Controle los permisos para generar y usar las claves de API de Amazon Bedrock

Las siguientes acciones de IAM controlan la generación y el uso de las claves de API de Amazon Bedrock:

• iam: CreateServiceSpecificCredentials — Controla la generación de una clave específica de un servicio (como una clave de API de Amazon Bedrock de larga duración).

• bedrock: CallWithBearerToken — Controla el uso de una clave API de Amazon Bedrock a corto o largo plazo.

aviso

Dado que una clave de API de Amazon Bedrock de corta duración utiliza las credenciales existentes de una sesión, puede impedir su uso negando la bedrock:CallWithBearerToken acción sobre la identidad que generó la clave. Sin embargo, no puede impedir la generación de una clave de corta duración.

En la siguiente tabla se resume cómo evitar que una identidad genere o utilice claves de API de Amazon Bedrock:

Finalidad	Clave a largo plazo	Clave a corto plazo
Impedir la generación de claves	Adjunte una política que deniegue la iam:CreateServiceSpecificCredential acción a una identidad de IAM.	N/A
Impida el uso de una clave	Adjunte una política que deniegue la bedrock:CallWithBearerToken acción al usuario de IAM asociado a la clave.	Adjunta una política que deniegue la bedrock:CallWithBearerToken acción a las identidades de IAM que no desees que puedan usar la clave.

Por ejemplo, para evitar que una identidad de IAM genere y utilice claves de API de Amazon Bedrock, adjunte la siguiente política a la identidad:

JSON

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid":"DenyBedrockShortAndLongTermAPIKeys",
      "Effect": "Deny",
      "Action": [
        "iam:CreateServiceSpecificCredential",
        "bedrock:CallWithBearerToken"
      ],
      "Resource": [
        "*"
      ]
    }
  ]
}

aviso

Esta política impedirá la creación de credenciales para todos los AWS servicios que admiten la creación de credenciales específicas de un servicio. Para obtener más información, consulte Credenciales específicas del servicio para usuarios de IAM.