Création d'un rôle de service pour l'importation de modèles

Pour utiliser un rôle personnalisé pour l'importation de modèles au lieu de celui créé automatiquement par Amazon Bedrock, créez un rôle IAM et associez les autorisations suivantes en suivant les étapes de la section Création d'un rôle pour déléguer des autorisations à un AWS service.

Relation d'approbation

La politique suivante autorise Amazon Bedrock à assumer ce rôle et à effectuer la tâche d'importation du modèle. L'exemple suivant illustre un exemple de politique que vous pouvez utiliser.

Vous pouvez éventuellement restreindre l'étendue de l'autorisation pour la prévention de la confusion entre les services en utilisant une ou plusieurs clés contextuelles de condition globales avec le Condition champ. Pour plus d’informations, consultez Clés contextuelles de condition globale AWS.

• Définissez la valeur aws:SourceAccount sur l'ID de votre compte.

• (Facultatif) Utilisez la ArnLike condition ArnEquals ou pour limiter le champ d'application à des tâches d'importation de modèles spécifiques dans votre identifiant de compte.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "1",
            "Effect": "Allow",
            "Principal": {
                "Service": "bedrock.amazonaws.com"
            },
            "Action": "sts:AssumeRole",
            "Condition": {
                "StringEquals": {
                    "aws:SourceAccount": "account-id"
                },
                "ArnEquals": {
                    "aws:SourceArn": "arn:aws:bedrock:us-east-1:account-id:model-import-job/*"
                }
            }
        }
    ]
}

Autorisations d'accès aux fichiers de modèles personnalisés dans Amazon S3

Joignez la politique suivante pour autoriser le rôle à accéder aux fichiers de modèles personnalisés de votre compartiment Amazon S3. Remplacez les valeurs de la Resource liste par les noms de vos compartiments réels.

Pour restreindre l'accès à un dossier spécifique dans un bucket, ajoutez une clé de s3:prefix condition avec le chemin de votre dossier. Vous pouvez suivre l'exemple de politique utilisateur de l'Exemple 2 : Obtenir une liste d'objets dans un bucket avec un préfixe spécifique

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "1",
            "Effect": "Allow",
            "Action": [
                "s3:GetObject",
                "s3:ListBucket"
            ],
            "Resource": [
                "arn:aws:s3:::bucket",
                "arn:aws:s3:::bucket/*"
            ],
            "Condition": {
                "StringEquals": {
                    "aws:ResourceAccount": "account-id"
                }
            }
        }
    ]
}