IAM, KMS และ VPC
การควบคุมการเข้าถึงและการเข้ารหัสข้อมูลในระบบ AI
ความปลอดภัยโครงสร้างพื้นฐาน
ความปลอดภัยของระบบ AI ก็ยังคงต้องพึ่งพาบริการ Security พื้นฐานของ AWS เช่นเดียวกับบริการอื่นๆ
จำหน้าที่ของ 3 บริการหลักนี้ให้ดี: - IAM: เปรียบเสมือน "บัตรพนักงานและยามหน้าประตู" ที่คอยตรวจว่าใครมีสิทธิ์เรียกใช้โมเดลตัวไหนได้บ้าง - AWS KMS: เปรียบเสมือน "การสร้างกุญแจตู้เซฟของบริษัทคุณเอง (Company-managed keys)" สำหรับล็อกไฟล์โมเดล (Encrypting model artifacts) และข้อมูล - VPC Endpoint (AWS PrivateLink): เปรียบเสมือน "อุโมงค์ทางเชื่อมใต้ดิน" ที่ให้ระบบของคุณเข้าถึง Amazon Bedrock ได้โดยไม่ต้องออกสู่อินเทอร์เน็ตสาธารณะ (Without internet access)
สรุป Key Takeaways
- IAM (Identity and Access Management): ใช้กำหนดสิทธิ์ว่าใครสามารถเรียกใช้ Amazon Bedrock หรือ SageMaker ได้
- KMS (Key Management Service): ใช้จัดการกุญแจเข้ารหัสระดับบริษัท (Company-managed keys) เพื่อเข้ารหัสโมเดล (Model artifacts) และข้อมูล
- VPC Endpoint (AWS PrivateLink): ใช้เรียก API ของ Amazon Bedrock โดยที่ทราฟฟิกไม่ออกไปสู่อินเทอร์เน็ตสาธารณะ (Without internet access)
คำถามที่พบบ่อย
คุมสิทธิ์การใช้ Bedrock ด้วยอะไร
IAM เหมือนบริการ AWS อื่น — กำหนดว่าใครเรียกโมเดลไหนได้ (จำกัดถึงระดับ model ARN), ใครสร้าง/แก้ guardrails ได้ ใช้หลัก least privilege และใช้ role แทน access key — โจทย์ "จำกัดทีม A ให้ใช้เฉพาะโมเดล X" = IAM policy ระบุ resource
แอปที่เรียก Bedrock ควรได้สิทธิ์ผ่านอะไร
IAM Role (เช่น role ของ Lambda/EC2/ECS ที่รันแอป) ไม่ใช่ฝัง access key ในโค้ด — role ให้ credential ชั่วคราวหมุนเวียนอัตโนมัติ เป็นคำตอบมาตรฐานของทุกโจทย์ "แอปเข้าถึงบริการ AWS อย่างปลอดภัย"
จะตรวจย้อนหลังว่าใครเรียกใช้โมเดลอะไรไปบ้าง ทำยังไง
CloudTrail บันทึก API call ของ Bedrock/SageMaker (ใคร เมื่อไหร่ ทำอะไร) ส่วนเนื้อหา prompt/คำตอบเก็บได้ผ่าน model invocation logging ลง S3/CloudWatch — คู่คำว่า audit = CloudTrail เป็นสูตรตายตัวของข้อสอบ AWS ทุกใบ
ลองทำ Quiz ท้ายบท
คำถามแนวข้อสอบของโมดูลนี้ 1 ข้อ · เฉลยทันที