Membuat peran layanan untuk inferensi batch

Untuk menggunakan peran layanan kustom untuk agen, bukan yang dibuat Amazon Bedrock secara otomatis, buat IAM peran dan lampirkan izin berikut dengan mengikuti langkah-langkah di Membuat peran untuk mendelegasikan izin ke AWS layanan:

• Kebijakan kepercayaan

• Kebijakan yang berisi izin berbasis identitas berikut

  • Akses ke bucket Amazon S3 yang berisi data input untuk pekerjaan inferensi batch Anda dan untuk menulis data keluaran.

Baik Anda menggunakan peran kustom atau tidak, Anda juga perlu melampirkan kebijakan berbasis sumber daya ke fungsi Lambda untuk grup tindakan di agen Anda guna memberikan izin bagi peran layanan untuk mengakses fungsi. Untuk informasi selengkapnya, lihat Kebijakan berbasis sumber daya untuk mengizinkan Amazon Bedrock menjalankan fungsi Lambda grup tindakan.

Hubungan kepercayaan

Kebijakan kepercayaan berikut memungkinkan Amazon Bedrock untuk mengambil peran ini dan mengirimkan serta mengelola pekerjaan inferensi batch. Ganti values seperti yang diperlukan. Kebijakan ini berisi kunci kondisi opsional (lihat Kunci kondisi untuk Amazon Bedrock dan AWS kunci konteks kondisi global) di Condition bidang yang kami sarankan Anda gunakan sebagai praktik terbaik keamanan.

catatan

Sebagai praktik terbaik untuk tujuan keamanan, ganti * dengan pekerjaan inferensi batch tertentu IDs setelah Anda membuatnya.

{
   "Version": "2012-10-17",
   "Statement": [
     {
       "Effect": "Allow",
       "Principal": {
         "Service": "bedrock.amazonaws.com"
       },
       "Action": "sts:AssumeRole",
       "Condition": {
           "StringEquals": {
             "aws:SourceAccount": "account-id" 
           },
           "ArnEquals": {
             "aws:SourceArn": "arn:aws:bedrock:region:account-id:model-invocation-job/*"
           }
      }
     }
   ]
}

Izin berbasis identitas untuk peran layanan inferensi batch.

Lampirkan kebijakan berikut untuk memberikan izin untuk peran layanan, menggantikan values seperti yang diperlukan. Kebijakan tersebut berisi pernyataan berikut. Hilangkan pernyataan jika tidak berlaku untuk kasus penggunaan Anda. Kebijakan ini berisi kunci kondisi opsional (lihat Kunci kondisi untuk Amazon Bedrock dan AWS kunci konteks kondisi global) di Condition bidang yang kami sarankan Anda gunakan sebagai praktik terbaik keamanan.

• Izin untuk mengakses bucket S3 yang berisi data input Anda dan bucket S3 untuk menulis data keluaran Anda.

{
    "Version": "2012-10-17",
    "Statement": [
        {
          "Effect": "Allow",
          "Action": [
            "s3:GetObject",
            "s3:PutObject",
            "s3:ListBucket"
          ],
          "Resource": [
            "arn:aws:s3:::my_input_bucket",
            "arn:aws:s3:::my_input_bucket/*",
            "arn:aws:s3:::my_output_bucket",
            "arn:aws:s3:::my_output_bucket/*"
          ],
          "Condition": {
            "StringEquals": {
              "aws:ResourceAccount": [
                "account-id"
              ]
            }
          }
        }
    ]
}