通过 Amazon Bedrock Guardrails 强制措施实施跨账户保护措施

规划您的护栏配置

1. 定义您的安全措施：

   • 在 A mazon Bedro ck Guardrails 文档中查看可用的护栏过滤器

   • 确定您需要哪种过滤器。当前，支持内容过滤器、拒绝的主题、单词过滤器、敏感信息过滤器、上下文基础检查。

   • 重要

     请勿包含自动推理策略，因为护栏强制执行不支持自动推理策略，并且会导致运行时故障。

2. 确定目标客户：

   • 确定哪些 OU、账户或您的整个组织将强制执行此防护措施

在管理账户中创建您的护栏

使用以下方法之一在要强制执行的每个区域创建护栏：

• 使用 AWS 管理控制台：

  1. 使用有权使用 Amazon Bedrock 控制台的 IAM 身份登录。 AWS 管理控制台 然后，打开 Amazon Bedrock 控制台，网址为https://console.aws.amazon.com/bedrock。

  2. 在左侧导航面板中，选择 Guardrails

  3. 选择 “创建护栏”

  4. 按照向导配置所需的过滤器或安全措施（内容过滤器、拒绝的主题、字词过滤器、敏感信息过滤器、上下文基础检查）

  5. 不要启用自动推理策略

  6. 完成向导以创建您的护栏

• 使用 API：使用 CreateGuardrailAPI

Verify

创建后，您应该在 Guardrails 登录页面的护栏列表中看到它，或者使用护栏名称在护栏列表中进行搜索

创建护栏版本

创建数字版本以确保护栏配置保持不可变且成员账户无法修改。

• 使用 AWS 管理控制台：

  1. 在 Amazon Bedrock 控制台的护栏页面中选择在上一步中创建的护栏

  2. 选择 “创建版本”

  3. 记下护栏 ARN 和版本号（例如，“1”、“2”）

• 使用 API：使用 CreateGuardrailVersionAPI

Verify

查看 Guardrail 详情页面上的版本列表，确认版本已成功创建。

附加基于资源的策略

通过在护栏上附加基于资源的策略来启用跨账户访问。

• 使用 AWS 管理控制台 — 要使用控制台附加基于资源的策略，请执行以下操作：

  1. 在 Amazon Bedrock Guardrails 控制台中，选择您的护栏

  2. 选择 “添加” 以添加基于资源的策略

  3. 添加向所有成员账户或组织授予bedrock:ApplyGuardrail权限的策略。请参阅 使用基于资源的策略进行护栏 中的 与您的组织共享护栏。

  4. 保存政策

Verify

使用 ApplyGuardrailAPI 测试来自成员账户的访问权限，以确保授权配置正确。

在成员账户中配置 IAM 权限

确保成员账户中的所有角色都具有 IAM 访问强制防护栏的权限。

所需的权限

成员账户角色需要bedrock:ApplyGuardrail获得管理账户护栏的权限。设置使用 Amazon Bedrock 护栏的权限有关详细的 IAM 策略示例，请参阅

Verify

确认在成员账户中拥有范围缩小权限的角色可以成功调用带护栏ApplyGuardrail的 API。

启用 Amazon Bedrock 政策键入 AWS Organizations

• 使用 AWS 管理控制台 — 要使用控制台启用 Amazon Bedrock 策略类型，请执行以下操作：

  1. 导航到控制 AWS Organizations 台

  2. 选择政策

  3. 选择 Amazon Bedrock 政策

  4. 选择 “启用 Amazon Bedrock 策略”，为您的组织启用 Amazon Bedrock 策略类型

• 使用 API — 使用具有策略类型 AWS Organizations EnablePolicyType的 API BEDROCK_POLICY

Verify

确认 AWS Organizations 控制台中将 Amazon Bedrock 策略类型显示为已启用。

创建并附上 AWS Organizations policy

创建管理策略来指定您的护栏，并将其附加到您的目标账户或 OU。

• 使用 AWS 管理控制台 — 要使用控制台创建和附加 AWS Organizations 策略，请执行以下操作：

  1. 在 AWS Organizations 控制台中，导航到政策 > Amazon Bedrock 政策

  2. 选择创建策略

  3. 指定您的护栏 ARN 和版本

     重要

     确保您在策略中指定了准确的护栏 ARN。指定错误或无效的 ARN 将导致违反政策、无法执行保障措施以及无法使用 Amazon Bedrock 中的模型进行推断。

  4. 配置选择性内容保护控件（可选）。

     • Amazon Bedrock API 允许呼叫者在其输入提示中标记特定内容以进行护栏评估。

     • 选择性内容保护控制允许管理员决定是否遵守 API 调用者做出的标记决定。

     • system和messages控件决定了护栏如何处理系统提示和消息内容。每个都接受以下值之一：

       • 选择性：仅评估防护内容标签内的内容。如果未指定标签，则行为取决于控件。对于system，不评估任何内容，对于messages，对所有内容进行评估。

       • 全面：评估所有内容，无论保护内容标签如何。

     • 如果未配置，则两个控件均默认为 “综合”。

     {
         "bedrock": {
             "guardrail_inference": {
                 "us-east-1": {
                     "config_1": {
                         "identifier": {
                             "@@assign": "arn:aws:bedrock:us-east-1:123456789012:guardrail/guardrail-id:1"
                         },
                         "selective_content_guarding": {
                             "system": {
                                 "@@assign": "selective"
                             },
                             "messages": {
                                 "@@assign": "comprehensive"
                             }
                         },
                         "model_enforcement": {
                             "included_models": {
                                 "@@assign": ["ALL"]
                             },
                             "excluded_models": {
                                 "@@assign": ["amazon.titan-embed-text-v2:0", "cohere.embed-english-v3"]
                             }
                         }
                     }
                 }
             }
         }
     }

  5. 保存政策

  6. 导航到 “目标” 选项卡并选择 “附加”，将策略附加到所需的目标（组织根账户、OU 账户或个人账户）

• 使用 API-使用具有策略类型 AWS Organizations CreatePolicy的 API BEDROCK_POLICY。用于附AttachPolicy着在目标上

了解更多：Amazon Bedrock 政策请见 AWS Organizations

Verify

在 AWS Organizations 控制台中检查策略是否已附加到正确的目标。

测试和验证执法情况

测试是否对成员账户实施了护栏。

规划您的护栏配置

定义您的安全措施

要定义您的安全措施，请执行以下操作：

创建护栏

在要强制执行的每个区域创建护栏。

Via AWS 管理控制台

要使用控制台创建护栏，请执行以下操作：

1. 使用有权使用 Amazon Bedrock 控制台的 IAM 身份登录。 AWS 管理控制台 然后，打开 Amazon Bedrock 控制台，网址为https://console.aws.amazon.com/bedrock。

2. 在左侧导航面板中，选择 Guardrails

3. 选择 “创建护栏”

4. 按照向导配置所需的策略（内容过滤器、拒绝的主题、字词过滤器、敏感信息过滤器）

5. 不要启用自动推理策略

6. 完成向导以创建您的护栏

通过 API

使用 CreateGuardrail API

Verify

创建后，您应该在 Guardrails 登录页面的护栏列表中看到它，或者使用护栏名称在护栏列表中进行搜索

创建护栏版本

创建数字版本以确保护栏配置保持不可变且成员账户无法修改。

Via AWS 管理控制台

要使用控制台创建护栏版本，请执行以下操作：

1. 在 Amazon Bedrock 控制台的护栏页面中选择在上一步中创建的护栏

2. 选择 “创建版本”

3. 记下护栏 ARN 和版本号（例如，“1”、“2”）

通过 API

使用 CreateGuardrailVersion API

Verify

查看 Guardrail 详情页面上的版本列表，确认版本已成功创建。

附加基于资源的策略（可选）

如果您想与账户中的特定角色共享护栏，请附上基于资源的政策。

Via AWS 管理控制台

要使用控制台附加基于资源的策略，请执行以下操作：

1. 在 Amazon Bedrock Guardrails 控制台中，选择您的护栏

2. 选择 “添加” 以添加基于资源的策略

3. 添加向所需角色授予bedrock:ApplyGuardrail权限的策略

4. 保存政策

启用账户级强制执行

将账户配置为使用您的护栏进行所有 Amazon Bedrock 调用。在你想要执法的每个地区都必须这样做。

Via AWS 管理控制台

要使用控制台启用账户级别的强制执行，请执行以下操作：

1. 导航到 Amazon Bedrock 控制台

2. 在左侧导航面板中选择 Guardrails

3. 在 “Account-level 强制配置” 部分下，选择 “添加”

4. 选择您的护栏和版本

5. 配置选择性内容保护控件（可选）。

   • Amazon Bedrock API 允许呼叫者在其输入提示中标记特定内容以进行护栏评估。

   • 选择性内容保护控制允许管理员决定是否遵守 API 调用者做出的标记决定。

   • system和messages控件决定了护栏如何处理系统提示和消息内容。每个都接受以下值之一：

     • 选择性：仅评估防护内容标签内的内容。

     • 全面：评估所有内容，无论保护内容标签如何。

   • 如果未配置，则两个控件均默认为 “综合”。

6. 提交配置

7. 对要强制执行的每个区域重复此操作

通过 API

在你想强制执行护栏的每个区域使用 PutEnforcedGuardrailConfiguration API

Verify

您应该在 Guardrails 页面的 “账户强制护栏配置” 部分下看到账户强制护栏。您可以调用 ListEnforcedGuardrailsConfigurationAPI 来确保已列出强制护栏

测试和验证执法情况

使用账户中的角色进行测试

要测试账户的强制执行情况，请执行以下操作：

1. 使用InvokeModel、Converse、或进行 Amazon Bedrock 推理调用 InvokeModelWithResponseStream ConverseStream

2. 由账户强制执行的护栏应自动适用于输入和输出

3. 查看回复以获取护栏评估信息。护栏应对措施将包括强制性的护栏信息。