本文属于机器翻译版本。若本译文内容与英语原文存在差异,则一律以英文原文为准。
将传统的云工作负载与 Amazon Bedrock 集成
本用例的范围是演示与 Amazon Bedrock 集成的传统云工作负载,以利用生成式 AI 功能。 下图说明了生成式 AI 帐户以及示例应用程序帐户。
![将传统的云工作负载与 Amazon Bedrock 集成](images/workload-integration.png)
生成式人工智能账户专门用于通过使用 Amazon Bedrock 提供生成式人工智能功能。应用程序帐户是一个示例工作负载。您在该账户中使用的 AWS 服务取决于您的要求。生成人工智能账户和应用程序账户之间的交互使用 Amazon Bedrock API。
应用程序帐户与生成式 AI 帐户分开,以帮助根据业务目的和所有权对工作负载进行分组。这有助于限制对生成式 AI 环境中敏感数据的访问,并支持按环境应用不同的安全控制。将传统的云工作负载保存在单独的账户中还有助于限制不良事件的影响范围。
您可以围绕 Amazon Bedrock 支持的各种用例构建和扩展企业生成式 AI 应用程序。一些常见的用例包括文本生成、虚拟协助、文本和图像搜索、文本摘要和图像生成。根据您的用例,您的应用程序组件会与一个或多个 Amazon Bedrock 功能(例如知识库和代理)进行交互。
应用程序账户
应用程序帐户托管用于运行和维护企业应用程序的主要基础设施和服务。在这种情况下,应用程序账户充当传统的云工作负载,它与生成人工智能账户中的 Amazon Bedrock 托管服务进行交互。有关保护此帐户的一般安全最佳实践,请参阅 Workload OU 应用程序帐户部分。
与其他应用程序一样,标准应用程序安全最佳实践同样适用。如果您计划使用检索增强生成 (RAG),即应用程序使用用户的文本提示从知识库(例如矢量数据库
生成式 AI 应用程序的另一种设计模式是使用代理
限制对预训练模型用于生成推理的推理端点的直接访问也很重要。您想限制对推理端点的访问权限以控制成本和监控活动。如果您的推理终端节点托管在 AWS 上,例如使用 A mazon Bedrock 基础模型,则可以使用 IAM
如果您的 AI 应用程序作为 Web 应用程序可供用户使用,则应使用诸如 Web 应用程序防火墙之类的控件来保护您的基础架构。传统的网络威胁(例如 SQL 注入和请求洪水)可能会对您的应用程序造成攻击。由于调用您的应用程序会导致调用模型推理 API,而模型推理 API 调用通常是收费的,因此减少洪水以最大限度地减少调频提供商的意外费用非常重要。Web 应用程序防火墙无法抵御即时注入
在生成式 AI 模型中记录和监控推理对于维护安全性和防止滥用至关重要。它可以识别潜在的威胁行为者、恶意活动或未经授权的访问,并有助于及时进行干预和缓解与部署这些强大模型相关的风险。
生成式 AI 账户
根据用例,生成式 AI 账户托管所有生成式 AI 活动。其中包括但不限于模型调用、RAG、代理和工具以及模型自定义。请参阅前面讨论特定用例的章节,以了解您的工作负载需要哪些功能和实现。
本指南中介绍的架构为使用 AWS 服务的组织提供了一个全面的框架,以安全高效地利用生成式 AI 功能。这些架构将 Amazon Bedrock 的完全托管功能与安全最佳实践相结合,为将生成式 AI 集成到传统云工作负载和组织流程提供了坚实的基础。所涵盖的具体用例,包括提供生成式 AI FM、RAG、代理和模型定制,涉及各种潜在的应用和场景。该指南使组织能够对 AWS Bedrock 服务及其固有和可配置的安全控制措施有必要的了解,使他们能够根据其独特的基础设施、应用程序和安全要求做出明智的决策。