使用接口VPC端点 (AWS PrivateLink) 在您VPC和 Amazon Bedrock 之间创建私有连接 - Amazon Bedrock
注意事项创建接口端点创建端点策略

本文属于机器翻译版本。若本译文内容与英语原文存在差异，则一律以英文原文为准。

使用接口VPC端点 (AWS PrivateLink) 在您VPC和 Amazon Bedrock 之间创建私有连接

您可以使用 … AWS PrivateLink 在您VPC和 Amazon Bedrock 之间创建私有连接。您可以像访问您的 Amazon Bedrock 一样访问它VPC，无需使用互联网网关、NAT设备、VPN连接或 AWS Direct Connect 连接。您中的实例VPC不需要公有 IP 地址即可访问 Amazon Bedrock。

您可以通过创建接口端点来建立此私有连接，该端点由 AWS PrivateLink。 我们在您为接口终端节点启用的每个子网中创建一个终端节点网络接口。这些是请求者托管式网络接口，用作发往 Amazon Bedrock 的流量的入口点。

有关更多信息，请参阅访问权限 AWS 服务 通过 AWS PrivateLink中的AWS PrivateLink 指南。

Amazon Bedrock VPC 终端节点的注意事项

在为 Amazon Bedrock 设置接口终端节点之前，请查看中的注意事项 AWS PrivateLink 指南。

Amazon Bedrock 支持通过VPC终端节点进行以下API呼叫。

类别 端点前缀
Amazon Bedrock 控制飞机行动 API bedrock
亚马逊 Bedrock 运行时操作 API bedrock-runtime
Amazon Bedrock Agents 构建API时操作 bedrock-agent
亚马逊 Bedrock Agents 运行时操作 API bedrock-agent-runtime

可用区

Amazon Bedrock 和 Amazon Bedrock Agents 终端节点可在多个可用区域使用。

为 Amazon Bedrock 创建接口端点

您可以使用亚马逊VPC控制台或 Amazon Bedrock 创建接口终端节点 AWS Command Line Interface (AWS CLI)。 有关更多信息，请参阅中的创建接口终端节点 AWS PrivateLink 指南。

使用以下任一服务名称为 Amazon Bedrock 创建接口端点：

  • com.amazonaws.region.bedrock

  • com.amazonaws.region.bedrock-runtime

  • com.amazonaws.region.bedrock-agent

  • com.amazonaws.region.bedrock-agent-runtime

创建终端节点后，您可以选择启用私有DNS主机名。创建VPC终端节点时，在VPC控制台中选择启用私有DNS名称，即可启用此设置。

如果您DNS为接口终端节点启用私有功能，则可以使用其默认区域DNS名称向 Amazon Bedrock API 发出请求。以下示例显示了默认区域DNS名称的格式。

  • bedrock.region.amazonaws.com

  • bedrock-runtime.region.amazonaws.com

  • bedrock-agent.region.amazonaws.com

  • bedrock-agent-runtime.region.amazonaws.com

为 VPC 端点创建端点策略

终端节点策略是您可以附加到接口终端节点的IAM资源。默认端点策略提供通过接口端点访问 Amazon Bedrock 的完全访问权限。要控制允许您访问 Amazon Bedrock 的权限VPC，请将自定义终端节点策略附加到接口终端节点。

端点策略指定以下信息：

  • 可以执行操作的委托人 (AWS 账户、IAM用户和IAM角色）。

  • 可执行的操作。

  • 可对其执行操作的资源。

有关更多信息，请参阅中的使用终端节点策略控制对服务的访问权限 AWS PrivateLink 指南。

示例：Amazon Bedrock 操作的VPC终端节点策略

以下是自定义端点策略的示例。当您将此基于资源的策略附加到接口终端节点时，它会向所有委托人授予所有资源上列出的 Amazon Bedrock 操作的访问权限。

{
   "Version": "2012-10-17",
   "Statement": [
      {
         "Principal": "*",
         "Effect": "Allow",
         "Action": [
            "bedrock:InvokeModel",
            "bedrock:InvokeModelWithResponseStream"
         ],
         "Resource":"*"
      }
   ]
}