使用 Amazon Bedrock Guardrails 強制執行套用跨帳戶防護

規劃您的護欄組態

1. 定義您的防護：

   • 檢閱 Amazon Bedrock Guardrails 文件中可用的護欄篩選條件

   • 識別您需要的篩選條件。目前支援內容篩選條件、拒絕主題、字詞篩選條件、敏感資訊篩選條件、內容基礎檢查。

   • 注意：請勿包含自動推理政策，因為它不支援護欄強制執行，並會導致執行時間失敗。

2. 識別目標帳戶：

   • 決定要強制執行此護欄OUs、帳戶或整個組織

在管理帳戶中建立護欄

在您想要使用下列其中一種方法強制執行護欄的每個區域中建立護欄：

• 使用 AWS 管理主控台：

  1. AWS 管理主控台使用具有使用 Amazon Bedrock 主控台之許可的 IAM 身分登入 。接著，開啟位於 https://console.aws.amazon.com/bedrock 的 Amazon Bedrock 主控台。

  2. 在左側導覽面板中，選擇護欄

  3. 選擇建立護欄

  4. 遵循精靈來設定所需的篩選條件或防護措施 （內容篩選條件、拒絕主題、字詞篩選條件、敏感資訊篩選條件、內容基礎檢查）

  5. 請勿啟用自動推理政策

  6. 完成精靈以建立護欄

• 使用 API：使用 CreateGuardrail API

確認

建立後，您應該會在護欄登陸頁面上的護欄清單中看到它，或使用護欄名稱在護欄清單中搜尋它

建立護欄版本

建立數值版本，以確保護欄組態保持不可變，且無法由成員帳戶修改。

• 使用 AWS 管理主控台：

  1. 在 Amazon Bedrock 主控台的護欄頁面中選取在上一個步驟中建立的護欄

  2. 選擇建立版本

  3. 請注意護欄 ARN 和版本編號 （例如 "1"、"2" 等）

• 使用 API：使用 CreateGuardrailVersion API

確認

檢查 Guardrail 詳細資訊頁面上的版本清單，確認版本已成功建立。

連接以資源為基礎的政策

將資源型政策連接至護欄，以啟用跨帳戶存取。

• 使用 AWS 管理主控台– 使用主控台連接以資源為基礎的政策：

  1. 在 Amazon Bedrock Guardrails 主控台中，選取您的護欄

  2. 按一下新增以新增資源型政策

  3. 新增將bedrock:ApplyGuardrail許可授予所有成員帳戶或組織的政策。請參閱針對護欄使用資源型政策中的與您的組織共用護欄。

  4. 儲存政策

確認

使用 ApplyGuardrail API 測試成員帳戶的存取權，以確保授權設定正確。

在成員帳戶中設定 IAM 許可

確保成員帳戶中的所有角色都具有存取強制執行護欄的 IAM 許可。

所需的許可

成員帳戶角色需要管理帳戶護欄的bedrock:ApplyGuardrail許可。如需詳細的 IAM 政策範例設定使用 Amazon Bedrock 防護機制的許可，請參閱

確認

確認成員帳戶中具有縮小範圍許可的角色可以使用護欄成功呼叫 ApplyGuardrail API。

在 中啟用 Amazon Bedrock 政策類型AWS Organizations

• 使用 AWS 管理主控台– 若要使用主控台啟用 Amazon Bedrock 政策類型：

  1. 導覽至 AWS Organizations主控台

  2. 選擇政策

  3. 選擇 Amazon Bedrock 政策 （目前預覽中）

  4. 選擇啟用 Amazon Bedrock 政策，為您的組織啟用 Amazon Bedrock 政策類型

• 使用 API – 使用政策類型的 AWS OrganizationsEnablePolicyType API BEDROCK_POLICY

確認

確認 Amazon Bedrock 政策類型在AWS Organizations主控台中顯示為已啟用。

建立和連接 AWS Organizations政策

建立指定護欄的管理政策，並將其連接到您的目標帳戶或 OUs。

• 使用 AWS 管理主控台– 使用主控台建立和連接AWS Organizations政策：

  1. 在AWS Organizations主控台中，導覽至政策 > Amazon Bedrock 政策

  2. 選擇 Create policy (建立政策)

  3. 指定您的護欄 ARN 和版本

  4. 設定 input_tags設定 （設定為忽略，以防止成員帳戶透過護欄輸入標籤繞過輸入上的護欄)。

     {
         "bedrock": {
             "guardrail_inference": {
                 "us-east-1": {
                     "config_1": {
                         "identifier": {
                             "@@assign": "arn:aws:bedrock:us-east-1:account_id:guardrail/guardrail_id:1"
                         },
                         "input_tags": {
                             "@@assign": "honor"
                         }
                     }
                 }
             }
         }
     }

  5. 儲存政策

  6. 導覽至目標索引標籤並選擇連接，以將政策連接至您想要的目標 （組織根帳戶、OUs 或個別帳戶）

• 使用 API – 使用政策類型 的 AWS OrganizationsCreatePolicy APIBEDROCK_POLICY。使用 AttachPolicy 連接到目標

進一步了解： 中的 Amazon Bedrock 政策AWS Organizations

確認

檢查政策是否連接到AWS Organizations主控台中的正確目標。

測試和驗證強制執行

測試成員帳戶是否強制執行護欄。

規劃您的護欄組態

定義您的防護措施

若要定義您的保護措施：

建立防護機制

在您要強制執行護欄的每個區域中建立護欄。

透過AWS 管理主控台

若要使用主控台建立護欄：

1. AWS 管理主控台使用具有使用 Amazon Bedrock 主控台之許可的 IAM 身分登入 。接著，開啟位於 https://console.aws.amazon.com/bedrock 的 Amazon Bedrock 主控台。

2. 在左側導覽面板中，選擇護欄

3. 選擇建立護欄

4. 遵循精靈來設定所需的政策 （內容篩選條件、拒絕主題、單字篩選條件、敏感資訊篩選條件）

5. 請勿啟用自動推理政策

6. 完成精靈以建立護欄

透過 API

使用 CreateGuardrail API

確認

建立後，您應該會在護欄登陸頁面上的護欄清單中看到它，或使用護欄名稱在護欄清單中搜尋它

建立護欄版本

建立數值版本，以確保護欄組態保持不變，且成員帳戶無法修改。

透過AWS 管理主控台

若要使用主控台建立護欄版本：

1. 在 Amazon Bedrock 主控台的護欄頁面中選取在上一個步驟中建立的護欄

2. 選擇建立版本

3. 請注意護欄 ARN 和版本編號 （例如 "1"、"2" 等）

透過 API

使用 CreateGuardrailVersion API

確認

檢查 Guardrail 詳細資訊頁面上的版本清單，確認版本已成功建立。

連接以資源為基礎的政策 （選用）

如果您想要與帳戶中的特定角色共用護欄，請連接以資源為基礎的政策。

透過AWS 管理主控台

若要使用主控台連接以資源為基礎的政策：

1. 在 Amazon Bedrock Guardrails 主控台中，選取您的護欄

2. 按一下新增以新增資源型政策

3. 新增將bedrock:ApplyGuardrail許可授予所需角色的政策

4. 儲存政策

啟用帳戶層級強制執行

設定帳戶以針對所有 Amazon Bedrock 調用使用您的護欄。這必須在您想要強制執行的每個區域中完成。

透過AWS 管理主控台

若要使用主控台啟用帳戶層級強制執行：

1. 導覽至 Amazon Bedrock 主控台

2. 在左側導覽面板中選擇護欄

3. 在帳戶層級強制執行組態區段下，選擇新增

4. 選取您的護欄和版本

5. 設定 input_tags設定 （設定為 IGNORE，以防止成員帳戶透過 Guardrails 輸入標籤繞過輸入上的護欄）

6. 提交組態

7. 針對您想要強制執行的每個區域重複此步驟

透過 API

在您要強制執行護欄的每個區域中使用 PutEnforcedGuardrailConfiguration API

確認

您應該會在 Guardrails 頁面的帳戶強制執行護欄組態區段下看到帳戶強制執行的護欄。您可以呼叫 ListEnforcedGuardrailsConfiguration API，以確保已列出強制執行的護欄

測試和驗證強制執行

使用帳戶中的角色進行測試

若要從您的帳戶測試強制執行：

1. 使用 InvokeModel、InvokeModelWithResponseStream、 或 進行 Amazon Bedrock Converse推論呼叫 ConverseStream

2. 帳戶強制執行的護欄應自動套用至輸入和輸出

3. 檢查護欄評估資訊的回應。護欄回應將包含強制執行的護欄資訊。