Accordez à IAM l'autorisation de demander l'accès aux modèles de la fondation Amazon Bedrock avec un identifiant de produit

L'accès aux modèles de base sans serveur Amazon Bedrock avec un identifiant de produit est contrôlé par les actions IAM suivantes :

Action IAM	Description	S'applique à quels modèles
AWS-Marketplace : Abonnez-vous	Permet à une entité IAM de s'abonner à AWS Marketplace des produits, notamment aux modèles de fondation Amazon Bedrock.	Uniquement les modèles sans serveur Amazon Bedrock dotés d'un identifiant de produit. AWS Marketplace
AWS-Marketplace : se désabonner	Permet à une identité IAM de se désabonner de AWS Marketplace produits, y compris les modèles Amazon Bedrock Foundation.	Uniquement les modèles sans serveur Amazon Bedrock dotés d'un identifiant de produit. AWS Marketplace
AWS Marketplace : ViewSubscriptions	Permet à une identité IAM de renvoyer une liste de AWS Marketplace produits, y compris les modèles de fondation Amazon Bedrock.	Uniquement les modèles sans serveur Amazon Bedrock dotés d'un identifiant de produit. AWS Marketplace

Note

Pour l'aws-marketplace:Subscribeaction uniquement, vous pouvez utiliser la clé de aws-marketplace:ProductId condition pour restreindre l'abonnement à des modèles spécifiques.

Pour qu'une identité IAM demande l'accès à des modèles dotés d'un identifiant de produit

L'identité doit être associée à une politique qui l'autoriseaws-marketplace:Subscribe.

Note

Si une identité est déjà abonnée à un modèle dans une AWS région, le modèle devient disponible pour que l'identité demande l'accès dans toutes les AWS régions dans lesquelles le modèle est disponible, même s'il aws-marketplace:Subscribe est refusé pour les autres régions.

Sélectionnez une section pour voir des exemples de politique IAM pour un cas d'utilisation spécifique :

Empêcher une identité de demander l'accès à un modèle avec un identifiant de produit

Pour empêcher une entité IAM de demander l'accès à un modèle spécifique doté d'un identifiant de produit, associez à l'utilisateur une politique IAM qui refuse l'aws-marketplace:Subscribeaction et étendez le Condition champ à l'ID de produit du modèle.

Par exemple, vous pouvez associer la politique suivante à une identité pour l'empêcher de souscrire au Anthropic Claude 3.5 Sonnet modèle :

JSON

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Deny",
            "Action": [
                "aws-marketplace:Subscribe"
            ],
            "Resource": "*",
            "Condition": {
                "ForAnyValue:StringEquals": {
                    "aws-marketplace:ProductId": [
                        "prod-m5ilt4siql27k"
                    ]
                }
            }
        }
    ]
}

Note

Avec cette politique, l'entité IAM aura accès par défaut à tous les modèles nouvellement ajoutés.

Si l'identité est déjà abonnée au modèle dans au moins une région, cette politique n'empêche pas l'accès dans les autres régions. Au lieu de cela, vous pouvez empêcher son utilisation en consultant l'exemple ci-dessousEmpêcher une identité d'utiliser un modèle une fois que l'accès a déjà été accordé.

Empêcher une identité d'utiliser un modèle une fois que l'accès a déjà été accordé

Si une identité IAM a déjà obtenu l'accès à un modèle, vous pouvez empêcher l'utilisation du modèle en refusant toutes les actions Amazon Bedrock et en limitant le Resource champ à l'ARN du modèle de base.

Par exemple, vous pouvez associer la politique suivante à une identité pour l'empêcher d'utiliser le Anthropic Claude 3.5 Sonnet modèle dans toutes les AWS régions :

JSON

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Deny",
            "Action": [
                "bedrock:*"
            ],
            "Resource": [
                "arn:aws:bedrock:*::foundation-model/anthropic.claude-3-5-sonnet-20240620-v1:0"
            ]
        }
    ]
}