c1.1 Acota el acceso al modelo con IAM de mínimo privilegio

Por qué importa el mínimo privilegio para el acceso al modelo

Amazon Bedrock expone modelos fundacionales potentes tras un pequeño conjunto de acciones de IAM. Si a un rol de aplicación se le concede bedrock: sobre Resource: , una sola credencial filtrada puede invocar cualquier modelo de la cuenta, reconfigurar guardrails o iniciar costosos trabajos de personalización. Acotar el acceso a las acciones y los ARN de modelo exactos que necesita una carga de trabajo convierte un compromiso amplio en uno contenido.

Separa invocar un modelo de administrarlo

Trátalos como dos funciones distintas con dos roles distintos:

• Invocar — la aplicación en ejecución solo necesita bedrock:InvokeModel (y bedrock:InvokeModelWithResponseStream para streaming) sobre los ARN de modelo específicos que tiene aprobado usar.
• Administrar — crear o actualizar guardrails, modelos personalizados y el acceso a modelos corresponde a un rol de plataforma/operador que la aplicación en ejecución nunca asume.

Mantenerlos separados significa que una identidad de aplicación comprometida puede llamar a sus modelos aprobados pero no puede cambiar cómo se gobiernan.

Acota a ARN de modelo explícitos

Los modelos fundacionales se direccionan por ARN con la forma arn:aws:bedrock:<region>::foundation-model/<model-id>. Enumera los ARN de modelo exactos en el bloque Resource de la política en lugar de *, para que el rol no pueda alcanzar modelos que nunca se aprobaron. El ejemplo siguiente concede acceso solo de invocación a dos modelos específicos y nada más:

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "InvokeApprovedModelsOnly",
      "Effect": "Allow",
      "Action": [
        "bedrock:InvokeModel",
        "bedrock:InvokeModelWithResponseStream"
      ],
      "Resource": [
        "arn:aws:bedrock:us-east-1::foundation-model/anthropic.claude-3-5-sonnet-20240620-v1:0",
        "arn:aws:bedrock:us-east-1::foundation-model/amazon.titan-embed-text-v2:0"
      ]
    }
  ]
}

Vincula la invocación a la ruta de red aprobada

Añade claves de condición a la política de invocación para que la credencial solo sea utilizable desde donde realmente se ejecuta la carga de trabajo; por ejemplo, exige que las llamadas lleguen a través de tu endpoint de VPC de Bedrock con aws:SourceVpce. Así, una credencial exfiltrada es inútil desde la internet pública:

{
  "Effect": "Allow",
  "Action": "bedrock:InvokeModel",
  "Resource": "arn:aws:bedrock:us-east-1::foundation-model/anthropic.claude-3-5-sonnet-20240620-v1:0",
  "Condition": {
    "StringEquals": { "aws:SourceVpce": "vpce-0abc123456789def0" }
  }
}

Prefiere credenciales temporales

Haz que la aplicación asuma un rol (rol de tarea, perfil de instancia o rol entre cuentas) en lugar de incrustar claves de acceso de larga duración. Las credenciales temporales rotan automáticamente y son mucho más fáciles de revocar si una carga de trabajo se ve comprometida.

Nota de nomenclatura: reemplaza los IDs de modelo de ejemplo y el ID del endpoint de VPC por los valores de tu región y cuenta. Los IDs de modelo difieren por región y cambian a medida que se publican nuevas versiones.