View a markdown version of this page

處理已洩露的長期和短期 Amazon Bedrock API 金鑰 - Amazon Bedrock
變更長期 API 金鑰的狀態重設長期 API 金鑰刪除長期 API 金鑰連接 IAM 政策以移除使用 API 金鑰的許可

本文為英文版的機器翻譯版本，如內容有任何歧義或不一致之處，概以英文版為準。

處理已洩露的長期和短期 Amazon Bedrock API 金鑰

如果您的 API 金鑰已洩露，您應該撤銷使用它的許可。您可以使用多種方法來撤銷 Amazon Bedrock API 金鑰的許可：

  • 對於長期 Amazon Bedrock API 金鑰，您可以使用 UpdateServiceSpecificCredential、ResetServiceSpecificCredential 或 DeleteServiceSpecificCredential，以下列方式撤銷許可：

    • 將金鑰的狀態設定為非作用中。稍後可以重新啟用它們。

    • 重設金鑰。此動作會產生金鑰的新密碼。

    • 永久刪除金鑰。

    注意

    若要透過 API 執行這些動作，您必須使用 AWS 登入資料進行驗證，而不是使用 Amazon Bedrock API 金鑰進行驗證。

  • 對於長期和短期 Amazon Bedrock API 金鑰，您可以連接 IAM 政策來撤銷許可。

變更長期 Amazon Bedrock API 金鑰的狀態

如果需要暫時防止某個金鑰被使用，請將其停用。在您準備好再次使用它時，請重新啟用它。

選擇您偏好方法的索引標籤，然後遵循下列步驟：

Console
停用金鑰

  1. AWS 管理主控台 使用具有使用 Amazon Bedrock 主控台之許可的 IAM 身分登入 。接著，開啟位於 https://console.aws.amazon.com/bedrock 的 Amazon Bedrock 主控台。

  2. 在左側導覽窗格中，選取API 金鑰。

  3. 在長期 API 金鑰區段中，選擇狀態為非作用中的金鑰。

  4. 選擇動作。

  5. 選取 Deactivate (停用)。

  6. 確認後，請選取停用 API 金鑰。金鑰的狀態會變成非作用中。

重新啟用金鑰

  1. AWS 管理主控台 使用具有使用 Amazon Bedrock 主控台之許可的 IAM 身分登入 。接著，開啟位於 https://console.aws.amazon.com/bedrock 的 Amazon Bedrock 主控台。

  2. 在左側導覽窗格中，選取API 金鑰。

  3. 在長期 API 金鑰區段中，選擇狀態為非作用中的金鑰。

  4. 選擇動作。

  5. 選取啟用。

  6. 確認後，請選取啟用 API 金鑰。金鑰的狀態會變成作用中。

Python

若要使用 API 停用金鑰，請使用 IAM 端點傳送 UpdateServiceSpecificCredential 請求，並將 Status 指定為 Inactive。您可以使用下列程式碼片段來停用金鑰，以建立金鑰時傳回的值取代 ${ServiceSpecificCredentialId}。

import boto3
                        
iam_client = boto3.client("iam")
                      
iam_client.update_service_specific_credential(
    service_specific_credential_id=${ServiceSpecificCredentialId},
    status="Inactive"
)

若要使用 API 重新啟用金鑰，請使用 IAM 端點傳送 UpdateServiceSpecificCredential 請求，並將 Status 指定為 Active。您可以使用下列程式碼片段來重新啟用金鑰，以建立金鑰時傳回的值取代 ${ServiceSpecificCredentialId}。

import boto3
                        
iam_client = boto3.client("iam")
                      
iam_client.update_service_specific_credential(
    service_specific_credential_id=${ServiceSpecificCredentialId},
    status="Active"
)

重設長期 Amazon Bedrock API 金鑰

如果金鑰的值已洩露或您不再擁有，請將其重設。金鑰必須尚未過期。如果已過期，請刪除金鑰並建立新的金鑰。

選擇您偏好方法的索引標籤，然後遵循下列步驟：

Console
重設金鑰

  1. AWS 管理主控台 使用具有使用 Amazon Bedrock 主控台之許可的 IAM 身分登入 。接著，開啟位於 https://console.aws.amazon.com/bedrock 的 Amazon Bedrock 主控台。

  2. 在左側導覽窗格中，選取API 金鑰。

  3. 在長期 API 金鑰區段中，選擇金鑰。

  4. 選擇動作。

  5. 選取重設金鑰。

  6. 選取下一步。

Python

若要使用 API 重設金鑰，請使用 IAM 端點傳送 ResetServiceSpecificCredential 請求。您可以使用下列程式碼片段來重設金鑰，以建立金鑰時傳回的值取代 ${ServiceSpecificCredentialId}。

import boto3
            
iam_client = boto3.client("iam")
          
iam_client.reset_service_specific_credential(
    service_specific_credential_id=${ServiceSpecificCredentialId}
)

刪除長期 Amazon Bedrock API 金鑰

如果您不再需要金鑰或金鑰已過期，請將其刪除。

選擇您偏好方法的索引標籤，然後遵循下列步驟：

Console
刪除關鍵點

  1. AWS 管理主控台 使用具有使用 Amazon Bedrock 主控台之許可的 IAM 身分登入 。接著，開啟位於 https://console.aws.amazon.com/bedrock 的 Amazon Bedrock 主控台。

  2. 在左側導覽窗格中，選取API 金鑰。

  3. 在長期 API 金鑰區段中，選擇金鑰。

  4. 選擇動作。

  5. 選取刪除。

  6. 確認刪除。

API 金鑰與 IAM 使用者連結

刪除此 API 金鑰不會刪除使用此金鑰建立的 IAM 使用者做為擁有者。您可以在下一個步驟中從 IAM 主控台刪除 IAM 使用者。

Python

若要使用 API 刪除金鑰，請傳送 DeleteServiceSpecificCredential 請求與 IAM 端點。您可以使用下列程式碼片段來刪除金鑰，以建立金鑰時傳回的值取代 ${ServiceSpecificCredentialId}。

import boto3
            
iam_client = boto3.client("iam")
          
iam_client.delete_service_specific_credential(
    service_specific_credential_id=${ServiceSpecificCredentialId}
)

連接 IAM 政策以移除使用 Amazon Bedrock API 金鑰的許可

本節提供一些 IAM 政策，可用來限制對 Amazon Bedrock API 金鑰的存取。

拒絕身分使用 Amazon Bedrock API 金鑰進行呼叫

若要完全防止身分使用 Amazon Bedrock API 金鑰進行呼叫，您必須拒絕下列兩項動作：

  • bedrock:CallWithBearerToken – 透過 Amazon Bedrock 端點控制 API 金鑰用量。

  • bedrock-mantle:CallWithBearerToken – 透過 Amazon Bedrock Mantle 端點控制 API 金鑰用量。

重要

僅拒絕bedrock:CallWithBearerToken不會阻止透過 Mantle 端點使用 API 金鑰。您也必須拒絕 bedrock-mantle:CallWithBearerToken才能完全封鎖 API 金鑰用量。

若要防止身分使用 API 金鑰進行呼叫，請根據金鑰類型在身分上附加 IAM 政策：

  • 長期金鑰 – 將政策連接至與金鑰相關聯的 IAM 使用者。

  • 短期金鑰 – 將政策連接至用於產生金鑰的 IAM 身分。

您可以連接到 IAM 身分的 IAM 政策如下所示：

JSON
{
  "Version":"2012-10-17",
  "Statement": {
    "Effect": "Deny",
    "Action": [
      "bedrock:CallWithBearerToken",
      "bedrock-mantle:CallWithBearerToken"
    ],
    "Resource": "*"
  }
}

使 IAM 工作階段失效

如果短期金鑰遭到入侵，您可以透過使用來產生金鑰的工作階段失效，來防止其使用。若要使工作階段失效，請將下列政策連接至產生金鑰的 IAM 身分。將 2014-05-07T23:47:00Z 取代為您希望工作階段失效的時間。

JSON
{
  "Version":"2012-10-17",
  "Statement": {
    "Effect": "Deny",
    "Action": "*",
    "Resource": "*",
    "Condition": {
      "DateLessThan": {"aws:TokenIssueTime": "2014-05-07T23:47:00Z"}
    }
  }
}