Acciones, recursos y claves de condición para Amazon Bedrock

Amazon Bedrock (prefijo de servicio: bedrock) proporciona los siguientes recursos, acciones y claves de contexto de condición específicos del servicio para su uso en las políticas de IAM permisos.

Referencias:

• Obtenga información para configurar este servicio.

• Vea una lista de las operaciones de API disponibles para este servicio.

• Obtenga información sobre cómo proteger este servicio y sus recursos mediante las políticas de permisos de IAM.

Acciones definidas por Amazon Bedrock

Puede especificar las siguientes acciones en el elemento Action de una declaración de política de IAM. Utilice políticas para conceder permisos para realizar una operación en AWS. Cuando utiliza una acción en una política, normalmente permite o deniega el acceso a la operación de la API o comandos de la CLI con el mismo nombre. No obstante, en algunos casos, una sola acción controla el acceso a más de una operación. Asimismo, algunas operaciones requieren varias acciones diferentes.

La columna Tipos de recurso de la tabla de Acción indica si cada acción admite permisos de nivel de recursos. Si no hay ningún valor para esta columna, debe especificar todos los recursos ("*") a los que aplica la política en el elemento Resource de la instrucción de su política. Si la columna incluye un tipo de recurso, puede especificar un ARN de ese tipo en una instrucción con dicha acción. Si la acción tiene uno o más recursos necesarios, la persona que llama debe tener permiso para usar la acción con esos recursos. Los recursos necesarios se indican en la tabla con un asterisco (*). Si limita el acceso a los recursos con el elemento Resource de una política de IAM, debe incluir un ARN o patrón para cada tipo de recurso requerido. Algunas acciones admiten varios tipos de recursos. Si el tipo de recurso es opcional (no se indica como obligatorio), puede elegir utilizar uno de los tipos de recursos opcionales.

La columna Claves de condición de la tabla Acciones incluye claves que puede especificar en el elemento Condition de la instrucción de una política. Para obtener más información sobre las claves de condición asociadas a los recursos del servicio, consulte la columna Claves de condición de la tabla Tipos de recursos.

nota

Las claves de condición de recursos se enumeran en la tabla Tipos de recursos. Encontrará un enlace al tipo de recurso que se aplica a una acción en la columna Tipos de recursos (*obligatorio) de la tabla Acciones. El tipo de recurso de la tabla Tipos de recursos incluye la columna Claves de condición, que son las claves de condición del recurso que se aplican a una acción de la tabla Acciones.

Para obtener información detallada sobre las columnas de la siguiente tabla, consulte Tabla Acciones.

Acciones	Descripción	Nivel de acceso	Tipos de recursos (*necesarios)	Claves de condición	Acciones dependientes
ApplyGuardrail	Concede permiso para colocar una barandilla	Leer	guardrail*
AssociateAgentKnowledgeBase	Concede permiso para asociar una base de conocimiento a un agente	Escritura	agent*
			knowledge-base*
AssociateThirdPartyKnowledgeBase [solo permiso]	Concede permiso para usar una plataforma de terceros para almacenar datos de conocimiento	Escritura		bedrock:ThirdPartyKnowledgeBaseCredentialsSecretArn
CreateAgent	Concede permiso para crear un nuevo agente y un alias de agente de prueba que apunte a la versión del agente DRAFT	Escritura		aws:RequestTag/${TagKey} aws:TagKeys
CreateAgentActionGroup	Concede permiso para crear un nuevo grupo de acciones en un agente existente	Escritura	agent*
				aws:RequestTag/${TagKey} aws:TagKeys
CreateAgentAlias	Concede permiso para crear un nuevo alias para un agente	Escritura	agent*
				aws:RequestTag/${TagKey} aws:TagKeys
CreateDataSource	Concede permiso para crear un origen de datos	Escritura	knowledge-base*
CreateEvaluationJob	Concede permiso para crear un trabajo para modelos de base de evaluación o modelos personalizados	Escritura	custom-model*
			foundation-model*
				aws:RequestTag/${TagKey} aws:TagKeys
CreateFoundationModelAgreement	Concede permiso para crear un nuevo acuerdo de modelo de base	Escritura
CreateGuardrail	Concede permiso para crear una nueva barrera de protección	Escritura		aws:RequestTag/${TagKey} aws:TagKeys
CreateGuardrailVersion	Concede permiso para crear una nueva versión de barrera de protección	Escritura	guardrail*
CreateKnowledgeBase	Concede permiso para crear una base de conocimientos	Escritura		aws:RequestTag/${TagKey} aws:TagKeys
CreateModelCustomizationJob	Concede permiso para crear un trabajo para personalizar el modelo con sus datos de entrenamiento personalizados	Escritura	custom-model*
			foundation-model*
				aws:RequestTag/${TagKey} aws:TagKeys
CreateModelEvaluationJob	Concede permiso para crear un trabajo para modelos de base de evaluación o modelos personalizados	Escritura	custom-model*
			foundation-model*
				aws:RequestTag/${TagKey} aws:TagKeys
CreateModelInvocationJob	Concede permiso para crear un trabajo de invocación de modelo nuevo	Escritura	custom-model*
			foundation-model*
				aws:RequestTag/${TagKey} aws:TagKeys
CreateProvisionedModelThroughput	Concede permiso para crear un nuevo rendimiento de modelo aprovisionado	Escritura	custom-model*
			foundation-model*
				aws:RequestTag/${TagKey} aws:TagKeys
DeleteAgent	Concede permiso para eliminar un agente que haya creado anteriormente	Escritura	agent*
DeleteAgentActionGroup	Concede permiso para eliminar un actionGroup que haya creado anteriormente	Escritura	agent*
DeleteAgentAlias	Otorga permiso para eliminar una AgentAlias que haya creado anteriormente	Escritura	agent-alias*
DeleteAgentVersion	Concede permiso para eliminar una versión de agente que haya creado anteriormente	Escritura	agent*
DeleteCustomModel	Concede permiso para eliminar un modelo personalizado que haya creado anteriormente	Escritura	custom-model*
DeleteDataSource	Concede permiso para eliminar un origen de datos	Escritura	knowledge-base*
DeleteFoundationModelAgreement	Concede permiso para eliminar un acuerdo de modelo de base que haya creado anteriormente	Escritura
DeleteGuardrail	Concede permiso para eliminar una barrera de protección o su versión	Escritura	guardrail*
DeleteKnowledgeBase	Concede permiso para eliminar una base de conocimientos	Escritura	knowledge-base*
DeleteModelInvocationLoggingConfiguration	Concede permiso para eliminar una configuración de registro de invocación existente	Escritura
DeleteProvisionedModelThroughput	Concede permiso para eliminar un rendimiento de modelo aprovisionado que haya creado anteriormente	Escritura	provisioned-model*
DetectGeneratedContent	Otorga permiso para detectar si el contenido proporcionado se generó con Amazon Bedrock	Leer	foundation-model*
DisassociateAgentKnowledgeBase	Concede permiso para desasociar una base de conocimiento de agente	Escritura	agent*
			knowledge-base*
GetAgent	Concede permiso para recuperar un agente existente	Leer	agent*
GetAgentActionGroup	Concede permiso para recuperar un grupo de acciones existente	Leer	agent*
GetAgentAlias	Concede permiso para recuperar un alias existente	Leer	agent-alias*
GetAgentKnowledgeBase	Concede permiso para describir una base de conocimiento asociada a un agente	Leer	agent*
			knowledge-base*
GetAgentVersion	Concede permiso para recuperar una versión de agente existente	Leer	agent*
GetCustomModel	Concede permiso para obtener las propiedades asociadas a un modelo personalizado de Bedrock que haya creado	Leer	custom-model*
GetDataSource	Concede permiso para recuperar un origen de datos existente	Leer	knowledge-base*
GetEvaluationJob	Otorga permiso para obtener las propiedades asociadas a un trabajo de evaluación. Utilice esta operación para obtener el estado de un trabajo de evaluación	Leer	evaluation-job*
GetFoundationModel	Concede permiso para obtener las propiedades asociadas a un modelo de base de Bedrock	Leer	foundation-model*
GetFoundationModelAvailability	Concede permiso para obtener la disponibilidad de un modelo de base	Leer
GetGuardrail	Concede permiso para recuperar una barrera de protección o su versión	Leer	guardrail*
GetIngestionJob	Concede permiso para recuperar un trabajo de incorporación existente	Leer	knowledge-base*
GetKnowledgeBase	Concede permiso para recuperar una base de conocimiento existente	Leer	knowledge-base*
GetModelCustomizationJob	Concede permiso para obtener las propiedades asociadas con un trabajo de personalización de modelos. Utilice esta operación para obtener el estado de un trabajo de personalización de modelos	Leer	model-customization-job*
GetModelEvaluationJob	Concede permiso para obtener las propiedades asociadas con un trabajo de evaluación de modelos. Utilice esta operación para obtener el estado de un trabajo de evaluación de modelos	Leer	model-evaluation-job*
GetModelInvocationJob	Concede permiso para recuperar un trabajo de invocación de modelo	Leer	model-invocation-job*
GetModelInvocationLoggingConfiguration	Concede permiso para recuperar una configuración de registro de invocación existente	Leer
GetProvisionedModelThroughput	Concede permiso para recuperar un rendimiento de modelo aprovisionado	Leer	provisioned-model*
GetUseCaseForModelAccess	Concede permiso para recuperar un caso de uso para acceder a modelos	Leer
InvokeAgent	Concede permiso para enviar la entrada del usuario (solo texto) al alias de un agente de Bedrock	Leer	agent-alias*
InvokeModel	Concede permiso para invocar el modelo de Bedrock especificado para ejecutar la inferencia utilizando la entrada proporcionada en el cuerpo de la solicitud	Leer	foundation-model*
			provisioned-model*
InvokeModelWithResponseStream	Concede permiso para invocar el modelo Bedrock especificado para ejecutar la inferencia utilizando la entrada proporcionada en el cuerpo de la solicitud con respuesta de transmisión	Leer	foundation-model*
			provisioned-model*
ListAgentActionGroups	Concede permiso para enumerar grupos de acciones en un agente	Enumeración	agent*
ListAgentAliases	Concede permiso para enumerar alias de un agente	Enumeración	agent*
ListAgentKnowledgeBases	Concede permiso para enumerar las bases de conocimiento asociadas a un agente	Enumeración	agent*
ListAgentVersions	Concede permiso para enumerar versiones de agente existentes	Enumeración	agent*
ListAgents	Concede permiso para enumerar los agentes existentes	Enumeración
ListCustomModels	Concede permiso para obtener una lista de modelos personalizados de Bedrock que ha creado	Enumeración
ListDataSources	Concede permiso para enumerar los orígenes de datos existentes en una base de conocimiento	Enumeración	knowledge-base*
ListEvaluationJobs	Otorga permiso para obtener la lista de trabajos de evaluación que ha enviado	Enumeración
ListFoundationModelAgreementOffers	Concede permiso para obtener una lista de ofertas de acuerdo de modelo de base	Enumeración
ListFoundationModels	Concede permiso para enumerar los modelos de base de Bedrock que puede utilizar	Enumeración
ListGuardrails	Concede permiso para enumerar barreras de protección o sus versiones	Enumeración	guardrail
ListIngestionJobs	Concede permiso para enumerar trabajos de incorporación en un origen de datos	Enumeración	knowledge-base*
ListKnowledgeBases	Concede permiso para enumerar las bases de conocimiento existentes	Enumeración
ListModelCustomizationJobs	Concede permiso para obtener la lista de trabajos de personalización de modelos que ha enviado	Enumeración
ListModelEvaluationJobs	Concede permiso para obtener la lista de trabajos de evaluación de modelos que ha enviado	Enumeración
ListModelInvocationJobs	Concede permiso para enumerar trabajos de invocación de modelo que haya creado anteriormente	Enumeración
ListProvisionedModelThroughputs	Concede permiso para enumerar los rendimientos de modelo aprovisionado que haya creado anteriormente	Enumeración
ListTagsForResource	Concede permiso para listar etiquetas para un recurso de Bedrock	Leer	agent*
			agent-alias*
			custom-model*
			evaluation-job*
			guardrail*
			knowledge-base*
			model-customization-job*
			model-evaluation-job*
			model-invocation-job*
			provisioned-model*
PrepareAgent	Concede permiso para preparar un agente existente para recibir solicitudes de tiempo de ejecución	Escritura	agent*
PutFoundationModelEntitlement	Concede permiso para dar el derecho de acceso a un modelo de base	Escritura
PutModelInvocationLoggingConfiguration	Concede permiso para crear una configuración de registro de invocación	Escritura
PutUseCaseForModelAccess	Concede permiso para poner un caso de uso para el acceso de modelo	Escritura
Retrieve	Concede permiso para recuperar datos incorporados de una base de conocimiento	Leer	knowledge-base*
RetrieveAndGenerate	Concede permiso para enviar la entrada del usuario para realizar la recuperación y la generación	Escritura
StartIngestionJob	Concede permiso para iniciar un trabajo de incorporación	Escritura	knowledge-base*
StopEvaluationJob	Otorga permiso para detener un trabajo de evaluación mientras está en curso	Escritura	evaluation-job*
StopModelCustomizationJob	Concede permiso para detener un trabajo de personalización del modelo Bedrock mientras está en progreso	Escritura	model-customization-job*
StopModelInvocationJob	Concede permiso para detener un trabajo de invocación de modelo que haya iniciado anteriormente	Escritura	model-invocation-job*
TagResource	Concede permiso para etiquetar un recurso Bedrock	Etiquetado	agent
			agent-alias
			custom-model
			evaluation-job
			guardrail
			knowledge-base
			model-customization-job
			model-evaluation-job
			model-invocation-job
			provisioned-model
				aws:TagKeys aws:RequestTag/${TagKey}
UntagResource	Concede permiso para quitar la etiqueta de un recurso Bedrock	Etiquetado	agent
			agent-alias
			custom-model
			evaluation-job
			guardrail
			knowledge-base
			model-customization-job
			model-evaluation-job
			model-invocation-job
			provisioned-model
				aws:TagKeys
UpdateAgent	Concede permiso para actualizar un agente existente	Escritura	agent*
UpdateAgentActionGroup	Concede permiso para actualizar un grupo de acciones existente	Escritura	agent*
UpdateAgentAlias	Concede permiso para actualizar un alias existente	Escritura	agent-alias*
UpdateAgentKnowledgeBase	Concede permiso para actualizar una base de conocimiento asociada a un agente	Escritura	agent*
			knowledge-base*
UpdateDataSource	Concede permiso para actualizar un origen de datos	Escritura	knowledge-base*
UpdateGuardrail	Concede permiso para actualizar una barrera de protección	Escritura	guardrail*
UpdateKnowledgeBase	Concede permiso para actualizar una base de conocimientos	Escritura	knowledge-base*
UpdateProvisionedModelThroughput	Concede permiso para actualizar un rendimiento de modelo aprovisionado que haya creado anteriormente	Escritura	custom-model*
			foundation-model*
			provisioned-model*

Tipos de recursos definidos por Amazon Bedrock

Los siguientes tipos de recurso están definidos por este servicio y se pueden utilizar en el elemento Resource de las instrucciones de política de permisos de IAM. Cada acción de la tabla Acciones identifica los tipos de recursos que se pueden especificar con dicha acción. Un tipo de recurso también puede definir qué claves de condición se pueden incluir en una política. Estas claves se muestran en la última columna de la tabla Tipos de recursos. Para obtener información detallada sobre las columnas de la siguiente tabla, consulte Tabla Tipos de recurso.

Tipos de recurso	ARN	Claves de condición
foundation-model	arn:${Partition}:bedrock:${Region}::foundation-model/${ResourceId}
custom-model	arn:${Partition}:bedrock:${Region}:${Account}:custom-model/${ResourceId}	aws:ResourceTag/${TagKey}
provisioned-model	arn:${Partition}:bedrock:${Region}:${Account}:provisioned-model/${ResourceId}	aws:ResourceTag/${TagKey}
model-customization-job	arn:${Partition}:bedrock:${Region}:${Account}:model-customization-job/${ResourceId}	aws:ResourceTag/${TagKey}
agent	arn:${Partition}:bedrock:${Region}:${Account}:agent/${AgentId}	aws:ResourceTag/${TagKey}
agent-alias	arn:${Partition}:bedrock:${Region}:${Account}:agent-alias/${AgentId}/${AgentAliasId}	aws:ResourceTag/${TagKey}
knowledge-base	arn:${Partition}:bedrock:${Region}:${Account}:knowledge-base/${KnowledgeBaseId}	aws:ResourceTag/${TagKey}
model-evaluation-job	arn:${Partition}:bedrock:${Region}:${Account}:model-evaluation-job/${ResourceId}	aws:ResourceTag/${TagKey}
evaluation-job	arn:${Partition}:bedrock:${Region}:${Account}:evaluation-job/${ResourceId}	aws:ResourceTag/${TagKey}
model-invocation-job	arn:${Partition}:bedrock:${Region}:${Account}:model-invocation-job/${JobIdentifier}	aws:ResourceTag/${TagKey}
guardrail	arn:${Partition}:bedrock:${Region}:${Account}:guardrail/${GuardrailId}	aws:ResourceTag/${TagKey}

Claves de condición para Amazon Bedrock

Amazon Bedrock define las siguientes claves de condición que se pueden usar en el elemento Condition de una política de IAM. Puede utilizar estas claves para ajustar más las condiciones en las que se aplica la instrucción de política. Para obtener información detallada sobre las columnas de la siguiente tabla, consulte Tabla de Claves de condición.

Para ver las claves de condición globales que están disponibles para todos los servicios, consulte Claves de condición globales disponibles.

Claves de condición	Descripción	Tipo
aws:RequestTag/${TagKey}	Filtra el acceso creando solicitudes basadas en el conjunto de valores permitidos para cada una de las etiquetas obligatorias	Cadena
aws:ResourceTag/${TagKey}	Filtra el acceso al tener acciones basadas en el valor de la etiqueta asociada con el recurso	Cadena
aws:TagKeys	Filtra el acceso creando solicitudes basadas en la presencia de etiquetas obligatorias en la solicitud	ArrayOfString
bedrock:ThirdPartyKnowledgeBaseCredentialsSecretArn	Filtra el acceso mediante el secretArn que contiene las credenciales de la plataforma de terceros	ARN