Aller au contenu principal
Dernière mise à jour le

Tutoriel : Intégrer Amazon Bedrock Mantle à Unity Gateway

Dans ce tutoriel, vous connectez Amazon Bedrock Powered by AWS Mantle (Bedrock Mantle) à Unity Gateway afin que votre équipe puisse utiliser ses modèles. Mantle est le moteur d'Amazon Bedrock pour exécuter des demandes de modèle. Vous configurez l'authentification, choisissez qui y a accès et envoyez une demande de test dans votre navigateur.

Ce tutoriel s’authentifie avec un rôle AWS par le biais d’une information d’identification de service Unity Catalog. Pour d’autres fournisseurs et options d’authentification, consultez Créer et gérer des fournisseurs.

Exigences​

Vous avez besoin de :

  • Un workspace Databricks activé pour Unity Catalog, avec accès à Unity Gateway et Unity Catalog.
  • Un catalogue et un schéma approuvés dans Unity Catalog, avec USE CATALOG sur le catalogue et USE SCHEMA et CREATE SERVICE sur le schéma. Si nécessaire, demandez à votre administrateur de créer un catalogue ou de créer un schéma.
  • Pour créer une information d'identification à l'étape 3, le privilège CREATE SERVICE CREDENTIAL sur le metastore, ou un administrateur qui effectue cette étape pour vous.
  • Pour configurer le rôle AWS aux étapes 2 et 3, l’autorisation de créer un rôle AWS Identity and Access Management (IAM), de joindre des politiques et de mettre à jour sa politique de confiance, ou un administrateur AWS qui effectue ces tâches.
  • Accès à Claude Haiku 4.5 sur l'endpoint Bedrock Mantle dans la région AWS de votre workspace. Respectez les prérequis Amazon Bedrock du modèle.
  • Un groupe de comptes Databricks devant recevoir l’accès au fournisseur.

Ce tutoriel utilise bedrock_mantle pour le fournisseur et bedrock_mantle_credential pour l’information d’identification de service. Utilisez les noms approuvés de votre organisation. Remplacez <catalog>, <schema> et <team-group> par votre catalogue, votre schéma et votre groupe de comptes. Remplacez <provider-owner> par l’adresse e-mail ou l’identifiant d’application de l’utilisateur ou du Service Principal qui enregistre et possède le fournisseur.

Si vous avez déjà un identifiant de service pour Mantle, demandez à son propriétaire de vérifier les exigences liées aux identifiants de service. Terminez l’étape 1, puis continuez à l’étape 4 en utilisant cet identifiant.

Étape 1 : Choisissez le modèle d'exemple et la région​

Utilisez ces paramètres avec l’ Anthropic Messages API:

Paramètre

Exemple de valeur

Région AWS

us-east-1 (États-Unis, côte Est, Virginie septentrionale)

Modèle

Claude Haiku 4,5

ID du modèle Mantle

anthropic.claude-haiku-4-5

API

Messages Anthropic

Paramètre

Exemple de valeur

Région AWS

us-east-1 (États-Unis, côte Est, Virginie septentrionale)

Modèle

Claude Haiku 4,5

ID du modèle Mantle

anthropic.claude-haiku-4-5

API

Messages Anthropic

L'exemple utilise us-east-1. Utilisez la région AWS de votre workspace à la fois pour la stratégie IAM et le fournisseur. Pour une région ou un modèle différent, consultez les Endpoint d'Amazon Bedrock et choisissez un modèle Mantle qui prend en charge les messages Anthropic. Vous vérifiez l'accès au modèle en envoyant la requête à l'étape 6.

Étape 2 : Créez un rôle IAM AWS​

Votre administrateur AWS effectue cette étape à moins que vous ne disposiez des autorisations IAM requises.

  1. Suivez les instructions de la section Créer un rôle IAM pour créer un rôle dédié avec une politique d’approbation temporaire. Utilisez la politique d’autorisations ci-dessous à la place des exemples AWS Glue ou Secrets Manager.

  2. Enregistrez l’Amazon Resource Name (ARN) du rôle.

  3. Créez une politique d'autorisations IAM à partir de ce JSON. Remplacez <aws-region>, <aws-account-id> et <iam-role-name> par vos valeurs. Incluez tout chemin de rôle dans <iam-role-name>.

    JSON
    {
      "Version": "2012-10-17",
      "Statement": [
        {
          "Sid": "InvokeBedrockMantle",
          "Effect": "Allow",
          "Action": "bedrock-mantle:CreateInference",
          "Resource": "arn:aws:bedrock-mantle:<aws-region>:<aws-account-id>:project/*"
        },
        {
          "Sid": "AssumeThisRole",
          "Effect": "Allow",
          "Action": "sts:AssumeRole",
          "Resource": "arn:aws:iam::<aws-account-id>:role/<iam-role-name>"
        }
      ]
    }

    Demandez à votre administrateur AWS de restreindre la politique aux projets et modèles approuvés de votre organisation. Voir les autorisations IAM de Bedrock Mantle.

  4. Attachez la politique au rôle IAM.

Étape 3 : Créer et valider un identifiant de service​

Si un administrateur crée les informations d'identification pour vous, demandez-lui de remplir les trois sections ci-dessous avant de passer à l'étape 4.

Créer l’identifiant​

  1. Accédez à Catalogue > Connecter > Identifiants .
  2. Cliquez sur Créer un identifiant et sélectionnez Identifiant de service .
  3. Saisissez bedrock_mantle_credential dans Nom de l'identifiant et l'ARN de rôle de l'étape 2 dans Rôle IAM (ARN) .
  4. Cliquez sur Créer .
  5. Dans les instructions de configuration de rôle, cliquez sur Copier la politique pour copier le JSON de la politique de confiance . Gardez les instructions ouvertes.

Mettre à jour la politique de confiance du rôle​

Votre administrateur AWS remplit cette section.

  1. Dans la console AWS IAM, ouvrez le rôle que vous avez créé à l'étape 2.

  2. Ouvrez Relations de confiance et cliquez sur Modifier la politique de confiance .

  3. Remplacez la politique d’approbation temporaire par le JSON complet copié depuis Databricks, puis cliquez sur Mettre à jour la politique .

    Si vous réutilisez un rôle, suivez Mettre à jour la stratégie de rôle IAM pour préserver les déclarations de confiance requises par d'autres charges de travail.

Valider l’identifiant et accorder l’accès​

Le propriétaire de l’identification du service ou l’administrateur du métastore effectue ces contrôles et octrois :

  1. Retournez dans Catalogue > Connecter > Identifiants et ouvrez bedrock_mantle_credential.

  2. Cliquez sur Valider la configuration . Si les vérifications échouent, comparez la politique d'approbation du rôle avec la politique générée et réessayez avant de continuer.

  3. Si l'identifiant est limité à des Workspace spécifiques, ajoutez votre Workspace à ses liaisons.

  4. Si quelqu’un d’autre enregistre et possède le fournisseur, octroyez-lui ACCESS sur l’identification :

    SQL
    GRANT ACCESS ON SERVICE CREDENTIAL bedrock_mantle_credential
    TO `<provider-owner>`;

Le propriétaire du fournisseur doit conserver ACCESS sur la certification.

Étape 4 : Inscrire le service de fournisseur de modèle​

Unity Gateway enregistre les paramètres de connexion de votre fournisseur en tant que service de fournisseur de modèles dans Unity Catalog.

  1. Dans la barre latérale du workspace, cliquez sur Unity Gateway .
  2. Ouvrez le tab Providers et cliquez sur Provider .
  3. Saisissez bedrock_mantle comme nom et sélectionnez votre catalogue et votre schéma approuvés.
  4. Sélectionnez Amazon Bedrock Mantle comme fournisseur.
  5. Saisissez us-east-1, ou la région du workspace sélectionnée à l'étape 1, dans Région AWS .
  6. Réglez la méthode d’authentification sur Identifiant de service et sélectionnez bedrock_mantle_credential ou votre identifiant existant.
  7. Sous Modèles , décochez Autoriser tout et importer automatiquement les nouveaux modèles .
  8. Sélectionnez anthropic.claude-haiku-4-5, ou le modèle de l'étape 1.
  9. Cliquez sur Créer .

Ouvrez <catalog>.<schema>.bedrock_mantle dans l'Explorateur de catalogues et confirmez son fournisseur et son modèle.

Étape 5 : Accorder l'accès​

  1. Dans le tab Autorisations du service de fournisseur de modèles, cliquez sur Accorder .
  2. Dans Principaux , sélectionnez le groupe de votre compte.
  3. Sous Privilèges , sélectionnez EXÉCUTER .
  4. Cliquez sur Confirmer .
  5. Demandez au propriétaire du catalogue ou du schéma d’accorder au groupe USE CATALOG et USE SCHEMA s’il ne les possède pas déjà.

Un administrateur disposant des autorisations d'octroi peut également exécuter :

SQL
GRANT USE CATALOG ON CATALOG <catalog> TO `<team-group>`;
GRANT USE SCHEMA ON SCHEMA <catalog>.<schema> TO `<team-group>`;
GRANT EXECUTE ON MODEL PROVIDER SERVICE <catalog>.<schema>.bedrock_mantle
TO `<team-group>`;

Ces octrois permettent au groupe de query le fournisseur sans accès à l’identification du service. Voir Découvrir et gouverner l’accès aux fournisseurs de modèles externes (services de fournisseur de modèles).

Étape 6 : Tester le fournisseur dans votre navigateur​

Ce test entraîne des frais d'utilisation d'AWS. Assurez-vous que tout budget Unity Gateway applicable dispose d’une capacité suffisante. Après les tests, vous pouvez nettoyer les ressources du tutoriel.

  1. Dans l'Explorateur de catalogues, ouvrez <catalog>.<schema>.bedrock_mantle.

  2. Dans le Vue d'ensemble tab, sous Effectuez votre première requête , sélectionnez le modèle de l'étape 1. Si un sélecteur d'API apparaît, sélectionnez Messages Anthropic .

  3. Cliquez sur Essayer dans le navigateur .

  4. Remplacez le contenu de la requête par cet objet JSON complet :

    JSON
    {
      "model": "anthropic.claude-haiku-4-5",
      "max_tokens": 256,
      "messages": [
        {
          "role": "user",
          "content": "Say hello in one sentence."
        }
      ]
    }

    Pour changer l’invite, modifiez messages[0].content. Si vous avez choisi un autre modèle, mettez à jour model avec son ID de modèle Mantle.

  5. Cliquez sur Envoyer une demande .

  6. Confirmez que Response inclut un message d'assistant. Le texte de la réponse varie, mais la structure correspond à cet extrait :

    JSON
    {
      "type": "message",
      "role": "assistant",
      "content": [
        {
          "type": "text",
          "text": "Hello! How can I help you today?"
        }
      ]
    }

  7. Demandez à un membre du groupe de répéter le test avec sa propre identité Databricks pour vérifier l'accès.

Si la demande échoue, vérifiez l'élément correspondant :

  • Pour une erreur d'assumption de rôle, vérifiez à nouveau la validation des identifiants et la politique de confiance générée.
  • Pour une erreur d'autorisation Databricks, vérifiez les octrois de catalogue, de schéma et de fournisseur de l'appelant, le ACCESS du propriétaire sur l'information d'identification, et les liaisons de Workspace de l'information d'identification.
  • Pour une erreur AWS « access-denied » (accès refusé), vérifiez la politique IAM pour bedrock-mantle:CreateInference et votre accès au modèle AWS.
  • Pour une erreur de type modèle introuvable ou API non prise en charge, vérifiez l’identifiant de modèle Mantle, la région, le modèle sélectionné et le format de requête.
  • Pour une erreur de bloc de budget, examinez le budget applicable avant de réessayer.

Facultatif : nettoyer​

Si vous avez créé des ressources uniquement pour ce tutoriel, supprimez-les une fois terminé :

  1. Ouvrez le fournisseur dans Unity Gateway ou l'Explorateur de catalogues et sélectionnez Supprimer dans son menu.
  2. Si aucune autre ressource n’utilise l’identifiant de service, supprimez-le.
  3. Demandez à votre administrateur AWS de supprimer le rôle IAM dédié et la politique après avoir vérifié qu’aucune autre charge de travail ne les utilise.
  4. Demandez au propriétaire du catalogue ou du schéma de révoquer uniquement les octrois spécifiques au tutoriel dont le groupe n'a plus besoin. Conservez le catalogue, le schéma et les octrois préexistants approuvés.

Étapes suivantes​

Sur cette page