Protokollieren von Amazon-Bedrock-API-Aufrufen mit AWS CloudTrail

Amazon Bedrock ist in integriert, einem Service AWS CloudTrail, der die Aktionen eines Benutzers, einer Rolle oder eines - AWS Services in Amazon Bedrock aufzeichnet. CloudTrail erfasst alle API-Aufrufe für Amazon Bedrock als Ereignisse. Zu den erfassten Aufrufen gehören Aufrufe von der Amazon-Bedrock-Konsole und Code-Aufrufe der API-Operationen von Amazon Bedrock. Wenn Sie einen Trail erstellen, können Sie die kontinuierliche Bereitstellung von CloudTrail Ereignissen an einen Amazon S3-Bucket aktivieren, einschließlich Ereignissen für Amazon Bedrock. Wenn Sie keinen Trail konfigurieren, können Sie trotzdem die neuesten Ereignisse in der CloudTrail Konsole unter Ereignisverlauf anzeigen. Anhand der von CloudTrailgesammelten Informationen können Sie die an Amazon Bedrock gestellte Anfrage, die IP-Adresse, von der die Anfrage gestellt wurde, den Initiator der Anfrage, den Zeitpunkt der Anfrage und zusätzliche Details bestimmen.

Weitere Informationen zu CloudTrailfinden Sie im AWS CloudTrail -Benutzerhandbuch.

Amazon-Bedrock-Informationen in CloudTrail

CloudTrail wird beim Erstellen des Kontos AWS-Konto auf Ihrem aktiviert. Wenn eine Aktivität in Amazon Bedrock auftritt, wird diese Aktivität in einem - CloudTrail Ereignis zusammen mit anderen - AWS Serviceereignissen im Ereignisverlauf aufgezeichnet. Sie können aktuelle Ereignisse in Ihrem anzeigen, suchen und herunterladen AWS-Konto. Weitere Informationen finden Sie unter Anzeigen von Ereignissen mit dem CloudTrail Ereignisverlauf .

Erstellen Sie für eine fortlaufende Aufzeichnung der Ereignisse in Ihrem AWS-Konto, einschließlich Ereignissen für Amazon Bedrock, einen Trail. Ein Trail ermöglicht CloudTrail die Bereitstellung von Protokolldateien an einen Amazon S3-Bucket. Wenn Sie einen Trail in der Konsole anlegen, gilt dieser für alle AWS-Regionen-Regionen. Der Trail protokolliert Ereignisse aus allen Regionen in der - AWS Partition und stellt die Protokolldateien in dem von Ihnen angegebenen Amazon S3-Bucket bereit. Darüber hinaus können Sie andere - AWS Services konfigurieren, um die in den CloudTrail Protokollen erfassten Ereignisdaten weiter zu analysieren und entsprechend zu agieren. Weitere Informationen finden Sie hier:

• Übersicht zum Erstellen eines Trails

• CloudTrail Von unterstützte Services und Integrationen

• Konfigurieren von Amazon SNS-Benachrichtigungen für CloudTrail

• Empfangen von CloudTrail Protokolldateien aus mehreren Regionen und Empfangen von CloudTrail Protokolldateien aus mehreren Konten

Jeder Ereignis- oder Protokolleintrag enthält Informationen zu dem Benutzer, der die Anforderung generiert hat. Die Identitätsinformationen unterstützen Sie bei der Ermittlung der folgenden Punkte:

• Ob die Anforderung mit Root- oder AWS Identity and Access Management (IAM)-Benutzeranmeldeinformationen ausgeführt wurde.

• Gibt an, ob die Anforderung mit temporären Sicherheitsanmeldeinformationen für eine Rolle oder einen Verbundbenutzer gesendet wurde.

• Ob die Anforderung von einem anderen - AWS Service gestellt wurde.

Weitere Informationen finden Sie unter CloudTrail -Element userIdentity.

Amazon-Bedrock-Datenereignisse in CloudTrail

Datenereignisse liefern Informationen über die Ressourcenoperationen, die auf oder in einer Ressource ausgeführt werden (z. B. Lesen oder Schreiben in ein Amazon-S3-Objekt). Sie werden auch als Vorgänge auf Datenebene bezeichnet. Datenereignisse sind oft Aktivitäten mit hohem Volumen, die CloudTrail standardmäßig nicht protokolliert.

Amazon Bedrock protokolliert keine Runtime-API-Operationen in Amazon Bedrock (InvokeModel und InvokeModelWithResponseStream).

Amazon Bedrock protokolliert alle API-Operationsaktionen von Agents für Amazon Bedrock Runtime CloudTrail als Datenereignisse in .

• Um InvokeAgent Aufrufe zu protokollieren, konfigurieren Sie erweiterte Ereignisselektoren, um Datenereignisse für den AWS::Bedrock::AgentAlias Ressourcentyp aufzuzeichnen.

• Um - Retrieve und -RetrieveAndGenerateAufrufe zu protokollieren, konfigurieren Sie erweiterte Ereignisselektoren, um Datenereignisse für den AWS::Bedrock::KnowledgeBase Ressourcentyp aufzuzeichnen.

Wählen Sie in der CloudTrail Konsole Bedrock-Agent-Alias oder Bedrock-Wissensdatenbank für den Datenereignistyp aus. Sie können zusätzlich nach den Feldern eventName und resources.ARN filtern, indem Sie eine benutzerdefinierte Protokollauswahlvorlage auswählen. Weitere Informationen finden Sie unter Protokollieren von Verwaltungsereignissen mit der AWS-Managementkonsole.

Legen Sie in der AWS CLIden resource.type Wert gleich AWS::Bedrock::AgentAlias oder AWS::Bedrock::KnowledgeBase und den eventCategory gleich festData. Weitere Informationen finden Sie unter Protokollieren von Datenereignissen mit der AWS CLI.

Das folgende Beispiel zeigt, wie Sie Ihren Trail so konfigurieren, dass sämtliche Amazon-Bedrock-Datenereignisse für alle Amazon-Bedrock-Ressourcentypen in der AWS CLI enthalten sind.

aws cloudtrail put-event-selectors --trail-name trailName \
--advanced-event-selectors \
'[
  {
    "Name": "Log all data events on an Agents for Amazon Bedrock agent alias",
    "FieldSelectors": [
      { "Field": "eventCategory", "Equals": ["Data"] },
      { "Field": "resources.type", "Equals": ["AWS::Bedrock::AgentAlias"] }
    ]
  },
  {
    "Name": "Log all data events on an Agents for Amazon Bedrock knowledge base",
    "FieldSelectors": [
      { "Field": "eventCategory", "Equals": ["Data"] },
      { "Field": "resources.type", "Equals": ["AWS::Bedrock::KnowledgeBase"] }
    ]
  }
]'

Sie können zusätzlich nach den Feldern eventName und resources.ARN filtern. Weitere Informationen zu diesen Feldern finden Sie unter AdvancedFieldSelector.

Für Datenereignisse werden zusätzliche Gebühren fällig. Weitere Informationen zu CloudTrail Preisen finden Sie unter -AWS CloudTrail Preise.

Verwaltungsereignisse von Amazon Bedrock in CloudTrail

Verwaltungsereignisse liefern Informationen zu Verwaltungsvorgängen, die für Ressourcen in Ihrem AWS Konto ausgeführt werden. Diese werden standardmäßig auch als API-Operationen für Verwaltungsereignisse der Steuerebene operations. CloudTrail logs bezeichnet.

Amazon Bedrock protokolliert den Rest der Amazon-Bedrock-API-Operationen als Verwaltungsereignisse. Eine Liste der Amazon-Bedrock-API-Operationen, die Amazon Bedrock in protokolliert CloudTrail, finden Sie auf den folgenden Seiten der Amazon-Bedrock-API-Referenz.

Alle Amazon-Bedrock-API-Operationen und Agents für Amazon-Bedrock-API-Operationen werden von protokolliert CloudTrail und in der Amazon-Bedrock-API-Referenz dokumentiert. Aufrufe der CreateAgent Aktionen InvokeModel, StopModelCustomizationJobund erzeugen beispielsweise Einträge in den CloudTrail Protokolldateien.

Erläuterungen der Amazon-Bedrock-Protokolldateieinträge

Ein Trail ist eine Konfiguration, die die Bereitstellung von Ereignissen als Protokolldateien an einen von Ihnen angegebenen Amazon S3-Bucket ermöglicht. CloudTrail Protokolldateien enthalten einen oder mehrere Protokolleinträge. Ein Ereignis stellt eine einzelne Anforderung aus einer beliebigen Quelle dar und enthält Informationen über die angeforderte Aktion, das Datum und die Uhrzeit der Aktion, Anforderungsparameter usw. CloudTrail Protokolldateien sind kein geordnetes Stacktrace der öffentlichen API-Aufrufe und erscheinen daher nicht in einer bestimmten Reihenfolge.

Das folgende Beispiel zeigt einen - CloudTrail Protokolleintrag, der die InvokeModel Aktion demonstriert.

{
    "eventVersion": "1.08",
    "userIdentity": {
        "type": "IAMUser",
        "principalId": "AROAICFHPEXAMPLE",
        "arn": "arn:aws:iam::111122223333:user/userxyz",
        "accountId": "111122223333",
        "accessKeyId": "AKIAIOSFODNN7EXAMPLE",
        "userName": "userxyz"
    },
    "eventTime": "2023-10-11T21:58:59Z",
    "eventSource": "bedrock.amazonaws.com",
    "eventName": "InvokeModel",
    "awsRegion": "us-west-2",
    "sourceIPAddress": "192.0.2.0",
    "userAgent": "Boto3/1.28.62 md/Botocore#1.31.62 ua/2.0 os/macos#22.6.0 md/arch#arm64 lang/python#3.9.6 md/pyimpl#CPython cfg/retry-mode#legacy Botocore/1.31.62",
    "requestParameters": {
        "modelId": "stability.stable-diffusion-xl-v0"
    },
    "responseElements": null,
    "requestID": "a1b2c3d4-5678-90ab-cdef-EXAMPLE22222",
    "eventID": "a1b2c3d4-5678-90ab-cdef-EXAMPLE11111 ",
    "readOnly": false,
    "eventType": "AwsApiCall",
    "managementEvent": true,
    "recipientAccountId": "111122223333",
    "eventCategory": "Management",
    "tlsDetails": {
        "tlsVersion": "TLSv1.2",
        "cipherSuite": "cipher suite",
        "clientProvidedHostHeader": "bedrock-runtime.us-west-2.amazonaws.com"
    }
}