Die vorliegende Übersetzung wurde maschinell erstellt. Im Falle eines Konflikts oder eines Widerspruchs zwischen dieser übersetzten Fassung und der englischen Fassung (einschließlich infolge von Verzögerungen bei der Übersetzung) ist die englische Fassung maßgeblich.

Beispiele für identitätsbasierte Richtlinien für Amazon Comprehend

Benutzer und Rollen besitzen standardmäßig keine Berechtigungen zum Erstellen oder Ändern von Amazon Comprehend-Ressourcen. Sie können auch keine Aufgaben über die AWS Management Console, die AWS Command Line Interface (AWS CLI) oder die AWS-API ausführen. Ein IAM-Administrator muss IAM-Richtlinien erstellen, die Benutzern die Berechtigung erteilen, Aktionen für die Ressourcen auszuführen, die sie benötigen. Der Administrator kann dann die IAM-Richtlinien zu Rollen hinzufügen, und Benutzer können die Rollen annehmen.

Informationen dazu, wie Sie unter Verwendung dieser beispielhaften JSON-Richtliniendokumente eine identitätsbasierte IAM-Richtlinie erstellen, finden Sie unter Erstellen von IAM-Richtlinien im IAM-Benutzerhandbuch.

Einzelheiten zu Aktionen und Ressourcentypen, die von Amazon Comprehend definiert werden, einschließlich des Formats der ARNs für die einzelnen Ressourcentypen, finden Sie unter Aktionen, Ressourcen und Bedingungsschlüssel für Amazon Comprehend in der Service-Autorisierungs-Referenz.

Bewährte Methoden für Richtlinien

Identitätsbasierte Richtlinien legen fest, ob jemand Amazon Comprehend-Ressourcen in Ihrem Konto erstellen, darauf zugreifen oder sie löschen kann. Dies kann zusätzliche Kosten für Ihr verursachen AWS-Konto. Befolgen Sie beim Erstellen oder Bearbeiten identitätsbasierter Richtlinien die folgenden Anleitungen und Empfehlungen:

Weitere Informationen zu bewährten Methoden in IAM finden Sie unter Bewährte Methoden für die Sicherheit in IAM im IAM-Benutzerhandbuch.

Verwenden der Amazon Comprehend-Konsole

Um auf die Amazon Comprehend-Konsole zugreifen zu können, müssen Sie über einen Mindestsatz von Berechtigungen verfügen. Diese Berechtigungen müssen es Ihnen ermöglichen, Details zu den Amazon Comprehend-Ressourcen in Ihrem aufzulisten und anzuzeigenAWS-Konto. Wenn Sie eine identitätsbasierte Richtlinie erstellen, die strenger ist als die mindestens erforderlichen Berechtigungen, funktioniert die Konsole nicht wie vorgesehen für Entitäten (Benutzer oder Rollen) mit dieser Richtlinie.

Für Benutzer, die nur Aufrufe an die AWS CLI oder AWS-API durchführen, müssen Sie keine Mindestberechtigungen in der Konsole erteilen. Stattdessen sollten Sie nur Zugriff auf die Aktionen zulassen, die der API-Operation entsprechen, die die Benutzer ausführen möchten.

Für Mindestberechtigungen für die Amazon Comprehend-Konsole können Sie die ComprehendReadOnly AWS verwaltete Richtlinie an die Entitäten anfügen. Weitere Informationen finden Sie unter Hinzufügen von Berechtigungen zu einem Benutzer im IAM-Benutzerhandbuch.

Um die Amazon Comprehend-Konsole verwenden zu können, benötigen Sie auch Berechtigungen für die in der folgenden Richtlinie aufgeführten Aktionen:

{
  "Version": "2012-10-17",
  "Statement": [
  {
      "Action": [
          "iam:ListRoles",
          "iam:GetRole",
          "s3:ListAllMyBuckets",
          "s3:ListBucket",
          "s3:GetBucketLocation"
      ],
      "Effect": "Allow",
      "Resource": "*"
  }
  ]
  }

Die Amazon Comprehend-Konsole benötigt diese zusätzlichen Berechtigungen aus folgenden Gründen:

Wenn Sie einen asynchronen Batch-Auftrag oder einen Themenmodellierungsauftrag mit der Konsole erstellen, haben Sie die Möglichkeit, die Konsole eine IAM-Rolle für Ihren Auftrag erstellen zu lassen. Um eine IAM-Rolle zu erstellen, müssen Benutzer die folgenden zusätzlichen Berechtigungen erhalten, um IAM-Rollen und -Richtlinien zu erstellen und Richtlinien an Rollen anzufügen:

{
  "Version": "2012-10-17",
  "Statement":
    [
      {
        "Action":
          [
          "iam:CreateRole",
          "iam:CreatePolicy",
          "iam:AttachRolePolicy"
          ],
        "Effect": "Allow",
        "Resource": "*"
      },
      {
        "Action":
          [
          "iam:PassRole"
          ],
        "Effect": "Allow",
        "Resource": "arn:aws:iam::*:role/*Comprehend*"
      }
    ]
  }

Die Amazon Comprehend-Konsole benötigt diese zusätzlichen Berechtigungen aus folgenden Gründen:

Gewähren der Berechtigung zur Anzeige der eigenen Berechtigungen für Benutzer

In diesem Beispiel wird gezeigt, wie Sie eine Richtlinie erstellen, die IAM-Benutzern die Berechtigung zum Anzeigen der eingebundenen Richtlinien und verwalteten Richtlinien gewährt, die ihrer Benutzeridentität angefügt sind. Diese Richtlinie enthält Berechtigungen für die Ausführung dieser Aktion auf der Konsole oder für die programmgesteuerte Ausführung über die AWS CLI oder die AWS-API.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "ViewOwnUserInfo",
            "Effect": "Allow",
            "Action": [
                "iam:GetUserPolicy",
                "iam:ListGroupsForUser",
                "iam:ListAttachedUserPolicies",
                "iam:ListUserPolicies",
                "iam:GetUser"
            ],
            "Resource": ["arn:aws:iam::*:user/${aws:username}"]
        },
        {
            "Sid": "NavigateInConsole",
            "Effect": "Allow",
            "Action": [
                "iam:GetGroupPolicy",
                "iam:GetPolicyVersion",
                "iam:GetPolicy",
                "iam:ListAttachedGroupPolicies",
                "iam:ListGroupPolicies",
                "iam:ListPolicyVersions",
                "iam:ListPolicies",
                "iam:ListUsers"
            ],
            "Resource": "*"
        }
    ]
}

Erforderliche Berechtigungen zum Ausführen von Dokumentanalyseaktionen

Die folgende Beispielrichtlinie gewährt Berechtigungen zur Verwendung der Amazon Comprehend-Dokumentanalyseaktionen:

{
 "Version": "2012-10-17",
 "Statement": [{
    "Sid": "AllowDetectActions",
    "Effect": "Allow",
    "Action": [
              "comprehend:DetectEntities",
              "comprehend:DetectKeyPhrases",
              "comprehend:DetectDominantLanguage",
              "comprehend:DetectSentiment",
              "comprehend:DetectTargetedSentiment",
              "comprehend:DetectSyntax",
              "textract:DetectDocumentText",
              "textract:AnalyzeDocument"
           ],
    "Resource": "*"
    }
 ]
}
    

Die Richtlinie enthält eine Anweisung, die die Berechtigung zur Verwendung der DetectSyntax Aktionen DetectEntities, DetectKeyPhrases, DetectTargetedSentiment, DetectDominantLanguageDetectSentiment, und gewährt. Die Richtlinienanweisung gewährt auch Berechtigungen zur Verwendung von zwei Amazon Textract-API-Methoden. Amazon Comprehend ruft diese Methoden auf, um Text aus Bilddateien und gescannten PDF-Dokumenten zu extrahieren. Sie können diese Berechtigungen für Benutzer entfernen, die niemals benutzerdefinierte Inferenzen für diese Arten von Eingabedateien ausführen.

Ein Benutzer mit dieser Richtlinie wäre nicht in der Lage, Batch-Aktionen oder asynchrone Aktionen in Ihrem Konto durchzuführen.

Die Richtlinie gibt nicht das Principal-Element an, da in einer identitätsbasierten Richtlinie nicht der Prinzipal angegeben wird, der die Berechtigung erhält. Wenn Sie einem Benutzer eine Richtlinie anfügen, ist der Benutzer automatisch der Prinzipal. Wird die Berechtigungsrichtlinie einer IAM-Rolle angefügt, erhält der in der Vertrauensrichtlinie der Rolle angegebene Prinzipal die Berechtigungen.

Eine Tabelle mit allen Amazon Comprehend-API-Aktionen und den Ressourcen, für die sie gelten, finden Sie unter Aktionen, Ressourcen und Bedingungsschlüssel für Amazon Comprehend in der Service-Autorisierungs-Referenz.

Erforderliche Berechtigungen für die Verwendung der KMS-Verschlüsselung

Um Amazon Key Management Service (KMS) für Daten und Auftragsverschlüsselung in einem asynchronen Auftrag vollständig zu verwenden, müssen Sie Berechtigungen für die in der folgenden Richtlinie aufgeführten Aktionen erteilen:

{
  "Version": "2012-10-17",
  "Statement": [
    {
        "Action": [
            "kms:CreateGrant"
        ],
        "Effect": "Allow",
        "Resource": "*"
    },
    {
        "Action": [
            "kms:Decrypt",
            "kms:GenerateDatakey"
        ],
        "Effect": "Allow",
        "Resource": "*",
        "Condition": {
            "StringEquals": {
                "kms:ViaService": [
                    "s3.region.amazonaws.com"
                ]
            }
        }
    }
  ]
}       

Wenn Sie einen asychronen Auftrag mit Amazon Comprehend erstellen, verwenden Sie Eingabedaten, die auf Amazon S3 gespeichert sind. Mit S3 haben Sie die Möglichkeit, Ihre gespeicherten Daten zu verschlüsseln, die mit S3 und nicht mit Amazon Comprehend verschlüsselt sind. Wir können diese verschlüsselten Eingabedaten entschlüsseln und lesen, wenn Sie die kms:Decrypt Berechtigung für den Schlüssel erteilen, mit dem die ursprünglichen Eingabedaten mit der Datenzugriffsrolle verschlüsselt wurden, die vom Amazon Comprehend-Auftrag verwendet wird.

Sie haben auch die Möglichkeit, vom Kunden verwaltete KMS-Schlüssel (CMK) zum Verschlüsseln der Ausgabeergebnisse auf S3 sowie des Speichervolumens zu verwenden, das während der Auftragsverarbeitung verwendet wird. Wenn Sie dies tun, können Sie denselben KMS-Schlüssel für beide Verschlüsselungstypen verwenden, dies ist jedoch nicht erforderlich. Beim Erstellen des Auftrags sind separate Felder verfügbar, um die Schlüssel für die Ausgabeverschlüsselung und Volume-Verschlüsselung anzugeben, und Sie können sogar einen KMS-Schlüssel aus einem anderen Konto verwenden.

Bei Verwendung der KMS-Verschlüsselung ist die -kms:CreateGrantBerechtigung für die Volume-Verschlüsselung und die -kms:GenerateDataKeyBerechtigung für die Ausgabedatenverschlüsselung erforderlich. Zum Lesen verschlüsselter Eingaben (wie wenn die Eingabedaten bereits mit Amazon S3 verschlüsselt sind) ist eine -kms:DecryptBerechtigung erforderlich. Die IAM-Rolle muss diese Berechtigungen nach Bedarf erteilen. Wenn der Schlüssel jedoch von einem anderen Konto stammt, als derzeit verwendet wird, muss die KMS-Schlüsselrichtlinie für diesen kms-Schlüssel diese Berechtigungen auch der Datenzugriffsrolle für den Auftrag erteilen.

AWS Von verwaltete (vordefinierte) Richtlinien für Amazon Comprehend

Durch die Bereitstellung von eigenständigen IAM-Richtlinien, die von AWS erstellt und verwaltet werden, deckt AWS viele häufige Anwendungsfälle ab. Diese von AWS verwalteten Richtlinien erteilen die erforderlichen Berechtigungen für viele häufige Anwendungsfälle, sodass Sie nicht mühsam ermitteln müssen, welche Berechtigungen erforderlich sind. Weitere Informationen finden Sie unter Von AWS verwaltete Richtlinien im IAM-Benutzerhandbuch.

Die folgenden AWS verwalteten Richtlinien, die Sie Benutzern in Ihrem Konto anfügen können, gelten speziell für Amazon Comprehend :

Sie müssen die folgende zusätzliche Richtlinie auf alle Benutzer anwenden, die Amazon Comprehend verwenden:

{
    "Version": "2012-10-17",
    "Statement":
      [
        {
          "Action":
            [
              "iam:PassRole"
            ],
          "Effect": "Allow",
          "Resource": "arn:aws:iam::*:role/*Comprehend*"
        }
      ]
  }

Sie können die verwalteten Berechtigungsrichtlinien überprüfen, indem Sie sich bei der IAM-Konsole anmelden und dort nach bestimmten Richtlinien suchen.

Diese Richtlinien funktionieren, wenn Sie AWS -SDKs oder die -AWSCLI verwenden.

Sie können auch Ihre eigenen benutzerdefinierten IAM-Richtlinien erstellen, um Berechtigungen für Amazon Comprehend-Aktionen und -Ressourcen zu gewähren. Sie können diese benutzerdefinierten Richtlinien den Benutzern, Gruppen oder Rollen anfügen, die diese Berechtigungen benötigen.

Rollenbasierte Berechtigungen, die für asynchrone Operationen erforderlich sind

Um die asynchronen Operationen von Amazon Comprehend verwenden zu können, müssen Sie Amazon Comprehend Zugriff auf den Amazon S3-Bucket gewähren, der Ihre Dokumentsammlung enthält. Dazu erstellen Sie eine Datenzugriffsrolle in Ihrem Konto mit einer Vertrauensrichtlinie, um dem Amazon Comprehend-Service-Prinzipal zu vertrauen. Weitere Informationen zum Erstellen einer Rolle finden Sie unter Erstellen einer Rolle zum Delegieren von Berechtigungen an einen -AWSService im AWS Benutzerhandbuch für Identity and Access Management.

Im Folgenden sehen Sie ein Beispiel für eine Vertrauensrichtlinie für die Rolle, die Sie erstellen. Um bei der Prävention von verwirrtem Stellvertreter zu helfen, schränken Sie den Umfang der Berechtigung ein, indem Sie einen oder mehrere globale Bedingungskontextschlüssel verwenden. Legen Sie den Wert aws:SourceAccount auf Ihre Konto-ID fest. Wenn Sie die ArnEquals Bedingung verwenden, legen Sie den aws:SourceArn Wert auf den ARN des Auftrags fest. Verwenden Sie einen Platzhalter für die Auftragsnummer im ARN, da Amazon Comprehend diese Nummer im Rahmen der Auftragserstellung generiert.

{
    "Version": "2012-10-17",
    "Statement": [
      {
        "Effect": "Allow",
        "Principal": {
          "Service": "comprehend.amazonaws.com"
        },
        "Action": "sts:AssumeRole",
        "Condition": {
          "StringEquals": {
            "aws:SourceAccount": "111122223333"
          },
          "ArnEquals": {
            "aws:SourceArn": "arn:aws:comprehend:us-west-2:111122223333:pii-entities-detection-job/*"
          }
        }
      }
    ]
 }

Nachdem Sie die Rolle erstellt haben, erstellen Sie eine Zugriffsrichtlinie für diese Rolle. Dadurch sollten die Amazon S3- GetObject und -ListBucketBerechtigungen für den Amazon S3-Bucket, der Ihre Eingabedaten enthält, und die Amazon S3-PutObjectBerechtigung für Ihren Amazon S3-Ausgabedaten-Bucket erteilt werden.

Berechtigungen zum Zulassen aller Amazon Comprehend-Aktionen

Nachdem Sie sich bei registriert habenAWS, erstellen Sie einen Administratorbenutzer zur Verwaltung Ihres -Kontos, einschließlich der Erstellung von Benutzern und der Verwaltung ihrer Berechtigungen.

Sie können einen Benutzer erstellen, der über Berechtigungen für alle Amazon Comprehend-Aktionen verfügt (d. h. für diesen Benutzer als servicespezifischer Administrator), um mit Amazon Comprehend zu arbeiten. Diesem Benutzer können Sie die folgende Berechtigungsrichtlinie zuweisen:

{
  "Version": "2012-10-17",
  "Statement":
    [
      {
        "Sid": "AllowAllComprehendActions",
        "Effect": "Allow",
        "Action":
        [
            "comprehend:*",
            "iam:ListRoles",
            "iam:GetRole",
            "s3:ListAllMyBuckets",
            "s3:ListBucket",
            "s3:GetBucketLocation",
            "iam:CreateRole",
            "iam:CreatePolicy",
            "iam:AttachRolePolicy",
            "kms:CreateGrant",
            "kms:Decrypt",
            "kms:GenerateDatakey"
      ],
      "Resource": "*"
    },
    {
      "Action":
        [
          "iam:PassRole"
        ],
      "Effect": "Allow",
      "Resource": "arn:aws:iam::*:role/*Comprehend*"
    }
  ]
}

Diese Berechtigungen können in Bezug auf die Verschlüsselung wie folgt geändert werden:

Berechtigungen zum Zulassen von Aktionen zur Themenmodellierung

Die folgende Berechtigungsrichtlinie gewährt Benutzern Berechtigungen zum Ausführen der Amazon Comprehend-Themenmodellierungsvorgänge.

{
  "Version": "2012-10-17",
  "Statement": [{
  "Sid": "AllowTopicModelingActions",
  "Effect": "Allow",
  "Action": [
            "comprehend:DescribeTopicsDetectionJob",
            "comprehend:ListTopicsDetectionJobs",
            "comprehend:StartTopicsDetectionJob",
         ],
        "Resource": "*"
        ]
    }
  ]
  }

Erforderliche Berechtigungen für einen benutzerdefinierten asynchronen Analyseauftrag

Wenn Sie die StartEntitiesDetectionJob APIs StartDocumentClassificationJob und verwenden, müssen Sie Ihre IAM-Richtlinie aktualisieren, es sei denn, Sie verwenden derzeit Platzhalter als Ressourcen. Wenn Sie ein StartEntitiesDetectionJob vortrainiertes Modell verwenden, hat dies keine Auswirkungen auf Sie und Sie müssen keine Änderungen vornehmen.

Die folgende Beispielrichtlinie enthält eine veraltete Referenz.

{
    "Action": [
        "comprehend:StartDocumentClassificationJob",
        "comprehend:StartEntitiesDetectionJob",
    ],
    "Resource": [
        "arn:aws:comprehend:us-east-1:123456789012:document-classifier/myClassifier",
        "arn:aws:comprehend:us-east-1:123456789012:entity-recognizer/myRecognizer"
    ],
    "Effect": "Allow"
}

Dies ist die aktualisierte Richtlinie, die Sie verwenden müssen, um StartDocumentClassificationJob und erfolgreich auszuführen StartEntitiesDetectionJob.

{
    "Action": [
        "comprehend:StartDocumentClassificationJob",
        "comprehend:StartEntitiesDetectionJob",
    ],
    "Resource": [
        "arn:aws:comprehend:us-east-1:123456789012:document-classifier/myClassifier",
        "arn:aws:comprehend:us-east-1:123456789012:document-classification-job/*",
        "arn:aws:comprehend:us-east-1:123456789012:entity-recognizer/myRecognizer",
        "arn:aws:comprehend:us-east-1:123456789012:entities-detection-job/*"
    ],
    "Effect": "Allow"
}