Tutorial: Integrar o Amazon Bedrock Mantle ao Unity Gateway

Neste tutorial, você conecta o Amazon Bedrock Powered by AWS Mantle (Bedrock Mantle) ao Unity Gateway para que sua equipe possa usar seus modelos. Mantle é o mecanismo do Amazon Bedrock para executar solicitações de modelo. Você configura a autenticação, escolhe quem tem acesso e envia uma solicitação de teste em seu navegador.

Este tutorial autentica com um role da AWS por meio de uma credencial de serviço do Unity Catalog. Para outros provedores e opções de autenticação, consulte Criar e gerenciar provedores.

Requisitos

Você precisa de:

Um workspace do Databricks habilitado para o Unity Catalog, com acesso ao Unity Gateway e ao Unity Catalog.
Um catálogo e esquema aprovados no Unity Catalog, com USE CATALOG no catálogo e USE SCHEMA e CREATE SERVICE no esquema. Se necessário, peça ao seu administrador para criar um catálogo ou criar um esquema.
Para criar uma credencial no passo 3, o privilégio CREATE SERVICE CREDENTIAL no metastore ou um administrador que conclua esse passo para você.
Para configurar o AWS role nos passos 2 e 3, permissão para criar um AWS Identity and Access Management (IAM) role, anexar políticas e atualizar sua política de confiança, ou um administrador AWS que execute essas tarefas.
Acesso ao Claude Haiku 4.5 no endpoint do Bedrock Mantle na região da AWS do seu workspace. Complete os pré-requisitos do Amazon Bedrock do modelo.
Um grupo Databricks account para receber acesso ao provedor.

Este tutorial usa bedrock_mantle para o provedor e bedrock_mantle_credential para a credencial de serviço. Use os nomes aprovados da sua organização. Substitua <catalog>, <schema> e <team-group> pelo seu catálogo, esquema e grupo account. Substitua <provider-owner> pelo endereço de email ou ID do aplicativo do usuário ou service principal que registra e possui o provedor.

Se você já tiver uma credencial de serviço para o Mantle, peça ao proprietário para verificar os requisitos da credencial de serviço. Complete o passo 1 e continue no o passo 4 usando essa credencial.

O passo 1: Escolha o modelo e a região de exemplo

Use essas configurações com a Anthropic Messages API:

Contexto	Valor de exemplo
Região da AWS	`us-east-1` (Leste dos EUA, Virgínia do Norte)
Modelo	Claude Haiku 4.5
ID do modelo Mantle	`anthropic.claude-haiku-4-5`
API	Mensagens do Anthropic

O exemplo usa us-east-1. Use a região AWS do seu workspace para a política IAM e para o provedor. Para obter uma região ou modelo diferente, verifique Endpoint do Amazon Bedrock e escolha um modelo Mantle que ofereça suporte ao Anthropic Messages. Você verifica o acesso ao modelo enviando a solicitação na etapa 6.

O passo 2: Criar um AWS IAM role

O administrador da AWS conclui o passo, a menos que você tenha as permissões de IAM necessárias.

Siga Criar um IAM role para criar uma função dedicada com uma política de confiança temporária. Use a política de permissões abaixo em vez dos exemplos do AWS Glue ou Secrets Manager.
Registre o ARN (Amazon Resource Name) da função.

Crie uma política de permissões do IAM a partir deste JSON. Substitua <aws-region>, <aws-account-id> e <iam-role-name> pelos seus valores. Inclua qualquer caminho de role em <iam-role-name>.

JSON
{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "InvokeBedrockMantle",
      "Effect": "Allow",
      "Action": "bedrock-mantle:CreateInference",
      "Resource": "arn:aws:bedrock-mantle:<aws-region>:<aws-account-id>:project/*"
    },
    {
      "Sid": "AssumeThisRole",
      "Effect": "Allow",
      "Action": "sts:AssumeRole",
      "Resource": "arn:aws:iam::<aws-account-id>:role/<iam-role-name>"
    }
  ]
}

Peça ao seu administrador da AWS para restringir a política aos projetos e modelos aprovados da sua organização. Consulte Permissões de IAM do Bedrock Mantle.

Anexe a política à IAM role.

O passo 3: criar e validar uma credencial de serviço

Se um administrador criar a credencial para você, peça para ele completar as três seções abaixo antes de continuar para o passo 4.

Criar a credencial

Vá para Catálogo > Conectar > Credenciais .
Clique em Criar credencial e selecione Credencial de serviço .
Insira bedrock_mantle_credential no Nome da credencial e o ARN da função da etapa 2 em IAM role (ARN) .
Clique em Criar .
Nas instruções de configuração de role, clique em Copiar política para copiar o JSON da Política de confiança . Mantenha as instruções abertas.

Atualizar a política de confiança da função

Seu administrador AWS completa esta seção.

No console do AWS IAM, abra a função que você criou na etapa 2.
Abra Relações de confiança e clique em Editar política de confiança .
Substitua a política de confiança temporária pelo JSON completo copiado do Databricks e clique em Atualizar política .

Se você reutilizar uma função, siga Atualizar a política da IAM role para preservar as instruções de confiança que outras cargas de trabalho requerem.

Validar a credencial e conceder acesso

O proprietário da credential de serviço ou o administrador do metastore completa estas verificações e grants:

Retorne para Catálogo > Conectar > Credenciais e abra bedrock_mantle_credential.
Clique em Validar configuração . Se as verificações falharem, compare a política de confiança da função com a política gerada e tente novamente antes de continuar.
Se a credencial estiver restrita a Workspace específicos, adicione seu Workspace aos seus bindings.
Se outra pessoa fizer o registro e possuir o provedor, conceda a ela ACCESS na credential:
SQL
```
GRANT ACCESS ON SERVICE CREDENTIAL bedrock_mantle_credential
TO `<provider-owner>`;
```

O proprietário do provedor deve manter ACCESS na credencial.

O passo 4: registro o serviço de provedor de modelos

O Unity Gateway salva as configurações de conexão do seu provedor como um serviço de provedor de modelo no Unity Catalog.

Na barra lateral do workspace, clique em Unity Gateway .
Abra a tab Provedores e clique em Provedor .
Digite bedrock_mantle como o nome e selecione o catálogo e o esquema aprovados.
Selecione Amazon Bedrock Mantle como o provedor.
Insira us-east-1, ou a região do workspace selecionada no passo 1, em Região AWS .
Defina Auth method como Credencial de serviço e selecione bedrock_mantle_credential ou sua credencial existente.
Em Modelos , limpe Permitir todos e importar automaticamente novos modelos .
Selecione anthropic.claude-haiku-4-5 ou o modelo da etapa 1.
Clique em Criar .

Abra <catalog>.<schema>.bedrock_mantle no Catalog Explorer e confirme seu provedor e modelo.

O passo 5: Conceder acesso

Na tab Permissions do serviço de provedor de modelo, clique em Grant .
Em Principals , selecione o seu account group.
Em Privileges , selecione EXECUTE .
Clique em Confirmar .
Peça ao proprietário do catálogo ou do esquema para conceder ao grupo USE CATALOG e USE SCHEMA, se ele ainda não os tiver.

Um administrador com permissões de concessão também pode executar:

SQL
GRANT USE CATALOG ON CATALOG <catalog> TO `<team-group>`;
GRANT USE SCHEMA ON SCHEMA <catalog>.<schema> TO `<team-group>`;
GRANT EXECUTE ON MODEL PROVIDER SERVICE <catalog>.<schema>.bedrock_mantle
TO `<team-group>`;

Esses grants permitem que o grupo faça query ao provedor sem acesso à credential de serviço. Consulte Descobrir e controlar o acesso a provedores de modelos externos (serviços de provedor de modelos).

O passo 6: Testar o provedor no seu navegador

Este teste incorre em taxas de uso da AWS. Certifique-se de que qualquer orçamento aplicável do Unity Gateway tenha capacidade. Após testar, você pode limpar os recursos do tutorial.

No Catalog Explorer, abra <catalog>.<schema>.bedrock_mantle.
Na tab Visão geral , em Faça sua primeira solicitação , selecione o modelo da etapa 1. Se um seletor de API aparecer, selecione Anthropic Messages .
Clique em Experimentar no navegador .
Substitua o conteúdo de Solicitação por este objeto JSON completo:
JSON
```
{
  "model": "anthropic.claude-haiku-4-5",
  "max_tokens": 256,
  "messages": [
    {
      "role": "user",
      "content": "Say hello in one sentence."
    }
  ]
}
```
Para alterar o prompt, edite messages[0].content. Se você escolheu outro modelo, atualize model com seu ID de modelo Mantle.
Clique em Enviar solicitação .

Confirme se Resposta inclui uma mensagem do assistente. O texto de resposta varia, mas a estrutura corresponde a este trecho:

JSON
{
  "type": "message",
  "role": "assistant",
  "content": [
    {
      "type": "text",
      "text": "Hello! How can I help you today?"
    }
  ]
}

Peça a um membro do grupo para repetir o teste com sua própria identidade Databricks para verificar o acesso.

Se a solicitação falhar, verifique o item correspondente:

Para um erro de assunção de função, verifique novamente a validação de credenciais e a política de confiança gerada.
Para um erro de permissão do Databricks, verifique os grants do catálogo, do esquema e do provedor do chamador, o ACCESS do proprietário na credential e os bindings do workspace da credential.
Para um erro de acesso negado pela AWS, verifique a política IAM para bedrock-mantle:CreateInference e seu acesso ao modelo AWS.
Para um erro de modelo não encontrado ou API não suportada, verifique o ID do modelo Mantle, a região, o modelo selecionado e o formato da solicitação.
Para um erro de bloqueio de orçamento, revise o orçamento aplicável antes de tentar novamente.

Opcional: Limpar

Se você criou recursos apenas para este tutorial, remova-os quando terminar:

Abra o provedor no Unity Gateway ou Catalog Explorer e selecione Excluir em seu menu.
Se nenhum outro recurso usar a credencial de serviço, exclua-a.
Peça ao seu administrador da AWS para remover o IAM role e a política dedicados depois de verificar que nenhuma outra carga de trabalho os usa.
Peça ao proprietário do catálogo ou esquema para revogar apenas as concessões específicas do tutorial que o grupo não precisa mais. Mantenha o catálogo aprovado, o esquema e todas as concessões pré-existentes.

Os passos seguintes

Conecte um aplicativo usando Query provedores de modelos externos (serviços de provedor de modelos).
Conecte agentes de codificação usando Configurações de agente de codificação. Verifique os requisitos de modelo e API do seu cliente.
Inspecione as solicitações com Rastrear uso do modelo e revise o gasto estimado do modelo externo.
Configure limites de taxa e orçamentos antes de expandir o acesso.

Requisitos​

O passo 1: Escolha o modelo e a região de exemplo​

O passo 2: Criar um AWS IAM role​

O passo 3: criar e validar uma credencial de serviço​

Criar a credencial​

Atualizar a política de confiança da função​

Validar a credencial e conceder acesso​

O passo 4: registro o serviço de provedor de modelos​

O passo 5: Conceder acesso​

O passo 6: Testar o provedor no seu navegador​

Opcional: Limpar​

Os passos seguintes​