Tác giả: Zohreh Norouzi, Harlan Verthein, Jan Catarata, Satveer Khurpa, Melanie Li, and Saurabh Trikande
Ngày phát hành: 13 JAN 2026
Chuyên mục: Amazon Bedrock, Intermediate (200), Security

Việc áp dụng và triển khai suy luận generative AI đã tăng lên khi các tổ chức xây dựng nhiều khối lượng công việc vận hành sử dụng khả năng AI trong sản xuất ở quy mô lớn. Để giúp khách hàng đạt được quy mô cho các ứng dụng generative AI của họ, Amazon Bedrock cung cấp hồ sơ suy luận đa vùng (cross-Region inference – CRIS), một tính năng mạnh mẽ mà các tổ chức có thể sử dụng để phân phối xử lý suy luận liền mạch trên nhiều AWS Regions. Khả năng này giúp bạn đạt được thông lượng cao hơn khi xây dựng ở quy mô lớn và giúp các ứng dụng generative AI của bạn luôn phản hồi nhanh và đáng tin cậy ngay cả dưới tải nặng.

Trong bài viết này, chúng tôi khám phá các cân nhắc về bảo mật và các phương pháp hay nhất để triển khai hồ sơ suy luận đa vùng của Amazon Bedrock. Cho dù bạn đang xây dựng một ứng dụng generative AI hay cần đáp ứng các yêu cầu tuân thủ khu vực cụ thể, hướng dẫn này sẽ giúp bạn hiểu kiến trúc bảo mật của Amazon Bedrock CRIS và cách cấu hình triển khai của bạn một cách phù hợp.

Các hồ sơ suy luận hoạt động dựa trên hai khái niệm chính:

• Source Region – Vùng mà từ đó yêu cầu API được thực hiện
• Destination Region – Vùng mà Amazon Bedrock có thể định tuyến yêu cầu để suy luận

Khi bạn gọi một hồ sơ suy luận đa vùng trong Amazon Bedrock, yêu cầu của bạn sẽ đi theo một đường dẫn định tuyến thông minh. Yêu cầu bắt nguồn từ Source Region của bạn, nơi bạn thực hiện cuộc gọi API và được tự động định tuyến đến một trong các Destination Region được xác định trong hồ sơ suy luận. Suy luận đa vùng hoạt động thông qua AWS network an toàn với mã hóa đầu cuối cho dữ liệu đang truyền.

Điểm khác biệt chính là CRIS không thay đổi nơi dữ liệu được lưu trữ – không có dữ liệu khách hàng nào được lưu trữ trong bất kỳ Destination Region nào khi sử dụng suy luận đa vùng, nhật ký do khách hàng quản lý (chẳng hạn như model invocation logging), knowledge bases và các cấu hình được lưu trữ vẫn nằm độc quyền trong Source Region. Yêu cầu suy luận di chuyển qua AWS Global Network do Amazon Bedrock quản lý và các phản hồi được trả về đã mã hóa cho ứng dụng của bạn trong Source Region.

Amazon Bedrock cung cấp hai loại hồ sơ suy luận đa vùng:

1. Suy luận đa vùng theo địa lý (Geographic cross-Region inference) – Amazon Bedrock tự động chọn Region tối ưu trong một khu vực địa lý được xác định (chẳng hạn như US, EU, Australia, và Japan) để xử lý yêu cầu suy luận của bạn. Hồ sơ này duy trì xử lý suy luận trong các ranh giới địa lý cụ thể, có thể giúp các tổ chức giải quyết các yêu cầu về data residency theo khu vực.
2. Suy luận đa vùng toàn cầu (Global cross-Region inference) – Global CRIS nâng cao hơn nữa suy luận đa vùng bằng cách cho phép định tuyến các yêu cầu suy luận đến các commercial Regions được hỗ trợ trên toàn thế giới, tối ưu hóa các tài nguyên có sẵn và cho phép thông lượng mô hình cao hơn. Hồ sơ này định tuyến các yêu cầu trên tất cả các commercial Regions được hỗ trợ trên toàn cầu mà không có giới hạn địa lý.

Nếu bạn có các yêu cầu nghiêm ngặt về data residency hoặc compliance, bạn nên đánh giá cẩn thận xem suy luận đa vùng có phù hợp với các chính sách và quy định của bạn hay không, vì dữ liệu suy luận của bạn có thể được xử lý trên nhiều Region được cấu hình sẵn như được xác định trong hồ sơ suy luận.

Yêu cầu quyền IAM và các cân nhắc về chính sách kiểm soát dịch vụ (SCP)

Theo mặc định, người dùng và vai trò trong AWS account của bạn không có quyền tạo, sửa đổi hoặc sử dụng tài nguyên Amazon Bedrock. Quyền truy cập có thể được kiểm soát thông qua hai cơ chế chính: AWS Identity and Access Management (IAM) policies cho các quyền người dùng và vai trò chi tiết, và SCPs cho các rào cản và hạn chế trên toàn tổ chức. Để sử dụng Amazon Bedrock CRIS, người dùng phải có các quyền IAM cần thiết. Nếu SCPs được đính kèm vào tài khoản của bạn, chúng cũng phải cho phép các hành động cần thiết. Phần này giải thích tóm tắt các yêu cầu cụ thể cho từng loại CRIS, để bạn có thể cân bằng giữa bảo mật, tuân thủ và nhu cầu vận hành. Bảng sau so sánh Geographic CRIS và Global CRIS, nêu bật những lợi thế chính và sự khác biệt cấp cao về yêu cầu IAM và SCP của chúng.

Hiểu các yêu cầu về SCP cho Geographic CRIS và Global CRIS

Trong phần này, chúng tôi phác thảo các yêu cầu về SCP và mô tả những khác biệt chính trong hành vi của các điều kiện SCP cụ thể theo Region giữa các hồ sơ Geographic CRIS và Global CRIS.

Yêu cầu về SCP cho Geographic CRIS

Nhiều tổ chức triển khai các kiểm soát truy cập theo Region thông qua SCPs trong AWS Organizations để đảm bảo bảo mật và tuân thủ. Nếu tổ chức của bạn sử dụng SCPs để chặn các Region không sử dụng, bạn phải đảm bảo rằng các điều kiện SCP cụ thể theo Region của bạn cho phép truy cập vào các quyền Amazon Bedrock tối thiểu cần thiết trong tất cả các Region được liệt kê trong hồ sơ Geographic CRIS để nó hoạt động bình thường. Ví dụ: suy luận đa vùng theo địa lý US Anthropic Claude Sonnet 4.5 Geographic cross-Region inference yêu cầu quyền truy cập vào us-east-1, us-east-2 và us-west-2. Nếu một SCP chỉ hạn chế quyền truy cập vào us-east-1, yêu cầu suy luận đa vùng sẽ thất bại. Do đó, bạn cần cho phép cả ba Region trong SCP của mình cụ thể cho quyền truy cập hồ sơ suy luận đa vùng của Amazon Bedrock. Để cải thiện bảo mật, hãy cân nhắc sử dụng điều kiện bedrock:InferenceProfileArn để giới hạn quyền truy cập vào các hồ sơ suy luận cụ thể. Tham khảo Bật suy luận đa vùng của Amazon Bedrock trong môi trường đa tài khoản để biết ví dụ về chính sách.

Yêu cầu về SCP cho Global CRIS

Bạn có thể sử dụng SCPs làm kiểm soát trên toàn tổ chức. Nếu tổ chức của bạn sử dụng SCPs cụ thể theo Region, hãy đảm bảo rằng "aws:RequestedRegion": "unspecified" không được bao gồm trong danh sách các Region bị deny vì các yêu cầu Global CRIS sử dụng giá trị Region này. Điều kiện này dành riêng cho suy luận đa vùng toàn cầu của Amazon Bedrock và sẽ không ảnh hưởng đến các cuộc gọi API dịch vụ AWS khác.

Ví dụ: nếu bạn có một SCP chặn quyền truy cập vào tất cả các AWS Regions ngoại trừ một vài Region được phê duyệt, chẳng hạn như us-east-1, us-east-2 hoặc ap-southeast-2, dựa trên các yêu cầu tuân thủ của bạn. Trong trường hợp này, để cho phép chức năng suy luận đa vùng toàn cầu trong khi vẫn duy trì các hạn chế theo Region cho các dịch vụ khác, bạn phải bao gồm "unspecified" trong danh sách các Region được phép của mình cụ thể cho các hành động của Amazon Bedrock. Với mục đích này, trước tiên hãy loại trừ các cuộc gọi API của Amazon Bedrock khỏi SCP cụ thể theo Region rộng hơn và thêm một câu lệnh riêng cho các hành động của Amazon Bedrock mở rộng danh sách các Region được phép để bao gồm "unspecified".

Ví dụ SCP sau đây minh họa cách tiếp cận này với hai câu lệnh:

{
  "Version": "2012-10-17",
  "Statement": [
    {
      // ⚠️ Bedrock is excluded here to enable separate policy control
      "Sid": "DenyServicesOutsideAllowedRegions",
      "Effect": "Deny",
      "NotAction": [
        "bedrock:*",
        "iam:*",
        "organizations:*",
        "route53:*",
        "cloudfront:*",
        "support:*",
        "[Truncated]",
        "account:*"
      ],
      "Resource": "*",
      "Condition": {
        "StringNotEquals": {
          "aws:RequestedRegion": [
            "ap-southeast-2",
            "us-east-1",
            "us-west-2"
          ]
        }
      }
    },
    {
    // ⚠️ Add this statement to enable Global CRIS
      "Sid": "DenyBedrockOutsideAllowedRegions",
      "Effect": "Deny",
      "Action": "bedrock:*",
      "Resource": "*",
      "Condition": {
        "StringNotEquals": {
          "aws:RequestedRegion": [
            "ap-southeast-2",
            "us-east-1",
            "us-west-2",
            "unspecified"
          ]
        }
      }
    }
  ]
}

Câu lệnh đầu tiên từ chối tất cả các dịch vụ AWS bên ngoài ba Region được phê duyệt (ap-southeast-2, us-east-1, us-west-2), ngoại trừ Amazon Bedrock (được chỉ định trong danh sách NotAction). Việc loại trừ này có nghĩa là Amazon Bedrock không phải tuân theo các hạn chế theo Region tương tự như các dịch vụ khác, cho phép nó được quản lý bởi câu lệnh chính sách chuyên dụng của riêng nó.

Câu lệnh thứ hai xử lý cụ thể Amazon Bedrock, cho phép nó hoạt động trong ba Region được phê duyệt cộng với "unspecified" cho chức năng Global CRIS.

Bạn cần cập nhật danh sách các Region được phép để phù hợp với các Region được phê duyệt của tổ chức bạn và xóa các nhận xét nội tuyến (//) trước khi sử dụng chính sách này.

Yêu cầu chính sách IAM cho suy luận đa vùng theo địa lý và toàn cầu

Trong phần này, chúng tôi phác thảo các yêu cầu về IAM policy cho cả suy luận đa vùng theo địa lý và toàn cầu.

Yêu cầu chính sách IAM cho Geographic CRIS

Để cho phép một IAM user hoặc role gọi một hồ sơ suy luận đa vùng theo địa lý, bạn có thể sử dụng chính sách ví dụ sau. Chính sách mẫu này cấp các quyền cần thiết để sử dụng foundation model (FM) Claude Sonnet 4.5 với hồ sơ suy luận đa vùng theo địa lý cho US, trong đó Source Region là US East (N. Virginia) – us-east-1 và các Destination Region trong hồ sơ là US East (N. Virginia) – us-east-1, US East (Ohio) – us-east-2, và US West (Oregon) – us-west-2. Để xem danh sách đầy đủ tất cả các hồ sơ suy luận đa vùng có sẵn, các mô hình được hỗ trợ, Source Region và Destination Region, hãy tham khảo Các Region và mô hình được hỗ trợ cho hồ sơ suy luận trong Hướng dẫn sử dụng Amazon Bedrock.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "GrantGeoCrisInferenceProfileAccess",
            "Effect": "Allow",
            "Action": "bedrock:InvokeModel",
            "Resource": [
                "arn:aws:bedrock:us-east-1:<ACCOUNT_ID>:inference-profile/us.anthropic.claude-sonnet-4-5-20250929-v1:0"
            ]
        },
        {
            "Sid": "GrantGeoCrisModelAccess",
            "Effect": "Allow",
            "Action": "bedrock:InvokeModel",
            "Resource": [
                "arn:aws:bedrock:us-east-1::foundation-model/anthropic.claude-sonnet-4-5-20250929-v1:0",
                "arn:aws:bedrock:us-east-2::foundation-model/anthropic.claude-sonnet-4-5-20250929-v1:0",
                "arn:aws:bedrock:us-west-2::foundation-model/anthropic.claude-sonnet-4-5-20250929-v1:0"
            ],
            "Condition": {
                "StringEquals": {
                    "bedrock:InferenceProfileArn": "arn:aws:bedrock:us-east-1:<ACCOUNT_ID>:inference-profile/us.anthropic.claude-sonnet-4-5-20250929-v1:0"
                }
            }
        }
    ]
}

Câu lệnh đầu tiên cấp quyền truy cập API bedrock:InvokeModel cho suy luận đa vùng theo địa lý đối với các yêu cầu bắt nguồn từ requesting Region (us-east-1). Câu lệnh thứ hai cấp quyền truy cập API bedrock:InvokeModel vào FM trong cả requesting Region và tất cả các Destination Region được liệt kê trong hồ sơ suy luận (us-east-1, us-east-2, và us-west-2).

Bạn cần thay thế chỗ dành sẵn <ACCOUNT_ID> bằng AWS account ID thực của bạn. Xác nhận rằng các mã Region (us-east-1, us-east-2, us-west-2), model identifiers (anthropic.claude-sonnet-4-5-20250929-v1:0), và Amazon Resource Names (ARNs) của hồ sơ suy luận khớp với các yêu cầu triển khai cụ thể của bạn và các mô hình có sẵn trong các Region mục tiêu của bạn.

Yêu cầu chính sách IAM cho Global CRIS

Cả chính sách IAM của Geographic và Global CRIS đều yêu cầu quyền truy cập vào hồ sơ suy luận và foundation models trong Source Region. Tuy nhiên, đối với Global CRIS, bạn sử dụng "aws:RequestedRegion": "unspecified" trong điều kiện để truy cập foundation model của Destination Region, trong khi Geographic CRIS yêu cầu liệt kê rõ ràng tất cả các Destination Region được liệt kê trong hồ sơ suy luận đa vùng theo địa lý.

Để cho phép một IAM user hoặc role gọi một hồ sơ suy luận đa vùng toàn cầu, bạn có thể sử dụng chính sách ví dụ sau. Chính sách mẫu này cấp các quyền cần thiết để sử dụng FM Claude Sonnet 4.5 với hồ sơ suy luận đa vùng toàn cầu, trong đó Source Region là us-east-1.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "GrantGlobalCrisInferenceProfileRegionAccess",
            "Effect": "Allow",
            "Action": "bedrock:InvokeModel",
            "Resource": [
                "arn:aws:bedrock:us-east-1:<ACCOUNT_ID>:inference-profile/global.anthropic.claude-sonnet-4-5-20250929-v1:0"
            ]
        },
        {
            "Sid": "GrantGlobalCrisInferenceProfileInRegionModelAccess",
            "Effect": "Allow",
            "Action": "bedrock:InvokeModel",
            "Resource": [
                "arn:aws:bedrock:us-east-1::foundation-model/anthropic.claude-sonnet-4-5-20250929-v1:0"
            ],
            "Condition": {
                "StringEquals": {
                    "bedrock:InferenceProfileArn": "arn:aws:bedrock:us-east-1:<ACCOUNT_ID>:inference-profile/global.anthropic.claude-sonnet-4-5-20250929-v1:0"
                }
            }
        },
        {
            "Sid": "GrantGlobalCrisInferenceProfileGlobalModelAccess",
            "Effect": "Allow",
            "Action": "bedrock:InvokeModel",
            "Resource": [
                "arn:aws:bedrock:::foundation-model/anthropic.claude-sonnet-4-5-20250929-v1:0"
            ],
            "Condition": {
                "StringEquals": {
                    "aws:RequestedRegion": "unspecified",
                    "bedrock:InferenceProfileArn": "arn:aws:bedrock:us-east-1:<ACCOUNT_ID>:inference-profile/global.anthropic.claude-sonnet-4-5-20250929-v1:0"
                }
            }
        }
    ]
}

Trong chính sách này, câu lệnh đầu tiên cấp quyền gọi tài nguyên hồ sơ suy luận đa vùng toàn cầu trong Source Region us-east-1. Hồ sơ này sử dụng tiền tố global để chỉ định định tuyến đa vùng. Câu lệnh thứ hai cho phép gọi global foundation model trong Region us-east-1 nhưng chỉ khi cuộc gọi được thực hiện thông qua hồ sơ suy luận toàn cầu được chỉ định. Câu lệnh thứ ba cho phép gọi global foundation model trong bất kỳ AWS commercial Region được hỗ trợ nào bằng cách sử dụng mẫu ARN không có Region cụ thể "arn:aws:bedrock:::foundation-model/anthropic.claude-sonnet-4-5-20250929-v1:0". Để hạn chế quyền truy cập vào Global cross-Region inference, bạn có thể sử dụng điều kiện "aws:RequestedRegion": "unspecified", hỗ trợ định tuyến Region động trong các yêu cầu Global cross-Region inference. Ngoài ra, để xác nhận rằng quyền chỉ áp dụng cho một hồ sơ Global cross-Region inference cụ thể, bạn có thể sử dụng điều kiện bedrock:InferenceProfileArn với giá trị của ARN hồ sơ Global cross-Region inference. Để biết giải thích chi tiết hơn về IAM policy, hãy tham khảo Mở khóa khả năng mở rộng suy luận AI toàn cầu bằng cách sử dụng suy luận đa vùng toàn cầu mới trên Amazon Bedrock với Claude Sonnet 4.5 của Anthropic.

Bạn cần thay thế <ACCOUNT_ID> bằng AWS account ID thực của bạn. Xác nhận model identifier (anthropic.claude-sonnet-4-5-20250929-v1:0) và ARN hồ sơ suy luận khớp với các yêu cầu cụ thể của bạn và các mô hình có sẵn cho Global cross-Region inference.

Vô hiệu hóa suy luận đa vùng

Các tổ chức có yêu cầu về data residency hoặc compliance nên đánh giá xem Global cross-Region inference hoặc Geographic cross-Region inference có phù hợp với khuôn khổ compliance của họ hay không vì các yêu cầu có thể được xử lý ở các AWS Regions được hỗ trợ khác ngoài primary operating Region của họ. Đối với các tổ chức cần vô hiệu hóa Geographic hoặc Global cross-Region inference, bạn có thể chọn từ các cách tiếp cận sau.

Hạn chế suy luận đa vùng theo địa lý

Triển khai một deny SCP để hạn chế quyền truy cập cho tất cả các IAM user và role trong các AWS account trong một AWS organization nhắm mục tiêu các hồ sơ Geographic cross-Region inference cụ thể. Phương pháp này cung cấp kiểm soát trên toàn tổ chức và chặn các hồ sơ Geographic cross-Region inference cụ thể trên tất cả các tài khoản trong organizational unit, ngay cả khi các IAM allow policies riêng lẻ được thêm vào sau này.

Ví dụ SCP sau đây từ chối rõ ràng tất cả các lệnh gọi hồ sơ suy luận của Amazon Bedrock sử dụng các hồ sơ địa lý không phải US. Chính sách sử dụng điều kiện Null được đặt thành “false” để đảm bảo nó chỉ áp dụng khi một hồ sơ suy luận đang được sử dụng, và điều kiện ArnNotLike trên khóa bedrock:InferenceProfileArn chặn tất cả các hồ sơ đa vùng ngoại trừ những hồ sơ có tiền tố US (us.*). Cả hai điều kiện phải đúng để việc từ chối được áp dụng — nghĩa là chính sách chỉ chặn các yêu cầu đang sử dụng hồ sơ suy luận VÀ hồ sơ đó không phải là hồ sơ địa lý của US.

{ 
  "Version": "2012-10-17", 
  "Statement": [ 
    { 
      "Sid": "DenyNonUSGeographicCRIS", 
      "Effect": "Deny", 
      "Action": "bedrock:*", 
      "Resource": "*", 
      "Condition": { 
        "Null": { 
          "bedrock:InferenceProfileArn": "false" 
        }, 
        "ArnNotLike": { 
          "bedrock:InferenceProfileArn": [ 
            "arn:aws:bedrock:*:*:inference-profile/us.*" 
          ] 
        } 
      } 
    } 
  ] 
}

Để hạn chế Geographic cross-Region inference cho các IAM role hoặc user cụ thể, hãy ngăn chặn việc gán các IAM policies có quyền Geographic cross-Region inference cho các IAM user hoặc role cụ thể.

Vô hiệu hóa suy luận đa vùng toàn cầu

Triển khai một deny SCP để hạn chế quyền truy cập cho tất cả các IAM user và role trong các AWS account trong một AWS organization nhắm mục tiêu các hồ sơ Global cross-Region inference. Phương pháp này cung cấp kiểm soát trên toàn tổ chức và chặn chức năng Global cross-Region inference trên tất cả các tài khoản trong organizational unit, ngay cả khi các IAM allow policies riêng lẻ được thêm vào sau này. Ví dụ SCP sau đây từ chối rõ ràng Global cross-Region inference với "aws:RequestedRegion": "unspecified" và điều kiện ArnLike nhắm mục tiêu các hồ sơ suy luận có tiền tố global trong ARN.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Deny",
            "Action": "bedrock:*",
            "Resource": "*",
            "Condition": {
                "StringLike": {
                    "aws:RequestedRegion": [
                        "unspecified"
                    ]
                },
                "ArnLike": {
                    "bedrock:InferenceProfileArn": "arn:aws:bedrock:*:*:inference-profile/global.*"
                }
            }
        }
    ]
}

Để hạn chế Global cross-Region inference cho các IAM role hoặc user cụ thể, hãy ngăn chặn việc gán các IAM policies có quyền Global cross-Region inference cho các IAM user hoặc role cụ thể.

Kiểm tra và giám sát

Tất cả các cuộc gọi đa vùng đều được ghi lại trong Source Region. Các mục nhập AWS CloudTrail bao gồm một trường additionalEventData bổ sung để theo dõi. Sau đây là một nhật ký CloudTrail mẫu cho API InvokeModel sử dụng Global cross-Region inference, trong đó requesting Region là ap-southeast-2 và inference Region là ap-southeast-4.

{
    "eventVersion": "1.11",
    [... Truncated ]
    "eventTime": "2025-10-02T01:55:04Z",
    "eventSource": "bedrock.amazonaws.com",
    "eventName": "InvokeModel",
    "awsRegion": "ap-southeast-2",
    [... Truncated ]
    "requestParameters": {
        "modelId": "global.anthropic.claude-sonnet-4-5-20250929-v1:0"
    },
    "responseElements": null,
    "additionalEventData": {
        "inferenceRegion": "ap-southeast-4"
    } [... Truncated ]

Triển khai nâng cao với AWS Control Tower

Nếu bạn sử dụng AWS Control Tower, bạn cần cập nhật SCP của mình để kiểm soát suy luận đa vùng trong tổ chức của bạn.

Quan trọng: Việc chỉnh sửa thủ công các SCP do AWS Control Tower quản lý bị nghiêm cấm vì nó có thể gây ra “drift.” Thay vào đó, bạn nên sử dụng các cơ chế do AWS Control Tower cung cấp để quản lý các ngoại lệ này.

Bật hoặc tắt suy luận đa vùng theo địa lý

Để bật hoặc tắt Geographic cross-Region inference, hãy tham khảo Bật suy luận đa vùng của Amazon Bedrock trong môi trường đa tài khoản.

Cách vô hiệu hóa suy luận đa vùng toàn cầu

Để vô hiệu hóa dịch vụ Global cross-Region inference ở cấp tổ chức, bạn cần sửa đổi các SCP được tạo tự động bởi AWS Control Tower. Sử dụng Customizations for AWS Control Tower (CfCT) để từ chối các hành động của Amazon Bedrock đối với các Region có tên không xác định, như trong ví dụ sau.

{
      "Effect": "Deny",
      "Action": "bedrock:*",
      "Resource": "*",
      "Condition": {
        "StringLike": {
          "aws:RequestedRegion": [
            "unspecified"
          ]
        },
        "ArnLike": {
          "bedrock:InferenceProfileArn": "arn:aws:bedrock:*:*:inference-profile/global.*"
        }
      }
}

Cách bật suy luận đa vùng toàn cầu

Để bật Global cross-Region inference bằng AWS Control Tower, bạn cần sửa đổi các SCP được tạo tự động bởi AWS Control Tower. Sử dụng CfCT cho việc sửa đổi này vì AWS Control Tower không hỗ trợ vốn có việc bật Region có tên "unspecified".

Sau đây là một ví dụ về SCP đã được sửa đổi để thêm "unspecified" nhằm cho phép Global cross-Region inference:

{
  "Version": "2012-10-17",
  "Statement": [
    {
	      "Condition": {
        "StringNotEquals": {
          "aws:RequestedRegion": [
            "ap-northeast-1",
            "ap-south-1",
            "ap-southeast-1",
            "ap-southeast-2",
            "us-east-1",
            "us-east-2",
            "us-west-2",
            "unspecified"
          ]
        },
        "ArnNotLike": {
          "aws:PrincipalARN": [
            "arn:*:iam::*:role/AWSControlTowerExecution"
          ]
        }
      },
      "Resource": "*",
      "Effect": "Deny",
      "NotAction": [
        "a4b:*",
        "access-analyzer:*",
        "account:*",
        "acm:*",
        [Truncated]
        "waf-regional:*",
        "waf:*",
        "wafv2:*"
      ],
      "Sid": "GRREGIONDENY"
    }
  ]
}

Kích hoạt AWS Regions

Amazon Bedrock sử dụng các hồ sơ suy luận để định tuyến các yêu cầu gọi mô hình trên tất cả các Region được liệt kê trong hồ sơ, cho dù các Region đó được bật theo mặc định hay yêu cầu chọn tham gia thủ công trong AWS account của bạn. Bạn không cần phải chọn tham gia thủ công vào các Region. Cách tiếp cận này giảm độ phức tạp trong vận hành bằng cách loại bỏ nhu cầu bật nhiều Region riêng lẻ và quản lý các kiểm soát bảo mật riêng biệt cho từng Region. Ví dụ: nếu bạn sử dụng suy luận đa vùng cụ thể theo địa lý cho hồ sơ Australia với Claude Sonnet 4.5 từ Source Region Sydney, các yêu cầu của bạn sẽ được định tuyến đến cả Sydney và Melbourne. Tương tự, với Global cross-Region inference, các yêu cầu có thể được định tuyến đến bất kỳ AWS commercial Regions được hỗ trợ nào, bao gồm cả những AWS commercial Regions chưa được chọn tham gia trong AWS account của bạn.

Có hai loại AWS commercial Regions. Có các Region được bật theo mặc định cho các AWS account (chẳng hạn như N. Virginia, Ireland, và Sydney), và có các Region yêu cầu chọn tham gia thủ công trước khi sử dụng (chẳng hạn như Melbourne, UAE, và Hyderabad). Các Region được bật thủ công này là các Region mới hơn, được giới thiệu sau ngày 20 tháng 3 năm 2019. Để biết thêm chi tiết, hãy tham khảo AWS Regions.

Kết luận

Suy luận đa vùng của Amazon Bedrock cung cấp các khả năng mạnh mẽ để xây dựng các ứng dụng generative AI có khả năng mở rộng và phục hồi. Bằng cách hiểu các tương tác cơ bản giữa suy luận đa vùng và các kiểm soát bảo mật, đồng thời triển khai các ngoại lệ có điều kiện chính xác bằng cách sử dụng các công cụ như IAM policies và SCPs, bạn có thể mở khóa tính năng này một cách an toàn trong khi vẫn duy trì security posture của mình. Bằng cách tuân theo các chiến lược và phương pháp hay nhất được nêu trong bài đăng blog này, các nhóm của bạn có thể đổi mới với suy luận đa vùng trong khi governance và compliance posture của bạn vẫn mạnh mẽ.

Tài nguyên bổ sung

Để biết thêm thông tin, hãy tham khảo tài liệu chính thức:

• Tăng thông lượng với suy luận đa vùng
• Bật suy luận đa vùng của Amazon Bedrock trong môi trường đa tài khoản
• Các Region và mô hình được hỗ trợ cho hồ sơ suy luận
• Amazon Bedrock hiện hỗ trợ suy luận đa vùng toàn cầu cho Anthropic Claude Sonnet 4

Về tác giả

Zohreh Norouzi là Kiến trúc sư Giải pháp Bảo mật tại Amazon Web Services. Cô giúp khách hàng đưa ra các lựa chọn bảo mật tốt và đẩy nhanh hành trình của họ lên AWS Cloud. Cô đã tích cực tham gia vào các sáng kiến bảo mật generative AI trên APJ, sử dụng chuyên môn của mình để giúp khách hàng xây dựng các giải pháp generative AI an toàn ở quy mô lớn.

Satveer Khurpa là Kiến trúc sư Giải pháp Chuyên gia cấp cao, Amazon Bedrock tại Amazon Web Services. Trong vai trò này, anh sử dụng chuyên môn của mình về kiến trúc dựa trên đám mây để phát triển các giải pháp generative AI sáng tạo cho khách hàng trong các ngành công nghiệp đa dạng. Sự hiểu biết sâu sắc của Satveer về các công nghệ generative AI cho phép anh thiết kế các ứng dụng có khả năng mở rộng, an toàn và có trách nhiệm, mở ra các cơ hội kinh doanh mới và mang lại giá trị hữu hình.

Melanie Li, Tiến sĩ, là Kiến trúc sư Giải pháp Chuyên gia Generative AI cấp cao tại AWS có trụ sở tại Sydney, Australia, nơi cô tập trung vào việc hợp tác với khách hàng để xây dựng các giải pháp sử dụng các công cụ AI/ML tiên tiến. Cô đã tích cực tham gia vào nhiều sáng kiến generative AI trên APJ, khai thác sức mạnh của LLMs. Trước khi gia nhập AWS, Tiến sĩ Li đã đảm nhiệm các vai trò khoa học dữ liệu trong ngành tài chính và bán lẻ.

Saurabh Trikande là Giám đốc Sản phẩm cấp cao cho Amazon Bedrock và Amazon SageMaker Inference. Anh đam mê làm việc với khách hàng và đối tác, được thúc đẩy bởi mục tiêu dân chủ hóa AI. Anh tập trung vào các thách thức cốt lõi liên quan đến việc triển khai các ứng dụng AI phức tạp, suy luận với các mô hình đa người thuê, tối ưu hóa chi phí và làm cho việc triển khai các mô hình generative AI dễ tiếp cận hơn. Trong thời gian rảnh rỗi, Saurabh thích đi bộ đường dài, tìm hiểu về các công nghệ đổi mới, theo dõi TechCrunch và dành thời gian cho gia đình.

Jan Catarata là kỹ sư phần mềm làm việc trên Amazon Bedrock, nơi anh tập trung vào việc thiết kế các hệ thống phân tán mạnh mẽ. Khi không xây dựng các giải pháp AI có khả năng mở rộng, bạn có thể thấy anh ấy đang lên chiến lược cho bước đi tiếp theo với bạn bè và gia đình trong đêm trò chơi.

Harlan Verthein là kỹ sư phần mềm làm việc trên Amazon Bedrock, nơi anh tập trung vào việc cải thiện tính khả dụng và hiệu suất cho khách hàng thông qua suy luận đa vùng. Ngoài công việc, anh thích thử các món ăn mới, chơi bóng đá và xem eSports chuyên nghiệp.