Uso de un punto de conexión de VPC de interfaz (AWS PrivateLink) para crear una conexión privada entre la VPC y Amazon Bedrock

Puede usar AWS PrivateLink para crear una conexión privada entre la VPC y Amazon Bedrock. Puede acceder a Amazon Bedrock como si estuviera en su VPC, sin el uso de una puerta de enlace de Internet, un dispositivo NAT, una conexión VPN o una conexión AWS Direct Connect. Las instancias de la VPC no necesitan direcciones IP públicas para acceder a Amazon Bedrock.

Esta conexión privada se establece mediante la creación de un punto de conexión de interfaz alimentado por AWS PrivateLink. Creamos una interfaz de red de punto de conexión en cada subred habilitada para el punto de conexión de interfaz. Se trata de interfaces de red administradas por el solicitante que sirven como punto de entrada para el tráfico destinado a Amazon Bedrock.

Para obtener más información, consulte Acceso a los Servicios de AWS a través de AWS PrivateLink en la Guía de AWS PrivateLink.

Consideraciones sobre los puntos de conexión de VPC de Amazon Bedrock

Antes de configurar un punto de conexión para Amazon Bedrock, consulte Consideraciones en la Guía de AWS PrivateLink.

Amazon Bedrock permite realizar las siguientes llamadas a la API a través de los puntos de conexión de VPC.

Categoría	Prefijo de punto de conexión
Acciones de la API del plano de control de Amazon Bedrock	bedrock
Acciones de la API de tiempo de ejecución de Amazon Bedrock	bedrock-runtime
Acciones de la API de tiempo de ejecución de agentes de Amazon Bedrock	bedrock-agent
Acciones de la API de tiempo de ejecución de agentes de Amazon Bedrock	bedrock-agent-runtime

Zonas de disponibilidad

Los puntos de conexión de Amazon Bedrock y de agentes de Amazon Bedrock están disponibles en todas las zonas de disponibilidad.

Creación de un punto de conexión de interfaz para Amazon Bedrock

Puede crear un punto de conexión de interfaz para Amazon Bedrock mediante la consola de Amazon VPC o la AWS Command Line Interface (AWS CLI). Para obtener más información, consulte Creación de un punto de conexión de interfaz en la Guía de AWS PrivateLink.

Cree un punto de conexión para Amazon Bedrock con cualquiera de los siguientes nombres de servicio:

• com.amazonaws.region.bedrock

• com.amazonaws.region.bedrock-runtime

• com.amazonaws.region.bedrock-agent

• com.amazonaws.region.bedrock-agent-runtime

Cuando se crea el punto de conexión, tiene la opción de habilitar un nombre de host de DNS privado. Habilite esta configuración seleccionando Enable Private DNS Name (Habilitar nombre de DNS privado) en la consola de VPC al crear el punto de conexión de la VPC.

Si habilita DNS privado para el punto de conexión de interfaz, puede realizar solicitudes a la API para Amazon Bedrock usando su nombre de DNS predeterminado para la región. Los siguientes ejemplos muestran el formato de los nombres de DNS regionales predeterminados.

• bedrock.region.amazonaws.com

• bedrock-runtime.region.amazonaws.com

• bedrock-agent.region.amazonaws.com

• bedrock-agent-runtime.region.amazonaws.com

Creación de una política de puntos de conexión para el punto de conexión de interfaz

Una política de punto de conexión es un recurso de IAM que puede adjuntar al punto de conexión de su interfaz. La política de puntos de conexión predeterminada permite acceso completo a Amazon Bedrock a través del punto de conexión de interfaz. Para controlar el acceso permitido a Amazon Bedrock desde la VPC, adjunte una política de puntos de conexión personalizada al punto de conexión de interfaz.

Una política de punto de conexión especifica la siguiente información:

• Las entidades principales que pueden llevar a cabo acciones (Cuentas de AWS, usuarios de IAM y roles de IAM).

• Las acciones que se pueden realizar.

• El recurso en el que se pueden realizar las acciones.

Para obtener más información, consulte Control del acceso a los servicios con políticas de punto de conexión en la Guía del usuario de AWS PrivateLink.

Ejemplo: política de punto de conexión de VPC para acciones de Amazon Bedrock

El siguiente es un ejemplo de una política de un punto de conexión personalizado. Cuando asocia esta política basada en recursos con su punto de conexión de interfaz, se concede acceso a las acciones de Amazon Bedrock enumeradas para todas las entidades principales en todos los recursos.

{
   "Version": "2012-10-17",
   "Statement": [
      {
         "Principal": "*",
         "Effect": "Allow",
         "Action": [
            "bedrock:InvokeModel",
            "bedrock:InvokeModelWithResponseStream"
         ],
         "Resource":"*"
      }
   ]
}