[プレビュー] Bedrock コンソールに近い機能を組織のユーザーへ提供する Amazon Bedrock Studio がプレビューで登場したのでセットアップして使ってみた

いわさです。

今朝のアップデートで Amazon Bedrock Studio というものがプレビューリリースされました。

Amazon Bedrock Studio は、組織ユーザーに Bedrock のプレイグラウンドや、ナレッジベースやエージェントなどのコンポーネントを使って Bedrock アプリケーションのプロトタイプを作成し、評価したり組織内のユーザーへ共有出来るアプリケーションです。

要は、Amazon Bedrock コンソールの一部機能を IAM Identity Center ユーザー向けに、専用の Web アプリケーション（IAM Identity Center アプリケーション）として提供したものです。

アナウンスでは組織内で共同開発を行う際に使えるようなことが紹介されていますが、使ってみた感じだと、これから Bedrock を触りたいというユーザー向けに Bedrock コンソールを開放するのではなく、この Bedrock Studio を通して使ってもらって評価してもらうような感じでも使えそうだなと思いました。PartyRock みたいな感じで。

米国東部 (バージニア北部) と米国西部 (オレゴン) で利用可能です。
本日はオレゴンリージョンで使ってみましたのでその様子を紹介したいと思います。

ワークスペース作成

私は説明書読まずに家電を触りはじめるタイプなので、このワークスペース作成に結構手間取りました。
意外にもこのアプリケーションの実態は Amazon DataZone なのです。なのでワークスペース作成時に Bedrock Studio にロールを与えるのですが、datazone.amazonaws.comを信頼する必要があります。bedrock.amazonaws.comではないので注意しましょう。

以下のドキュメントに従ってセットアップしてください。

Bedrock Studio は該当リージョンの「Bluesky ワークスペース」というメニューから遷移出来ます。
最初 Bedrock Studio のメニューが見当たらずに迷子になりました。

前述のとおり Amazon DataZone の組織アプリケーションとして作成されますので、IAM Identity Center 必須となります。
そしてドキュメントによると IAM Identity Center と Bedrock Studio のリージョンは一致している必要があるそうで、今回はオレゴンリージョンに IAM Identity Center 組織インスタンスを用意しました。

サービスロールとプロビジョニングロールは Bedrock Studio を組織ユーザーが操作する際に、Bedrock Studio が AWS リソースを操作したり CloudFromation スタックをデプロイしたりするので、その権限を与える感じです。
先ほどのドキュメントに最小権限ポリシーが記述されているので、ドキュメントに従っておくのが良いでしょう。

デフォルトモデルを選択します。
事前にモデルアクセスリクエストが承認されている必要があります。
ここで選択するものはデフォルトであり、ワークスペース内でユーザーは好きなモデルを選択出来ますので、まぁ深く考えなくても良いかなという感じです。

IAM ロール周りのトラブル

私はドキュメントを読まずに IAM ロール周りを勘で設定したので結構エラーが発生しました（当たり前）
次のようなエラーが発生した場合はそもそもロールの信頼関係を見直しましょう。

CloudTrail からトラブルシューティングを行った際に DataZone が使われることを知って驚きました。

また、「Sign in with SSO」ボタンを押した際にリダイレクトされてまた Welcome 画面に遷移してしまう場合は、sts:AssumeRole以外に次のアクションsts:TagSessionも許可されていることを確認してください。まぁドキュメントには書いてあるんですけどね。

ユーザー追加

ワークスペース作成後は、アプリケーションへ IAM Identity Center ユーザーを割り当てる必要があります。
次のように No Access 画面が表示される場合は割り当てがされていません。

ワークスペースのユーザー管理タブよりユーザーを追加しましょう。
DataZone コンソールから追加も可能ですが、ドキュメントによると Bedrock Studio コンソールからの操作が推奨されてます。

ワークスペースにアクセスする

IAM Identity Center でサインイン出来ると、ワークスペースの機能を使うことが出来ます。
大きくは Explore と Build の機能があって、右上のボタンで切り替えることが出来ます。
Explore はプレイグラウンドで、Build はアプリケーション作成機能です。

プレイグラウンド

デフォルトはプレイグラウンドが表示されており、すぐに利用が出来ます。
Bedrock コンソールと似たような感じで、モデルを選択したり、プロンプトなど入力して色々試すことが出来ます。

プロジェクト

Build ボタンでプロジェクト作成を開始出来ます。
初回は自動で次のようにデフォルトプロジェクトが作成されました。

プロジェクトを開いてみると、アプリケーションとコンポーネントを管理出来ます。
ひとつのプロジェクトの中で複数のプロジェクトやコンポーネントを作成出来ますね。

アプリケーション

モデル選択、パラメータや作成したコンポーネントを構成してカスタマイズしたアプリケーションを作成出来ます。

また、作成したプロジェクトは組織内のユーザーへ共有することも出来ます。

コンポーネント

コンポーネントは、本日時点ではナレッジベース、ガードレール、関数を作成出来ます。

試しにガードレールを作成してみました。
Bedrock コンソールと似たような感じですね。

作成すると、実際に Bedrock 上にガードレールが作成されています。裏側で Bedrock Studio が CloudFormation をデプロイしていました。
Studio 利用ユーザーは Bedrock を意識せずに利用していますが、Bedrock Studio がうまくコントロールしていますね。

ちなみに、関数の場合であればデプロイ自体は失敗したのですが、CloudFormation で SecretsManager や Lambda がデプロイされていました。

さいごに

本日は Bedrock コンソールに近い機能を組織のユーザーへ提供する Amazon Bedrock Studio がプレビューで登場したのでセットアップして使ってみました。

アナウンスでは、料金は Bedrock Studio を通して使った Bedorck の使用量のみと記載されていましたが、実際には DataZone やあるいは OpenSearch Serverless が使われる場合もあるので当分はデプロイされるリソースを意識しながら使ったほうがいいかもしれないなと思いました。