Sécurité dans Amazon Bedrock - Amazon Bedrock
Utilisation des points de terminaison de VPC de type interface (AWS PrivateLink)

Les traductions sont fournies par des outils de traduction automatique. En cas de conflit entre le contenu d'une traduction et celui de la version originale en anglais, la version anglaise prévaudra.

Sécurité dans Amazon Bedrock

La sécurité du cloud AWS est la priorité absolue. En tant que AWS client, vous bénéficiez de centres de données et d'architectures réseau conçus pour répondre aux exigences des entreprises les plus sensibles en matière de sécurité.

La sécurité est une responsabilité partagée entre vous AWS et vous. Le modèle de responsabilité partagée décrit cela comme la sécurité du cloud et la sécurité dans le cloud :

  • Sécurité du cloud : AWS est chargée de protéger l'infrastructure qui exécute les AWS services dans le AWS Cloud. AWS vous fournit également des services que vous pouvez utiliser en toute sécurité. Des auditeurs tiers testent et vérifient régulièrement l'efficacité de notre sécurité dans le cadre des programmes de AWS conformité Programmes de de conformité. Pour en savoir plus sur les programmes de conformité qui s'appliquent à Amazon Bedrock, consultez la section AWS Services concernés par programme de conformitéAWS .

  • Sécurité dans le cloud — Votre responsabilité est déterminée par le AWS service que vous utilisez. Vous êtes également responsable d’autres facteurs, y compris de la sensibilité de vos données, des exigences de votre entreprise, ainsi que de la législation et de la réglementation applicables.

Cette documentation vous aide à comprendre comment appliquer le modèle de responsabilité partagée lors de l’utilisation d’Amazon Bedrock. Les rubriques suivantes vous montrent comment configurer Amazon Bedrock pour répondre à vos objectifs de sécurité et de conformité. Vous apprendrez également à utiliser d'autres AWS services qui vous aident à surveiller et à sécuriser vos ressources Amazon Bedrock.

Rubriques

Utilisation des points de terminaison de VPC de type interface (AWS PrivateLink)

Vous pouvez l'utiliser AWS PrivateLink pour créer une connexion privée entre votre VPC et Amazon Bedrock. Vous pouvez accéder à Amazon Bedrock comme s'il se trouvait dans votre VPC, sans passer par une passerelle Internet, un appareil NAT, une connexion VPN ou une connexion. AWS Direct Connect Les instances de votre VPC ne nécessitent pas d’adresses IP publiques pour accéder à Amazon Bedrock.

Vous établissez cette connexion privée en créant un point de terminaison d’interface optimisé par AWS PrivateLink. Nous créons une interface réseau de point de terminaison dans chaque sous-réseau que vous activez pour le point de terminaison d’interface. Il s’agit d’interfaces réseau gérées par le demandeur qui servent de point d’entrée pour le trafic destiné à Amazon Bedrock.

Pour plus d'informations, consultez la section Accès AWS services par AWS PrivateLink le biais du AWS PrivateLink guide.

Considérations relatives aux points de terminaison d’un VPC Amazon Bedrock

Avant de configurer un point de terminaison d’interface pour Amazon Bedrock, consultez Considérations dans le Guide AWS PrivateLink .

Amazon Bedrock prend en charge les appels d’API suivants via les points de terminaison de VPC.

Catégorie Préfixe du point de terminaison
Actions d’API de plan de contrôle Amazon Bedrock bedrock
Actions d’API d’exécution Amazon Bedrock bedrock-runtime
Agents pour les actions de l'API Amazon Bedrock Build-time bedrock-agent
Actions d’API d’exécution Agents for Amazon Bedrock bedrock-agent-runtime

Zones de disponibilité

Les points de terminaison Amazon Bedrock et Agents for Amazon Bedrock sont disponibles dans plusieurs zones de disponibilité.

Création d’un point de terminaison d’interface pour Amazon Bedrock

Vous pouvez créer un point de terminaison d'interface pour Amazon Bedrock à l'aide de la console Amazon VPC ou AWS Command Line Interface du AWS CLI(). Pour plus d’informations, consultez Création d’un point de terminaison d’interface dans le Guide AWS PrivateLink .

Créez un point de terminaison d’interface pour Amazon Bedrock à l’aide d’un des noms de service suivants :

  • com.amazonaws.region.bedrock

  • com.amazonaws.region.bedrock-runtime

  • com.amazonaws.region.bedrock-agent

  • com.amazonaws.region.bedrock-agent-runtime

Après avoir créé le point de terminaison, vous avez la possibilité d'activer un nom d'hôte DNS privé. Activez ce nom d'hôte en sélectionnant Activer le nom de DNS privé dans la console VPC lorsque vous créez le point de terminaison d'un VPC.

Si vous activez le DNS privé pour le point de terminaison d’interface, vous pouvez adresser des demandes d’API à Amazon Bedrock en utilisant son nom DNS par défaut pour la région. Les exemples suivants montrent le format des noms DNS régionaux par défaut.

  • bedrock.region.amazonaws.com

  • bedrock-runtime.region.amazonaws.com

  • bedrock-agent.region.amazonaws.com

  • bedrock-agent-runtime.region.amazonaws.com

Création d’une politique de point de terminaison pour votre point de terminaison d’interface

Une politique de point de terminaison est une ressource IAM que vous pouvez attacher à votre point de terminaison d’interface. La politique de point de terminaison par défaut autorise un accès complet à Amazon Bedrock via le point de terminaison d’interface. Pour contrôler l’accès autorisé à Amazon Bedrock à partir de votre VPC, attachez une politique de point de terminaison personnalisée au point de terminaison d’interface.

Une politique de point de terminaison spécifie les informations suivantes :

  • Les principaux qui peuvent effectuer des actions (Comptes AWS, utilisateurs IAM et rôles IAM).

  • Les actions qui peuvent être effectuées.

  • La ressource sur laquelle les actions peuvent être effectuées.

Pour plus d’informations, consultez Contrôle de l’accès aux services à l’aide de politiques de point de terminaison dans le Guide AWS PrivateLink .

Exemple : politique de point de terminaison d’un VPC pour les actions Amazon Bedrock

Voici un exemple de politique de point de terminaison personnalisée. Lorsque vous associez cette politique basée sur les ressources à votre point de terminaison d'interface, elle accorde l'accès aux actions Amazon Bedrock répertoriées à tous les principaux sur toutes les ressources.

{
   "Version": "2012-10-17",
   "Statement": [
      {
         "Principal": "*",
         "Effect": "Allow",
         "Action": [
            "bedrock:InvokeModel",
            "bedrock:InvokeModelWithResponseStream"
         ],
         "Resource":"*"
      }
   ]
}