Amazon Bedrock：IAM 凭证

Amazon Bedrock 是 AWS 提供的全托管服务，可以通过 AWS 调用 Anthropic Claude、Amazon Nova 等主流生成式模型。本页面向已有 AWS 环境（IAM 角色、AWS SSO、AWS Organizations 等）的组织，帮助你安全、合规地接入。

第 1 步：准备 AWS 环境

创建或使用 IAM 用户 / 角色

登录 AWS 管理控制台。
在控制台中搜索 IAM。
新建一个 IAM 用户，或通过企业的 AWS SSO 担任专门用于 Bedrock 访问的角色。参见 IAM 用户指南。

附加所需策略

Dline 调用模型所需的最小权限为：

bedrock:InvokeModel
bedrock:InvokeModelWithResponseStream

方式 1：最小权限（推荐用于生产环境）

在 AWS IAM 控制台中新建策略。

在 JSON 编辑器中填入以下策略：

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": ["bedrock:InvokeModel", "bedrock:InvokeModelWithResponseStream"],
      "Resource": "*"
    }
  ]
}

为了更安全，可以把 Resource 限定为具体的模型 ARN。

为策略命名（例如 DlineBedrockInvokeAccess），并附加到 IAM 用户或角色上。

方式 2：托管策略（初始配置更简单）

也可以直接附加 AWS 托管策略 AmazonBedrockLimitedAccess。它的权限更宽，包括列出模型、管理预置容量等 Bedrock 功能，适合初始配置或确实需要这些能力的场景。

第 2 步：确认区域与模型访问

选择区域： Bedrock 在多个区域可用，请根据延迟和合规要求选择，参见 AWS 全球基础设施。
确认模型访问： 在 Bedrock 控制台中确认团队需要的模型（例如 Anthropic Claude、Amazon Nova）已标记为 “Access granted”。部分模型只能通过推理配置文件调用，此时需要在 Dline 中勾选 Use cross-region inference。
订阅第三方模型（如需要）： 在 Bedrock 控制台的模型订阅页面接受第三方服务商（例如 Anthropic）的条款，参见 AWS Marketplace。企业中模型订阅通常集中管理，请先与云平台团队确认流程。

第 3 步：配置 Dline

尚未安装 Dline 时，先参阅安装 Dline。

点击 Dline 面板标题栏的 Settings 按钮。
在 Provider 中选择 Amazon Bedrock。
认证方式选择 AWS Credentials，填写 AWS Access Key 和 AWS Secret Key。使用 AWS SSO 等临时凭证时，还需要填写 AWS Session Token。
在 AWS Region 中选择或输入区域，例如 us-east-1 或企业批准的区域。
在 Model 中选择模型。
发送一条简单的提示测试连接，例如“写一个判断质数的 Python 函数”。

不填写 Key 时，Dline 会使用默认的 AWS 凭证提供链。

第 4 步：安全与运维建议

访问安全： 尽量使用 AWS SSO 或联合身份角色，而不是长期有效的 IAM 凭证，参见 IAM 最佳实践。使用 SSO 时推荐改用 AWS CLI Profile。
网络安全： 可以配置 AWS PrivateLink，并在 Dline 中勾选 Use custom VPC endpoint 填写终端节点地址。
监控： 启用 CloudTrail 记录 Bedrock API 调用，使用 CloudWatch 监控调用次数、延迟和 token 用量，并为异常活动设置告警。
成本： 使用 AWS Cost Explorer 并设置账单告警，参见 AWS 成本管理。
审计： 定期检查 IAM 角色和 CloudTrail 日志，遵循组织内部的数据隐私与治理策略。