c1.1 Restrinja o acesso ao modelo com IAM de privilégio mínimo

Por que o privilégio mínimo importa para o acesso ao modelo

O Amazon Bedrock expõe modelos de fundação poderosos por trás de um pequeno conjunto de ações do IAM. Se uma função de aplicação receber bedrock: sobre Resource: , uma única credencial vazada pode invocar qualquer modelo da conta, reconfigurar guardrails ou iniciar dispendiosos trabalhos de personalização. Restringir o acesso às ações e aos ARNs de modelo exatos de que uma carga de trabalho precisa transforma um comprometimento amplo em um contido.

Separe invocar um modelo de administrá-lo

Trate-os como duas funções distintas com duas funções (roles) distintas:

• Invocar — a aplicação em execução só precisa de bedrock:InvokeModel (e bedrock:InvokeModelWithResponseStream para streaming) sobre os ARNs de modelo específicos que está aprovada a usar.
• Administrar — criar ou atualizar guardrails, modelos personalizados e o acesso a modelos cabe a uma função de plataforma/operador que a aplicação em execução nunca assume.

Mantê-los separados significa que uma identidade de aplicação comprometida pode chamar seus modelos aprovados, mas não pode alterar como os modelos são governados.

Restrinja a ARNs de modelo explícitos

Os modelos de fundação são endereçáveis por ARN no formato arn:aws:bedrock:<region>::foundation-model/<model-id>. Liste os ARNs de modelo exatos no bloco Resource da política em vez de *, para que a função não alcance modelos que nunca foram aprovados. O exemplo abaixo concede acesso apenas de invocação a dois modelos específicos e nada mais:

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "InvokeApprovedModelsOnly",
      "Effect": "Allow",
      "Action": [
        "bedrock:InvokeModel",
        "bedrock:InvokeModelWithResponseStream"
      ],
      "Resource": [
        "arn:aws:bedrock:us-east-1::foundation-model/anthropic.claude-3-5-sonnet-20240620-v1:0",
        "arn:aws:bedrock:us-east-1::foundation-model/amazon.titan-embed-text-v2:0"
      ]
    }
  ]
}

Vincule a invocação ao caminho de rede aprovado

Adicione chaves de condição à política de invocação para que a credencial só seja utilizável de onde a carga de trabalho realmente é executada; por exemplo, exija que as chamadas cheguem pelo seu endpoint de VPC do Bedrock com aws:SourceVpce. Assim, uma credencial exfiltrada é inútil a partir da internet pública:

{
  "Effect": "Allow",
  "Action": "bedrock:InvokeModel",
  "Resource": "arn:aws:bedrock:us-east-1::foundation-model/anthropic.claude-3-5-sonnet-20240620-v1:0",
  "Condition": {
    "StringEquals": { "aws:SourceVpce": "vpce-0abc123456789def0" }
  }
}

Prefira credenciais temporárias

Faça a aplicação assumir uma função (função de tarefa, perfil de instância ou função entre contas) em vez de embutir chaves de acesso de longa duração. As credenciais temporárias rotacionam automaticamente e são muito mais fáceis de revogar se uma carga de trabalho for comprometida.

Nota de nomenclatura: substitua os IDs de modelo de exemplo e o ID do endpoint de VPC pelos valores da sua região e conta. Os IDs de modelo diferem por região e mudam à medida que novas versões são lançadas.