製品 ID を使用して Amazon Bedrock 基盤モデルへのアクセスをリクエストする許可を IAM に付与する

製品 ID を持つ Amazon Bedrock サーバーレス基盤モデルへのアクセスは、次の IAM アクションによって制御されます。

IAM アクション	説明	どのモデルに適用されるか
aws-marketplace:Subscribe	IAM エンティティが Amazon Bedrock 基盤モデルなどの AWS Marketplace 製品をサブスクライブできるようにします。	製品 ID がある Amazon Bedrock サーバーレスモデルのみ AWS Marketplace。
aws-marketplace:サブスクリプション解除	IAM アイデンティティが Amazon Bedrock 基盤モデルなどの AWS Marketplace 製品のサブスクリプションを解除できるようにします。	製品 ID がある Amazon Bedrock サーバーレスモデルのみ AWS Marketplace。
aws-marketplace:ViewSubscriptions	IAM アイデンティティが Amazon Bedrock 基盤モデルを含む AWS Marketplace 製品のリストを返すことを許可します。	製品 ID がある Amazon Bedrock サーバーレスモデルのみ AWS Marketplace。

注記

aws-marketplace:Subscribe アクションでのみ、aws-marketplace:ProductId 条件キーを使用して、特定のモデルへのサブスクリプションを制限できます。

IAM ID が製品 ID を持つモデルへのアクセスをリクエストする場合

ID には、 を許可するポリシーがアタッチされている必要がありますaws-marketplace:Subscribe。

注記

ID が 1 つの AWS リージョンのモデルに既にサブスクライブしている場合、 が他のリージョンでaws-marketplace:Subscribe拒否されていても、そのモデルは、そのモデルが利用可能なすべての AWS リージョンでアクセスをリクエストできるようになります。

セクションを選択すると、特定のユースケースの IAM ポリシーの例が表示されます。

ID が製品 ID を持つモデルへのアクセスをリクエストしないようにする

IAM エンティティが製品 ID を持つ特定のモデルへのアクセスをリクエストしないようにするには、aws-marketplace:Subscribeアクションを拒否する IAM ポリシーをユーザーにアタッチし、 Conditionフィールドをモデルの製品 ID にスコープします。

たとえば、次のポリシーをアイデンティティにアタッチして、AnthropicClaude 3.5 Sonnetモデルにサブスクライブできないようにすることができます。

JSON

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Deny",
            "Action": [
                "aws-marketplace:Subscribe"
            ],
            "Resource": "*",
            "Condition": {
                "ForAnyValue:StringEquals": {
                    "aws-marketplace:ProductId": [
                        "prod-m5ilt4siql27k"
                    ]
                }
            }
        }
    ]
}

注記

このポリシーでは、IAM エンティティはデフォルトで新しく追加されたモデルにアクセスできます。

ID が少なくとも 1 つのリージョンでモデルに既にサブスクライブしている場合、このポリシーは他のリージョンでのアクセスを妨げません。代わりに、 の例を確認することで、その使用を防ぐことができますアクセスが既に付与された後に ID がモデルを使用しないようにする。

アクセスが既に付与された後に ID がモデルを使用しないようにする

IAM アイデンティティにモデルへのアクセスがすでに付与されている場合は、すべての Amazon Bedrock アクションを拒否し、 Resourceフィールドを基盤モデルの ARN にスコープすることで、モデルの使用を防ぐことができます。

たとえば、次のポリシーを ID にアタッチして、すべての AWS リージョンでAnthropicClaude 3.5 Sonnetモデルが使用されないようにできます。

JSON

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Deny",
            "Action": [
                "bedrock:*"
            ],
            "Resource": [
                "arn:aws:bedrock:*::foundation-model/anthropic.claude-3-5-sonnet-20240620-v1:0"
            ]
        }
    ]
}