Connect AWS Bedrock to Netskope AI Gateway as a custom AI provider, route requests through the gateway for unified security, policy enforcement, and monitoring.
Modèles pris en charge
AI Gateway prend en charge les modèles Amazon Bedrock en fonction du schéma de requête, et non de versions de modèle spécifiques. Si un modèle utilise un schéma pris en charge, AI Gateway inspecte son trafic. Cela inclut les nouveaux modèles publiés. Il n’est pas nécessaire d’attendre une mise à jour de Netskope.
AI Gateway prend en charge ces schémas pour Bedrock :
- AWS Bedrock: Modèles Anthropic Claude et OpenAI accessibles via le point de terminaison Bedrock Runtime.
- Claude: modèles Anthropic auxquels vous accédez via le point de terminaison Bedrock Mantle.
- OpenAI (Compatible): Modèles OpenAI et compatibles OpenAI accessibles via le point de terminaison de Mantle de Bedrock.
Pour la liste actuelle des modèles proposés par Amazon Bedrock, voir Modèles de base pris en charge dans Amazon Bedrock. Les modèles d’autres fournisseurs, tels que Meta, Mistral et Amazon Titan, bénéficient d’une prise en charge limitée via le mode de contournement.
Conditions préalables
- Netskope AI Gateway 1.6 et supérieur requise pour l’extrémité Bedrock Mantle
- Compte AWS actif avec le service Bedrock activé
- AWS credentials (API key)
- Les modèles Bedrock activés dans votre compte AWS
- Région cible pour l’API du substratum rocheux (par exemple, us-est-1, eu-ouest-1)
AWS Bedrock Provider Types and Schema Compatibility
AI Gateway prend en charge deux types de fournisseurs AWS Bedrock — bedrock-runtime et bedrock-mantle — chacun nécessitant un schéma IA différent. Vous devez faire correspondre le type de fournisseur au schéma correct lors de la configuration de votre fournisseur personnalisé. Des configurations décalées font que le trafic est étiqueté comme « Autre », ce qui entraîne des inspections DLP (Prévention des pertes de données) et des garde-fous contournées.
Le tableau ci-dessous détaille les types de fournisseurs disponibles et leur compatibilité.
| Type de prestataire | AI Schema | Auto-Detection | Modèles pris en charge |
|---|---|---|---|
| bedrock-runtime | AWS Bedrock | Détecte automatiquement le modèle par ID à partir de l’URL (prend en charge OpenAI et Claude) | Format Anthropic Claude ou OpenAI |
| bedrock-mantle | Claude (pour les modèles anthropiques) ou OpenAI (compatible) | Doit être défini manuellement en fonction du modèle sous-jacent | Modèles anthropics Claude et compatibles OpenAI |
| /converse API | Non pris en charge | Sans objet | Utilisez /invoke ou /invoke-with-response-stream à la place |
Pour le point de terminaison Bedrock Runtime , réglez le schéma IA à AWS Bedrock. Pour le point de terminaison Bedrock Mantle , spécifiez le schéma IA en fonction du modèle sous-jacent :
- Si le point de terminaison accède à un modèle Anthropic , sélectionnez Claude comme schéma IA.
- Si le point d’accès accède à un modèle OpenAI ou OpenAI-compatible , sélectionnez OpenAI (Compatible) comme schéma IA.
Voir Request URL Format (Bedrock Mantle) ci-dessous pour des requêtes par exemple utilisant chaque schéma.
Choisissez le terminal correspondant à votre modèle
AI Gateway suit les points de terminaison qu’Amazon Bedrock prend en charge pour votre modèle. Configurez le fournisseur avec le schéma et l’hôte qui correspondent au point de terminaison Bedrock que vous appelez.
| Type de prestataire | AI Schema | Endpoint |
|---|---|---|
| bedrock-runtime | AWS Bedrock | /model/{model-id}/invoke and /model/{model-id}/invoke-with-response-stream |
| bedrock-mantle | OpenAI (compatible) | /v1/chat/completions |
| bedrock-mantle | Claude | /anthropic/v1/messages |
Ajoutez AWS Bedrock comme fournisseur personnalisé
-
Connectez-vous à l'interface utilisateur de votre locataire Netskope.
-
Allez sur Settings > Security Cloud Platform > AI Gateway > AI Providers.
-
Select Add Custom Provider.
-
Saisissez les valeurs suivantes :
- Name: Saisissez un nom. Le nom a toujours cust comme préfixe.
Exemple :cust-bedrock(ou tout préfixe unique comme cust-*) - AI Schema: AWS Bedrock pour le point d’arrivée
bedrock-runtime
Claude ou OpenAI (compatible) pour le point debedrock-mantleterminaison, selon le modèle sous-jacent (voir le tableau de compatibilité des schémas ci-dessus) - Host: Nom de domaine utilisé pour accéder à AWS Bedrock.
- Bedrock Runtime : bedrock-runtime.{region}.amazonaws.com — par exemple, https://bedrock-runtime.us-east-1.amazonaws.com
- Bedrock Mantle : bedrock-mantle.{region}.api.aws — par exemple, https://bedrock-mantle.us-east-1.api.aws
- Protocol & Port: HTTPS 443
Numéro de port HTTPS sur lequel le fournisseur IA reçoit le trafic. - Certificat : System
- Name: Saisissez un nom. Le nom a toujours cust comme préfixe.
-
Cliquez sur Save.
Configurer l’authentification
AWS Bedrock exige une authentification à chaque requête. Cela s’applique aussi bien aux types de points d’arrivée roche-socle que pour les extrémités roche-manteau. Actuellement, la passerelle prend en charge les identifiants statiques utilisant un jeton porteur de type clé API dans l’en-tête Authorization.
Authorization: Bearer {bedrock-api-key}
Format URL de demande (Bedrock Mantle)
Les requêtes Bedrock Mantle utilisent la même méthode d’authentification que Bedrock Runtime (voir Configure Authentication ci-dessus), mais suivent une structure URL différente selon le schéma IA sélectionné pour le fournisseur.
Pour les fournisseurs utilisant le schéma OpenAI (compatible) :
https://{gateway}/v1/{provider-name}/v1/chat/completions
Pour les fournisseurs utilisant le schéma Claude :
https://{gateway}/v1/{provider-name}/anthropic/v1/messages
Remplacement du schéma
L’en-tête x-ns-aig-schema ne prend en charge que le point d’extrémité bedrock-mantle . Utilisez-le pour forcer la passerelle à traiter une demande de manteau de substrat avec un schéma spécifique.
x-ns-aig-schema: claude x-ns-aig-schema: openai
- À utiliser uniquement avec bedrock-mantle lorsque le modèle utilise un schéma compatible Claude ou OpenAI.
- Utile pour tester des modèles Bedrock Mantle compatibles avec un autre schéma.
- Outrepasse la sélection manuelle du schéma pour les modèles spécialisés ou personnalisés de Bedrock Mantle.
Limitations connues (durée de fonctionnement du substratum)
- Points de terminaison pris en charge : Seules
/invoke (InvokeModel) and /invoke-with-response-stream (InvokeModelWithResponseStream)sont prises en charge. L’API/conversen’est pas prise en charge — utilisez-/invokeà la place. - Mode contournement : Pour les fournisseurs/modèles non pris en charge sur AWS Bedrock, la passerelle peut transférer les requêtes sans inspection de contenu.
- Format URL: Les requêtes doivent utiliser la structure /model/{model-id}/invoke.
- Disponibilité des modèles : Les modèles doivent être activés dans la console AWS Bedrock pour votre compte et votre région.