Pré-requisitos do gerenciamento de prompts

Se sua função tiver a política AmazonBedrockFullAccessAWSgerenciada anexada, você poderá pular esta seção. Caso contrário, siga as etapas em Atualizar a política de permissões de um perfil e anexe a seguinte política a um perfil para fornecer permissões para executar ações relacionadas ao Gerenciamento de Prompts:

Para restringir ainda mais as permissões, você pode omitir ações ou especificar chaves de recurso e de condição que devem ser usadas para filtrar permissões. Para ter mais informações sobre ações, recursos e chaves de condição, consulte os tópicos a seguir na Referência de autorização do serviço.

Se você planeja criptografar seu prompt com uma chave gerenciada pelo cliente em vez de usar uma Chave gerenciada pela AWS (para obter mais informações, consulte AWS KMSchaves), crie as seguintes políticas:

1. Siga as etapas em Criação de uma política de chaves e anexe a seguinte política de chaves a uma chave KMS para permitir que o Amazon Bedrock criptografe e descriptografe um prompt com a chave, substituindo-a conforme necessário. values A política contém chaves de condição opcionais (consulte Chaves de condição do Amazon Bedrock e Chaves de contexto de condição globais da AWS) no campo Condition que devem ser usadas como uma prática recomendada de segurança.

   {
       "Sid": "EncryptFlowKMS",
       "Effect": "Allow",
       "Principal": {
           "Service": "bedrock.amazonaws.com"
       },
       "Action": [
           "kms:GenerateDataKey",
           "kms:Decrypt"
       ],
       "Resource": "*",
       "Condition": {
           "StringEquals": {
               "kms:EncryptionContext:aws:bedrock-prompts:arn": "arn:${partition}:bedrock:${region}:${account-id}:prompt/${prompt-id}"
           }
       }
   }

2. Siga as etapas em Atualizar a política de permissões de uma função e anexe a política a seguir à função de gerenciamento de prompts, substituindo-a values conforme necessário, para permitir que ela gere e descriptografe a chave gerenciada pelo cliente para uma solicitação. A política contém chaves de condição opcionais (consulte Chaves de condição do Amazon Bedrock e Chaves de contexto de condição globais da AWS) no campo Condition que devem ser usadas como uma prática recomendada de segurança.

   {
       "Sid": "KMSPermissions",
       "Effect": "Allow",
       "Action": [
           "kms:GenerateDataKey",
           "kms:Decrypt"
       ],
       "Resource": [
           "arn:aws:kms:${region}:${account-id}:key/${key-id}"
       ],
        "Condition": {
           "StringEquals": {
               "aws:ResourceAccount": "${account-id}"
           }
       }
   }