使用 Amazon Bedrock Guardrails 強制執行套用跨帳戶防護

規劃您的護欄組態

1. 定義您的防護：

   • 檢閱 Amazon Bedrock Guardrails 文件中可用的護欄篩選條件

   • 識別您需要的篩選條件。目前支援內容篩選條件、拒絕主題、字詞篩選條件、敏感資訊篩選條件、內容基礎檢查。

   • 重要

     請勿包含自動推理政策，因為它不支援護欄強制執行，並會導致執行時間失敗。

2. 識別目標帳戶：

   • 決定要強制執行此護欄OUs、帳戶或整個組織

在管理帳戶中建立護欄

在您想要使用下列其中一種方法強制執行護欄的每個區域中建立護欄：

• 使用 AWS 管理主控台：

  1. AWS 管理主控台 使用具有使用 Amazon Bedrock 主控台之許可的 IAM 身分登入 。接著，開啟位於 https://console.aws.amazon.com/bedrock 的 Amazon Bedrock 主控台。

  2. 在左側導覽面板中，選擇護欄

  3. 選擇建立護欄

  4. 遵循精靈來設定所需的篩選條件或防護措施 （內容篩選條件、拒絕主題、字詞篩選條件、敏感資訊篩選條件、內容基礎檢查）

  5. 請勿啟用自動推理政策

  6. 完成精靈以建立護欄

• 使用 API：使用 CreateGuardrail API

確認

建立後，您應該會在護欄登陸頁面上的護欄清單中看到它，或使用護欄名稱在護欄清單中搜尋它

建立護欄版本

建立數值版本，以確保護欄組態保持不變，且無法由成員帳戶修改。

• 使用 AWS 管理主控台：

  1. 在 Amazon Bedrock 主控台的護欄頁面中選取在上一個步驟中建立的護欄

  2. 選擇建立版本

  3. 請注意護欄 ARN 和版本編號 （例如 "1"、"2")

• 使用 API：使用 CreateGuardrailVersion API

確認

檢查 Guardrail 詳細資訊頁面上的版本清單，確認已成功建立版本。

連接以資源為基礎的政策

將資源型政策連接至護欄，以啟用跨帳戶存取。

• 使用 AWS 管理主控台 – 使用主控台連接以資源為基礎的政策：

  1. 在 Amazon Bedrock Guardrails 主控台中，選取您的護欄

  2. 選擇新增以新增資源型政策

  3. 新增政策，將bedrock:ApplyGuardrail許可授予所有成員帳戶或組織。請參閱針對護欄使用資源型政策中的與您的組織共用護欄。

  4. 儲存政策

確認

使用 ApplyGuardrail API 測試成員帳戶的存取權，以確保授權設定正確。

在成員帳戶中設定 IAM 許可

確保成員帳戶中的所有角色都具有存取強制執行護欄的 IAM 許可。

所需的許可

成員帳戶角色需要管理帳戶護欄的bedrock:ApplyGuardrail許可。如需詳細的 IAM 政策範例設定使用 Amazon Bedrock 防護機制的許可，請參閱

確認

確認成員帳戶中具有縮小範圍許可的角色可以成功使用護欄呼叫 ApplyGuardrail API。

在 中啟用 Amazon Bedrock 政策類型 AWS Organizations

• 使用 AWS 管理主控台 – 若要使用主控台啟用 Amazon Bedrock 政策類型：

  1. 導覽至 AWS Organizations 主控台

  2. 選擇政策

  3. 選擇 Amazon Bedrock 政策

  4. 選擇啟用 Amazon Bedrock 政策，為您的組織啟用 Amazon Bedrock 政策類型

• 使用 API – 使用政策類型的 AWS Organizations EnablePolicyType API BEDROCK_POLICY

確認

確認 Amazon Bedrock 政策類型在 AWS Organizations 主控台中顯示為已啟用。

建立和連接 AWS Organizations 政策

建立指定護欄的管理政策，並將其連接到您的目標帳戶或 OUs。

• 使用 AWS 管理主控台 – 使用主控台建立和連接 AWS Organizations 政策：

  1. 在 AWS Organizations 主控台中，導覽至政策 > Amazon Bedrock 政策

  2. 選擇 Create policy (建立政策)

  3. 指定您的護欄 ARN 和版本

     重要

     請確定您在政策中指定正確的護欄 ARN。指定不正確或無效的 ARN 將導致政策違規、未強制執行保護措施，以及無法在 Amazon Bedrock 中使用模型進行推論。

  4. 設定選擇性內容保護控制 （選用）。

     • Amazon Bedrock APIs發起人在其輸入提示中標記特定內容以進行護欄評估。

     • 選擇性內容保護控制可讓管理員決定是否遵守 API 呼叫者所做的標記決策。

     • system 和 messages控制項會決定護欄如何處理系統提示和訊息內容。每個 接受下列其中一個值：

       • Selective：僅評估防護內容標籤中的內容。未指定標籤時，行為取決於控制項。對於 system，不會評估任何內容，對於 messages，則會評估所有內容。

       • 全面：評估所有內容，無論護衛內容標籤為何。

     • 如果未設定，這兩個控制項都會預設為全面。

     {
         "bedrock": {
             "guardrail_inference": {
                 "us-east-1": {
                     "config_1": {
                         "identifier": {
                             "@@assign": "arn:aws:bedrock:us-east-1:123456789012:guardrail/guardrail-id:1"
                         },
                         "selective_content_guarding": {
                             "system": {
                                 "@@assign": "selective"
                             },
                             "messages": {
                                 "@@assign": "comprehensive"
                             }
                         },
                         "model_enforcement": {
                             "included_models": {
                                 "@@assign": ["ALL"]
                             },
                             "excluded_models": {
                                 "@@assign": ["amazon.titan-embed-text-v2:0", "cohere.embed-english-v3"]
                             }
                         }
                     }
                 }
             }
         }
     }

  5. 儲存政策

  6. 透過導覽至目標索引標籤並選擇連接，將政策連接至您想要的目標 （組織根帳戶、OUs 或個別帳戶）

• 使用 API – 使用政策類型 的 AWS Organizations CreatePolicy APIBEDROCK_POLICY。使用 AttachPolicy 連接到目標

進一步了解： 中的 Amazon Bedrock 政策 AWS Organizations

確認

檢查政策是否連接到 AWS Organizations 主控台中的正確目標。

測試和驗證強制執行

測試成員帳戶是否強制執行護欄。

規劃您的護欄組態

定義您的防護措施

若要定義您的保護措施：

建立防護機制

在您要強制執行護欄的每個區域中建立護欄。

透過 AWS 管理主控台

若要使用主控台建立護欄：

1. AWS 管理主控台 使用具有使用 Amazon Bedrock 主控台之許可的 IAM 身分登入 。接著，開啟位於 https://console.aws.amazon.com/bedrock 的 Amazon Bedrock 主控台。

2. 在左側導覽面板中，選擇護欄

3. 選擇建立護欄

4. 遵循精靈來設定所需的政策 （內容篩選條件、拒絕主題、單字篩選條件、敏感資訊篩選條件）

5. 請勿啟用自動推理政策

6. 完成精靈以建立護欄

透過 API

使用 CreateGuardrail API

確認

建立後，您應該會在護欄登陸頁面上的護欄清單中看到它，或使用護欄名稱在護欄清單中搜尋它

建立護欄版本

建立數值版本，以確保護欄組態保持不變，而且無法由成員帳戶修改。

透過 AWS 管理主控台

若要使用主控台建立護欄版本：

1. 在 Amazon Bedrock 主控台的護欄頁面中選取在上一個步驟中建立的護欄

2. 選擇建立版本

3. 請注意護欄 ARN 和版本編號 （例如 "1"、"2")

透過 API

使用 CreateGuardrailVersion API

確認

檢查 Guardrail 詳細資訊頁面上的版本清單，確認已成功建立版本。

連接以資源為基礎的政策 （選用）

如果您想要與帳戶中的特定角色共用護欄，請連接以資源為基礎的政策。

透過 AWS 管理主控台

若要使用主控台連接以資源為基礎的政策：

1. 在 Amazon Bedrock Guardrails 主控台中，選取您的護欄

2. 選擇新增以新增資源型政策

3. 新增將bedrock:ApplyGuardrail許可授予所需角色的政策

4. 儲存政策

啟用帳戶層級強制執行

設定帳戶以針對所有 Amazon Bedrock 調用使用您的護欄。這必須在您想要強制執行的每個區域中完成。

透過 AWS 管理主控台

若要使用主控台啟用帳戶層級強制執行：

1. 導覽至 Amazon Bedrock 主控台

2. 在左側導覽面板中選擇護欄

3. 在帳戶層級強制執行組態區段下，選擇新增

4. 選取您的護欄和版本

5. 設定選擇性內容保護控制 （選用）。

   • Amazon Bedrock APIs發起人在其輸入提示中標記特定內容，以進行護欄評估。

   • 選擇性內容保護控制可讓管理員決定是否遵守 API 呼叫者所做的標記決策。

   • system 和 messages控制項會決定護欄如何處理系統提示和訊息內容。每個 接受下列其中一個值：

     • Selective：僅評估防護內容標籤中的內容。

     • 全面：評估所有內容，無論護衛內容標籤為何。

   • 如果未設定，這兩個控制項都會預設為全面。

6. 提交組態

7. 針對您想要強制執行的每個區域重複此步驟

透過 API

在您要強制執行護欄的每個區域中使用 PutEnforcedGuardrailConfiguration API

確認

您應該會在 Guardrails 頁面上的 Account enforced guardrail 組態區段下看到帳戶強制執行的護欄。您可以呼叫 ListEnforcedGuardrailsConfiguration API，以確保已列出強制執行的護欄

測試和驗證強制執行

使用帳戶中的角色進行測試

若要從您的帳戶測試強制執行：

1. 使用 InvokeModel、InvokeModelWithResponseStream、 或 進行 Amazon Bedrock Converse推論呼叫 ConverseStream

2. 帳戶強制執行的護欄應自動套用至輸入和輸出

3. 檢查護欄評估資訊的回應。護欄回應將包含強制執行的護欄資訊。