本文属于机器翻译版本。若本译文内容与英语原文存在差异，则一律以英文原文为准。

访问 Amazon Bedrock 基础模型

在具备正确的 AWS Marketplace 权限的情况下，对所有 Amazon Bedrock 基础模型的访问权限默认处于启用状态。要开始使用，只需从 Amazon Bedrock 控制台的模型目录中选择一个模型，然后在操场上将其打开，或者使用或 Conv erse API 操作调用该InvokeModel模型。有关 Amazon Bedrock 支持的不同模型的信息，请参阅 Amazon Bedrock 基础模型信息。有关模型定价的信息，请参阅 Amazon Bedrock 定价。

在所有商业 AWS 区域中，如果具备正确的 AWS Marketplace 权限，默认情况下对所有 Amazon Bedrock 基础模型的访问权限均处于启用状态。有关以编程方式访问第三方模型的信息，请参阅使用 SDK 和 CLI 管理模型访问权限。

授予 IAM 权限以请求对具有产品 ID 的 Amazon Bedrock 基础模型的访问权限

您可以通过创建自定义 IAM 策略来管理模型访问。要修改对 Amazon Bedrock 基础模型的访问权限，您首先需要向允许访问 Amazon Bedrock 的 IAM 角色附加包含以下AWS Marketplace 操作的基于身份的 IAM 策略。

当您首次调用账户 AWS Marketplace 中提供的 Amazon Bedrock 无服务器模型时，Bedrock 会尝试自动为您的账户启用该模型。要使自动启用功能起作用，需要 AWS Marketplace 权限。

如果您无法 AWS Marketplace 获得权限，则拥有 AWS Marketplace 权限的人必须一次性为账户启用模型（手动或通过自动启用）。启用后，账户中的所有用户无需 AWS Marketplace 权限即可调用模型。启用模型后，用户无需 AWS Marketplace 订阅权限即可调用模型。只有在账户中首次使用模型时才需要这些权限。

通过以下 IAM 操作控制对具有产品 ID 的 Amazon Bedrock 无服务器基础模型的访问权限：

允许 IAM 身份请求对具有产品 ID 的模型的访问权限

身份必须已附加允许 aws-marketplace:Subscribe 的策略。

有关创建策略的信息，请参阅我已有 AWS 账户。

仅对于 aws-marketplace:Subscribe 操作，您可以使用 aws-marketplace:ProductId 条件键来限制对特定模型的订阅。

选择一个部分以查看特定使用案例的 IAM 策略示例：

防止身份请求对具有产品 ID 的模型的访问权限

要防止 IAM 实体请求对具有产品 ID 的特定模型的访问权限，请向用户附加一个 IAM 策略，以便拒绝 aws-marketplace:Subscribe 操作并将 Condition 字段的范围限定为该模型的产品 ID。

例如，您可以将以下策略附加到身份以防止其订阅 Anthropic Claude 3.5 Sonnet 模型：

JSON

{
    "Version":"2012-10-17",		 	 	 
    "Statement": [
        {
            "Effect": "Deny",
            "Action": [
                "aws-marketplace:Subscribe"
            ],
            "Resource": "*",
            "Condition": {
                "ForAnyValue:StringEquals": {
                    "aws-marketplace:ProductId": [
                        "prod-m5ilt4siql27k"
                    ]
                }
            }
        }
    ]
}

阻止身份在获得访问权限后使用模型

如果一个 IAM 身份已获得对某个模型的访问权限，您可以通过拒绝所有 Amazon Bedrock 操作，并将 Resource 字段限定为基础模型的 ARN 来阻止此身份使用该模型。

例如，您可以将以下策略附加到某个身份，以防止其在所有 AWS 区域使用该AnthropicClaude 3.5 Sonnet模型：

JSON

{
    "Version":"2012-10-17",		 	 	 
    "Statement": [
        {
            "Effect": "Deny",
            "Action": [
                "bedrock:*"
            ],
            "Resource": [
                "arn:aws:bedrock:*::foundation-model/anthropic.claude-3-5-sonnet-20240620-v1:0"
            ]
        }
    ]
}

使用 SDK 和 CLI 管理模型访问权限

除了调用模型外，还可以使用 SDK 管理模型访问权限。以下步骤可用于 create/delete 建模访问权限以及检查访问权限是否已经存在。请注意，这仅适用于第三方型号。

按照以下步骤以编程方式管理模型访问权限：

先决条件

第 1 步：列出基金会示范协议报价

使用此 API 获取特定型号的协议报价。这将提供用于在后续步骤中创建模型访问权限的 OfferToken。

文档

AWS CLI

aws bedrock list-foundation-model-agreement-offers --model-id <ModelId>

Python

# Placeholder for modelId
model_id = "<enter model id here>" 
# Placeholder for offerId
offer_id = "<enter offer id here>"
try:
    # offerType= "ALL" means both public and private offers, if offerType isn't defined, the default would be "PUBLIC"
    model_agreement_offers_response = bedrock_client.list_foundation_model_agreement_offers(modelId=model_id,offerType="ALL")
    print(model_agreement_offers_response)
except ClientError as e:
    print(f"Failed to list foundation model offers for modelId: {model_id} due to the following error: {e}")

第 2 步：[仅限 Anthropic 模型需要一次性使用] 为首次使用的用户提供用例

用于填写仅适用于 Anthropic 模型的首次用户用例表单。这是在账户中访问Anthropic模型的先决条件。在所有商业区域，每个账户或每个 AWS 组织只需要使用一个 API，但需要再次填写此表单的选择加入区域除外。

文档

AWS CLI

aws bedrock put-use-case-for-model-access \
  --form-data <Base64EncodedFormData>

Python

# Placeholder for form data, replace the names
COMPANY_NAME = "<enter company name here>"
COMPANY_WEBSITE = "<enter company website here>"
INTENDED_USERS = "1" #for external users
INDUSTRY_OPTION = "<enter industry option here>"
OTHER_INDUSTRY_OPTION = "<enter other industry option here>"
USE_CASES = "<enter use cases here>"
form_data = {
    "companyName": COMPANY_NAME,
    "companyWebsite": COMPANY_WEBSITE,
    "intendedUsers": INTENDED_USERS,
    "industryOption": INDUSTRY_OPTION,
    "otherIndustryOption": OTHER_INDUSTRY_OPTION,
    "useCases": USE_CASES
}
form_data_json = json.dumps(form_data)
model_access_response = bedrock_client.put_use_case_for_model_access(formData=form_data_json)

对于 CLI，表单数据是下表的 base64 编码的 json。

{
    "companyName": COMPANY_NAME,
    "companyWebsite": COMPANY_WEBSITE,
    "intendedUsers": INTENDED_USERS,
    "industryOption": INDUSTRY_OPTION,
    "otherIndustryOption": OTHER_INDUSTRY_OPTION,
    "useCases": USE_CASES
}

第 3 步：创建基础协议范本

用于为基础模型创建协议（访问权限）。使用上方的报价代币和 modelID。

文档

AWS CLI

aws bedrock create-foundation-model-agreement \
  --model-id <ModelId> \
  --offer-token <OfferToken>

Python

offer_token= ''

for agreement_offer in model_agreement_offers_response['offers']:
    if  agreement_offer['offerId'] == offer_id:
            
            offer_token = agreement_offer['offerToken']
            print(f"offer token found. Offer token is {offer_token}")
            break


if(not offer_token):
    print(f"Offer token for  modelId: {model_id} is not found")
    
foundation_model_agreement_reponse = bedrock_client.create_foundation_model_agreement(offerToken= offer_token , modelId= model_id)

步骤 4：获取基础模型的可用性

用于检查基础模型当前是否具有访问权限。使用上面的 modelID。

文档

AWS CLI

aws bedrock get-foundation-model-availability \
  --model-id <ModelId>

Python

model_availability_response = bedrock_client.get_foundation_model_availability(modelId=model_id)

预期的回应

agreementAvailability-AVAILABLE 如果存在访问权限，NOT_AVAILABLE则不存在访问权限。

{
  "modelId": "anthropic.claude-sonnet-4-20250514-v1:0",
  "agreementAvailability": {
    "status": "AVAILABLE"
  },
  "authorizationStatus": "AUTHORIZED",
  "entitlementAvailability": "AVAILABLE",
  "regionAvailability": "AVAILABLE"
}

[可选] 步骤 5：删除基金会示范协议

用于删除基金会模型协议（访问权限）。使用上面的 modelID。

文档

AWS CLI

aws bedrock delete-foundation-model-agreement \
  --model-id <ModelId>

Python

delete_foundation_model_agreement_reponse = bedrock_client.delete_foundation_model_agreement(modelId= model_id)

在 AWS 中访问亚马逊 Bedrock 基础模型 GovCloud （美国）

AWS GovCloud （美国）账户与标准的 AWS 商业账户关联在一起。 one-to-one此关联的商业账户用于账单、服务访问、支持目的和访问亚马逊 Bedrock Model Marketplace。有关与商业账户之间 GovCloud 关系的更多信息，请参阅 AWS GovCloud （美国）中的标准账户关联。

对于第三方模型，需要在关联的 AWS 商业账户和 AWS 账户中启用模型访问权限。 GovCloud 对于 Amazon Bedrock 提供的模型，只需在 GovCloud 账户中启用模型访问权限即可。这是一个手动过程。

GovCloud 在关联的 AWS 商业账户中为 AWS 启用模型访问权限（仅适用于第三方模型）

可以通过两种方式在 AWS 商业账户中启用模型访问权限：

为 AWS GovCloud 账户启用模型访问权限

在 AWS GovCloud （美国）中，您可以使用该us-gov-west-1地区的 Amazon Bedrock 控制台中的模型访问页面来启用基础模型，如下所述：