Aktionen, Ressourcen und Bedingungsschlüssel für Amazon Bedrock

Amazon Bedrock (Servicepräfix: bedrock) stellt die folgenden servicespezifischen Ressourcen, Aktionen und Bedingungskontextschlüssel für die Verwendung in IAM-Berechtigungsrichtlinien bereit.

Referenzen:

• Erfahren Sie, wie Sie diesen Service konfigurieren.

• Zeigen Sie eine Liste der API-Vorgänge an, die für diesen Service verfügbar sind.

• Erfahren Sie, wie Sie diesen Service und seine Ressourcen mithilfe von IAM-Berechtigungsrichtlinien schützen.

Von Amazon Bedrock definierte Aktionen

Sie können die folgenden Aktionen im Element Action einer IAM-Richtlinienanweisung angeben. Verwenden Sie Richtlinien, um Berechtigungen zum Ausführen einer Operation in AWS zu erteilen. Wenn Sie eine Aktion in einer Richtlinie verwenden, erlauben oder verweigern Sie in der Regel den Zugriff auf die API-Operation oder den CLI-Befehl mit demselben Namen. Dabei kann es mitunter vorkommen, dass eine einzige Aktion den Zugriff auf mehr als eine Operation steuert. Alternativ erfordern einige Vorgänge mehrere verschiedene Aktionen.

Die Spalte Resource types (Ressourcentypen) der Aktionstabelle gibt an, ob die Aktion Berechtigungen auf Ressourcenebene unterstützt. Wenn es keinen Wert für diese Spalte gibt, müssen Sie alle Ressourcen ("*") im Element Resource Ihrer Richtlinienanweisung angeben. Wenn die Spalte einen Ressourcentyp enthält, können Sie einen ARN dieses Typs in einer Anweisung mit dieser Aktion angeben. Wenn für die Aktion eine oder mehrere Ressourcen erforderlich sind, muss der Aufrufer die Erlaubnis haben, die Aktion mit diesen Ressourcen zu verwenden. Erforderliche Ressourcen sind in der Tabelle mit einem Sternchen (*) gekennzeichnet. Wenn Sie den Ressourcenzugriff mit dem Element Resource in einer IAM-Richtlinie einschränken, müssen Sie für jeden erforderlichen Ressourcentyp einen ARN oder ein Muster angeben. Einige Aktionen unterstützen mehrere Ressourcentypen. Wenn der Ressourcentyp optional ist (nicht als erforderlich angegeben), können Sie sich für einen der optionalen Ressourcentypen entscheiden.

Die Spalte Bedingungsschlüssel der Tabelle der Aktionen enthält Schlüssel, die Sie im Element Condition einer Richtlinienanweisung angeben können. Weitere Informationen zu den Bedingungsschlüsseln, die den Ressourcen für den Service zugeordnet sind, finden Sie in der Spalte Bedingungsschlüssel der Tabelle der Ressourcentypen.

Anmerkung

Die Ressourcenbedingungsschlüssel sind in der Tabelle Ressourcentypen enthalten. Sie finden einen Link zu dem Ressourcentyp, der für eine Aktion gilt, in der Spalte Ressourcentypen (*erforderlich) der Tabelle „Aktionen“. Der Ressourcentyp in der Tabelle „Ressourcentypen“ enthält die Spalte Bedingungsschlüssel. Das sind die Ressourcenbedingungsschlüssel, die für eine Aktion in der Tabelle „Aktionen“ gelten.

Details zu den Spalten in der folgenden Tabelle finden Sie in der Tabelle Aktionen

Aktionen	Beschreibung	Zugriffsebene	Ressourcentypen (*erforderlich)	Bedingungsschlüssel	Abhängige Aktionen
ApplyGuardrail	Erteilt die Erlaubnis zum Anbringen einer Leitplanke	Lesen	guardrail*
AssociateAgentKnowledgeBase	Gewährt die Berechtigung zum Verbinden einer Wissensdatenbank mit einem Kundendienstmitarbeiter	Schreiben	agent*
			knowledge-base*
AssociateThirdPartyKnowledgeBase [nur Berechtigung]	Gewährt die Berechtigung zum Verwenden der Plattform eines Drittanbieters zum Speichern von Wissensdaten	Schreiben		bedrock:ThirdPartyKnowledgeBaseCredentialsSecretArn
CreateAgent	Erteilt die Berechtigung zum Erstellen eines neuen Agenten und eines Testagenten-Alias, der auf die DRAFT-Agenten-Version verweist	Schreiben		aws:RequestTag/${TagKey} aws:TagKeys
CreateAgentActionGroup	Erteilt die Berechtigung, eine neue Aktionsgruppe in einem vorhandenen Agenten zu erstellen	Schreiben	agent*
				aws:RequestTag/${TagKey} aws:TagKeys
CreateAgentAlias	Erteilt die Berechtigung zum Erstellen eines neuen Alias für einen Agenten	Schreiben	agent*
				aws:RequestTag/${TagKey} aws:TagKeys
CreateDataSource	Gewährt die Berechtigung zum Erstellen einer Datenquelle	Schreiben	knowledge-base*
CreateEvaluationJob	Gewährt die Berechtigung zum Erstellen eines Auftrags für die Evaluierung von Grundlagenmodellen oder benutzerdefinierten Modellen	Schreiben	custom-model*
			foundation-model*
				aws:RequestTag/${TagKey} aws:TagKeys
CreateFoundationModelAgreement	Gewährt die Berechtigung zum Erstellen einer neuen Grundlagenmodellvereinbarung	Schreiben
CreateGuardrail	Gewährt die Berechtigung zum Erstellen eines neuen Integritätsschutzes	Schreiben		aws:RequestTag/${TagKey} aws:TagKeys
CreateGuardrailVersion	Gewährt die Berechtigung zum Erstellen einer neuen Integritätsschutzversion	Schreiben	guardrail*
CreateKnowledgeBase	Gewährt die Berechtigung zum Erstellen einer Wissensdatenbank	Schreiben		aws:RequestTag/${TagKey} aws:TagKeys
CreateModelCustomizationJob	Gewährt die Berechtigung zum Erstellen eines Auftrags zum Anpassen des Modells mit Ihren benutzerdefinierten Trainingsdaten	Schreiben	custom-model*
			foundation-model*
				aws:RequestTag/${TagKey} aws:TagKeys
CreateModelEvaluationJob	Gewährt die Berechtigung zum Erstellen eines Auftrags für die Evaluierung von Grundlagenmodellen oder benutzerdefinierten Modellen	Schreiben	custom-model*
			foundation-model*
				aws:RequestTag/${TagKey} aws:TagKeys
CreateModelInvocationJob	Gewährt die Berechtigung zum Erstellen eines Auftrags zum Aufrufen eines neuen Modells	Schreiben	custom-model*
			foundation-model*
				aws:RequestTag/${TagKey} aws:TagKeys
CreateProvisionedModelThroughput	Gewährt die Berechtigung zum Erstellen eines neuen bereitgestellten Modelldurchsatzes	Schreiben	custom-model*
			foundation-model*
				aws:RequestTag/${TagKey} aws:TagKeys
DeleteAgent	Gewährt die Berechtigung zum Löschen eines zuvor erstellten Agents	Schreiben	agent*
DeleteAgentActionGroup	Gewährt die Berechtigung zum Löschen einer zuvor erstellten actionGroup	Schreiben	agent*
DeleteAgentAlias	Erteilt die Erlaubnis, eine zu löschen AgentAlias , die Sie zuvor erstellt haben	Schreiben	agent-alias*
DeleteAgentVersion	Gewährt die Berechtigung zum Löschen einer zuvor erstellten Agent Version	Schreiben	agent*
DeleteCustomModel	Gewährt die Berechtigung zum Löschen eines zuvor erstellten benutzerdefinierten Modells	Schreiben	custom-model*
DeleteDataSource	Gewährt die Berechtigung zum Löschen einer Datenquelle	Schreiben	knowledge-base*
DeleteFoundationModelAgreement	Gewährt die Berechtigung zum Löschen einer zuvor erstellten Grundlagenmodellvereinbarung	Schreiben
DeleteGuardrail	Gewährt die Berechtigung zum Löschen eines Integritätsschutzes oder seiner Version	Schreiben	guardrail*
DeleteKnowledgeBase	Gewährt die Berechtigung zum Löschen einer Wissensdatenbank	Schreiben	knowledge-base*
DeleteModelInvocationLoggingConfiguration	Gewährt die Berechtigung zum Löschen einer bestehenden Konfiguration der Aufnahmeprotokollierung	Schreiben
DeleteProvisionedModelThroughput	Gewährt die Berechtigung zum Löschen eines zuvor erstellten bereitgestellten Modelldurchsatzes	Schreiben	provisioned-model*
DetectGeneratedContent	Erteilt die Erlaubnis zu erkennen, ob der bereitgestellte Inhalt mit Amazon Bedrock generiert wurde	Lesen	foundation-model*
DisassociateAgentKnowledgeBase	Gewährt die Berechtigung zum Trennen einer Wissensdatenbank von einem Kundendienstmitarbeiter	Schreiben	agent*
			knowledge-base*
GetAgent	Erteilt die Berechtigung zum Abrufen eines vorhandenen Agenten	Lesen	agent*
GetAgentActionGroup	Erteilt die Berechtigung zum Abrufen einer vorhandenen Aktionsgruppe	Lesen	agent*
GetAgentAlias	Erteilt die Berechtigung zum Abrufen eines bestehenden Alias	Lesen	agent-alias*
GetAgentKnowledgeBase	Gewährt die Berechtigung zum Beschreiben einer einem Kundendienstmitarbeiter zugeordneten Wissensdatenbank	Lesen	agent*
			knowledge-base*
GetAgentVersion	Erteilt die Berechtigung zum Abrufen einer bestehenden Agenten-Version	Lesen	agent*
GetCustomModel	Gewährt die Berechtigung zum Abrufen der Eigenschaften, die einem benutzerdefinierten Bedrock-Modell zugeordnet sind, das Sie erstellt haben	Lesen	custom-model*
GetDataSource	Gewährt die Berechtigung zum Abrufen einer vorhandenen Datenquelle	Lesen	knowledge-base*
GetEvaluationJob	Erteilt die Erlaubnis, die mit einem Bewertungsauftrag verknüpften Eigenschaften abzurufen. Verwenden Sie diesen Vorgang, um den Status eines Bewertungsauftrags abzurufen	Lesen	evaluation-job*
GetFoundationModel	Gewährt die Berechtigung zum Abrufen der Eigenschaften, die einem Bedrock-Grundlagenmodell zugeordnet sind	Lesen	foundation-model*
GetFoundationModelAvailability	Gewährt die Berechtigung zum Abrufen der Verfügbarkeit eines Grundlagenmodells	Lesen
GetGuardrail	Gewährt die Berechtigung zum Abrufen eines Integritätsschutzes oder seiner Version	Lesen	guardrail*
GetIngestionJob	Gewährt die Berechtigung zum Abrufen eines bestehenden Aufnahmeauftrags	Lesen	knowledge-base*
GetKnowledgeBase	Gewährt die Berechtigung zum Abrufen einer vorhandenen Wissensdatenbank	Lesen	knowledge-base*
GetModelCustomizationJob	Gewährt die Berechtigung zum Abrufen der Eigenschaften, die einem Modellanpassungsauftrag zugeordnet sind Verwenden Sie diesen Vorgang, um den Status eines Auftrags zur Modellanpassung abzurufen.	Lesen	model-customization-job*
GetModelEvaluationJob	Gewährt die Berechtigung zum Abrufen der Eigenschaften, die einem Modellbewertungsauftrag zugeordnet sind Verwenden Sie diesen Vorgang, um den Status eines Auftrags zur Modellbewertung abzurufen	Lesen	model-evaluation-job*
GetModelInvocationJob	Gewährt die Berechtigung zum Abrufen eines Auftrags zum Aufrufen eines Modells	Lesen	model-invocation-job*
GetModelInvocationLoggingConfiguration	Gewährt die Berechtigung zum Abrufen einer bestehenden Konfiguration der Aufnahmeprotokollierung	Lesen
GetProvisionedModelThroughput	Gewährt die Berechtigung zum Abrufen eines bereitgestellten Modelldurchsatzes	Lesen	provisioned-model*
GetUseCaseForModelAccess	Gewährt die Berechtigung zum Abrufen eines Anwendungsfalls für den Modellzugriff	Lesen
InvokeAgent	Erteilt die Berechtigung zum Senden von Benutzereingaben (nur Text) an einen Agenten für Bedrock	Lesen	agent-alias*
InvokeModel	Gewährt die Berechtigung zum Aufrufen des angegebenen Bedrock-Modells, um mithilfe der im Anforderungstext bereitgestellten Eingabe Inferenzen auszuführen	Lesen	foundation-model*
			provisioned-model*
InvokeModelWithResponseStream	Gewährt die Berechtigung zum Aufrufen des angegebenen Bedrock-Modells, um mithilfe der im Anforderungstext bereitgestellten Eingabe mit Streaming-Antwort Inferenzen auszuführen	Lesen	foundation-model*
			provisioned-model*
ListAgentActionGroups	Erteilt die Berechtigung, Aktionsgruppen in einem Agenten aufzulisten	Auflisten	agent*
ListAgentAliases	Erteilt die Berechtigung, Aliase für einen Agenten aufzulisten	Auflisten	agent*
ListAgentKnowledgeBases	Gewährt die Berechtigung zum Auflisten von Wissensdatenbanken, die einem Kundendienstmitarbeiter zugeordnet sind	Auflisten	agent*
ListAgentVersions	Erteilt die Berechtigung zum Auflisten bestehender Agenten-Versionen	Auflisten	agent*
ListAgents	Erteilt die Berechtigung zum Auflisten vorhandener Agenten	Auflisten
ListCustomModels	Gewährt die Berechtigung zum Abrufen einer Liste der von Ihnen erstellten Bedrock-Modelle	Auflisten
ListDataSources	Gewährt die Berechtigung zum Auflisten vorhandener Datenquellen in einer Wissensdatenbank	Auflisten	knowledge-base*
ListEvaluationJobs	Erteilt die Erlaubnis, die Liste der von Ihnen eingereichten Bewertungsjobs abzurufen	Auflisten
ListFoundationModelAgreementOffers	Gewährt die Berechtigung zum Auflisten von Grundlagenmodellvereinbarungsangeboten	Auflisten
ListFoundationModels	Gewährt die Berechtigung zum Auflisten der Bedrock-Grundlagenmodelle, die Sie verwenden können	Auflisten
ListGuardrails	Gewährt die Berechtigung zum Auflisten von Integritätsschutz oder deren Versionen	Auflisten	guardrail
ListIngestionJobs	Gewährt die Berechtigung zum Auflisten von Aufnahmeaufträgen in einer Datenquelle	Auflisten	knowledge-base*
ListKnowledgeBases	Gewährt die Berechtigung zum Auflisten vorhandener Wissensdatenbanken	Auflisten
ListModelCustomizationJobs	Gewährt die Berechtigung zum Abrufen einer Liste der von Ihnen übermittelten Aufträge zur Modellanpassung	Auflisten
ListModelEvaluationJobs	Gewährt die Berechtigung zum Abrufen einer Liste der von Ihnen übermittelten Aufträge zur Modellbewertung	Auflisten
ListModelInvocationJobs	Gewährt die Berechtigung zum Auflisten zuvor erstellter Modellaufrufaufträge	Auflisten
ListProvisionedModelThroughputs	Gewährt die Berechtigung zum Auflisten zuvor erstellter bereitgestellter Modelldurchsätze	Auflisten
ListTagsForResource	Gewährt die Berechtigung zum Auflisten von Tags für eine Bedrock-Ressource	Lesen	agent*
			agent-alias*
			custom-model*
			evaluation-job*
			guardrail*
			knowledge-base*
			model-customization-job*
			model-evaluation-job*
			model-invocation-job*
			provisioned-model*
PrepareAgent	Gewährt die Berechtigung, einen vorhandenen Agenten auf den Empfang von Laufzeitanforderungen vorzubereiten	Schreiben	agent*
PutFoundationModelEntitlement	Gewährt die Berechtigung, Zugriff auf ein Grundlagenmodell zu gewähren	Schreiben
PutModelInvocationLoggingConfiguration	Gewährt die Berechtigung zum Löschen einer bestehenden Konfiguration der Aufnahmeprotokollierung	Schreiben
PutUseCaseForModelAccess	Gewährt die Berechtigung zum Ablegen eines Anwendungsfalls für den Modellzugriff	Schreiben
Retrieve	Gewährt die Berechtigung zum Abrufen der aufgenommenen Daten aus einer Wissensdatenbank	Lesen	knowledge-base*
RetrieveAndGenerate	Gewährt die Berechtigung zum Senden von Benutzereingaben zum Abrufen und Generieren	Schreiben
StartIngestionJob	Gewährt die Berechtigung zum Starten eines Aufnahmeauftrags	Schreiben	knowledge-base*
StopEvaluationJob	Erteilt die Erlaubnis, eine Evaluierungsaufgabe zu beenden, während sie in Bearbeitung ist	Schreiben	evaluation-job*
StopModelCustomizationJob	Gewährt die Berechtigung zum Beenden eines Auftrags zur Anpassung eines Bedrock-Modells, während er läuft	Schreiben	model-customization-job*
StopModelInvocationJob	Gewährt die Berechtigung zum Anhalten eines Auftrags zum Aufrufen eines Modells, den Sie zuvor gestartet haben	Schreiben	model-invocation-job*
TagResource	Gewährt die Berechtigung zum Markieren einer Bedrock-Ressource mit Tags	Tagging	agent
			agent-alias
			custom-model
			evaluation-job
			guardrail
			knowledge-base
			model-customization-job
			model-evaluation-job
			model-invocation-job
			provisioned-model
				aws:TagKeys aws:RequestTag/${TagKey}
UntagResource	Gewährt die Berechtigung zum Aufheben der Markierung einer Bedrock-Ressource mit Tags	Tagging	agent
			agent-alias
			custom-model
			evaluation-job
			guardrail
			knowledge-base
			model-customization-job
			model-evaluation-job
			model-invocation-job
			provisioned-model
				aws:TagKeys
UpdateAgent	Erteilt die Berechtigung zum Aktualisieren eines vorhandenen Agenten	Schreiben	agent*
UpdateAgentActionGroup	Erteilt die Berechtigung zum Aktualisieren einer vorhandenen Aktionsgruppe	Schreiben	agent*
UpdateAgentAlias	Erteilt die Berechtigung, einen bestehenden Alias zu aktualisieren	Schreiben	agent-alias*
UpdateAgentKnowledgeBase	Gewährt die Berechtigung zum Aktualisieren einer einem Kundendienstmitarbeiter zugeordneten Wissensdatenbank	Schreiben	agent*
			knowledge-base*
UpdateDataSource	Gewährt die Berechtigung zum Aktualisieren einer Datenquelle	Schreiben	knowledge-base*
UpdateGuardrail	Gewährt die Berechtigung zum Beschreiben eines Integritätsschutzes	Schreiben	guardrail*
UpdateKnowledgeBase	Gewährt die Berechtigung zum Aktualisieren einer Wissensdatenbank	Schreiben	knowledge-base*
UpdateProvisionedModelThroughput	Gewährt die Berechtigung zum Aktualisieren eines zuvor erstellten bereitgestellten Modelldurchsatzes	Schreiben	custom-model*
			foundation-model*
			provisioned-model*

Von Amazon Bedrock definierte Ressourcentypen

Die folgenden Ressourcentypen werden von diesem Service definiert und können im Element Resource von IAM-Berechtigungsrichtlinienanweisungen verwendet werden. Jede Aktion in der Tabelle „Aktionen“ identifiziert die Ressourcentypen, die mit der Aktion angegeben werden können. Ein Ressourcentyp kann auch definieren, welche Bedingungsschlüssel Sie in einer Richtlinie einschließen können. Diese Schlüssel werden in der letzten Spalte der Tabelle der Ressourcentypen angezeigt. Details zu den Spalten in der folgenden Tabelle finden Sie in der Tabelle Resource types.

Ressourcentypen	ARN	Bedingungsschlüssel
foundation-model	arn:${Partition}:bedrock:${Region}::foundation-model/${ResourceId}
custom-model	arn:${Partition}:bedrock:${Region}:${Account}:custom-model/${ResourceId}	aws:ResourceTag/${TagKey}
provisioned-model	arn:${Partition}:bedrock:${Region}:${Account}:provisioned-model/${ResourceId}	aws:ResourceTag/${TagKey}
model-customization-job	arn:${Partition}:bedrock:${Region}:${Account}:model-customization-job/${ResourceId}	aws:ResourceTag/${TagKey}
agent	arn:${Partition}:bedrock:${Region}:${Account}:agent/${AgentId}	aws:ResourceTag/${TagKey}
agent-alias	arn:${Partition}:bedrock:${Region}:${Account}:agent-alias/${AgentId}/${AgentAliasId}	aws:ResourceTag/${TagKey}
knowledge-base	arn:${Partition}:bedrock:${Region}:${Account}:knowledge-base/${KnowledgeBaseId}	aws:ResourceTag/${TagKey}
model-evaluation-job	arn:${Partition}:bedrock:${Region}:${Account}:model-evaluation-job/${ResourceId}	aws:ResourceTag/${TagKey}
evaluation-job	arn:${Partition}:bedrock:${Region}:${Account}:evaluation-job/${ResourceId}	aws:ResourceTag/${TagKey}
model-invocation-job	arn:${Partition}:bedrock:${Region}:${Account}:model-invocation-job/${JobIdentifier}	aws:ResourceTag/${TagKey}
guardrail	arn:${Partition}:bedrock:${Region}:${Account}:guardrail/${GuardrailId}	aws:ResourceTag/${TagKey}

Bedingungsschlüssel für Amazon Bedrock

Amazon Bedrock definiert die folgenden Bedingungsschlüssel, die im Condition-Element einer IAM-Richtlinie verwendet werden können. Diese Schlüssel können Sie verwenden, um die Bedingungen zu verfeinern, unter denen die Richtlinienanweisung angewendet wird. Details zu den Spalten in der folgenden Tabelle finden Sie in der Tabelle Bedingungsschlüssel.

Eine Liste der globalen Bedingungsschlüssel, die für alle Services verfügbar sind, finden Sie unter Verfügbare globale Bedingungsschlüssel.

Bedingungsschlüssel	Beschreibung	Typ
aws:RequestTag/${TagKey}	Filtert den Zugriff durch die Erstellung von Anforderungen basierend auf dem zulässigen Satz von Werten für jedes der obligatorischen Tags	String
aws:ResourceTag/${TagKey}	Filtert den Zugriff durch Aktionen basierend auf dem Tag-Wert, der der Ressource zugeordnet ist	String
aws:TagKeys	Filtert den Zugriff durch das Erstellen von Anfragen basierend auf dem Vorhandensein von obligatorischen Tags in der Anfrage	ArrayOfString
bedrock:ThirdPartyKnowledgeBaseCredentialsSecretArn	Filtert den Zugriff nach dem SecretArn, der die Anmeldeinformationen der Drittanbieterplattform enthält	ARN