proteção de conteúdo (opcional).

   • O Amazon Bedrock APIs permite que os chamadores marquem conteúdo específico em seus prompts de entrada para avaliação do guardrail.

   • Os controles seletivos de proteção de conteúdo permitem que os administradores decidam se devem honrar as decisões de marcação tomadas pelos chamadores da API.

   • Os messages controles system e determinam como as solicitações do sistema e o conteúdo das mensagens são processados por grades de proteção. Cada um aceita um dos seguintes valores:

     • Seletivo: avalie somente o conteúdo dentro das tags de proteção de conteúdo.

     • Abrangente: avalie todo o conteúdo, independentemente das tags de proteção de conteúdo.

   • Se não estiverem configurados, os dois controles assumem como padrão Abrangente.

6. Envie a configuração

7. Repita o procedimento para cada região em que você deseja a fiscalização

Por meio da API

Use a PutEnforcedGuardrailConfiguration API em todas as regiões em que você deseja aplicar o guardrail

Verificar

Você deve ver a proteção aplicada à conta na seção Configuração da proteção aplicada à conta na página Guardrails. Você pode chamar a ListEnforcedGuardrailsConfigurationAPI para garantir que a grade de proteção aplicada esteja listada.

Teste e verifique a aplicação

Teste usando uma função em sua conta

Para testar a fiscalização em sua conta:

1. Faça uma chamada de inferência do Amazon Bedrock usandoInvokeModel,,Converse, ou InvokeModelWithResponseStream ConverseStream

2. A grade de proteção aplicada pela conta deve ser aplicada automaticamente às entradas e saídas

3. Verifique a resposta para obter informações sobre a avaliação da grade de proteção. A resposta da grade de proteção incluirá informações forçadas da grade de proteção.