Comment puis-je résoudre le problème des erreurs d’API InvokeModel dans Amazon Bedrock ?

Résolution

Les erreurs AccessDeniedException et ValidationException se produisent lorsque l'API InvokeModel ne peut pas accéder au modèle de base qu'elle invoque. Les erreurs peuvent également se produire si votre compte AWS ne dispose pas des autorisations Gestion des identités et des accès AWS (AWS IAM) requises pour exécuter l'opération.

Erreurs d'accès aux modèles

Si vous n'avez pas accès au modèle que l'API a essayé d'invoquer, vous recevez un message d'erreur similaire aux exemples suivants :

« An error occurred (AccessDeniedException) when calling the InvokeModel operation: Your account is not authorized to invoke this API operation. » (Une erreur s’est produite (AccessDeniedException) lors de l’appel de l’opération InvokeModel : Votre compte n’est pas autorisé à invoquer cette opération API.)

-ou-

« An error occurred (AccessDeniedException) when calling the InvokeModel operation: You don't have access to the model with the specified model ID. » (Une erreur s’est produite (AccessDeniedException) lors de l’appel de l’opération InvokeModel : Vous n’avez pas accès au modèle avec l’ID de modèle spécifié.)

Pour résoudre ce problème, vérifiez les configurations suivantes :

• Le modèle est disponible dans la région AWS dans laquelle vous invoquez l'API.
• Vous définissez le statut d'accès sur Accordé.
  Remarque : Configurez le statut d'accès une seule fois pour chaque région.

Erreurs d'autorisations IAM

Si l'utilisateur ou le rôle IAM qui a invoqué l'API ne dispose pas des autorisations requises, vous recevez un message d'erreur similaire aux exemples suivants :

« AccessDeniedException: An error occurred (AccessDeniedException) when calling the InvokeModel operation: User: username is not authorized to perform: bedrock:InvokeModel on resource: resourcename with an explicit deny in an identity-based policy. » (Une erreur s’est produite (AccessDeniedException) lors de l’appel de l’opération InvokeModel : Utilisateur : le nom d’utilisateur n’est pas autorisé à exécuter : bedrock:InvokeModel sur la ressource : resourcename avec un refus explicite dans une politique basée sur l’identité.)

-ou-

« AccessDeniedException: An error occurred (AccessDeniedException) when calling the InvokeModel operation: User: username is not authorized to perform: bedrock:InvokeModel on resource: resourcename because no identity-based policy allows the bedrock:InvokeModel action. » (AccessDeniedException : Une erreur s’est produite (AccessDeniedException) lors de l’appel de l’opération InvokeModel : Utilisateur : le nom d’utilisateur n’est pas autorisé à exécuter : bedrock:InvokeModel sur la ressource : resourcename car aucune politique basée sur l’identité n’autorise l’action bedrock:InvokeModel.)

Pour résoudre ce problème, vérifiez que l'utilisateur ou le rôle IAM qui invoque l'API dispose des autorisations requises suivantes :

{  "Version": "2012-10-17",
  "Statement": {
    "Sid": "AllowInference",
    "Effect": "Allow",
    "Action": [
      "bedrock:InvokeModel",
      "bedrock:InvokeModelWithResponseStream"
    ],
    "Resource": "arn:aws:bedrock:*::foundation-model/model-id"
  }
}

Erreur SCP

Si une politique de contrôle des services (SCP) impose des restrictions spécifiques à votre compte, le message d'erreur suivant s'affiche :

« User: username is not authorized to perform: bedrock:InvokeModel on resource: username with an explicit deny in a service control policy » (Utilisateur : le nom d'utilisateur n'est pas autorisé à exécuter : bedrock:InvokeModel sur la ressource : nom d'utilisateur avec un refus explicite dans une politique de contrôle des services)

L'erreur précédente se produit, même si vous avez fourni les autorisations requises au rôle IAM qui a invoqué l'API. Généralement, cette erreur se produit lorsque vous utilisez une interférence interrégionale qui achemine l'appel vers une région bloquée par la SCP.

Pour résoudre le problème, vérifiez vos événements AWS CloudTrail pour l'appel d'API et la région vers laquelle ils sont acheminés. Vérifiez ensuite si la SCP restreint les actions pour cette API ou cette région. Vérifiez également les autres restrictions SCP, telles que les restrictions relatives à un ID de modèle spécifique.

Erreur d'action de l'API

Si vous avez utilisé l'action d'API incorrecte, le message d'erreur suivant s'affiche :

« ValidationException: An error occurred (ValidationException) when calling the InvokeModel operation: The requested operation is not recognized by the service. » (ValidationException : Une erreur s’est produite (ValidationException) lors de l’appel de l’opération InvokeModel : L’opération demandée n’est pas reconnue par le service.)

Pour résoudre l'erreur précédente, spécifiez bedrock-runtime en tant que service dans votre appel d'API. Pour plus d'informations, consultez la page BedrockRuntime sur le site Web de Boto3.

Les messages d'erreur suivants peuvent s'afficher :

« An error occurred (ValidationException) when calling the InvokeModel operation: The provided model identifier is invalid » (Une erreur s’est produite (ValidationException) lors de l’appel de l’opération InvokeModel : L'identifiant de modèle fourni n'est pas valide)

-ou-

« ResourceNotFoundException: An error occurred (ResourceNotFoundException) when calling the InvokeModel operation: Could not resolve the foundation model from the provided model identifier. » (ResourceNotFoundException : Une erreur s'est produite (ResourceNotFoundException) lors de l'appel de l'opération InvokeModel) : Impossible de résoudre le modèle de base à partir de l'identifiant de modèle fourni.)

Les erreurs précédentes sont dues à des problèmes de configuration. Pour résoudre ce problème, vérifiez les configurations suivantes :

• Vous définissez le statut d'accès sur Accordé.
  Remarque : Configurez le statut d'accès une seule fois pour chaque région.
• Le modèle est disponible dans la région dans laquelle vous invoquez l'API.
• L'ID de modèle est correct.

Erreur de version du SDK

Si vous utilisez une version incompatible du SDK AWS pour Python (Boto3) pour appeler l'API InvokeModel, le message d'erreur suivant s'affiche :

« UnknownServiceError: Unknown service: 'bedrock-runtime » (UnknownServiceError : Service inconnu : 'bedrock-runtime)

Pour résoudre ce problème, mettez à niveau le SDK vers la version la plus récente. Pour consulter la dernière version du SDK, consultez la page boto3/CHANGELOG.rst sur le site Web de GitHub.

Erreur de restriction de compte

Si votre compte présente une restriction de sécurité, le message d'erreur suivant s'affiche :

« An error occurred (ValidationException) when calling the InvokeModel operation: Operation not allowed » (Une erreur s’est produite (ValidationException) lors de l’appel de l’opération InvokeModel : Opération non autorisée)

Pour résoudre ce problème, vous devez ouvrir une demande de support.