As traduções são geradas por tradução automática. Em caso de conflito entre o conteúdo da tradução e da versão original em inglês, a versão em inglês prevalecerá. # Acessar modelos de base do Amazon Bedrock O acesso a todos os modelos de base do Amazon Bedrock está habilitado por padrão com as permissões corretas do AWS Marketplace. Para começar, basta selecionar um modelo do catálogo de modelos no console Amazon Bedrock e abri-lo no playground ou invocar o modelo usando as operações da API [InvokeModel](https://docs.aws.amazon.com/bedrock/latest/APIReference/API_runtime_InvokeModel.html)ou da [Converse](https://docs.aws.amazon.com/bedrock/latest/APIReference/API_runtime_Converse.html). Para ter informações sobre os diferentes modelos oferecidos no Amazon Bedrock, consulte [Informações sobre modelos de base do Amazon Bedrock](https://docs.aws.amazon.com//bedrock/latest/userguide/foundation-models-reference.html). Para ter informações sobre preços de modelo, consulte [Preços do Amazon Bedrock](https://aws.amazon.com/bedrock/pricing/). O acesso a todos os modelos de base do Amazon Bedrock está habilitado por padrão com as permissões corretas do AWS Marketplace em todas as regiões comerciais da AWS. Para acesso programático a modelos de terceiros, consulte[Gerencie o acesso ao modelo usando SDK e CLI](#model-access-modify). **Entendendo o acesso automático ao modelo** Quando você invoca um modelo de terceiros pela primeira vez em sua conta, o Amazon Bedrock inicia automaticamente o processo de assinatura em segundo plano. Durante esse período de configuração (até 15 minutos), suas chamadas de API podem ser bem-sucedidas temporariamente enquanto a assinatura está sendo finalizada. Se algum pré-requisito estiver ausente, a tentativa de assinatura falhará e as chamadas de API subsequentes retornarão. `AccessDeniedException` Depois de conceder as permissões necessárias, a assinatura pode levar até 2 minutos para ser concluída. Durante esse período, as chamadas de API podem continuar retornando`AccessDeniedException`. Quando a assinatura for concluída, todas as invocações subsequentes serão bem-sucedidas. Para evitar isso completamente, verifique todos os pré-requisitos antes de invocar modelos em produção. **Pré-requisitos para um acesso bem-sucedido ao modelo:** **Permissões do AWS Marketplace**: sua função do IAM deve ter `aws-marketplace:Subscribe``aws-marketplace:Unsubscribe`,, e `aws-marketplace:ViewSubscriptions` permissões. Para mais detalhes, consulte [Conceder permissões do IAM para solicitar acesso a modelos de base do Amazon Bedrock com um ID de produto](#model-access-permissions). Modelos **antrópicos: Para modelos** antrópicos, você deve preencher o formulário First Time Use (FTU) antes de invocar o modelo. **Forma de pagamento válida**: sua conta da AWS deve ter uma forma de pagamento válida configurada para compras no AWS Marketplace. **nota** A Anthropic exige que os clientes iniciantes enviem detalhes do caso de uso antes de invocarem um modelo uma vez por conta ou uma vez por conta gerencial da organização. Você pode enviar detalhes do caso de uso selecionando um modelo da Anthropic no catálogo de modelos no console do Amazon Bedrock ou chamando o comando de API `PutUseCaseForModelAccess`. O acesso ao modelo é concedido imediatamente após o envio bem-sucedido dos detalhes do caso de uso. O envio do formulário na conta raiz será herdado por outras contas na mesma AWS organização. **nota** Para modelos 3P, pelo modelo, invoking/using pela primeira vez, você concorda com o Contrato de Licença de Usuário Final aplicável. Para ter mais informações, consulte os [Termos de Serviço da AWS](https://aws.amazon.com/service-terms/) e os [contratos de licença de modelos sem servidor de terceiros](https://aws.amazon.com/legal/bedrock/third-party-models/). As organizações que precisam analisar e concordar com o EULA antes de permitir o uso do modelo devem: Bloquear inicialmente o acesso ao modelo usando políticas de controle de serviços (SCPs) ou políticas do IAM. Analisar os termos do EULA. Habilite o acesso ao modelo por meio de SCP/IAM políticas somente se você concordar com os termos do EULA **Topics** + [Conceder permissões do IAM para solicitar acesso a modelos de base do Amazon Bedrock com um ID de produto](#model-access-permissions) + [Usar chaves de condição de ID de produto para controlar o acesso](model-access-product-ids.md) + [Gerencie o acesso ao modelo usando SDK e CLI](#model-access-modify) + [Acesse os modelos da Amazon Bedrock Foundation na AWS GovCloud (EUA)](#model-access-govcloud) + [Gerencie assinaturas de modelos com o License Manager](managed-entitlements.md) ## Conceder permissões do IAM para solicitar acesso a modelos de base do Amazon Bedrock com um ID de produto Você pode gerenciar permissões de acesso ao modelo criando políticas do IAM personalizadas. Para modificar o acesso aos modelos básicos do Amazon Bedrock, primeiro você precisa anexar uma política de IAM baseada em identidade com as seguintes [AWS Marketplace ações](https://docs.aws.amazon.com/service-authorization/latest/reference/list_awsmarketplace.html#awsmarketplace-actions-as-permissions) à função do IAM que permite acesso ao Amazon Bedrock. Quando você invoca pela primeira vez um modelo sem servidor do Amazon Bedrock servido AWS Marketplace em uma conta, o Bedrock tenta habilitar automaticamente o modelo para sua conta. Para que essa ativação automática funcione, são AWS Marketplace necessárias permissões. Se você não puder assumir a AWS Marketplace permissão, alguém com AWS Marketplace permissões deverá ativar o modelo para a conta em uma única etapa (manualmente ou por meio da ativação automática). Depois de ativado, todos os usuários da conta podem invocar o modelo sem precisar AWS Marketplace de permissões. Os usuários não precisam de permissões de AWS Marketplace assinatura para invocar modelos depois de serem habilitados. Essas permissões só são necessárias na primeira vez em que um modelo está sendo usado em uma conta. O acesso aos modelos de base sem servidor do Amazon Bedrock com um ID de produto é controlado pelas seguintes ações do IAM: **** | Ação do IAM | Description | Aplica-se a quais modelos | | --- | --- | --- | | aws-marketplace:Subscribe | Permite que uma entidade do IAM assine AWS Marketplace produtos, incluindo modelos da Amazon Bedrock Foundation. | Somente modelos sem servidor do Amazon Bedrock que têm um ID de produto do AWS Marketplace. | | aws-marketplace:Unsubscribe | Permite que uma identidade do IAM cancele a assinatura de AWS Marketplace produtos, incluindo os modelos da Amazon Bedrock Foundation. | Somente modelos sem servidor do Amazon Bedrock que têm um ID de produto do AWS Marketplace. | | mercado da AWS: ViewSubscriptions | Permite que uma identidade do IAM retorne uma lista de AWS Marketplace produtos, incluindo modelos da Amazon Bedrock Foundation. | Somente modelos sem servidor do Amazon Bedrock que têm um ID de produto do AWS Marketplace. | **nota** Somente para a ação `aws-marketplace:Subscribe`, é possível usar a [chave de condição](https://docs.aws.amazon.com/service-authorization/latest/reference/list_awsmarketplace.html#awsmarketplace-policy-keys) `aws-marketplace:ProductId` para restringir a assinatura a modelos específicos. **Para que uma identidade do IAM solicite acesso a modelos com um ID de produto** A identidade deve ter uma política anexada que permita `aws-marketplace:Subscribe`. **nota** Se uma identidade já tiver se inscrito em um modelo em uma AWS região, o modelo ficará disponível para que a identidade solicite acesso em todas as AWS regiões nas quais o modelo está disponível, mesmo que `aws-marketplace:Subscribe` seja negado para outras regiões. Para obter informações sobre como criar a política, consulte [Início rápido](getting-started.md). Somente para a ação `aws-marketplace:Subscribe`, é possível usar a [chave de condição](https://docs.aws.amazon.com/service-authorization/latest/reference/list_awsmarketplace.html#awsmarketplace-policy-keys) `aws-marketplace:ProductId` para restringir a assinatura a modelos específicos. **nota** Os modelos dos seguintes fornecedores não são vendidos AWS Marketplace e não têm chaves de produto, então você não pode definir o escopo `aws-marketplace` das ações para eles: Amazon DeepSeek Mistral AI Meta Qwen OpenAI No entanto, você pode impedir o uso desses modelos negando ações do Amazon Bedrock e especificando esses modelos IDs no campo. `Resource` Para ver um exemplo, consulte [Impedir que uma identidade use um modelo depois que o acesso já tiver sido concedido](#model-access-prevent-usage). Selecione uma seção para ver exemplos de políticas do IAM para um caso de uso específico: **Topics** + [Impedir que uma identidade solicite acesso a um modelo com um ID de produto](#model-access-prevent-subscription) + [Impedir que uma identidade use um modelo depois que o acesso já tiver sido concedido](#model-access-prevent-usage) ### Impedir que uma identidade solicite acesso a um modelo com um ID de produto Para evitar que uma entidade do IAM solicite acesso a um modelo específico que tenha um ID de produto, anexe uma política do IAM ao usuário que negue a ação `aws-marketplace:Subscribe` e defina o escopo do campo `Condition` para o ID de produto do modelo. Por exemplo, você pode anexar a seguinte política a uma identidade para impedir que ela assine o modelo Claude 3.5 Sonnet da Anthropic: ------ #### [ JSON ] **** ``` { "Version":"2012-10-17", "Statement": [ { "Effect": "Deny", "Action": [ "aws-marketplace:Subscribe" ], "Resource": "*", "Condition": { "ForAnyValue:StringEquals": { "aws-marketplace:ProductId": [ "prod-m5ilt4siql27k" ] } } } ] } ``` ------ **nota** A negação `aws-marketplace:Subscribe` por si só **não** bloqueará a primeira invocação do modelo, porque o Amazon Bedrock **inicia automaticamente** a assinatura em segundo plano. Para **bloquear o acesso ao modelo desde o início**, aplique **políticas de negação `bedrock:InvokeModel` no** **nível da organização (SCP) ou da conta (IAM)**. **nota** Com essa política, a entidade do IAM terá acesso a todos os modelos recém-adicionados por padrão. Se a identidade já tiver se inscrito no modelo em pelo menos uma região, essa política não impedirá o acesso em outras regiões. Em vez disso, você pode ver o exemplo em [Impedir que uma identidade use um modelo depois que o acesso já tiver sido concedido](#model-access-prevent-usage) para impedir o uso. ### Impedir que uma identidade use um modelo depois que o acesso já tiver sido concedido Se uma identidade do IAM já tiver recebido acesso a um modelo, você pode impedir o uso do modelo negando todas as ações do Amazon Bedrock e definindo o escopo do campo `Resource` com o ARN do modelo de base. Por exemplo, você pode anexar a seguinte política a uma identidade para evitar que ela use o Anthropic Claude 3.5 Sonnet modelo em todas as AWS regiões: ------ #### [ JSON ] **** ``` { "Version":"2012-10-17", "Statement": [ { "Effect": "Deny", "Action": [ "bedrock:*" ], "Resource": [ "arn:aws:bedrock:*::foundation-model/anthropic.claude-3-5-sonnet-20240620-v1:0" ] } ] } ``` ------ # Usar chaves de condição de ID de produto para controlar o acesso A chave de condição `aws-marketplace:ProductId` pode ser usada para controlar a capacidade de assinar modelos sem servidor do Amazon Bedrock que tenham um ID de produto do AWS Marketplace. Para saber como usar a chave de condição de ID de produto, consulte os exemplos em [Conceder permissões do IAM para solicitar acesso a modelos de base do Amazon Bedrock com um ID de produto](model-access.md#model-access-permissions). **nota** Os modelos dos seguintes fornecedores não são vendidos AWS Marketplace e não têm chaves de produto, então você não pode definir o escopo `aws-marketplace` das ações para eles: Amazon DeepSeek Mistral AI Meta Qwen OpenAI No entanto, você pode evitar o uso desses modelos negando ações do Amazon Bedrock e especificando esses modelos IDs no campo. `Resource` Para ver um exemplo, consulte [Impedir que uma identidade use um modelo depois que o acesso já tiver sido concedido](model-access.md#model-access-prevent-usage). A tabela a seguir lista os produtos IDs para os modelos básicos sem servidor do Amazon Bedrock que têm uma ID de produto: | Modelo | ID do produto | | --- | --- | | AI21 Labs Jurassic-2 Mid | 1d288c71-65f9-489a-a3e2-9c7f4f6e6a85 | | AI21 Labs Jurassic-2 Ultra | cc0bdd50-279a-40d8-829c-4009b77a1fcc | | AI21 Jamba-Instruct | prod-dr2vpvd4k73aq | | AI21 Labs Jamba 1.5 Large | prod-evcp4w4lurj26 | | AI21 Labs Jamba 1.5 Mini | prod-ggrzjm65qmjhm | | Anthropic Claude | c468b48a-84df-43a4-8c46-8870630108a7 | | Anthropic Claude Instant | b0eb9475-3a2c-43d1-94d3-56756fd43737 | | Anthropic Claude 3 Sonnet | prod-6dw3qvchef7zy | | Anthropic Claude 3.5 Sonnet | prod-m5ilt4siql27k | | Claude 3.5 Sonnet v2 da Anthropic | prod-cx7ovbu5wex7g | | Anthropic Claude 3.7 Sonnet | prod-4dlfvry4v5hbi | | Anthropic Claude Sonnet 4.5 | prod-mxcfnwvpd6kb4 | | Anthropic Claude Haiku 4.5 | prod-xdkflymybwmvi | | Anthropic Claude Sonnet 4 | prod-4pmewlybdftbs | | AnthropicSoneto de Claude 4.6 | prod-ffvjxvh4ltq64 | | Anthropic Claude 3 Haiku | prod-ozonys2hmmpeu | | Anthropic Claude 3.5 Haiku | prod-5oba7y7jpji56 | | Anthropic Claude 3 Opus | prod-fm3feywmwerog | | AnthropicClaude Opus4 | prod-azycxvnd5mhqi | | AnthropicClaude Opus4.1 | prod-w3q2d6rfge4tw | | AnthropicClaude Opus4.5 | prod-jhuafngbly644 | | AnthropicClaude Opus 4.6 | prod-5ukwuglpt66 kg | | Cohere Command | a61c46fe-1747-41aa-9af0-2e0ae8a9ce05 | | Cohere Command Light | 216b69fd-07d5-4c7b-866b-936456d68311 | | Cohere Command R | prod-tukx4z3hrewle | | Cohere Command R\$1 | prod-nb4wqmplze2pm | | Embed da Cohere (em inglês) | b7568428-a1ab-46d8-bab3-37def50f6f6a | | Embed da Cohere (multilíngue) | 38e55671-c3fe-4a44-9783-3584906e7cad | | Rerank 3.5 da Cohere | prod-2o5bej62oxkbi | | Cohere Embed v4 | prod-ft3cj5gst3spo | | Stable Image Core 1.0 | prod-eacdrmv7zfc5e | | Stable Diffusion 3 Large 1.0 | prod-cqfmszl26sxu4 | | Stable Image Ultra 1.0 | prod-7boen2z2wnxrg | | Stability 3.5 Large 1.0 | prodview-ajc3gw4mjy7my | | Marengo Embed 2.7 da TwelveLabs | prod-o6xchhpirymvs | | Pegasus 1.2 da TwelveLabs | prod-635pcy5x5pc2a | | Writer Palmyra X4 | prod-azehe4da4pzsy | | Writer Palmyra X5 | prod-23enyy63orhuk | Você pode usar o seguinte modelo para anexar uma política do IAM que controle permissões de acesso a um perfil: Para ver mais exemplos de como gerenciar o acesso ao modelo com políticas do IAM, consulte [Exemplos de políticas baseadas em identidade para o Amazon Bedrock](security_iam_id-based-policy-examples.md). ## Gerencie o acesso ao modelo usando SDK e CLI O acesso ao modelo pode ser gerenciado usando o SDK, além de invocar o modelo. As etapas abaixo podem ser usadas para create/delete modelar o acesso e verificar se o acesso já existe ou não. Observe que isso se aplica somente a modelos de terceiros. Siga estas etapas para gerenciar o acesso ao modelo de forma programática: + [Pré-requisitos](#model-access-sdk-prerequisites) + [Etapa 1: Listar as ofertas do modelo de contrato da fundação](#model-access-sdk-step1) + [Etapa 2: [Exigido apenas uma vez para modelos antrópicos] Coloque o caso de uso para usuário iniciante](#model-access-sdk-step2) + [Etapa 3: Criar um modelo de contrato básico](#model-access-sdk-step3) + [Etapa 4: Obter a disponibilidade do modelo básico](#model-access-sdk-step4) + [[Opcional] Etapa 5: Excluir o contrato do modelo de fundação](#model-access-sdk-step5) ### Pré-requisitos + Anexe a [AmazonBedrockFullAccess](https://docs.aws.amazon.com/aws-managed-policy/latest/reference/AmazonBedrockFullAccess.html)política ao IAM user/role usado para o SDK/CLI. + Configuração do SDK do Bedrock: [configure o SDK da AWS para](https://docs.aws.amazon.com/bedrock/latest/userguide/sdk-general-information-section.html) o Amazon Bedrock Nota: As instruções abaixo usam python3 para os exemplos + Observe o modelID do modelo para o qual o acesso precisa ser gerenciado. ### Etapa 1: Listar as ofertas do modelo de contrato da fundação Use essa API para obter as ofertas de contrato para um modelo específico. Isso fornecerá o OfferToken usado para criar acesso ao modelo nas próximas etapas. Documentação + API: [ListFoundationModelAgreementOffers](https://docs.aws.amazon.com/bedrock/latest/APIReference/API_ListFoundationModelAgreementOffers.html) + [Documentação da CLI: -ofertas list-foundation-model-agreement](https://docs.aws.amazon.com/cli/latest/reference/bedrock/list-foundation-model-agreement-offers.html) ------ #### [ AWS CLI ] ``` aws bedrock list-foundation-model-agreement-offers --model-id ``` ------ #### [ Python ] ``` # Placeholder for modelId model_id = "" # Placeholder for offerId offer_id = "" try: # offerType= "ALL" means both public and private offers, if offerType isn't defined, the default would be "PUBLIC" model_agreement_offers_response = bedrock_client.list_foundation_model_agreement_offers(modelId=model_id,offerType="ALL") print(model_agreement_offers_response) except ClientError as e: print(f"Failed to list foundation model offers for modelId: {model_id} due to the following error: {e}") ``` ------ ### Etapa 2: [Exigido apenas uma vez para modelos antrópicos] Coloque o caso de uso para usuário iniciante Usado para colocar o formulário de caso de uso do usuário iniciante, exigido apenas para modelos antrópicos. Esse é um pré-requisito para obter acesso aos modelos antrópicos na conta. Essa API só é necessária uma vez por conta ou por organização da AWS em todas as regiões comerciais, com exceção das regiões opcionais em que esse formulário precisa ser preenchido novamente. Documentação + API: [PutUseCaseForModelAccess](https://docs.aws.amazon.com/bedrock/latest/APIReference/API_PutUseCaseForModelAccess.html) + [Documentação da CLI: -model-access put-use-case-for](https://docs.aws.amazon.com/cli/latest/reference/bedrock/put-use-case-for-model-access.html) ------ #### [ AWS CLI ] ``` aws bedrock put-use-case-for-model-access \ --form-data ``` ------ #### [ Python ] ``` # Placeholder for form data, replace the names COMPANY_NAME = "" COMPANY_WEBSITE = "" INTENDED_USERS = "1" #for external users INDUSTRY_OPTION = "" OTHER_INDUSTRY_OPTION = "" USE_CASES = "" form_data = { "companyName": COMPANY_NAME, "companyWebsite": COMPANY_WEBSITE, "intendedUsers": INTENDED_USERS, "industryOption": INDUSTRY_OPTION, "otherIndustryOption": OTHER_INDUSTRY_OPTION, "useCases": USE_CASES } form_data_json = json.dumps(form_data) model_access_response = bedrock_client.put_use_case_for_model_access(formData=form_data_json) ``` ------ Para CLI, os dados do formulário são json codificados em base64 do formulário abaixo. ``` { "companyName": COMPANY_NAME, "companyWebsite": COMPANY_WEBSITE, "intendedUsers": INTENDED_USERS, "industryOption": INDUSTRY_OPTION, "otherIndustryOption": OTHER_INDUSTRY_OPTION, "useCases": USE_CASES } ``` + COMPANY\$1NAME: string com comprimento máximo de 128 + COMPANY\$1WEBSITE: string com um comprimento máximo de 128 + USUÁRIOS PRETENDIDOS: 0, 1 ou 2. 0: Interno, 1: Externo, 2: Interno\$1e\$1externo + INDUSTRY\$1OPTION: string com comprimento máximo de 128 + OTHER\$1INDUSTRY\$1OPTION: string com comprimento máximo de 128 + USE\$1CASES: string com comprimento máximo de 8192 ### Etapa 3: Criar um modelo de contrato básico Usado para criar um acordo (acesso) para o modelo de fundação. Use o token de oferta e o modelID acima. Documentação + API: [CreateFoundationModelAgreement](https://docs.aws.amazon.com/bedrock/latest/APIReference/API_CreateFoundationModelAgreement.html) + Documentação da CLI: [create-foundation-model-agreement](https://docs.aws.amazon.com/cli/latest/reference/bedrock/create-foundation-model-agreement.html) ------ #### [ AWS CLI ] ``` aws bedrock create-foundation-model-agreement \ --model-id \ --offer-token ``` ------ #### [ Python ] ``` offer_token= '' for agreement_offer in model_agreement_offers_response['offers']: if agreement_offer['offerId'] == offer_id: offer_token = agreement_offer['offerToken'] print(f"offer token found. Offer token is {offer_token}") break if(not offer_token): print(f"Offer token for modelId: {model_id} is not found") foundation_model_agreement_reponse = bedrock_client.create_foundation_model_agreement(offerToken= offer_token , modelId= model_id) ``` ------ ### Etapa 4: Obter a disponibilidade do modelo básico Usado para verificar se o modelo da fundação atualmente tem acesso ou não. Use o modelID acima. Documentação + API: [GetFoundationModelAvailability](https://docs.aws.amazon.com/bedrock/latest/APIReference/API_GetFoundationModelAvailability.html) + Documentação da CLI: [get-foundation-model-availability](https://docs.aws.amazon.com/cli/latest/reference/bedrock/get-foundation-model-availability.html) ------ #### [ AWS CLI ] ``` aws bedrock get-foundation-model-availability \ --model-id ``` ------ #### [ Python ] ``` model_availability_response = bedrock_client.get_foundation_model_availability(modelId=model_id) ``` ------ **Resposta esperada** `agreementAvailability`- `AVAILABLE` se o acesso `NOT_AVAILABLE` existe, esse acesso não existe. ``` { "modelId": "anthropic.claude-sonnet-4-20250514-v1:0", "agreementAvailability": { "status": "AVAILABLE" }, "authorizationStatus": "AUTHORIZED", "entitlementAvailability": "AVAILABLE", "regionAvailability": "AVAILABLE" } ``` ### [Opcional] Etapa 5: Excluir o contrato do modelo de fundação Usado para excluir o modelo de contrato da fundação (acesso). Use o modelID acima. **nota** Excluir o acesso ao modelo não é suficiente para bloquear o acesso no futuro, pois invocar o modelo criará o acesso novamente. Para garantir que o acesso não seja criado novamente, aplique políticas restritivas de negação do IAM para o modelo. Documentação + API: [DeleteFoundationModelAgreement](https://docs.aws.amazon.com/bedrock/latest/APIReference/API_DeleteFoundationModelAgreement.html) + Documentação da CLI: [delete-foundation-model-agreement](https://docs.aws.amazon.com/cli/latest/reference/bedrock/delete-foundation-model-agreement.html) ------ #### [ AWS CLI ] ``` aws bedrock delete-foundation-model-agreement \ --model-id ``` ------ #### [ Python ] ``` delete_foundation_model_agreement_reponse = bedrock_client.delete_foundation_model_agreement(modelId= model_id) ``` ------ ## Acesse os modelos da Amazon Bedrock Foundation na AWS GovCloud (EUA) As contas da AWS GovCloud (EUA) são vinculadas com one-to-one base nas contas comerciais padrão da AWS. Essa conta comercial vinculada é usada para cobrança, acesso a serviços, fins de suporte e acesso ao Amazon Bedrock Model Marketplace. Para obter mais informações sobre o relacionamento entre contas comerciais GovCloud e contas, consulte [Vinculação de contas padrão na AWS GovCloud (EUA)](https://docs.aws.amazon.com/govcloud-us/latest/UserGuide/getting-started-standard-account-linking.html). Para modelos de terceiros, o acesso ao modelo precisa ser habilitado tanto na conta comercial vinculada da AWS quanto na GovCloud conta da AWS. Para modelos fornecidos pelo Amazon Bedrock, o acesso ao modelo só precisa ser ativado na GovCloud conta. Este é um processo manual. ### Habilitando o acesso ao modelo para a AWS GovCloud em uma conta comercial vinculada da AWS (somente para modelos de terceiros) O acesso ao modelo pode ser habilitado em uma conta comercial da AWS usando duas formas: 1. Invoque o modelo necessário para a conta comercial da AWS em `us-east-1` nossa `us-west-2` região. 1. Habilite programaticamente o acesso ao modelo usando a conta comercial da SDK/CLI AWS em `us-east-1` nossa `us-west-2` região. Isso pode ser feito seguindo as etapas descritas nas seções anteriores. ### Habilitando o acesso ao modelo para a GovCloud conta da AWS Na AWS GovCloud (EUA), você usa a página de **acesso ao modelo** no console Amazon Bedrock na `us-gov-west-1` região para habilitar modelos básicos, conforme descrito abaixo: 1. Certifique-se de ter [permissões para solicitar acesso ao modelo](https://docs.aws.amazon.com/bedrock/latest/userguide/model-access.html#model-access-permissions) para solicitar acesso ou modificar o acesso aos modelos da Amazon Bedrock Foundation. Recomenda-se anexar a [AmazonBedrockFullAccess](https://docs.aws.amazon.com/aws-managed-policy/latest/reference/AmazonBedrockFullAccess.html)política à que user/role está sendo usada. 1. Faça login no console Amazon Bedrock na `us-gov-west-1` região em [https://console.aws.amazon.com/bedrock/](https://console.aws.amazon.com/bedrock/). 1. No painel de navegação à esquerda, em **Configurações do Bedrock**, escolha **Acesso ao modelo.** 1. Na página **Acesso ao modelo**, escolha **Modificar acesso ao modelo**. 1. Selecione os modelos aos quais deseja que a conta tenha acesso e desmarque os modelos aos quais não deseja que a conta tenha acesso. Você tem as seguintes opções: 1. Revise o **Contrato de Licença de Usuário Final (EULA)** para ver os termos e condições de uso de um modelo antes de solicitar acesso a ele. 1. Escolha caixa de seleção ao lado de um modelo individual para marcá-la ou desmarcá-la. 1. Escolha a caixa de seleção da parte superior para marcar ou desmarcar todos os modelos. 1. Selecione como os modelos são agrupados e marque ou desmarque todos os modelos em um grupo escolhendo a caixa de seleção ao lado do grupo. Por exemplo, você pode escolher **Agrupar por provedor** e, em seguida, marcar a caixa de seleção ao lado de **Cohere** para marcar ou desmarcar todos os modelos Cohere. 1. Escolha **Próximo**. 1. Se você adicionar acesso aos modelos antrópicos, deverá descrever os detalhes do seu caso de uso. Escolha **Enviar detalhes do caso de uso**, preencha o formulário e selecione **Enviar formulário**. A notificação de acesso é concedida ou negada com base em suas respostas ao preencher o formulário para o provedor. 1. Revise as alterações de acesso que está fazendo e leia os **Termos**. 1. Se você concordar com os termos, escolha **Enviar**. As alterações podem demorar vários minutos para serem refletidas no console. 1. Se a solicitação for bem-sucedida, o **Status do sucesso** será alterado para **Acesso concedido** ou **Disponível para solicitação**. # Gerencie assinaturas de modelos com o License Manager **nota** A orientação a seguir se aplica somente a modelos sem servidor de terceiros que exigem assinaturas do AWS Marketplace. Organizações com várias contas da AWS geralmente precisam fornecer acesso ao modelo Bedrock de terceiros em várias contas. Sem o gerenciamento centralizado, cada conta deve ter permissões do AWS Marketplace e criar suas próprias assinaturas, aumentando a sobrecarga operacional e dificultando a aplicação de políticas de acesso consistentes. Os direitos gerenciados do Amazon Bedrock resolvem isso, permitindo que você se inscreva uma vez em uma conta de gerenciamento e distribua o acesso às contas membros em toda a sua organização da AWS. Funciona com os dois tipos de assinaturas Bedrock: + **Ativação automática** — Quando a Bedrock cria automaticamente uma assinatura na primeira invocação do modelo + **Ofertas privadas** — preços e termos personalizados negociados com um vendedor por meio do AWS Marketplace O fluxo de trabalho de distribuição usa o AWS License Manager. Quando você assina um modelo, uma licença é criada automaticamente. Em seguida, você cria concessões para compartilhar essa licença com outras contas em sua organização. Os beneficiários ativam seus subsídios para começar a usar o modelo, sem a necessidade de transações adicionais no mercado. **nota** Todas as licenças são criadas na região us-east-1, independentemente de onde você assina ou invoca modelos. # Visão geral do fluxo de trabalho **Etapa 1 - Inscreva-se: assine** um modelo sem servidor Bedrock de terceiros por meio do AWS Marketplace (por meio de habilitação automática ou oferta privada). **Etapa 2 - Criação da licença**: uma licença é gerada automaticamente em us-east-1, representando seu direito. Você pode ver essa licença no console do License Manager em Licenças concedidas. **Etapas 3 - Criar e distribuir subsídios**: Crie subsídios para distribuir a licença. Os subsídios podem ter como alvo uma conta individual da AWS IDs, o ID completo da sua organização ou unidades organizacionais específicas (OUs). + Conta individual da AWS IDs - a concessão aparece no console do License Manager do destinatário + ID da organização - subsídios distribuídos automaticamente para todas as contas dos membros + Unidades organizacionais (OUs) - subsídios distribuídos para todas as contas na OU **Etapa 4 - Ativar**: os subsídios devem ser ativados antes que o modelo possa ser usado: + Subsídios individuais: o beneficiário aceita e ativa seu próprio subsídio + Subsídios da organização/OU: a conta de gerenciamento pode ativar em massa todos os subsídios ou os destinatários ativá-los individualmente **Etapa 5 - Use o modelo**: depois de ativado, os usuários nas contas autorizadas podem invocar o modelo usando o console Amazon Bedrock, o AWS CLI ou o AWS. SDKs # Principais conceitos ## Perfis de contas **Concedente ou administrador**: o usuário que cria a assinatura do modelo sem servidor Bedrock de terceiros por meio do AWS Marketplace. Esse usuário recebe uma licença dessa assinatura e, posteriormente, pode conceder direitos a essa licença a outros membros de sua organização da AWS. Para organizações com todos os recursos habilitados, é altamente recomendável que você assine as licenças do modelo Bedrock de terceiros por meio de sua conta de gerenciamento para aproveitar os mecanismos adicionais de governança, incluindo a aceitação automática de direitos concedidos em contas vinculadas e a capacidade de distribuir para sua ID de organização da AWS. **Beneficiário ou usuário final**: contas que recebem os direitos concedidos pelo Concedente ou Administrador. Depois de concedidas, as licenças podem ser aceitas e ativadas pelos usuários finais sem que eles precisem se inscrever explicitamente no AWS Marketplace novamente. **Administrador delegado**: uma conta de membro em sua organização que foi designada para realizar tarefas administrativas, como distribuir direitos. Somente um administrador delegado por organização da AWS é suportado. Essa conta pode gerenciar licenças independentemente da conta de gerenciamento. Se você optar por usar o administrador delegado, precisará que o administrador delegado assine a oferta inicialmente durante a Etapa 1. ## Estados de licença e concessão Compreender os estados de licença e concessão ajuda você a monitorar o ciclo de vida dos direitos em sua organização. ### Estados da licença **Disponível**: a licença está disponível para uso de acordo com os termos do contrato do AWS Marketplace. **Excluído**: o contrato do AWS Marketplace foi cancelado ou rescindido e o cliente não tem mais acesso a esse modelo licenciado. ### Estados de concessão **Aceitação pendente**: a concessão foi criada e o beneficiário ou usuário final ainda não a aceitou. Esse estado só se aplica a organizações que não têm todos os recursos habilitados. **Desativado**: a concessão foi aceita pelo usuário final, mas não foi ativada para uso imediato. Os subsídios nesse estado não podem ser usados para invocar modelos Bedrock de terceiros. **Ativo**: o subsídio foi aceito e ativado com sucesso. Agora, os usuários finais podem invocar o modelo Bedrock de terceiros. **Rejeitado**: o usuário final rejeitou a licença que lhe foi concedida. Este é um estado terminal para essa concessão. O concedente pode criar uma nova concessão para o usuário final na mesma licença. **Excluído**: o concedente ou administrador excluiu a concessão. Este é um estado terminal para essa concessão. O concedente pode criar uma nova concessão para o usuário final na mesma licença. # Pré-requisitos Antes de usar direitos gerenciados para o Amazon Bedrock, você deve preencher os seguintes pré-requisitos. ## Requisitos da organização da AWS **Todos os recursos habilitados**: Sua organização da AWS deve ter todos os recursos habilitados. Os direitos gerenciados do Bedrock exigem que essa configuração funcione corretamente. Se sua organização usa somente o faturamento consolidado, você deve habilitar todos os recursos antes de continuar. Para habilitar todos os recursos, consulte [Habilitar todos os recursos em sua organização](https://docs.aws.amazon.com/organizations/latest/userguide/orgs_manage_org_support-all-features.html) no Guia do usuário do AWS Organizations. Para verificar se sua organização tem todos os recursos habilitados, navegue até o console do AWS Organizations, escolha Settings no painel de navegação e procure Feature set em Detalhes da organização. Se ele exibir Todos os recursos, você está pronto para continuar. **Acesso à conta de gerenciamento**: você deve ter acesso à conta de gerenciamento da sua organização (também chamada de conta do pagador) para concluir a configuração inicial. A conta de gerenciamento é necessária para habilitar o acesso confiável e criar funções vinculadas ao serviço. **Contas de membros associadas**: Todas as contas de membros que receberão concessões de licença já devem fazer parte da sua organização da AWS. Se você planeja adicionar novas contas, elas receberão automaticamente todas as licenças concedidas à ID da sua organização. ## Perfis vinculados ao serviço As funções vinculadas ao serviço (SLRs) são funções predefinidas do IAM vinculadas diretamente aos serviços da AWS. Para direitos gerenciados, você deve criar tanto SLRs para o AWS License Manager quanto para o AWS Marketplace. Essas funções incluem todas as permissões que os serviços exigem para chamar outros serviços da AWS em seu nome. **Por que SLRs são obrigatórios**: Para o AWS Marketplace, essa permissão é necessária para que o serviço possa orquestrar com sucesso fluxos de trabalho e distribuições de licenças em vários serviços da AWS em seu nome. Para o AWS License Manager, essa permissão permite que o serviço aceite automaticamente concessões entre contas de gerenciamento e de membros em uma all-features-enabled organização e acompanhe a atividade da organização. Você criará essas funções vinculadas ao serviço como parte do processo de configuração descrito na próxima seção. # Configurando direitos gerenciados Conclua as seguintes etapas de configuração uma vez para sua organização da AWS. Depois que a configuração estiver concluída, você poderá assinar modelos Bedrock de terceiros e distribuir licenças em toda a sua organização. ## Etapa 1: determinar se você precisa de um administrador delegado Se você gerenciar licenças diretamente da conta de gerenciamento, vá para a Etapa 2. Para delegar o gerenciamento de licenças a uma conta de membro, primeiro designe um administrador delegado. **Para designar um administrador delegado** 1. Faça login na sua conta de gerenciamento. 1. Abra o console do AWS License Manager em [https://console.aws.amazon.com/license-manager/](https://console.aws.amazon.com/license-manager/). 1. No painel de navegação, selecione **Configurações**. 1. Em **Administrador delegado**, insira o ID da conta da AWS da conta membro que você deseja designar. 1. Escolha **Salvar alterações**. A conta de administrador delegado agora pode criar concessões e distribuir licenças independentemente da conta de gerenciamento. O administrador delegado pode distribuir direitos usando conta individual IDs, ID da organização ou unidade organizacional. IDs Você também pode designar um administrador delegado usando a RegisterDelegatedAdministrator API. Depois de designado, o administrador delegado conclui as etapas 2 e 3 em sua conta. ## Etapa 2: habilitar funções vinculadas ao serviço e acesso confiável Você deve habilitar o acesso confiável e criar funções vinculadas a serviços tanto para o AWS License Manager quanto para o AWS Marketplace. Conclua essas etapas na sua conta de gerenciamento. **Para configurar o AWS License Manager** 1. Faça login na sua conta de gerenciamento. 1. Abra o console do AWS License Manager em [https://console.aws.amazon.com/license-manager/](https://console.aws.amazon.com/license-manager/). 1. Verifique se você está na região us-east-1 (Norte da Virgínia). Todos os recursos de licença são criados e gerenciados nessa região. 1. Quando você acessa o console do License Manager pela primeira vez, aparece um pop-up solicitando que você crie uma função vinculada ao serviço. Escolha **Criar função vinculada ao serviço para aceitar**. 1. No painel de navegação, selecione **Configurações**. 1. Em Gerenciamento de contas, escolha Vincular contas da AWS Organization. Isso permite a aceitação de concessões entre contas e cria uma relação de acesso confiável entre o AWS Organizations e o AWS License Manager. **Para configurar o AWS Marketplace** 1. Enquanto ainda estiver conectado à sua conta de gerenciamento, abra o console do AWS Marketplace em [https://console.aws.amazon.com/marketplace/](https://console.aws.amazon.com/marketplace/). 1. No painel de navegação, selecione **Configurações**. 1. Em **AWS License Manager Integration**, escolha **Exibir detalhes da configuração**. 1. Selecione as duas caixas de seleção: + **Habilite o acesso confiável em toda a sua organização** + **Função vinculada ao serviço de gerenciamento de licenças do AWS Marketplace para esta conta** 1. Selecione **Habilitar integração**. Isso cria a função vinculada ao serviço e a relação de acesso confiável. **Importante** Quando você seleciona **Habilitar acesso confiável em toda a sua organização** a partir da conta de gerenciamento, as funções vinculadas ao serviço são criadas automaticamente para todas as contas de membros em sua organização. Isso garante que qualquer conta que receba um subsídio possa usá-lo. ## Etapa 3: verificação da configuração Depois de concluir as etapas de configuração, verifique se tudo está configurado corretamente. **Para verificar a configuração do AWS License Manager** 1. No console do AWS License Manager, escolha **Configurações** no painel de navegação. 1. Em **Gerenciamento de contas**, confirme se você vê a **vinculação de contas do AWS Organizations: Enabled**. 1. Em **Detalhes da organização**, você deve ver seu ID da organização. **Para verificar a configuração do AWS Marketplace** 1. No console do AWS Marketplace, escolha **Configurações** no painel de navegação. 1. Em **Integração com o AWS License Manager**, confirme que você vê **Integração organizacional: ativada**. 1. Você também deve ver o **status de acesso confiável: Ativado**. **Para verificar as funções vinculadas ao serviço** 1. Abra o console do IAM em [https://console.aws.amazon.com/iam/](https://console.aws.amazon.com/iam/). 1. No painel de navegação, escolha **Perfis**. 1. Na caixa de pesquisa, digite "AWSServiceRoleForAWSLicenseGerente” e verifique se a função existe. 1. Na caixa de pesquisa, digite "AWSServiceRoleForMarketplaceLicenseManagement" e verifique se a função existe. Se você não vê essas funções, aguarde de 2 a 3 minutos para a propagação do IAM e atualize o console. Se as funções ainda não aparecerem, talvez seja necessário criá-las manualmente acessando o console do IAM, escolhendo **Create role**, selecionando o **serviço da AWS** e encontrando License Manager ou Marketplace na lista de serviços. # Assinatura de modelos Bedrock de terceiros por meio de oferta privada Antes de distribuir licenças, você deve primeiro assinar um modelo Bedrock por meio do AWS Marketplace. **Para assinar um modelo Bedrock de terceiros por meio do AWS Marketplace** 1. Escolha o link da oferta privada dos vendedores para começar ou faça login em sua conta de gerenciamento ou conta de cobrança designada 1. Abra o console do AWS Marketplace em [https://console.aws.amazon.com/marketplace/](https://console.aws.amazon.com/marketplace/). 1. Navegue até Ofertas privadas para ver a lista de ofertas disponíveis 1. Revise o contrato de assinatura e os detalhes de preços. 1. Escolha **Inscrever-se** para concluir a assinatura. 1. Você verá uma mensagem de confirmação indicando que sua assinatura está ativa. ## Para verificar a criação da licença Depois de assinar, o AWS License Manager cria automaticamente uma licença para sua assinatura. 1. Aguarde de 1 a 2 minutos para que a licença seja criada. 1. Abra o console do AWS License Manager em [https://console.aws.amazon.com/license-manager/](https://console.aws.amazon.com/license-manager/). 1. Verifique se você está na região us-east-1. 1. No painel de navegação, escolha **Licenças concedidas**. 1. Você deve ver uma nova licença para sua assinatura terceirizada do modelo Bedrock. 1. O status da licença deve ser exibido como **Disponível**. **nota** A licença é sempre criada na região us-east-1, independentemente da região em que você se inscreveu. Sempre verifique o License Manager em us-east-1 para ver suas licenças. Se a licença não aparecer após 5 minutos, verifique se sua assinatura está ativa acessando o console do AWS Marketplace, escolhendo Gerenciar assinaturas e confirmando que sua assinatura terceirizada do modelo Bedrock aparece como Ativa. # Distribuindo licenças Depois de se inscrever em um modelo Bedrock de terceiros e verificar se uma licença foi criada, você pode criar concessões para distribuir o acesso a outras contas em sua organização. ## Compreendendo as opções de distribuição de subsídios Você pode distribuir licenças usando três métodos: **Concessões de contas individuais**: crie uma concessão para um ID de conta específico da AWS. Esse método fornece controle preciso sobre quais contas recebem acesso ao modelo. A conta do destinatário deve aceitar e ativar a concessão antes de usar o modelo. **Subsídios da organização**: crie uma única concessão para todo o seu ID de organização da AWS. Esse método distribui automaticamente a licença para todas as contas dos membros em sua organização. As novas contas que ingressam na organização recebem automaticamente a licença. Para organizações com todos os recursos ativados, os subsídios são automaticamente aceitos e aparecem no estado Desativado, prontos para ativação. **Concessões de unidades organizacionais**: crie uma concessão para uma unidade organizacional específica (OU) dentro da sua organização. Esse método distribui a licença para todas as contas dentro da OU especificada, fornecendo um meio termo entre o controle de contas individuais e a distribuição em toda a organização. ## Crie subsídios ### Console **Para criar uma concessão para uma conta individual** 1. Faça login na sua conta de gerenciamento (ou conta de administrador delegado). 1. Abra o console do AWS License Manager em [https://console.aws.amazon.com/license-manager/](https://console.aws.amazon.com/license-manager/). 1. Verifique se você está na região us-east-1. 1. No painel de navegação, escolha **Licenças concedidas**. 1. Selecione a licença que você deseja compartilhar escolhendo o botão de rádio ao lado da licença. 1. Escolha **Criar concessão**. 1. Em **Detalhes da concessão**, insira um nome descritivo para a concessão em **Nome da concessão**. 1. Em ID **da conta da AWS ou ID da organização da AWS ou ID da unidade organizacional da AWS, insira o ID** da conta da AWS de 12 dígitos da conta do destinatário. 1. Revise os detalhes do seu subsídio. 1. Escolha **Criar concessão**. A concessão foi criada e aparecerá no console do License Manager da conta do destinatário no estado Pending Acceptance ou Disabled, dependendo da configuração da sua organização. **Para criar uma concessão para sua organização** 1. Siga as etapas 1 a 6 do procedimento anterior. 1. Em **Detalhes da concessão**, insira um nome descritivo para a concessão em **Nome da concessão**. 1. Em ID **da conta da AWS, ID da organização da AWS ou ID da unidade organizacional da** AWS, insira sua ID da organização da AWS. + Para encontrar o ID da sua organização, abra o console do AWS Organizations. O ID aparece no painel de navegação e começa com “o-”. 1. Revise os detalhes do seu subsídio. 1. Escolha **Criar concessão**. A concessão é criada e distribuída automaticamente para todas as contas dos membros da sua organização. Para organizações com todos os recursos ativados, os subsídios são automaticamente aceitos e aparecem no estado Desativado na conta de cada membro. **Para criar uma concessão para uma unidade organizacional** 1. Siga as etapas de 1 a 6 do procedimento de criação de subsídio individual. 1. Em **Detalhes da concessão**, insira um nome descritivo para a concessão em **Nome da concessão**. 1. Em ID **da conta da AWS ou ID da organização da AWS ou ID da unidade organizacional da AWS, insira a ID** da sua unidade organizacional (OU). + Para encontrar sua ID de OU, abra o console do AWS Organizations e navegue até sua OU. O ID começa com “ou-”. 1. Revise os detalhes do seu subsídio. 1. Escolha **Criar concessão**. O subsídio é criado e distribuído automaticamente para todas as contas dos membros dentro da unidade organizacional especificada. Substitua o ARN da licença, o ID da conta e o ID da organização pelos seus valores reais. ### solicitações de Cria uma concessão para distribuir uma licença para outras contas, organizações ou unidades organizacionais da AWS por meio da [CreateGrantAPI](https://docs.aws.amazon.com/license-manager/latest/APIReference/API_CreateGrant.html) ## Acompanhamento de subsídios distribuídos Como concedente ou administrador, você pode acompanhar todas as concessões que criou. ### Console **Para ver seus subsídios distribuídos** 1. Abra o console do AWS License Manager em [https://console.aws.amazon.com/license-manager/](https://console.aws.amazon.com/license-manager/). 1. No painel de navegação, escolha **Licenças concedidas**. 1. Escolha a licença para a qual você deseja revisar as concessões. 1. Na página de detalhes da licença, vá até a seção **Concessões**. 1. Você verá uma lista de todas as concessões criadas para esta licença, incluindo nome, destinatário e status da concessão. Para subsídios para toda a organização, você pode ver os status de subsídios individuais em nível de conta escolhendo o nome do subsídio para ver a página de detalhes do subsídio. ### solicitações de Você também pode ver subsídios distribuídos usando a [ListDistributedGrants API.](https://docs.aws.amazon.com/license-manager/latest/APIReference/API_ListDistributedGrants.html) # Aceitando e ativando subsídios Depois que um subsídio for distribuído para uma conta de membro, o subsídio deve ser aceito e ativado antes que o modelo Bedrock de terceiros possa ser usado. O fluxo de trabalho de aceitação e ativação difere dependendo da configuração da sua organização. ## Para organizações com todos os recursos habilitados Quando você cria uma concessão para uma conta membro em uma organização com todos os recursos ativados, a concessão é aceita automaticamente e aparece no estado Desativado. O concedente pode ativar a concessão para todos os destinatários ou cada destinatário pode ativar sua própria concessão. ### Console **Para ativar subsídios como concedente (ativação em massa)** 1. Faça login na sua conta de gerenciamento (ou conta de administrador delegado). 1. Abra o console do AWS License Manager em [https://console.aws.amazon.com/license-manager/](https://console.aws.amazon.com/license-manager/). 1. No painel de navegação, escolha **Licenças concedidas**. 1. Escolha a concessão que você deseja ativar. Para subsídios para toda a organização, selecione o subsídio principal. 1. Selecione **Ativar**. 1. Confirme a ativação. Essa ação ativa a concessão para todas as contas de destinatários. Você pode verificar os status de subsídios de contas individuais na página de detalhes do subsídio rolando até a seção **Subsídios**. **Para ativar subsídios como beneficiário** 1. Faça login na conta do membro destinatário. 1. Abra o console do AWS License Manager em [https://console.aws.amazon.com/license-manager/](https://console.aws.amazon.com/license-manager/). 1. Verifique se você está na região us-east-1. 1. No painel de navegação, escolha **Licenças concedidas**. 1. Escolha a concessão que você deseja ativar. 1. Selecione **Ativar**. 1. Confirme a ativação. O status da concessão muda para Ativo, e os usuários da sua conta agora podem invocar o modelo Bedrock de terceiros. ## Somente para organizações com faturamento consolidado Se sua organização usa o faturamento consolidado sem todos os recursos habilitados, os subsídios aparecem em um estado de aceitação pendente na conta do destinatário. O destinatário deve primeiro aceitar a concessão e depois ativá-la. ### Console **Para aceitar e ativar um subsídio (organizações de cobrança consolidada)** 1. Faça login na conta do membro destinatário. 1. Abra o console do AWS License Manager em [https://console.aws.amazon.com/license-manager/](https://console.aws.amazon.com/license-manager/). 1. Verifique se você está na região us-east-1. 1. No painel de navegação, escolha **Licenças concedidas**. 1. Escolha o subsídio que você deseja aceitar. 1. Escolha **Aceitar e ativar** para aceitar e ativar a concessão em uma ação. + Como alternativa, escolha **Aceitar** para aceitar a concessão, mas mantê-la no estado Desativado para futura ativação. + Ou escolha **Rejeitar** para recusar a licença (esse é um estado terminal). Se você escolher **Aceitar**, deverá voltar mais tarde e escolher **Ativar** para começar a usar o modelo. ## solicitações de [Você pode ativar subsídios de forma programática usando a CreateGrantVersion API.](https://docs.aws.amazon.com/license-manager/latest/APIReference/API_CreateGrantVersion.html) # Usando modelos Bedrock de terceiros com licenças concedidas Depois que uma concessão for ativada em sua conta, você poderá invocar o modelo Bedrock de terceiros usando o console Amazon Bedrock, o AWS CLI ou o AWS. SDKs A experiência é idêntica à invocação de um modelo com uma assinatura direta. ## Para verificar se você tem uma licença ativa Antes de tentar usar um modelo Bedrock de terceiros, verifique se sua concessão está em um estado ativo. 1. Abra o console do AWS License Manager em [https://console.aws.amazon.com/license-manager/](https://console.aws.amazon.com/license-manager/). 1. Verifique se você está na região us-east-1. 1. No painel de navegação, escolha **Licenças concedidas**. 1. Encontre a bolsa para o modelo Bedrock de terceiros que você deseja usar. 1. Verifique se o status da concessão aparece como **Ativo**. Se o status mostrar Desativado, você deverá ativar a concessão antes de usar o modelo. Se o status mostrar Aceitação pendente, você deverá primeiro aceitar a concessão. ## Para invocar um modelo Bedrock de terceiros com uma licença concedida 1. Abra o console do Amazon Bedrock em qualquer região compatível em que o modelo esteja disponível. 1. No painel de navegação, escolha **Texto** ou **Chat** em **Playgrounds**, dependendo do tipo de modelo. 1. Selecione o modelo para o qual você tem uma licença no menu suspenso de modelos. 1. Insira sua solicitação e escolha **Executar**. A invocação do modelo funciona da mesma forma como se você tivesse se inscrito diretamente. Todo o uso é cobrado na conta que mantém a assinatura original (normalmente a conta de gerenciamento). [Você também pode invocar modelos de forma programática usando a AWS CLI ou a AWS com a API. SDKs InvokeModel ](https://docs.aws.amazon.com/bedrock/latest/APIReference/API_runtime_InvokeModel.html) O único requisito é que você tenha uma concessão de licença ativa em sua conta. # Gerencias concessões Depois de criar subsídios, talvez seja necessário modificá-los, desativá-los ou excluí-los com base nas mudanças nas necessidades organizacionais. ## Editando nomes de subsídios ### Console Você pode alterar o nome de uma concessão para adicionar mais detalhes ou melhorar a organização. **Para editar o nome de uma concessão** 1. Abra o console do AWS License Manager em [https://console.aws.amazon.com/license-manager/](https://console.aws.amazon.com/license-manager/). 1. No painel de navegação, escolha **Licenças concedidas**. 1. Escolha a licença que contém a concessão que você deseja editar. 1. Na seção **Concessões**, escolha o botão de rádio ao lado da concessão. 1. Escolha **Editar**. 1. Atualize o campo **Nome da concessão**. 1. Escolha **Salvar alterações**. ## Desativando subsídios Talvez você queira revogar temporariamente o acesso a um modelo Bedrock de terceiros sem excluir permanentemente a concessão. A desativação de uma concessão a move para o estado Desativado. ### Console **Para desativar uma concessão** 1. Abra o console do AWS License Manager em [https://console.aws.amazon.com/license-manager/](https://console.aws.amazon.com/license-manager/). 1. No painel de navegação, escolha **Licenças concedidas**. 1. Escolha a licença que contém a concessão que você deseja desativar. 1. Na seção **Subsídios**, escolha o nome do subsídio. 1. Selecione **Desativar**. 1. Digite “desativar” na caixa de confirmação. 1. Selecione **Desativar**. **Importante** A desativação de uma concessão não afeta nenhuma carga de trabalho ativa ou invocação de modelo que esteja em execução no momento. No entanto, novas solicitações para invocar o modelo serão negadas após a desativação. ## Excluindo subsídios Se você quiser revogar permanentemente o acesso a um modelo Bedrock de terceiros, você pode excluir a concessão. Essa ação é terminal e não pode ser desfeita. **Para excluir uma concessão** 1. Abra o console do AWS License Manager em [https://console.aws.amazon.com/license-manager/](https://console.aws.amazon.com/license-manager/). 1. No painel de navegação, escolha **Licenças concedidas**. 1. Escolha a licença que contém a concessão que você deseja excluir. 1. Na seção **Subsídios**, escolha o nome do subsídio. 1. Escolha **Excluir**. 1. Digite “excluir” na caixa de confirmação. 1. Escolha **Excluir**. Depois de excluída, a conta do destinatário não poderá mais ativar novas instâncias ou invocar o modelo Bedrock de terceiros usando essa concessão. As invocações ativas do modelo continuarão sendo executadas até serem concluídas. **nota** Se você excluir uma concessão por engano, poderá criar uma nova concessão para a mesma conta. A nova concessão será independente da concessão excluída. ## solicitações de Você pode desativar as concessões usando a [CreateGrantVersion API](https://docs.aws.amazon.com/license-manager/latest/APIReference/API_CreateGrantVersion.html) com o status definido como DISABLED e excluir as concessões usando a [DeleteGrant API](https://docs.aws.amazon.com/license-manager/latest/APIReference/API_DeleteGrant.html). # Referência da API Esta seção fornece documentação abrangente da API para gerenciar programaticamente direitos gerenciados para o Bedrock. Todos APIs interagem com o AWS License Manager na região us-east-1. ## Visão geral da API O AWS License Manager a seguir APIs é usado para direitos gerenciados: | Operação de API | Finalidade | Caso de uso comum | | --- | --- | --- | | CreateGrant | Crie uma nova concessão para distribuir licenças | Distribua o acesso ao modelo Bedrock às contas dos membros | | ListDistributedGrants | Liste todas as bolsas que você criou | Rastreie quais contas receberam acesso | | ListReceivedGrants | Liste todos os subsídios recebidos pela sua conta | Exibir licenças disponíveis em uma conta de membro | | GetGrant | Obtenha detalhes sobre um subsídio específico | Verifique o status e a configuração da concessão | | CreateGrantVersion | Atualizar o status da concessão (ativar/desativar) | Ativar ou desativar uma concessão | | AcceptGrant | Aceitar um subsídio recebido | A conta do membro aceita a licença da conta de gerenciamento | | RejectGrant | Rejeitar um subsídio recebido | A conta do membro recusa uma licença | | DeleteGrant | Excluir permanentemente uma concessão | Revogar o acesso a um modelo Bedrock | | ListReceivedLicenses | Listar licenças em sua conta | Veja todas as licenças disponíveis do modelo Bedrock | | GetLicense | Obtenha detalhes sobre uma licença | Verifique o status e os metadados da licença | # Solução de problemas Esta seção fornece soluções para problemas comuns que você pode encontrar ao usar direitos gerenciados para o Amazon Bedrock. ## A licença não aparece no License Manager após a assinatura **Possíveis causas e soluções:** + **Assinatura ainda não processada**: aguarde 5 minutos e atualize o console do License Manager. As licenças podem levar alguns minutos para serem criadas após a assinatura. + **Procurando na região errada**: verifique se você está visualizando o License Manager na região us-east-1 (Norte da Virgínia). Todas as licenças são criadas em us-east-1, independentemente da região da assinatura. + **Falha na assinatura**: acesse o console do AWS Marketplace, escolha **Gerenciar assinaturas** e verifique se a assinatura aparece como ativa. Se não estiver ativo, tente novamente o processo de assinatura. + **Funções vinculadas ao serviço não configuradas**: retorne à seção Configuração de direitos gerenciados e conclua todas as etapas de pré-requisito. Verifique se SLRs existe no console do IAM escolhendo **Funções** e pesquisando os nomes de função necessários. ## O subsídio não aparece na conta do destinatário **Possíveis causas e soluções:** + **Subsídio ainda não distribuído**: aguarde de 2 a 3 minutos após criar o subsídio. Verifique a conta do concedente para confirmar que a concessão foi criada com sucesso. + **Destinatário procurando na região errada**: o destinatário deve verificar o License Manager na região us-east-1. Todas as bolsas aparecem somente em us-east-1. + **A conta do destinatário não tem funções vinculadas ao serviço**: para organizações sem todos os recursos habilitados, cada conta precisa de funções vinculadas ao serviço. O destinatário deve concluir as etapas de pré-requisito em sua própria conta. + **ID de conta incorreta usada**: verifique se o ID correto da conta da AWS de 12 dígitos foi inserido ao criar a concessão. Verifique se há erros de digitação no ID da conta. ## Não é possível ativar a concessão **Possíveis causas e soluções:** + **Licença ativa existente para o mesmo modelo**: a conta do destinatário pode já ter uma licença ativa para esse modelo. Primeiro, desative ou exclua a licença existente e, em seguida, ative a nova concessão. + **Subsídio ainda não aceito**: para organizações sem todos os recursos habilitados, o destinatário deve primeiro aceitar o subsídio antes que ele possa ser ativado. + **Permissões do IAM insuficientes**: o usuário precisa de `license-manager:CreateGrantVersion` permissão. Entre em contato com o administrador da conta para conceder as permissões necessárias. + **Concessão no estado errado**: a concessão deve estar no estado Desativado ou Aceitação Pendente para ser ativada. Verifique o status da concessão no console do License Manager. ## Não é possível usar o modelo Bedrock após ativar a concessão **Possíveis causas e soluções:** + **Concessão não totalmente ativada**: verifique se o status da concessão aparece como Ativo (não desativado ou pendente). Tente desativar e reativar a concessão. + **Permissões básicas ausentes**: o usuário precisa da permissão `bedrock:InvokeModel` do IAM. Adicione permissões do Bedrock à função ou política do IAM do usuário. + **Modelo não disponível na região**: alguns modelos Bedrock só estão disponíveis em regiões específicas. Verifique a disponibilidade do modelo no console Bedrock em sua região. + **Problema de cobrança**: verifique se a conta de gerenciamento tem uma forma de pagamento válida. Verifique se há retenções de conta ou problemas de cobrança no console de faturamento. ## Erros de acesso negado ao configurar **Possíveis causas e soluções:** + **Não usar a conta de gerenciamento**: a configuração deve ser feita a partir da conta administrativa ou do pagador. Verifique se você está conectado à conta correta verificando a ID da conta no console. + **Permissões IAM insuficientes**: necessidades `organizations:EnableAWSServiceAccess` e `iam:CreateServiceLinkedRole` permissões do usuário. Entre em contato com seu administrador para conceder as permissões necessárias. + **Organização não configurada**: você deve ter uma organização da AWS criada primeiro. Crie uma organização antes de tentar configurar direitos gerenciados. ## Obter ajuda adicional Se você ainda tiver problemas depois de tentar essas soluções: + **Verifique o AWS Service Health Dashboard**: visite [https://health.aws.amazon.com/health/o status](https://health.aws.amazon.com/health/status) e procure quaisquer problemas contínuos com os serviços License Manager, Marketplace ou Bedrock. + **Analise CloudTrail os registros da AWS**: acesse o CloudTrail Console, pesquise eventos relacionados ao License Manager e ao Marketplace e procure mensagens de erro ou chamadas de API com falha. + **Entre em contato com o AWS Support**: Abra um caso de suporte com o AWS Support. Inclua sua conta IDs, nomes de modelos da Bedrock, mensagens de erro e etapas que você tomou. Especifique que você está usando direitos gerenciados para o Bedrock. # Perguntas frequentes ## Definição e configuração **P: Minha organização usa somente o faturamento consolidado. Ainda posso usar direitos gerenciados?** R: Sim, mas com limitações. Organizações com faturamento consolidado podem usar direitos gerenciados, mas os subsídios exigirão aceitação manual em cada conta do destinatário. Para obter a melhor experiência, recomendamos ativar todos os recursos em sua organização, o que permite a aceitação automática de subsídios e a distribuição em toda a organização. **P: Posso usar uma conta de membro em vez da conta de gerenciamento para gerenciar licenças?** R: Sim. Você pode designar uma conta de administrador delegado para gerenciar a distribuição de licenças. Essa conta de membro pode criar e distribuir subsídios independentemente da conta de gerenciamento. No entanto, há suporte para apenas um administrador delegado por organização. **P: Preciso configurar direitos gerenciados em todas as regiões da AWS?** R: Não. Todo o gerenciamento de licenças acontece na região us-east-1 (Norte da Virgínia), independentemente de onde você usa os modelos Bedrock. Depois de concluir a configuração em us-east-1, você pode invocar modelos licenciados em qualquer região compatível do Bedrock. ## Ofertas e preços privados **P: Como os direitos gerenciados funcionam com as ofertas privadas do AWS Marketplace?** R: Os direitos gerenciados permitem que você aceite ofertas privadas em sua conta de gerenciamento e depois distribua o acesso a contas vinculadas adicionais. Quando você cria subsídios, os preços e os termos da Oferta Privada se aplicam automaticamente a todas as contas de destinatários. Isso garante preços consistentes em toda a organização e elimina a necessidade de cada conta aceitar a oferta individualmente. **P: Quem é cobrado quando uma conta de membro usa uma licença concedida?** R: A conta que contém a assinatura original (normalmente a conta de gerenciamento) é cobrada por todo o uso nas contas concedidas. Esse faturamento centralizado fornece uma visibilidade clara dos custos totais da Bedrock em toda a sua organização. **P: Contas de membros diferentes podem ter preços diferentes para o mesmo modelo?** R: Não. Quando você distribui licenças por meio de direitos gerenciados, todas as contas de destinatários usam os mesmos termos de preço da assinatura original, incluindo quaisquer descontos de oferta privada. ## Distribuição de licenças **P: Quanto tempo leva para que os subsídios apareçam nas contas dos beneficiários?** R: Para concessões de contas individuais, as licenças geralmente aparecem em 2 a 3 minutos. Para subsídios em toda a organização para milhares de contas, a distribuição pode levar de 15 a 30 minutos ou mais. Verifique o console do License Manager para verificar o status da concessão. **P: Preciso criar uma concessão para cada conta que precisa de acesso?** R: Não. Se sua organização tiver todos os recursos habilitados, crie uma única concessão para sua ID da organização para distribuir automaticamente as licenças para todas as contas dos membros, incluindo contas que ingressarão posteriormente. Caso contrário, crie subsídios individuais ou subsídios para unidades organizacionais (OUs). **P: O que acontece quando uma nova conta entra na minha organização?** R: Se você distribuiu uma concessão para sua ID da organização, as novas contas receberão automaticamente a licença e o acesso ao modelo. Para concessões de contas individuais, você deve criar manualmente uma concessão para a nova conta. **P: Posso distribuir licenças para contas fora da minha organização?** R: Não. Os direitos gerenciados só funcionam dentro da sua organização da AWS. Você não pode compartilhar licenças com contas que não façam parte da estrutura da sua organização. **P: Posso conceder acesso a unidades organizacionais específicas (OUs) em vez de toda a minha organização?** R: Sim. Ao criar uma concessão, você pode especificar uma ID de OU para distribuir licenças somente para contas dentro dessa OU. Isso fornece um meio termo entre o controle de contas individuais e a distribuição em toda a organização. **P: Eu tenho assinaturas existentes em várias contas de membros. Como faço para migrar para o gerenciamento centralizado?** R: Quando as contas dos membros têm modelos Bedrock ativos e sua conta pagadora distribui uma assinatura do mesmo modelo, a troca de subsídios entra em vigor, os direitos à primeira assinatura são desativados e agora eles têm direitos sobre o novo subsídio distribuído. ## Gestão de subsídios **P: Posso revogar temporariamente o acesso sem excluir a concessão?** R: Sim. Você pode desativar a concessão para movê-la para o estado Desativado. No entanto, desativar uma concessão não bloqueia o acesso ao modelo — a conta do membro ainda pode invocar o modelo. O que muda é o faturamento: enquanto o subsídio estiver desativado, a conta do membro será cobrada de acordo com as tarifas públicas, em vez do preço da oferta privada negociada. Você pode reativar a concessão posteriormente para restaurar os termos da oferta privada sem precisar recriá-la. **P: O que acontece com o acesso ao modelo se eu excluir ou desativar uma concessão?** R: A conta do membro continuará a ter acesso ao modelo — excluir ou desativar uma concessão não interrompe a capacidade de invocar o modelo. No entanto, sem um subsídio ativo, a conta do membro será cobrada de acordo com tarifas públicas em vez de qualquer preço de oferta privada negociado. **P: Posso ver quais contas estão realmente usando as licenças que eu distribuí?** R: No AWS License Manager, você pode ver quais contas têm concessões e seu status de ativação. Para obter métricas de uso detalhadas e rastreamento de chamadas de API, use a AWS CloudTrail. Para métricas de invocação do modelo, use o console Amazon Bedrock ou CloudWatch as métricas em cada conta. **P: Se eu excluir uma concessão por engano, posso restaurá-la?** R: Não. A exclusão de uma concessão é permanente e não pode ser desfeita. No entanto, você pode criar uma nova concessão para a mesma conta com a mesma configuração. O acesso ao modelo não será interrompido — a conta do membro pode continuar invocando o modelo durante o intervalo. O principal impacto é o faturamento: durante o período entre a exclusão da concessão e a ativação da nova concessão, a conta do membro será cobrada de acordo com tarifas públicas, em vez de qualquer preço negociado de oferta privada. **P: O que acontece com as licenças concedidas em contas vinculadas quando a assinatura principal expira na conta de gerenciamento?** R: As contas vinculadas continuarão a ter acesso ao modelo quando a assinatura principal expirar na conta de gerenciamento. No entanto, eles serão cobrados de acordo com tarifas públicas, em vez de qualquer preço negociado de oferta privada. ## Configurações especiais **P: Como os direitos gerenciados funcionam para os clientes da AWS GovCloud ?** R: GovCloud os clientes têm uma conta comercial da AWS vinculada a uma GovCloud conta. Assine os modelos Bedrock e gerencie licenças na hierarquia da organização de contas comerciais. Quando você concede uma licença para uma conta comercial vinculada, a GovCloud conta associada recebe automaticamente o direito e pode invocar o modelo. **P: Posso usar direitos gerenciados com o AWS Control Tower ou o AWS Service Catalog?** R: Sim. Você pode integrar direitos gerenciados à APIs sua fábrica de contas do AWS Control Tower ou aos portfólios do Service Catalog para automatizar a distribuição de licenças quando novas contas são criadas. **P: Várias contas de gerenciamento podem assinar o mesmo modelo Bedrock?** R: Sim. Contas diferentes podem assinar o mesmo modelo de forma independente. Cada assinatura cria sua própria licença separada que pode ser distribuída para diferentes conjuntos de contas de membros. ## Solução de problemas **P: Por que não vejo minha licença no License Manager depois de assinar?** R: As licenças podem levar de 1 a 2 minutos para serem exibidas após a assinatura. Verifique se você está visualizando o License Manager na região us-east-1, pois todas as licenças são criadas lá, independentemente de onde você se inscreveu. Se ela ainda não aparecer após 5 minutos, verifique se sua assinatura está ativa no console do AWS Marketplace. **P: Minha conta de destinatário não consegue ver a concessão que eu criei. O que devo verificar?** R: Verifique se o destinatário está verificando o License Manager na região us-east-1. Confirme se você inseriu o ID correto da conta de 12 dígitos ao criar a concessão. Aguarde de 2 a 3 minutos para a distribuição do subsídio. Para organizações sem todos os recursos habilitados, certifique-se de que a conta do destinatário tenha funções vinculadas ao serviço criadas. **P: Por que não consigo ativar uma concessão na minha conta?** R: Verifique se a concessão está no estado de aceitação desativada ou pendente. Se você já tiver uma licença ativa para o mesmo modelo, desative-a ou exclua-a primeiro. Certifique-se de ter a permissão `license-manager:CreateGrantVersion` do IAM. Para organizações de cobrança consolidada, confirme se você aceitou a concessão antes de tentar a ativação.