As traduções são geradas por tradução automática. Em caso de conflito entre o conteúdo da tradução e da versão original em inglês, a versão em inglês prevalecerá.

# Principais elementos de política necessários para criptografar seu trabalho de avaliação de modelo usando AWS KMS
<a name="model-evaluation-security-kms"></a>

Cada AWS KMS chave deve ter exatamente uma política de chaves. As declarações na política de chaves determinam quem tem permissão para usar a AWS KMS chave e como eles podem usá-la. Você também pode usar políticas e concessões do IAM para controlar o acesso à AWS KMS chave, mas cada AWS KMS chave deve ter uma política de chaves.

**AWS KMS Principais elementos de política necessários no Amazon Bedrock**
+ `kms:Decrypt`: para arquivos que você criptografou com a sua chave do AWS Key Management Service , fornece ao Amazon Bedrock permissões para acessar e descriptografar esses arquivos.
+ `kms:GenerateDataKey`: controla a permissão para usar a chave do AWS Key Management Service para gerar chaves de dados. O Amazon Bedrock usa `GenerateDataKey` para criptografar os dados temporários que armazena para o trabalho de avaliação.
+ `kms:DescribeKey`: fornece informações detalhadas sobre uma chave do KMS. 

Você deve adicionar a seguinte declaração à sua política de AWS KMS chaves existente. Ele fornece ao Amazon Bedrock permissões para armazenar temporariamente seus dados em um bucket de serviço do Amazon Bedrock especificado por você usando o AWS KMS .

```
{
	"Effect": "Allow",
	"Principal": {
	    "Service": "bedrock.amazonaws.com"
	},
	"Action": [
	    "kms:GenerateDataKey",
	    "kms:Decrypt",
	    "kms:DescribeKey"
	],
	"Resource": "*",
	"Condition": {
	    "StringLike": {
	        "kms:EncryptionContext:evaluationJobArn": "arn:aws:bedrock:{{region}}:{{accountId}}:evaluation-job/*",
	        "aws:SourceArn": "arn:aws:bedrock:{{region}}:{{accountId}}:evaluation-job/*"
	    }
	}
}
```

Veja a seguir um exemplo de uma AWS KMS política completa.

------
#### [ JSON ]

****  

```
{
    "Version":"2012-10-17",		 	 	 
    "Id": "key-consolepolicy-3",
    "Statement": [
        {
            "Sid": "EnableIAMUserPermissions",
            "Effect": "Allow",
            "Principal": {
            "AWS": "arn:aws:iam::{{111122223333}}:root"
            },
            "Action": "kms:*",
            "Resource": "*"
        },
        {
            "Sid": "BedrockDataKeyAndDecrypt",
            "Effect": "Allow",
            "Principal": {
                "Service": "bedrock.amazonaws.com"
            },
            "Action": [
                "kms:GenerateDataKey",
                "kms:Decrypt"
            ],
            "Resource": "*",
            "Condition": {
                "ArnLike": {
                    "kms:EncryptionContext:evaluationJobArn": "arn:aws:bedrock:{{us-east-1}}:{{123456789012}}:evaluation-job/*",
                    "aws:SourceArn": "arn:aws:bedrock:{{us-east-1}}:{{123456789012}}:evaluation-job/*"
                }
            }
        },
        {
            "Sid": "BedrockDescribeKey",
            "Effect": "Allow",
            "Principal": {
                "Service": "bedrock.amazonaws.com"
            },
            "Action": "kms:DescribeKey",
            "Resource": "*",
            "Condition": {
                "ArnLike": {
                    "aws:SourceArn": "arn:aws:bedrock:{{us-east-1}}:{{123456789012}}:evaluation-job/*"
                }
            }
        }
    ]
}
```

------

## Configurando permissões do KMS para funções de chamada CreateEvaluationJob de API
<a name="model-evaluation-kms-create-job"></a>

Verifique se você tem DescribeKey GenerateDataKey, e as permissões Decrypt para sua função usada para criar o trabalho de avaliação na chave KMS que você usa em seu trabalho de avaliação.

Exemplo de política de chave do KMS

```
{
    "Statement": [
       {
            "Effect": "Allow",
            "Principal": {
                "AWS": "arn:aws:iam::account-id:role/APICallingRole"
            },
            "Action": [
                "kms:Decrypt",
                "kms:GenerateDataKey",
                "kmsDescribeKey"
            ],
            "Resource": "*"
       }
   ]
}
```

Exemplo de política do IAM para CreateEvaluationJob API de Role Calling

------
#### [ JSON ]

****  

```
{
    "Version":"2012-10-17",		 	 	 
    "Statement": [
        {
            "Sid": "CustomKMSKeyProvidedToBedrockEncryption",
            "Effect": "Allow",
            "Action": [
                "kms:GenerateDataKey",
                "kms:Decrypt",
                "kms:DescribeKey"
            ],
            "Resource": [
                "arn:aws:kms:{{us-east-1}}:{{123456789012}}:key/{{keyYouUse}}"
            ]
        }
    ]
}
```

------