事前トレーニング済みモデルをインポートするためのサービスロールを作成する

モデルインポートにカスタムロールを使用するには、IAM サービスロールを作成し、次のアクセス許可をアタッチします。IAM でサービスロールを作成する方法については、「 AWS サービスにアクセス許可を委任するロールの作成」を参照してください。

これらのアクセス許可は、Amazon Bedrock にモデルをインポートする両方の方法に適用されます。

• カスタムモデルのインポートジョブ — カスタマイズされたオープンソースの基盤モデル ( Mistral AIや Llamaモデルなど) をインポートする場合。詳細については、「カスタムモデルインポートを使用して、カスタマイズされたオープンソースモデルを Amazon Bedrock にインポートする」を参照してください。

• カスタムモデルの作成 — SageMaker AI で微調整したAmazon Novaモデルをインポートする場合。詳細については、「SageMaker AI でトレーニングされた Amazon Nova モデルをインポートする」を参照してください。

信頼関係

次のポリシーは、Amazon Bedrock がこのロールを引き受け、モデルインポートオペレーションを実行することを許可します。使用するポリシーの例を下記に示します。

Condition フィールドで 1 つ以上のグローバル条件コンテキストキーを使用することで、必要に応じて、サービス間の混乱した使節を回避するためのアクセス許可の範囲を制限できます。詳細については、「AWS グローバル条件コンテキストキー」を参照してください。

• aws:SourceAccount の値をアカウント ID に設定します。

• （オプション) ArnEqualsまたは ArnLike条件を使用して、スコープをアカウント内の特定のオペレーションに制限します。次の の例では、カスタムモデルインポートジョブへのアクセスを制限します。

JSON

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "1",
            "Effect": "Allow",
            "Principal": {
                "Service": "bedrock.amazonaws.com"
            },
            "Action": "sts:AssumeRole",
            "Condition": {
                "StringEquals": {
                    "aws:SourceAccount": "123456789012"
                },
                "ArnEquals": {
                    "aws:SourceArn": "arn:aws:bedrock:us-east-1:111122223333:model-import-job/*"
                }
            }
        }
    ]
}

Amazon S3 のモデルファイルにアクセスするためのアクセス許可

次のポリシーをアタッチして、ロールが Amazon S3 バケット内のモデルファイルにアクセスできるようにします。Resource リスト内の値を実際のバケット名に置き換えます。

カスタムモデルインポートジョブの場合、これはカスタマイズされたオープンソースモデルファイルを含む独自の Amazon S3 バケットです。SageMaker AI でトレーニングされたモデルからカスタムAmazon Novaモデルを作成する場合、これは SageMaker AI がトレーニングされたモデルアーティファクトを保存する Amazon マネージド Amazon S3 バケットです。SageMaker AI は、最初の SageMaker AI トレーニングジョブを実行するときにこのバケットを作成します。

バケット内の特定のフォルダへのアクセスを制限するには、フォルダパスに s3:prefix 条件キーを追加します。「例 2：特定のプレフィックス付きバケットのオブジェクトリストを取得する」のユーザーポリシー例に従います。

JSON

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "1",
            "Effect": "Allow",
            "Action": [
                "s3:GetObject",
                "s3:ListBucket"
            ],
            "Resource": [
                "arn:aws:s3:::bucket",
                "arn:aws:s3:::bucket/*"
            ],
            "Condition": {
                "StringEquals": {
                    "aws:ResourceAccount": "123456789012"
                }
            }
        }
    ]
}