Sintassi ed esempi di policy di rifiuto dei servizi di IA

In questo argomento viene descritta la sintassi delle policy di rifiuto dei servizi di intelligenza artificiale (IA) e vengono forniti esempi.

Sintassi per le policy di rifiuto dei servizi di IA

Una policy di rifiuto dei servizi di IA è un file di testo normale strutturato in base alle regole di JSON. La sintassi per le policy di rifiuto dei servizi di IA segue la sintassi per tutti i tipi di policy di gestione. Per una discussione completa di tale sintassi, consulta Comprendere l'ereditarietà delle policy di gestione. Questo argomento è incentrato sull'applicazione della sintassi generale ai requisiti specifici del tipo di policy di rifiuto dei servizi di IA.

Importante

L'uso di minuscole e maiuscole dei valori trattati in questa sezione è importante. Inserisci i valori con lettere maiuscole e minuscole come illustrato in questo argomento. Le policy non funzionano se si utilizzano maiuscole e minuscole impreviste.

La policy seguente mostra la sintassi delle policy di rifiuto dei servizi di IA di base. Se questo esempio fosse stato applicato direttamente a un account, tale account avrebbe esplicitamente rifiutato un servizio e accettato un altro servizio. Altri servizi possono essere accettati o rifiutati dalle policy ereditate da livelli superiori (policy di UO o root).

{
    "services": {
        "rekognition": {
            "opt_out_policy": {
                "@@assign": "optOut"
            }
        },
        "lex": {
            "opt_out_policy": {
                "@@assign": "optIn"
            }
        }
    }
}

Immagina la seguente policy di esempio collegata al root dell'organizzazione. Imposta il rifiuto di tutti i servizi di IA come impostazione predefinita per l'organizzazione. Ciò include automaticamente tutti i servizi di IA non altrimenti esplicitamente esclusi, inclusi i servizi di IA che AWS potrebbe implementare in futuro. Puoi collegare policy figlie alle unità organizzative o direttamente agli account per ignorare questa impostazione per qualsiasi servizio di IA ad eccezione di Amazon Comprehend. La seconda voce dell'esempio seguente utilizza @@operators_allowed_for_child_policies impostato su none per evitare che venga sovrascritto. La terza voce nell'esempio imposta un'esenzione a livello di organizzazione per Amazon Rekognition. La policy accetta il servizio per tutta l'organizzazione, ma consente alle policy figlie di ignorarla se appropriato.

{
    "services": {
        "default": {
            "opt_out_policy": {
                "@@assign": "optOut"
            }
        },
        "comprehend": {
            "opt_out_policy": {
                "@@operators_allowed_for_child_policies": ["@@none"],
                "@@assign": "optOut"
            }
        },
        "rekognition": {
            "opt_out_policy": {
                "@@assign": "optIn"
            }
        }
    }
}

La sintassi della policy di rifiuto dei servizi di IA include i seguenti elementi:

• L'elemento services. Una policy di rifiuto dei servizi di IA è identificato da questo nome fisso come elemento contenente JSON più esterno.

  Una policy di rifiuto dei servizi di IA può avere una o più istruzioni sotto l'elemento services. Ogni istruzione contiene i seguenti elementi:

  • Una chiave del nome del servizio che identifica un servizio AWS AI. I seguenti nomi di chiave sono i valori validi per questo campo:

    • default - Rappresenta tutti i servizi di IA attualmente disponibili e include implicitamente e automaticamente tutti i servizi di IA che potrebbero essere aggiunti in futuro.

    • awssupplychain

    • chimesdkvoiceanalytics

    • cloudwatch

    • codeguruprofiler

    • codewhisperer

    • comprehend

    • connectamd

    • connectoptimization

    • contactlens

    • datazone

    • entityresolution

    • frauddetector

    • glue

    • guardduty

    • lex

    • polly

    • q

    • quicksightq

    • rekognition

    • securitylake

    • textract

    • transcribe

    • translate

    Ogni istruzione di policy identificata da una chiave di nome servizio può contenere i seguenti elementi:

    • La chiave opt_out_policy. Questa chiave deve essere presente. Questa è l'unica chiave che puoi inserire sotto una chiave di nome del servizio.

      La chiave opt_out_policy può contenere solo l'operatore @@assign con uno dei seguenti valori:

      • optOut - Scegli di rifiutare l'utilizzo del contenuto per il servizio di IA specificato.

      • optIn - Scegli di accettare l'utilizzo del contenuto per il servizio di IA specificato.

        Note

        • Non è possibile utilizzare gli operatori di ereditarietà @@append e @@remove nelle policy di rifiuto dei servizi di IA.

        • Non è possibile utilizzare l'operatore @@enforced_for nelle policy di rifiuto dei servizi di IA.

  • A qualsiasi livello, è possibile specificare l'operatore @@operators_allowed_for_child_policies per controllare che cosa possono fare le policy figlie per sovrascrivere le impostazioni imposte dalle policy padre. È possibile specificare uno dei seguenti valori:

    • @@assign - Le policy figlie di questa policy possono utilizzare l'operatore @@assign per sovrascrivere il valore ereditato con un valore diverso.

    • @@none - Le policy figlie di questa policy non possono modificare il valore.

    Il comportamento di @@operators_allowed_for_child_policies dipende da dove lo posizioni. Puoi utilizzare le posizioni seguenti:

    • Sotto la chiave services - Controlla se una policy figlia può integrare o modificare l'elenco dei servizi nella policy effettiva.

    • Sotto la chiave per un servizio di IA specifico o la chiave default - Controlla se una policy figlia può integrare o modificare l'elenco di chiavi in questa voce specifica.

    • Sotto la chiave opt_out_policies per un servizio specifico - Controlla se una policy figlia può modificare soltanto le impostazioni di questo servizio specifico.

Esempi di policy di rifiuto dei servizi di IA

Le policy di esempio che seguono sono solo a scopo informativo.

Esempio 1: disattivazione di tutti i servizi di IA per tutti gli account dell'organizzazione

Nell'esempio seguente viene illustrata una policy che è possibile collegare alla directory principale dell'organizzazione per disattivare i servizi di IA per gli account dell'organizzazione.

Suggerimento

Se copi l'esempio seguente utilizzando il pulsante Copia nell'angolo superiore destro dell'esempio, la copia non include i numeri di riga. È pronta per essere incollata.

    | {
    |     "services": {
[1] |         "@@operators_allowed_for_child_policies": ["@@none"],
    |         "default": {
[2] |             "@@operators_allowed_for_child_policies": ["@@none"],
    |             "opt_out_policy": {
[3] |                 "@@operators_allowed_for_child_policies": ["@@none"],
    |                 "@@assign": "optOut"
    |             }
    |         }
    |     }
    | }

• [1] - "@@operators_allowed_for_child_policies": ["@@none"] in services impedisce alle policy figlie di aggiungere nuove sezioni per i servizi individuali diverse dalla sezione default già presente. Default è il segnaposto che rappresenta "tutti i servizi di IA".

• [2] - "@@operators_allowed_for_child_policies": ["@@none"] in default impedisce alle policy figlie di aggiungere nuove sezioni diverse dalla sezione opt_out_policy già presente.

• [3] - "@@operators_allowed_for_child_policies": ["@@none"] in opt_out_policy impedisce alle policy figlie di modificare il valore dell'impostazione di optOut o di aggiungere ulteriori impostazioni.

Esempio 2: creazione di un'impostazione predefinita dell'organizzazione per tutti i servizi, consentendo alle policy figlie di ignorare l'impostazione per i singoli servizi

La policy di esempio seguente imposta un valore predefinito a livello di organizzazione per tutti i servizi di IA. Il valore per default impedisce a una policy figlia di modificare il valore optOut per il servizio default, il segnaposto per tutti i servizi di IA. Se questa policy viene applicata come policy padre collegandola al root o a un'unità organizzativa, le policy figlie possono comunque modificare l'impostazione di rifiuto dei singoli servizi, come illustrato nella seconda policy.

• Perché non è presente "@@operators_allowed_for_child_policies": ["@@none"] sotto la chiave services, le policy figlie possono aggiungere nuove sezioni per i singoli servizi.

• "@@operators_allowed_for_child_policies": ["@@none"] in default impedisce alle policy figlie di aggiungere nuove sezioni diverse dalla sezione opt_out_policy già presente.

• "@@operators_allowed_for_child_policies": ["@@none"] in opt_out_policy impedisce alle policy figlie di modificare il valore dell'impostazione di optOut o di aggiungere ulteriori impostazioni.

Policy padre di rifiuto esplicito dei servizi di IA per l'utente root dell'organizzazione

{
    "services": {
        "default": {
            "@@operators_allowed_for_child_policies": ["@@none"],
            "opt_out_policy": {
                "@@operators_allowed_for_child_policies": ["@@none"],
                "@@assign": "optOut"
            }
        }
    }
}

La seguente policy di esempio presuppone che la policy dell'esempio precedente sia collegata al root dell'organizzazione o a un'unità organizzativa padre e che questo esempio venga collegato a un account interessato dalla policy padre. Sovrascrive l'impostazione di rifiuto di default e sceglie esplicitamente solo il servizio Amazon Lex.

Policy figlia di rifiuto esplicito dei servizi di IA - Intelligenza Artificiale

{
    "services": {
        "lex": {
            "opt_out_policy": {
                "@@assign": "optIn"
            }
        }
    }
}

La politica efficace che ne risulta Account AWS è che l'account opti solo per Amazon Lex e rinunci a tutti gli altri servizi di AWS intelligenza artificiale a causa dell'impostazione di default opt-out ereditata dalla politica principale.

Esempio 3: definizione di una policy di disattivazione dei servizi di IA a livello di organizzazione per un singolo servizio

Nell'esempio seguente viene illustrata una policy di rifiuto dei servizi di IA che definisce un'impostazione optOut per un singolo servizio di IA. Se questa policy è collegata al root dell'organizzazione, impedisce a qualsiasi policy figlia di sovrascrivere l'impostazione optOut per questo servizio. Altri servizi non sono trattati da questa policy, ma potrebbero essere influenzati dalle policy figlie in altre unità organizzative o account.

{
    "services": {
        "rekognition": {
            "opt_out_policy": {
                "@@assign": "optOut",
                "@@operators_allowed_for_child_policies": ["@@none"]
            }
        }
    }
}