Amazon Nova 模型自訂任務和成品的加密

如需有關在 Amazon Bedrock 中加密模型自訂任務和成品的資訊，請參閱模型自訂任務和成品的加密。

自訂 Amazon Nova 模型的許可和金鑰政策

以下是建立 KMS 金鑰許可的必要陳述式。

PermissionsModelCustomization 陳述式

在 Principal欄位中，將您要允許 Decrypt、DescribeKey、 GenerateDataKey和 CreateGrant操作的帳戶新增至AWS子欄位對應的清單。如果您使用 kms:ViaService條件金鑰，您可以為每個區域新增一行，或使用 * 取代 ${region}，以允許支援 Amazon Bedrock 的所有區域。

{
    "Sid": "PermissionsModelCustomization",
    "Effect": "Allow",
    "Principal": {
        "AWS": [
            "arn:aws:iam::${account-id}:role/${customization-role}"
        ]
    },
    "Action": [
        "kms:Decrypt",
        "kms:GenerateDataKey",
        "kms:DescribeKey",
        "kms:CreateGrant"
    ],
    "Resource": "*",
    "Condition": {
        "StringLike": {
            "kms:ViaService": [
                "bedrock.${region}.amazonaws.com"
            ] 
        }
    }
}

PermissionsModelInvocation 陳述式

在 Principal欄位中，將您要允許 Decrypt和 GenerateDataKey操作的帳戶新增至AWS子欄位對應的清單。如果您使用 kms:ViaService條件金鑰，您可以為每個區域新增一行，或使用 * 取代 ${region}，以允許支援 Amazon Bedrock 的所有區域。

{
    "Sid": "PermissionsModelInvocation",
    "Effect": "Allow",
    "Principal": {
        "AWS": [
            "arn:aws:iam::${account-id}:user/${invocation-role}"
        ]
    },
    "Action": [
        "kms:Decrypt",
        "kms:GenerateDataKey"
    ],
    "Resource": "*",
    "Condition": {
        "StringLike": {
            "kms:ViaService": [
                "bedrock.${region}.amazonaws.com"
            ] 
        }
    }
}

PermissionsNovaProvisionedThroughput 陳述式

當您為自訂 Amazon Nova 模型建立佈建輸送量時，Amazon Bedrock 會在模型上執行推論和部署最佳化。在此程序中，Amazon Bedrock 會使用與建立自訂模型相同的 KMS 金鑰，以維持與自訂模型本身相同的最高層級安全性。

{
    "Sid": "PermissionsNovaProvisionedThroughput",
    "Effect": "Allow",
    "Principal": {
        "Service": [
            "bedrock.amazonaws.com",
        ]
    },
    "Action": [
        "kms:Decrypt",
        "kms:GenerateDataKey"
    ],
    "Resource": "*",
    "Condition": {
        "ForAnyValue:StringEquals": {
            "kms:EncryptionContextKeys": "aws:bedrock:custom-model"
        }
    }
 }

設定用於加密和調用自訂模型的金鑰許可

如果您計劃加密使用 KMS 金鑰自訂的模型，金鑰的金鑰政策將取決於您的使用案例。展開與您的使用案例對應的區段：

將自訂模型的角色和將叫用模型的角色相同

如果將叫用自訂模型的角色與將自訂模型的角色相同，您只需要許可PermissionsNovaProvisionedThroughput陳述式中的 PermissionsModelCustomization和 陳述式。

1. 在 Principal欄位中，新增您要允許 在PermissionsModelCustomization陳述式中自訂和調用自訂模型的帳戶到AWS子欄位映射到的清單。

2. 依預設，應將 PermissionsNovaProvisionedThroughput陳述式新增至金鑰政策，並以 bedrock.amazonaws.com做為允許的服務主體，並使用 條件kms:EncryptionContextKeys。

JSON

{
    "Version": "2012-10-17",
    "Id": "PermissionsCustomModelKey",
    "Statement": [
        {
            "Sid": "PermissionsModelCustomization",
            "Effect": "Allow",
            "Principal": {
                "AWS": [
                    "arn:aws:iam::111122223333:role/customize-and-invoke-role"
                ]
            },
            "Action": [
                "kms:Decrypt",
                "kms:GenerateDataKey",
                "kms:DescribeKey",
                "kms:CreateGrant"
            ],
            "Resource": "*",
            "Condition": {
                "StringLike": {
                    "kms:ViaService": [
                        "bedrock.us-east-1.amazonaws.com"
                    ]
                }
            }
        },
        {
            "Sid": "PermissionsNovaProvisionedThroughput",
            "Effect": "Allow",
            "Principal": {
                "Service": [
                    "bedrock.amazonaws.com"
                ]
            },
            "Action": [
                "kms:Decrypt",
                "kms:GenerateDataKey"
            ],
            "Resource": "*",
            "Condition": {
                "ForAnyValue:StringEquals": {
                    "kms:EncryptionContextKeys": "aws:bedrock:custom-model"
                }
            }
        }
    ]
}

將自訂模型的角色和將叫用模型的角色不同

如果將叫用自訂模型的角色與將自訂模型的角色不同，您需要所有三個許可陳述式。修改下列政策範本中的陳述式，如下所示：

1. 在 Principal欄位中，新增您想要允許 的帳戶，只將自訂模型自訂到AWS子欄位映射到PermissionsModelCustomization陳述式中的清單。

2. 在 Principal欄位中，新增您想要允許 將自訂模型調用到AWS子欄位在PermissionsModelInvocation陳述式中映射到的清單的帳戶。

3. 根據預設，應將 PermissionsNovaProvisionedThroughput陳述式新增至金鑰政策，並使用 bedrock.amazonaws.com做為允許的服務主體，並使用 條件kms:EncryptionContextKeys。

JSON

{
    "Version": "2012-10-17",
    "Id": "PermissionsCustomModelKey",
    "Statement": [
        {
            "Sid": "PermissionsModelCustomization",
            "Effect": "Allow",
            "Principal": {
                "AWS": [
                    "arn:aws:iam::111122223333:user/customization-role"
                ]
            },
            "Action": [
                "kms:Decrypt",
                "kms:GenerateDataKey",
                "kms:DescribeKey",
                "kms:CreateGrant"
            ],
            "Resource": "*",
            "Condition": {
                "StringLike": {
                    "kms:ViaService": [
                        "bedrock.us-east-1.amazonaws.com"
                    ]
                }
            }
        },
        {
            "Sid": "PermissionsModelInvocation",
            "Effect": "Allow",
            "Principal": {
                "AWS": [
                    "arn:aws:iam::111122223333:user/invocation-role"
                ]
            },
            "Action": [
                "kms:Decrypt",
                "kms:GenerateDataKey"
            ],
            "Resource": "*",
            "Condition": {
                "StringLike": {
                    "kms:ViaService": [
                        "bedrock.us-east-1.amazonaws.com"
                    ]
                }
            }
        },
        {
            "Sid": "PermissionsNovaPermissionedThroughput",
            "Effect": "Allow",
            "Principal": {
                "Service": [
                    "bedrock.amazonaws.com"
                ]
            },
            "Action": [
                "kms:Decrypt",
                "kms:GenerateDataKey"
            ],
            "Resource": "*",
            "Condition": {
                "ForAnyValue:StringEquals": {
                    "kms:EncryptionContextKeys": "aws:bedrock:custom-model"
                }
            }
        }
    ]
}