Erteilen Sie IAM-Berechtigungen, um Zugriff auf Amazon Bedrock Foundation-Modelle mit einer Produkt-ID anzufordern

Der Zugriff auf serverlose Fundament-Modelle von Amazon Bedrock mit einer Produkt-ID wird durch die folgenden IAM-Aktionen gesteuert:

IAM-Aktion	Beschreibung	Gilt für welche Modelle
AWS-Marketplace: Abonnieren	Ermöglicht einer IAM-Entität, AWS Marketplace Produkte zu abonnieren, einschließlich Amazon Bedrock Foundation-Modelle.	Nur serverlose Amazon Bedrock-Modelle, die über eine Produkt-ID verfügen. AWS Marketplace
AWS-Marketplace: Abbestellen	Ermöglicht es einer IAM-Identität, sich von AWS Marketplace Produkten abzumelden, einschließlich Amazon Bedrock Foundation-Modellen.	Nur serverlose Amazon Bedrock-Modelle, die über eine Produkt-ID verfügen. AWS Marketplace
aws-marketplace: ViewSubscriptions	Ermöglicht es einer IAM-Identität, eine Liste von AWS Marketplace Produkten zurückzugeben, einschließlich Amazon Bedrock Foundation-Modellen.	Nur serverlose Amazon Bedrock-Modelle, die über eine Produkt-ID verfügen. AWS Marketplace

Anmerkung

Nur für die aws-marketplace:Subscribe Aktion können Sie den aws-marketplace:ProductId Bedingungsschlüssel verwenden, um das Abonnement auf bestimmte Modelle zu beschränken.

Für eine IAM-Identität, um Zugriff auf Modelle mit einer Produkt-ID anzufordern

Der Identität muss eine Richtlinie beigefügt sein, die dies ermöglichtaws-marketplace:Subscribe.

Anmerkung

Wenn eine Identität bereits ein Modell in einer AWS Region abonniert hat, wird das Modell für die Identität verfügbar, um Zugriff in allen AWS Regionen anzufordern, in denen das Modell verfügbar ist, auch wenn dies für andere Regionen verweigert aws-marketplace:Subscribe wird.

Wählen Sie einen Abschnitt aus, um Beispiele für IAM-Richtlinien für einen bestimmten Anwendungsfall zu sehen:

Verhindern Sie, dass eine Identität Zugriff auf ein Modell mit einer Produkt-ID anfordert

Um zu verhindern, dass eine IAM-Entität Zugriff auf ein bestimmtes Modell mit einer Produkt-ID anfordert, fügen Sie dem Benutzer eine IAM-Richtlinie bei, die die aws-marketplace:Subscribe Aktion verweigert, und geben Sie das Condition Feld der Produkt-ID des Modells an.

Sie können beispielsweise die folgende Richtlinie an eine Identität anhängen, um zu verhindern, dass sie das Modell abonniert: Anthropic Claude 3.5 Sonnet

JSON

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Deny",
            "Action": [
                "aws-marketplace:Subscribe"
            ],
            "Resource": "*",
            "Condition": {
                "ForAnyValue:StringEquals": {
                    "aws-marketplace:ProductId": [
                        "prod-m5ilt4siql27k"
                    ]
                }
            }
        }
    ]
}

Anmerkung

Mit dieser Richtlinie hat die IAM-Entität standardmäßig Zugriff auf alle neu hinzugefügten Modelle.

Wenn die Identität das Modell bereits in mindestens einer Region abonniert hat, verhindert diese Richtlinie nicht den Zugriff in anderen Regionen. Stattdessen können Sie die Verwendung verhindern, indem Sie sich das Beispiel unter ansehen. Verhindern Sie, dass eine Identität ein Modell verwendet, nachdem der Zugriff bereits gewährt wurde

Verhindern Sie, dass eine Identität ein Modell verwendet, nachdem der Zugriff bereits gewährt wurde

Wenn einer IAM-Identität bereits Zugriff auf ein Modell gewährt wurde, können Sie die Verwendung des Modells verhindern, indem Sie alle Amazon Bedrock-Aktionen verweigern und das Resource Feld auf den ARN des Foundation-Modells beschränken.

Sie können beispielsweise die folgende Richtlinie an eine Identität anhängen, um zu verhindern, dass sie das Anthropic Claude 3.5 Sonnet Modell in allen Regionen verwendet: AWS

JSON

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Deny",
            "Action": [
                "bedrock:*"
            ],
            "Resource": [
                "arn:aws:bedrock:*::foundation-model/anthropic.claude-3-5-sonnet-20240620-v1:0"
            ]
        }
    ]
}