Crittografia dei lavori e degli artefatti di personalizzazione del modello

Per impostazione predefinita, Amazon Bedrock crittografa i seguenti artefatti del modello dai processi di personalizzazione del modello con una chiave gestita. AWS

• Il processo di personalizzazione del modello

• I file di output (metriche di addestramento e convalida) del processo di personalizzazione del modello

• Il modello personalizzato risultante

Facoltativamente, è possibile crittografare gli artefatti del modello creando una chiave gestita dal cliente. Per ulteriori informazioni in merito AWS KMS keys, consulta Customer managed keys nella Developer Guide.AWS Key Management Service Per utilizzare una chiave gestita dal cliente, procedi nel seguente modo.

1. Crea una chiave gestita dal cliente con AWS Key Management Service.

2. Allega una politica basata sulle risorse con le autorizzazioni per i ruoli specificati per creare o utilizzare modelli personalizzati.

Creazione di una chiave gestita dal cliente

Innanzitutto assicurati di disporre delle autorizzazioni. CreateKey Quindi segui i passaggi indicati in Creazione di chiavi per creare una chiave gestita dal cliente nella AWS KMS console o nel funzionamento dell'CreateKeyAPI. Assicurati di creare una chiave di crittografia simmetrica.

La creazione della chiave restituisce un valore Arn per la chiave che puoi utilizzare per inviare un processo di personalizzazione del modello. customModelKmsKeyId

Crea una politica chiave e allegala alla chiave gestita dal cliente

Allega la seguente politica basata sulle risorse alla chiave KMS seguendo i passaggi descritti in Creazione di una politica chiave. La politica contiene due dichiarazioni.

1. Autorizzazioni per un ruolo per crittografare gli artefatti di personalizzazione del modello. Aggiungi gli ARN dei ruoli di Model Builder personalizzati al campo. Principal

2. Autorizzazioni per un ruolo per utilizzare un modello personalizzato in inferenza. Aggiungi gli ARN dei ruoli utente del modello personalizzato al campo. Principal

{
    "Version": "2012-10-17",
    "Id": "KMS Key Policy",
    "Statement": [
        {
            "Sid": "Permissions for custom model builders",
            "Effect": "Allow",
            "Principal": {
                "AWS": "arn:aws:iam::account-id:user/role"
            },
            "Action": [
                "kms:Decrypt",
                "kms:GenerateDataKey",
                "kms:DescribeKey",
                "kms:CreateGrant"
            ],
            "Resource": "*"
        },
        {
            "Sid": "Permissions for custom model users",
            "Effect": "Allow",
            "Principal": {
                "AWS": "arn:aws:iam::account-id:user/role"
            },
            "Action": "kms:Decrypt",
            "Resource": "*"
        }      
}

Crittografia dei dati di addestramento, convalida e output

Quando usi Amazon Bedrock per eseguire un processo di personalizzazione del modello, memorizzi i file di input (dati di formazione/convalida) nel tuo bucket Amazon S3. Al termine del processo, Amazon Bedrock archivia i file delle metriche di output nel bucket S3 specificato durante la creazione del lavoro e gli artefatti del modello personalizzato risultanti in un bucket Amazon S3 controllato da. AWS

Per impostazione predefinita, i file di input e output sono crittografati con la crittografia lato server Amazon S3 SSE-S3, utilizzando un. Chiave gestita da AWS Questo tipo di chiave viene creato, gestito e utilizzato per tuo conto da. AWS

Puoi invece scegliere di crittografare questi file con una chiave gestita dal cliente che crei, possiedi e gestisci tu stesso. Fai riferimento alle sezioni precedenti e ai collegamenti seguenti per scoprire come creare chiavi e politiche chiave gestite dai clienti.

• Per ulteriori informazioni sulla crittografia lato server Amazon S3 SSE-S3, consulta Uso della crittografia lato server con le chiavi gestite di Amazon S3 (SSE-S3)

• Per ulteriori informazioni sulle chiavi gestite dal cliente per la crittografia degli oggetti S3, consulta Utilizzo della crittografia lato server con chiavi KMS (SSE-KMS) AWS