AWS politiques gérées pour Amazon Bedrock

Pour ajouter des autorisations aux utilisateurs, aux groupes et aux rôles, il est plus facile d'utiliser des politiques AWS gérées que de les rédiger vous-même. Il faut du temps et de l'expertise pour créer des politiques gérées par le client IAM qui ne fournissent à votre équipe que les autorisations dont elle a besoin. Pour démarrer rapidement, vous pouvez utiliser nos politiques AWS gérées. Ces politiques couvrent des cas d’utilisation courants et sont disponibles dans votre Compte AWS. Pour plus d'informations sur les politiques AWS gérées, voir les politiques AWS gérées dans le guide de l'utilisateur IAM.

AWS les services maintiennent et mettent à jour les politiques AWS gérées. Vous ne pouvez pas modifier les autorisations dans les politiques AWS gérées. Les services ajoutent occasionnellement des autorisations à une politique gérée par AWS pour prendre en charge de nouvelles fonctionnalités. Ce type de mise à jour affecte toutes les identités (utilisateurs, groupes et rôles) auxquelles la politique est attachée. Les services sont très susceptibles de mettre à jour une politique gérée par AWS quand une nouvelle fonctionnalité est lancée ou quand de nouvelles opérations sont disponibles. Les services ne suppriment pas les autorisations d'une politique AWS gérée. Les mises à jour des politiques n'endommageront donc pas vos autorisations existantes.

En outre, AWS prend en charge les politiques gérées pour les fonctions professionnelles qui couvrent plusieurs services. Par exemple, la politique ReadOnlyAccess AWS gérée fournit un accès en lecture seule à tous les AWS services et ressources. Lorsqu'un service lance une nouvelle fonctionnalité, il AWS ajoute des autorisations en lecture seule pour les nouvelles opérations et ressources. Pour obtenir la liste des politiques de fonctions professionnelles et leurs descriptions, consultez la page politiques gérées par AWS pour les fonctions de tâche dans le Guide de l’utilisateur IAM.

AWS politique gérée : AmazonBedrockFullAccess

Vous pouvez associer la politique AmazonBedrockFullAccess à vos identités IAM.

Cette politique accorde des autorisations administratives qui permettent à l’utilisateur de créer, lire, mettre à jour et supprimer des ressources Amazon Bedrock.

Note

L’affinement et l’accès aux modèles nécessitent des autorisations supplémentaires. Pour plus d’informations, consultez Autorisation de l’accès aux abonnements de modèles tiers et Autorisations d'accès aux fichiers de formation et de validation et d'écriture de fichiers de sortie dans S3.

Détails de l’autorisation

Cette politique inclut les autorisations suivantes :

• ec2 (Amazon Elastic Compute Cloud) : autorise la description des VPC, des sous-réseaux et des groupes de sécurité.

• iam(AWS Identity and Access Management) — Permet aux principaux de transmettre des rôles, mais autorise uniquement les rôles IAM contenant « Amazon Bedrock » à être transmis au service Amazon Bedrock. Les autorisations sont limitées à bedrock.amazonaws.com pour les opérations Amazon Bedrock.

• kms(Service de gestion des AWS clés) — Permet aux principaux de décrire les AWS KMS clés et les alias.

• bedrock (Amazon Bedrock) : permet aux principaux d’accéder en lecture et en écriture à toutes les actions du plan de contrôle et du service d’exécution Amazon Bedrock.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "BedrockAll",
            "Effect": "Allow",
            "Action": [
                "bedrock:*"
            ],
            "Resource": "*"
        },
        {
            "Sid": "DescribeKey",
            "Effect": "Allow",
            "Action": [
                "kms:DescribeKey"
            ],
            "Resource": "arn:*:kms:*:::*"
        },
        {
            "Sid": "APIsWithAllResourceAccess",
            "Effect": "Allow",
            "Action": [
                "iam:ListRoles",
                "ec2:DescribeVpcs",
                "ec2:DescribeSubnets",
                "ec2:DescribeSecurityGroups"
            ],
            "Resource": "*"
        },
        {
            "Sid": "PassRoleToBedrock",
            "Effect": "Allow",
            "Action": [
                "iam:PassRole"
            ],
            "Resource": "arn:aws:iam::*:role/*AmazonBedrock*",
            "Condition": {
                "StringEquals": {
                    "iam:PassedToService": [
                        "bedrock.amazonaws.com"
                    ]
                }
            }
        }
    ]
}

AWS politique gérée : AmazonBedrockReadOnly

Vous pouvez associer la politique AmazonBedrockReadOnly à vos identités IAM.

Cette politique accorde des autorisations en lecture seule qui permettent aux utilisateurs de consulter toutes les ressources dans Amazon Bedrock.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "AmazonBedrockReadOnly",
            "Effect": "Allow",
            "Action": [
                "bedrock:GetFoundationModel",
                "bedrock:ListFoundationModels",
                "bedrock:GetModelInvocationLoggingConfiguration",
                "bedrock:GetProvisionedModelThroughput",
                "bedrock:ListProvisionedModelThroughputs",
                "bedrock:GetModelCustomizationJob",
                "bedrock:ListModelCustomizationJobs",
                "bedrock:ListCustomModels",
                "bedrock:GetCustomModel",
                "bedrock:ListTagsForResource",
                "bedrock:GetFoundationModelAvailability"
            ],
            "Resource": "*"
        }
    ]
}

Amazon Bedrock met à jour ses politiques AWS gérées

Consultez les informations relatives aux mises à jour des politiques AWS gérées pour Amazon Bedrock depuis que ce service a commencé à suivre ces modifications. Pour obtenir des alertes automatiques concernant les modifications apportées à cette page, abonnez-vous au flux RSS de la page Historique du guide de l’utilisateur Amazon Bedrock.

Modification	Description	Date
AmazonBedrockFullAccess – Nouvelle politique	Amazon Bedrock a ajouté une nouvelle politique pour autoriser les utilisateurs à créer, lire, mettre à jour et supprimer des ressources.	12 décembre 2023
AmazonBedrockReadOnly – Nouvelle politique	Amazon Bedrock a ajouté une nouvelle politique pour accorder aux utilisateurs des autorisations en lecture seule pour toutes les actions.	12 décembre 2023
Amazon Bedrock a commencé à assurer le suivi des modifications	Amazon Bedrock a commencé à suivre les modifications apportées à ses politiques AWS gérées.	12 décembre 2023