Wie behebe ich den Fehler „AccessDeniedException“, den ich erhalte, wenn ich ein regionsübergreifendes Amazon Bedrock-Inferenzprofil in einem Organisationskonto verwende?

Kurzbeschreibung

Der Fehler „AccessDeniedException“ tritt auf, wenn deine AWS Identity and Access Management (IAM)-Rolle nicht berechtigt ist, die API-Anforderung in den Zielregionen aufzurufen. Dein AWS-Konto, das Mitglied von AWS Organizations ist, hat möglicherweise eine Service Control Policy (SCP), die den Zugriff auf Amazon Bedrock-Services einschränkt. Um dieses Problem zu beheben, ändere die IAM-Richtlinienberechtigungen.

Lösung

Voraussetzung: Fordere Modellzugriff aus deiner Quellregion an.

IAM-Richtlinie ändern

Aktualisiere deine SCP, sodass sie eine der folgenden Beispielrichtlinien enthält.

Hinweis: Ersetze in den folgenden Richtlinienerklärungen aa-example-1, aa-example-2, aa-example-3 durch deine Regionen.

Verweigere den Zugriff auf AWS-Services und -Ressourcen aus bestimmten Regionen mit Ausnahme von Amazon Bedrock:

{
    "Version": "2012-10-17",
    "Statement": [
            {
            "Effect": "Deny",
            "NotAction": "bedrock:*",
            "Resource": "*",
            "Condition": {
                "StringEquals": {
                    "aws:RequestedRegion": [
                        "aa-example-1",
                        "aa-example-2",
                        "aa-example-3"
                    ]
                }
            }
        }
    ]
}

Verweigere Aktionen zum Aufrufen eines Basismodells, außer über das Inferenzprofil in den angegebenen Regionen:

{
    "Version": "2012-10-17",
    "Statement": [
            {
            "Effect": "Deny",
            "Action": [
                "bedrock:InvokeModel",
                "bedrock:InvokeModelWithResponseStream"
            ],
            "Resource": "arn:aws:bedrock:*::foundation-model/*",
            "Condition": {
                "StringEquals": {
                    "aws:RequestedRegion": [
                        "aa-example-1",
                        "aa-example-2",
                        "aa-example-3"
                    ]
                },
                "ArnNotLike": {
                    "bedrock:InferenceProfileArn": [
                        "arn:aws:bedrock:*:*:application-inference-profile/*",
                        "arn:aws:bedrock:*:*:inference-profile/*"
                    ]
                }
            }
        }
    ]
}

Ähnliche Informationen

Beispiele für identitätsbasierte Richtlinien für Amazon Bedrock

Voraussetzungen für Inferenzprofile

Implementierung des Zugriffs mit den geringsten Rechten für Amazon Bedrock

Regionsübergreifende Amazon Bedrock-Inferenz in Umgebungen mit mehreren Konten aktivieren