Erforderliche Berechtigungen für Batch-Inferenz

Um Batch-Inferenz durchzuführen, müssen Sie Berechtigungen für die folgenden IAM-Identitäten einrichten:

• Die IAM-Identität, die Batch-Inferenzjobs erstellt und verwaltet.

• Die Rolle des Batch-Inferenzdienstes, die Amazon Bedrock übernimmt, um Aktionen in Ihrem Namen durchzuführen.

Um zu erfahren, wie Sie Berechtigungen für jede Identität einrichten, navigieren Sie durch die folgenden Themen:

Erforderliche Berechtigungen für eine IAM-Identität zum Senden und Verwalten von Batch-Inferenzjobs

Damit eine IAM-Identität diese Funktion verwenden kann, müssen Sie sie mit den erforderlichen Berechtigungen konfigurieren. Führen Sie dazu einen der folgenden Schritte aus:

• Damit eine Identität alle Amazon Bedrock-Aktionen ausführen kann, fügen Sie die AmazonBedrockFullAccessRichtlinie der Identität bei. Wenn Sie dies tun, können Sie dieses Thema überspringen. Diese Option ist weniger sicher.

• Aus Sicherheitsgründen sollten Sie einer Identität nur die erforderlichen Aktionen zuweisen. In diesem Thema werden die Berechtigungen beschrieben, die Sie für diese Funktion benötigen.

Um Berechtigungen nur auf Aktionen zu beschränken, die für Batch-Inferenz verwendet werden, fügen Sie einer IAM-Identität die folgende identitätsbasierte Richtlinie hinzu:

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "BatchInference",
            "Effect": "Allow",
            "Action": [  
                "bedrock:ListFoundationModels",
                "bedrock:GetFoundationModel",
                "bedrock:ListInferenceProfiles",
                "bedrock:GetInferenceProfile",
                "bedrock:ListCustomModels",
                "bedrock:GetCustomModel",
                "bedrock:TagResource", 
                "bedrock:UntagResource", 
                "bedrock:ListTagsForResource",
                "bedrock:CreateModelInvocationJob",
                "bedrock:GetModelInvocationJob",
                "bedrock:ListModelInvocationJobs",
                "bedrock:StopModelInvocationJob"
            ],
            "Resource": "*"
        }
    ]   
}

Um Berechtigungen weiter einzuschränken, können Sie Aktionen weglassen oder Ressourcen und Bedingungsschlüssel angeben, nach denen Berechtigungen gefiltert werden sollen. Weitere Informationen zu Aktionen, Ressourcen und Bedingungsschlüsseln finden Sie in den folgenden Themen in der Service Authorization Reference:

• Von Amazon Bedrock definierte Aktionen — Erfahren Sie mehr über Aktionen, die Ressourcentypen, auf die Sie sie im Resource Feld beschränken können, und die Bedingungsschlüssel, nach denen Sie Berechtigungen im Condition Feld filtern können.

• Von Amazon Bedrock definierte Ressourcentypen — Erfahren Sie mehr über die Ressourcentypen in Amazon Bedrock.

• Zustandsschlüssel für Amazon Bedrock — Erfahren Sie mehr über die Zustandsschlüssel in Amazon Bedrock.

Die folgende Richtlinie ist ein Beispiel, das die Berechtigungen für Batch-Inferenz dahingehend einschränkt, dass nur ein Benutzer mit der Konto-ID 123456789012 Batch-Inferenz-Jobs in der Region erstellen kann, und zwar mithilfe der us-west-2 Anthropic Claude 3 Haiku Modell:

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "CreateBatchInferenceJob",
            "Effect": "Allow",
            "Action": [
                "bedrock:CreateModelInvocationJob"
            ],
            "Resource": [
                "arn:aws:bedrock:us-west-2::foundation-model/anthropic.claude-3-haiku-20240307-v1:0"
                "arn:aws:bedrock:us-west-2:123456789012:model-invocation-job/*"
            ]
        }
    ]
}

Erforderliche Berechtigungen für eine IAM-Identität zum Senden und Verwalten von Batch-Inferenzjobs

Die Batch-Inferenz wird von einer Servicerolle durchgeführt, die Ihre Identität annimmt, um Aktionen in Ihrem Namen durchzuführen. Sie können eine Servicerolle auf folgende Weise erstellen:

• Lassen Sie Amazon Bedrock mithilfe von automatisch eine Servicerolle mit den erforderlichen Berechtigungen für Sie erstellen. AWS Management Console Sie können diese Option auswählen, wenn Sie einen Batch-Inferenzjob erstellen.

• Erstellen Sie eine benutzerdefinierte Servicerolle für Amazon Bedrock, indem Sie die erforderlichen Berechtigungen verwenden AWS Identity and Access Management und anhängen. Wenn Sie den Batch-Inferenz-Job einreichen, geben Sie dann diese Rolle an. Weitere Informationen zum Erstellen einer benutzerdefinierten Servicerolle für Batch-Inferenz finden Sie unter. Erstellen Sie eine benutzerdefinierte Servicerolle für Batch-Inferenz Weitere allgemeine Informationen zum Erstellen von Servicerollen finden Sie unter Erstellen einer Rolle zum Delegieren von Berechtigungen an eine AWS-Service im IAM-Benutzerhandbuch.

Wichtig

Wenn sich der S3-Bucket, in den Sie Ihre Daten für die Batch-Inferenz hochgeladen haben, in einem anderen befindet AWS-Konto, müssen Sie eine S3-Bucket-Richtlinie konfigurieren, um der Servicerolle Zugriff auf die Daten zu gewähren. Sie müssen diese Richtlinie manuell konfigurieren, auch wenn Sie die Konsole verwenden, um automatisch eine Servicerolle zu erstellen. Informationen zur Konfiguration einer S3-Bucket-Richtlinie für Amazon Bedrock-Ressourcen finden Sie unterHängen Sie eine Bucket-Richtlinie an einen Amazon S3 S3-Bucket an, damit ein anderes Konto darauf zugreifen kann.