En producción surgen preguntas como "¿quién preguntó qué para obtener esta respuesta?" o "¿alguna cuenta usa un modelo no aprobado?". AIP-C01 las evalúa en las habilidades 3.3, 4.3 y 1.6.3.
¿Qué registro responde a cada pregunta?
| Quiere saber | Dónde mirar | |--------------|-------------| | Quién llamó a qué API y cuándo | AWS CloudTrail (sin el texto del prompt) | | Qué se preguntó y qué se respondió | Registro de invocación del modelo (desactivado por defecto) | | Latencia, throttling y costo | Métricas de CloudWatch | | Por qué el agente dio un paso | Traza del agente () | | Qué política de seguridad intervino | Traza de Guardrails |
La distinción más evaluada: auditar quién llamó al modelo es CloudTrail; analizar el contenido es el registro de invocación.
!¿Qué registro responde a cada pregunta?
Registro de invocación y CloudTrail
El registro de invocación envía solicitudes, respuestas y conteos de tokens a CloudWatch Logs o S3. Como guarda el texto original (el enmascaramiento de Guardrails no lo cambia), cifre los registros con KMS y use la protección de datos de CloudWatch Logs. En CloudTrail, , e son eventos de datos que hay que activar aparte.
Control a nivel de organización
Las SCP bloquean modelos o regiones no aprobados. La clave de condición rechaza las solicitudes que no usan una guardrail concreta, y desde abril de 2026 las políticas de Bedrock en AWS Organizations aplican una guardrail a todas las cuentas. AWS AppConfig permite cambiar de modelo sin desplegar código.
Puntos clave para el examen
"Auditar quién llamó a la API del modelo" -- AWS CloudTrail "Analizar prompts, respuestas y tokens" -- Registro de invocación del modelo "Ocultar PII en los registros" -- Protección de datos de CloudWatch Logs "Auditar llamadas de recuperación de Knowledge Base" -- Eventos de datos de CloudTrail "Bloquear modelos o regiones no aprobados" -- SCP "Rechazar inferencias sin una guardrail concreta" -- bedrock:GuardrailIdentifier "Aplicar una guardrail a toda la organización" -- Políticas de Bedrock en AWS Organizations "Cambiar de modelo sin desplegar código" -- AWS AppConfig