Amazon Kendra ist nicht mehr offen für neue Kunden. In den Amazon Bedrock Knowledge Bases finden Sie ähnliche Funktionen wie. Amazon KendraWeitere Informationen.

Die vorliegende Übersetzung wurde maschinell erstellt. Im Falle eines Konflikts oder eines Widerspruchs zwischen dieser übersetzten Fassung und der englischen Fassung (einschließlich infolge von Verzögerungen bei der Übersetzung) ist die englische Fassung maßgeblich.

Beispiele für Amazon Identity-based Kendra-Richtlinien

Standardmäßig sind Benutzer und Rollen nicht berechtigt, Amazon Kendra-Ressourcen zu erstellen oder zu ändern. Sie können auch keine Aufgaben mithilfe der AWS-Managementkonsole AWS CLI, oder AWS API ausführen. Ein IAM-Administrator muss IAM-Richtlinien erstellen, die Benutzern und Rollen die Berechtigung zum Ausführen bestimmter API-Operationen für die angegebenen Ressourcen gewähren, die diese benötigen. Der Administrator muss diese Richtlinien anschließend den -Benutzern oder -Gruppen anfügen, die diese Berechtigungen benötigen.

Informationen dazu, wie Sie unter Verwendung dieser beispielhaften JSON-Richtliniendokumente eine identitätsbasierte IAM-Richtlinie erstellen, finden Sie unter Erstellen von Richtlinien auf der JSON-Registerkarte im IAM-Benutzerhandbuch.

Best Practices für Richtlinien

Identity-based Richtlinien legen fest, ob jemand Amazon Kendra-Ressourcen in Ihrem Konto erstellen, darauf zugreifen oder löschen kann. Dies kann zusätzliche Kosten für Ihr verursachen AWS-Konto. Wenn Sie identitätsbasierte Richtlinien erstellen oder bearbeiten, folgen Sie diesen Richtlinien und Empfehlungen:

Weitere Informationen zu bewährten Methoden in IAM finden Sie unter Best Practices für die Sicherheit in IAM im IAM-Benutzerhandbuch.

AWS Verwaltete (vordefinierte) Richtlinien für Amazon Kendra

AWS deckt viele gängige Anwendungsfälle ab, indem eigenständige IAM-Richtlinien bereitgestellt werden, die von erstellt und verwaltet werden. AWS Diese Richtlinien werden als AWS verwaltete Richtlinien bezeichnet. AWS Mit verwalteten Richtlinien können Sie Benutzern, Gruppen und Rollen leichter Berechtigungen zuweisen, als wenn Sie die Richtlinien selbst schreiben müssten. Weitere Informationen finden Sie unter Hinzufügen von Berechtigungen zu einem Benutzer im IAM-Benutzerhandbuch.

Die folgenden AWS verwalteten Richtlinien, die Sie Gruppen und Rollen in Ihrem Konto zuordnen können, gelten nur für Amazon Kendra:

Für die Konsole muss Ihre Rolle außerdem über die s3:ListBucket Berechtigungeniam:CreateRole, iam:CreatePolicyiam:AttachRolePolicy, und verfügen.

Sie können auch Ihre eigenen benutzerdefinierten Richtlinien erstellen, um Berechtigungen für Amazon Kendra-API-Aktionen zuzulassen. Die benutzerdefinierten Richtlinien können Sie dann den IAM-Rollen oder -Gruppen zuweisen, die diese Berechtigungen benötigen. Beispiele für IAM-Richtlinien für Amazon Kendra finden Sie unter. Beispiele für Amazon Identity-based Kendra-Richtlinien

Gewähren der Berechtigung zur Anzeige der eigenen Berechtigungen für Benutzer

In diesem Beispiel wird gezeigt, wie Sie eine Richtlinie erstellen, die IAM-Benutzern die Berechtigung zum Anzeigen der eingebundenen Richtlinien und verwalteten Richtlinien gewährt, die ihrer Benutzeridentität angefügt sind. Diese Richtlinie beinhaltet Berechtigungen zum Ausführen dieser Aktion auf der Konsole oder programmgesteuert mithilfe der OR-API. AWS CLI AWS

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "ViewOwnUserInfo",
            "Effect": "Allow",
            "Action": [
                "iam:GetUserPolicy",
                "iam:ListGroupsForUser",
                "iam:ListAttachedUserPolicies",
                "iam:ListUserPolicies",
                "iam:GetUser"
            ],
            "Resource": ["arn:aws:iam::*:user/${aws:username}"]
        },
        {
            "Sid": "NavigateInConsole",
            "Effect": "Allow",
            "Action": [
                "iam:GetGroupPolicy",
                "iam:GetPolicyVersion",
                "iam:GetPolicy",
                "iam:ListAttachedGroupPolicies",
                "iam:ListGroupPolicies",
                "iam:ListPolicyVersions",
                "iam:ListPolicies",
                "iam:ListUsers"
            ],
            "Resource": "*"
        }
    ]
}

Zugreifen auf einen Amazon Kendra-Index

In diesem Beispiel möchten Sie einem Benutzer in Ihrem AWS Konto Zugriff gewähren, um einen Index abzufragen.

Tag-based Beispiele für Richtlinien

Tag-based Richtlinien sind JSON-Richtliniendokumente, die die Aktionen angeben, die ein Principal an markierten Ressourcen ausführen kann.

Beispiel: Verwenden eines Tags für den Zugriff auf eine Ressource

Diese Beispielrichtlinie gewährt einem Benutzer oder einer Rolle in Ihrem AWS Konto die Erlaubnis, den Query Vorgang mit jeder Ressource zu verwenden, die mit dem Schlüssel department und dem Wert gekennzeichnet istfinance.

JSON

{ 
    "Version":"2012-10-17", 
    "Statement": [ 
        { 
            "Effect": "Allow", 
            "Action": [ 
                "kendra:Query" 
            ], 
            "Resource": "*", 
            "Condition": { 
                "StringEquals": { 
                    "aws:ResourceTag/department": "finance" 
                } 
            } 
        } 
   ]
}

Beispiel: Verwenden Sie ein Tag, um Amazon Kendra-Operationen zu aktivieren

Diese Beispielrichtlinie gewährt einem Benutzer oder einer Rolle in Ihrem AWS Konto die Erlaubnis, alle Amazon Kendra-Operationen zu verwenden, mit Ausnahme von TagResource Vorgängen, bei denen Ressourcen mit dem Schlüssel department und dem Wert gekennzeichnet sind. finance

JSON

{
    "Version":"2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": "kendra:*",
            "Resource": "*"
        },
        {
            "Effect": "Deny",
            "Action": [
                "kendra:TagResource"
            ],
            "Resource": "*",
            "Condition": {
                "StringEquals": {
                    "aws:ResourceTag/department": "finance"
                }
            }
        }
    ]
}

Beispiel: Verwenden eines Tags zum Einschränken des Zugriffs auf eine Operation

Diese Beispielrichtlinie schränkt den Zugriff eines Benutzers oder einer Rolle in Ihrem AWS Konto auf die Verwendung des CreateIndex Vorgangs ein, es sei denn, der Benutzer gibt das department Tag an und es hat die zulässigen Werte finance und. IT

JSON

{
    "Version":"2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": "kendra:CreateIndex",
            "Resource": "*"
        },
        {
            "Effect": "Deny",
            "Action": "kendra:CreateIndex",
            "Resource": "*",
            "Condition": {
                "Null": {
                    "aws:RequestTag/department": "true"
                }
            }
        },
        {
            "Effect": "Deny",
            "Action": "kendra:CreateIndex",
            "Resource": "*",
            "Condition": {
                "ForAnyValue:StringNotEquals": {
                    "aws:RequestTag/department": [
                        "finance",
                        "IT"
                    ]
                }
            }
        }
    ]
}