如何解決在 AWS Organizations 帳戶中使用 Amazon Bedrock 跨區域推論設定檔時出現的「AccessDeniedException」錯誤？

簡短說明

當您的 AWS Identity and Access Management (IAM) 角色沒有在目的地區域調用 API 請求的權限時，就會發生「AccessDeniedException」錯誤。您作為 AWS Organizations 成員的 AWS 帳戶，可能受到服務控制政策 (SCP) 限制，導致無法存取 Amazon Bedrock 服務。若要解決此問題，請修改 IAM 政策權限。

解決方法

**先決條件：**從您的來源區域請求模型存取權。

修改 IAM 政策

更新您的 SCP，以包含以下其中一個範例政策陳述式。

**注意：**在以下政策陳述式中，將 aa-example-1、aa-example-2 和 aa-example-3 替換為您的區域。

拒絕來自指定區域的 AWS 服務和資源存取 (Amazon Bedrock 除外)：

{
    "Version": "2012-10-17",
    "Statement": [
            {
            "Effect": "Deny",
            "NotAction": "bedrock:*",
            "Resource": "*",
            "Condition": {
                "StringEquals": {
                    "aws:RequestedRegion": [
                        "aa-example-1",
                        "aa-example-2",
                        "aa-example-3"
                    ]
                }
            }
        }
    ]
}

拒絕在指定區域中，除透過推論設定檔外調用基礎模型的所有動作：

{
    "Version": "2012-10-17",
    "Statement": [
            {
            "Effect": "Deny",
            "Action": [
                "bedrock:InvokeModel",
                "bedrock:InvokeModelWithResponseStream"
            ],
            "Resource": "arn:aws:bedrock:*::foundation-model/*",
            "Condition": {
                "StringEquals": {
                    "aws:RequestedRegion": [
                        "aa-example-1",
                        "aa-example-2",
                        "aa-example-3"
                    ]
                },
                "ArnNotLike": {
                    "bedrock:InferenceProfileArn": [
                        "arn:aws:bedrock:*:*:application-inference-profile/*",
                        "arn:aws:bedrock:*:*:inference-profile/*"
                    ]
                }
            }
        }
    ]
}

相關資訊

Amazon Bedrock 的身分型政策範例

推論設定檔先決條件

為 Amazon Bedrock 實作最低權限存取

在多帳戶環境中啟用 Amazon Bedrock 跨區域推論