c2.2 Use um papel de serviço de privilégio mínimo para personalização e importação

Por que a personalização precisa de sua própria função

A personalização de modelos (fine-tuning, destilação, pré-treinamento contínuo) é executada como um trabalho assíncrono que o Amazon Bedrock realiza em seu nome. O Bedrock assume uma função de serviço do IAM para ler seus dados de treinamento/validação do S3, gravar métricas de saída e — se seus dados estiverem criptografados — usar sua chave do KMS. Como essa função pode ler seus dados de treinamento, ela deve ser dedicada à personalização e restrita exatamente aos buckets e chaves envolvidos, não uma função compartilhada ou ampla.

Confie apenas no Bedrock, e apenas para sua conta

A política de confiança da função deve permitir que o principal de serviço do Bedrock a assuma, restrita com aws:SourceAccount (e idealmente aws:SourceArn) para que um "confused deputy" em outra conta não possa tomá-la emprestada:

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Principal": { "Service": "bedrock.amazonaws.com" },
      "Action": "sts:AssumeRole",
      "Condition": {
        "StringEquals": { "aws:SourceAccount": "111122223333" },
        "ArnEquals": {
          "aws:SourceArn": "arn:aws:bedrock:us-east-1:111122223333:model-customization-job/*"
        }
      }
    }
  ]
}

Conceda apenas o acesso ao S3 (e KMS) de que o trabalho precisa

A política de permissões deve listar os buckets específicos de dados de entrada e saída, nada mais amplo:

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "ReadTrainingData",
      "Effect": "Allow",
      "Action": ["s3:GetObject", "s3:ListBucket"],
      "Resource": [
        "arn:aws:s3:::my-bedrock-training-data",
        "arn:aws:s3:::my-bedrock-training-data/*"
      ]
    },
    {
      "Sid": "WriteJobOutput",
      "Effect": "Allow",
      "Action": "s3:PutObject",
      "Resource": "arn:aws:s3:::my-bedrock-custom-output/*"
    }
  ]
}

Se esses buckets usarem uma chave do KMS gerenciada pelo cliente, adicione kms:Decrypt (e kms:GenerateDataKey para o bucket de saída) sobre esse ARN de chave específico; sem isso, o trabalho falha com um erro de acesso.

Mantenha-a separada da função de invocação

A função de personalização lê dados de treinamento; a função de invocação em runtime chama os modelos (consulte o controle de IAM de privilégio mínimo). Não as combine — uma carga de trabalho que só precisa invocar um modelo nunca deve ter permissões para ler seu corpus de treinamento.

Nota de nomenclatura: substitua o id da conta, a região e os nomes de bucket. Restrinja aws:SourceArn ao padrão de ARN do trabalho de personalização para que a função só seja assumível para esse tipo de trabalho.