View a markdown version of this page

Document-level Zugriffskontrollen - Amazon Bedrock
FunktionsweiseWas wird gecrawltACL Awareness aktivierenReal-time Überprüfung des ZugriffsÜberprüfen Ihrer KonfigurationFehlerbehebung

Die vorliegende Übersetzung wurde maschinell erstellt. Im Falle eines Konflikts oder eines Widerspruchs zwischen dieser übersetzten Fassung und der englischen Fassung (einschließlich infolge von Verzögerungen bei der Übersetzung) ist die englische Fassung maßgeblich.

Document-level Zugriffskontrollen

ACL-Erkennung ist keine Autorisierung

Die Bedrock Managed Knowledge Base bietet ACL-aware Filterung, keine Sicherheitsgrenze. Bedrock Managed Knowledge Base authentifiziert keine Endbenutzer — Ihre Anwendung ist dafür verantwortlich, Benutzer zu authentifizieren und den verifizierten Identitätskontext weiterzugeben. Da Bedrock Managed Knowledge Base die Authentizität des von Ihnen angegebenen Benutzerkontextes nicht überprüfen kann, filtert diese Funktion die Ergebnisse auf der Grundlage der von Ihnen angegebenen Identität, stellt jedoch keine echte Autorisierung dar. Sie dürfen sich nicht auf diese Funktion als alleinigen Zugriffskontrollmechanismus ohne vorgeschaltete Authentifizierung verlassen.

Google Drive-Datenquellen unterstützen optional die Zugriffskontrolle auf Dokumentebene. Wenn diese Option aktiviert ist, synchronisiert Bedrock Managed Knowledge Base bei jedem Crawl die Zugriffskontrolllisten (ACLs) von Google Drive und überprüft die Berechtigungen der einzelnen Nutzer bei der Abfrage, sodass Nutzer nur Ergebnisse aus Dokumenten sehen, auf die sie in Google Drive zugreifen dürfen. Eine Übersicht über die ACL-Erkennung aller Konnektoren finden Sie unter. Aktivierung der Sensibilisierung für Zugriffskontrolllisten

Funktionsweise

Wenn ein Nutzer eine Wissensdatenbank abfragt, die eine ACL-enabled Google Drive-Datenquelle verwendet, erzwingt Bedrock Managed Knowledge Base die Zugriffskontrollen in zwei Schritten:

  • Pre-retrieval Filterung — Bedrock Managed Knowledge Base wendet die Zugriffskontrolllisten an, die beim letzten Crawl mit Google Drive synchronisiert wurden, und gibt nur Kandidatendokumente zurück, auf die der Nutzer (oder seine Gruppen) zugreifen darf.

  • Real-time Überprüfung — Die Bedrock Managed Knowledge Base verifiziert die Kandidatendokumente in Echtzeit, indem sie den aktuellen Zugriff des abfragenden Nutzers auf Google Drive überprüft. In der Antwort sind nur Dokumente enthalten, auf die der Benutzer derzeit zugreifen darf.

Dieser zweistufige Ansatz bietet eine Zugriffskontrolle auf Dokumentebene, die auch dann aktuell bleibt, wenn sich die Google Drive-Berechtigungen zwischen den Synchronisierungen ändern.

Was wird gecrawlt

Wenn ACLs aktiviert sind, crawlt Bedrock Managed Knowledge Base die Freigabeberechtigungen auf Dateiebene von Google Drive, darunter:

  • Direkte Nutzerfreigaben (individuelle Dateiberechtigungen)

  • Mitgliedschaften in Google Groups

  • Mitgliedschaften in geteilten Ablagen

ACL Awareness aktivieren

Um die ACL-Erkennung für eine Google Drive-Datenquelle aclEnabled zu aktivieren, stellen Sie true in den ein connectorParameters und verwenden Sie den SERVICE_ACCOUNT Authentifizierungstyp. Für das Dienstkonto muss die domänenweite Delegierung in Ihrer Google Workspace-Verwaltungskonsole aktiviert sein.

Wichtig

Die ACL-Konfiguration ist permanent. Sie können ACLs nicht für eine Datenquelle aktivieren, die ohne ACL-Unterstützung erstellt wurde, und Sie können ACLs nicht deaktivieren, nachdem sie aktiviert wurden.

Das AWS Secrets Manager Geheimnis muss adminAccountEmailclientEmail, und enthalten. privateKey Eine schrittweise Anleitung zum Erstellen des Dienstkontos, zum Konfigurieren der domänenweiten Delegierung und zum Abrufen dieser Werte finden Sie unter. Richten Sie die Dienstkontoauthentifizierung für Google Drive ein

"connectorParameters": {
    "type": "GOOGLEDRIVE",
    "version": "1",
    "aclEnabled": true,
    "connectionConfiguration": {
        "authType": "SERVICE_ACCOUNT",
        "secretArn": "arn:aws:secretsmanager:region:account-id:secret:secret-name"
    },
    "dataEntityConfiguration": {
        "crawlMyDrive": true,
        "crawlSharedWithMe": false,
        "crawlSharedDrives": false
    }
}
Anmerkung

Der OAUTH2 Authentifizierungstyp wird für ACL-enabled Google Drive-Datenquellen nicht unterstützt. Sie müssen ihn SERVICE_ACCOUNT mit domänenweiter Delegierung verwenden.

Real-time Überprüfung des Zugriffs

Bedrock Managed Knowledge Base verwendet die domänenweite Delegierung des Dienstkontos, um den Zugriff auf Dokumente in Echtzeit anhand der Google Drive-API zu überprüfen und zu bestätigen, dass der anfragende Nutzer weiterhin Zugriff auf jedes Kandidatendokument hat.

Überprüfen Ihrer Konfiguration

Sie können die Konfiguration Ihres Dienstkontos unabhängig von einer Abrufanforderung überprüfen. Führen Sie jede der folgenden Prüfungen durch:

  1. Domain-wide Delegation:

    • Vergewissern Sie sich in der Google Workspace-Admin-Konsole, dass die Client-ID des Dienstkontos für die erforderlichen Bereiche autorisiert ist (schreibgeschützt für Google Drive und directory/group Lesebereiche des Admin SDK).

  2. Drive-Zugriff (Crawling und Überprüfung):

    • Rufen Sie mithilfe des Dienstkontos (clientEmailundprivateKey) unter Imitation der Identität die Google Drive-API aufadminAccountEmail, um die Dateien eines Nutzers aufzulisten und zu bestätigen, dass der Vorgang erfolgreich war.

  3. Auflösung der Gruppe:

    • Rufen Sie die Admin SDK Directory API auf, um die Gruppenmitgliedschaften eines Benutzers aufzulisten und zu bestätigen, dass die erwarteten Gruppen zurückgegeben werden.

Fehlerbehebung

Anmerkung

Fehlkonfigurationen der ACL führen beim Abrufen nicht zu expliziten Fehlern. Beim Abrufen schlägt das Schließen fehl: Die betroffenen Dokumente werden stillschweigend weggelassen, sodass eine Abfrage weniger oder gar keine Ergebnisse als einen Fehler zurückgibt. Verwenden Sie die oben genannten Verifizierungsprüfungen, um diese Probleme zu diagnostizieren.

ACL-enabled Symptome, Ursachen und Problembehebungen bei Google Drive
Symptom Wahrscheinliche Ursache Reparieren
Retrieve gibt 0 Ergebnisse zurück, aber der Nutzer hat Zugriff in Google Drive. Domain-wide Die Delegierung ist nicht konfiguriert oder dem Dienstkonto fehlen die erforderlichen Bereiche, sodass der Zugriff nicht verifiziert werden kann. Autorisieren Sie die Client-ID des Dienstkontos für die erforderlichen Drive- und Admin-SDK-Bereiche in der Google Workspace-Admin-Konsole.
Group-based Der Zugriff wird nicht anerkannt. Der directory/group Admin-SDK-Lesebereich fehlt in der Delegierung. Fügen Sie der domänenweiten Delegation des Dienstkontos den Lesebereich der Admin-SDK-Gruppe hinzu.
Das Crawlen oder Synchronisieren schlägt fehl. clientEmail/privateKeyist ungültig oder adminAccountEmail kein Workspace-Administrator. Überprüfen Sie die Anmeldeinformationen für das Dienstkonto, und das adminAccountEmail ist ein Workspace-Administrator.
Alle Benutzer werden abgelehnt, nachdem sie zuvor gearbeitet haben. Der Schlüssel für das Dienstkonto wurde geändert oder gesperrt. Aktualisieren Sie das privateKey im Geheimen.