通过亚马逊 Bedrock Guardrails 强制执行措施应用跨账户保障

规划您的护栏配置

1. 定义您的保障措施：

   • 查看亚马逊 Bedrock Guardrails 文档中可用的护栏过滤器

   • 确定您需要哪个过滤器。当前，支持内容过滤器、被拒绝的主题、字词过滤器、敏感信息过滤器、上下文基础检查。

   • 重要

     请勿包含自动推理策略，因为该策略不支持护栏强制执行，并且会导致运行时故障。

2. 确定目标账户：

   • 确定哪些业务单位、账户或整个组织将强制执行此护栏

在管理账户中创建护栏

使用以下方法之一在要强制执行的每个区域创建护栏：

• 使用 AWS 管理控制台：

  1. 使用有权使用亚马逊 Bedrock 控制台的 IAM 身份登录。 AWS 管理控制台 然后，在以下位置打开亚马逊 Bedrock 控制台。 https://console.aws.amazon.com/bedrock

  2. 在左侧导航面板中，选择 Guardrails

  3. 选择创建护栏

  4. 按照向导配置所需的过滤器或安全措施（内容过滤器、被拒绝的主题、文字过滤器、敏感信息过滤器、上下文基础检查）

  5. 不要启用自动推理政策

  6. 完成巫师来创建你的护栏

• 使用 API：使用 CreateGuardrail API

Verify

创建后，您应该在 Guardrails 登录页面的护栏列表中看到它，或者使用护栏名称在护栏列表中进行搜索

创建护栏版本

创建数字版本以确保护栏配置保持不可变且无法由成员账户修改。

• 使用 AWS 管理控制台：

  1. 在 Amazon Bedrock 控制台的 Guardrails 页面上选择在上一步中创建的护栏

  2. 选择创建版本

  3. 记下护栏 ARN 和版本号（例如，“1”、“2”）

• 使用 API：使用 CreateGuardrailVersion API

Verify

查看 Guardrail 详细信息页面上的版本列表，确认版本已成功创建。

附加基于资源的策略

通过在护栏上附加基于资源的策略来启用跨账户访问。

• 使用 AWS 管理控制台 — 要使用控制台附加基于资源的策略，请执行以下操作：

  1. 在亚马逊 Bedrock Guardrails 控制台中，选择您的护栏

  2. 选择 “添加” 以添加基于资源的策略

  3. 添加向所有成员账户或组织bedrock:ApplyGuardrail授予权限的政策。请参阅 使用基于资源的策略进行护栏 中的 与您的组织共享护栏。

  4. 保存政策

Verify

使用 ApplyGuardrail API 测试成员账户的访问权限，确保授权配置正确。

在成员账户中配置 IAM 权限

确保成员账户中的所有角色都拥有访问强制防护栏的 IAM 权限。

所需的权限

成员账户角色需要管理账户护栏的bedrock:ApplyGuardrail权限。设置使用 Amazon Bedrock 护栏的权限有关详细的 IAM 策略示例，请参阅

Verify

确认在成员账户中具有限定权限的角色可以成功使用护栏调用 ApplyGuardrail API。

在中启用 Amazon Bedrock 策略类型 AWS Organizations

• 使用 AWS 管理控制台 — 要使用控制台启用 Amazon Bedrock 策略类型，请执行以下操作：

  1. 导航到控制 AWS Organizations 台

  2. 选择政策

  3. 选择亚马逊 Bedrock 政策

  4. 选择 “启用亚马逊 Bedrock 策略” 为您的组织启用 Amazon Bedrock 策略类型

• 使用 API — 使用带有策略类型 AWS Organizations EnablePolicyType的 API BEDROCK_POLICY

Verify

确认 AWS Organizations 控制台中的亚马逊 Bedrock 策略类型显示为已启用。

创建并附加 AWS Organizations policy

创建指定护栏的管理策略，并将其附加到目标账户或 OU。

• 使用 AWS 管理控制台 — 要使用控制台创建和附加 AWS Organizations 策略，请执行以下操作：

  1. 在 AWS Organizations 控制台中，导航至政策 > 亚马逊基岩政策

  2. 选择创建策略

  3. 指定您的护栏 ARN 和版本

     重要

     确保您在政策中指定了准确的护栏 ARN。指定不正确或无效的 ARN 将导致违反政策、不执行保障措施以及无法使用 Amazon Bedrock 中的模型进行推断。

  4. 配置选择性内容保护控件（可选）。

     • Amazon Bedrock API 允许调用者在其输入提示中标记特定内容，以进行护栏评估。

     • 选择性内容保护控件允许管理员决定是否遵守 API 调用者做出的标记决定。

     • system和messages控件决定了护栏如何处理系统提示和消息内容。每个都接受以下值之一：

       • 选择性：仅评估保护内容标签内的内容。如果未指定标签，则行为取决于控件。对于system，不评估任何内容；对于messages，评估所有内容。

       • 全面：评估所有内容，无论保护内容标签如何。

     • 如果未配置，则两个控件均默认为 “全面” 。

     {
         "bedrock": {
             "guardrail_inference": {
                 "us-east-1": {
                     "config_1": {
                         "identifier": {
                             "@@assign": "arn:aws:bedrock:us-east-1:123456789012:guardrail/guardrail-id:1"
                         },
                         "selective_content_guarding": {
                             "system": {
                                 "@@assign": "selective"
                             },
                             "messages": {
                                 "@@assign": "comprehensive"
                             }
                         },
                         "model_enforcement": {
                             "included_models": {
                                 "@@assign": ["ALL"]
                             },
                             "excluded_models": {
                                 "@@assign": ["amazon.titan-embed-text-v2:0", "cohere.embed-english-v3"]
                             }
                         }
                     }
                 }
             }
         }
     }

  5. 保存政策

  6. 导航到 “目标” 选项卡并选择 “附加”，将策略附加到所需目标（组织根、OU 或个人帐户）

• 使用 API — 使用带有策略类型 AWS Organizations CreatePolicy的 API BEDROCK_POLICY。用于附AttachPolicy着在目标上

了解更多：中的亚马逊 Bedrock 政策 AWS Organizations

Verify

检查策略是否已连接到 AWS Organizations 控制台中的正确目标。

测试和验证执法情况

测试是否对成员账户强制执行了护栏。

规划您的护栏配置

定义您的保障措施

要定义您的保障措施，请执行以下操作：

创建护栏

在你想要强制执行的每个区域创建护栏。

Via AWS 管理控制台

要使用控制台创建护栏，请执行以下操作：

1. 使用有权使用亚马逊 Bedrock 控制台的 IAM 身份登录。 AWS 管理控制台 然后，在以下位置打开亚马逊 Bedrock 控制台。 https://console.aws.amazon.com/bedrock

2. 在左侧导航面板中，选择 Guardrails

3. 选择 “创建护栏”

4. 按照向导配置所需的策略（内容过滤器、被拒绝的主题、文字过滤器、敏感信息过滤器）

5. 不要启用自动推理政策

6. 完成巫师来创建你的护栏

通过 API

使用 CreateGuardrail API

Verify

创建后，您应该在 Guardrails 登录页面的护栏列表中看到它，或者使用护栏名称在护栏列表中进行搜索

创建护栏版本

创建数字版本以确保护栏配置保持不可变且无法由成员账户修改。

Via AWS 管理控制台

要使用控制台创建护栏版本，请执行以下操作：

1. 在 Amazon Bedrock 控制台的 Guardrails 页面上选择在上一步中创建的护栏

2. 选择创建版本

3. 记下护栏 ARN 和版本号（例如，“1”、“2”）

通过 API

使用 CreateGuardrailVersion API

Verify

查看 Guardrail 详细信息页面上的版本列表，确认版本已成功创建。

附加基于资源的策略（可选）

如果您想与账户中的特定角色共享护栏，请附加基于资源的政策。

Via AWS 管理控制台

要使用控制台附加基于资源的策略，请执行以下操作：

1. 在亚马逊 Bedrock Guardrails 控制台中，选择您的护栏

2. 选择 “添加” 以添加基于资源的策略

3. 添加向所需角色授予bedrock:ApplyGuardrail权限的策略

4. 保存政策

启用账户级执法

将账户配置为使用您的护栏进行所有亚马逊 Bedrock 调用。必须在你想要执法的每个地区都这样做。

Via AWS 管理控制台

要使用控制台启用账户级强制执行，请执行以下操作：

1. 导航到亚马逊 Bedrock 控制台

2. 在左侧导航面板中选择 Guardrails

3. 在 “Account-level 强制配置” 部分下，选择 “添加”

4. 选择您的护栏和版本

5. 配置选择性内容保护控件（可选）。

   • Amazon Bedrock API 允许调用者在其输入提示中标记特定内容，以进行护栏评估。

   • 选择性内容保护控件允许管理员决定是否遵守 API 调用者做出的标记决定。

   • system和messages控件决定了护栏如何处理系统提示和消息内容。每个都接受以下值之一：

     • 选择性：仅评估保护内容标签内的内容。

     • 全面：评估所有内容，无论保护内容标签如何。

   • 如果未配置，则两个控件均默认为 “全面” 。

6. 提交配置

7. 对要执行的每个地区重复此操作

通过 API

在要强制执行护栏的每个地区使用 PutEnforcedGuardrailConfiguration API

Verify

您应该在 Guardrails 页面上的 “账户强制护栏配置” 部分下看到账户强制护栏。你可以调用 ListEnforcedGuardrailsConfiguration API 来确保已列出强制护栏

测试和验证执法情况

使用账号中的角色进行测试

要通过您的账户测试执法情况，请执行以下操作：

1. 使用InvokeModel、、Converse或进行亚马逊 Bedrock 推理电话 InvokeModelWithResponseStream ConverseStream

2. 账户强制保护栏应自动应用于输入和输出

3. 查看回复以获取护栏评估信息。护栏应对措施将包括强制性护栏信息。