Les traductions sont fournies par des outils de traduction automatique. En cas de conflit entre le contenu d'une traduction et celui de la version originale en anglais, la version anglaise prévaudra.

Chiffrement d'évaluation par lots

Lorsque vous spécifiez une kmsKeyArn évaluation par lots, le service chiffre tous les artefacts de sortie stockés dans S3 à l'aide du chiffrement côté serveur S3 avec KMS (). SSE-KMS Cela inclut la configuration de la source de données, les métadonnées de session et les résultats de l'évaluation.

Le kmsKeyArn est spécifié au moment de la création viaStartBatchEvaluation.

Comment ça marche

Le chiffrement d'évaluation par lots utilise S3 SSE-KMS. Lorsque le service écrit ou lit des résultats d'évaluation par lots dans S3, S3 appelle KMS au nom du service pour chiffrer ou déchiffrer les données. Le principal de service (bedrock-agentcore.amazonaws.com) doit disposer des autorisations KMS dans la politique clé.

Au moment de l'API, le service vérifie que l'appelant dispose des autorisations KMS à l'aide d'un contrôle à sec (sessions d'accès direct). Cela permet de détecter immédiatement les problèmes d'autorisation au lieu d'échouer de manière asynchrone pendant le flux de travail d'évaluation par lots.

Le service vérifie également qu'il peut fonctionner kms:GenerateDataKey avec ses propres informations d'identification afin de garantir que la politique de clé accorde au responsable du service les autorisations requises pour écrire une sortie chiffrée.

AgentCore Les évaluations ne prennent en charge que les clés KMS à chiffrement symétrique. La clé KMS doit se trouver dans la même AWS région que celle de l'évaluation par lots.

Configuration des autorisations pour utiliser une clé KMS gérée par le client

La politique de clé suivante fournit les autorisations minimales requises pour le chiffrement des évaluations par lots. La stratégie comporte trois déclarations :

{
"Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "AllowCallerAccess",
      "Effect": "Allow",
      "Principal": {
        "AWS": "arn:aws:iam::111122223333:role/MyBatchEvaluationRole"
      },
      "Action": "kms:DescribeKey",
      "Resource": "*"
    },
    {
      "Sid": "AllowCallerCryptoOps",
      "Effect": "Allow",
      "Principal": {
        "AWS": "arn:aws:iam::111122223333:role/MyBatchEvaluationRole"
      },
      "Action": [
        "kms:GenerateDataKey",
        "kms:Decrypt"
      ],
      "Resource": "*",
      "Condition": {
        "StringLike": {
          "kms:EncryptionContext:aws:bedrock-agentcore:batchEvaluationArn": "arn:aws:bedrock-agentcore:us-east-1:111122223333:batch-evaluate/*"
        }
      }
    },
    {
      "Sid": "AllowServicePrincipalAccess",
      "Effect": "Allow",
      "Principal": {
        "Service": "bedrock-agentcore.amazonaws.com"
      },
      "Action": [
        "kms:GenerateDataKey",
        "kms:Decrypt"
      ],
      "Resource": "*",
      "Condition": {
        "StringEquals": {
          "aws:SourceAccount": "111122223333"
        },
        "ArnLike": {
          "aws:SourceArn": "arn:aws:bedrock-agentcore:us-east-1:111122223333:batch-evaluate/*"
        }
      }
    }
  ]
}

La politique contient les déclarations suivantes :

Limiter l'accès à la clé KMS gérée par le client

Vous pouvez utiliser le contexte de chiffrement pour limiter l'accès à la clé gérée par le client. AgentCore Les évaluations incluent le contexte de chiffrement suivant dans toutes les opérations KMS :

{
  "aws:bedrock-agentcore:batchEvaluationArn": "arn:aws:bedrock-agentcore:us-east-1:111122223333:batch-evaluate/batch-evaluation-id"
}

Vous pouvez utiliser ce contexte de chiffrement dans des conditions de stratégie clés pour limiter les opérations KMS à des évaluations par lots spécifiques, comme indiqué dans la AllowCallerCryptoOps déclaration de l'exemple de politique clé ci-dessus. Notez qu'il est AllowServicePrincipalAccess utilisé aws:SourceArn pour définir la portée plutôt que pour le contexte de chiffrement.

Démarrage d'une évaluation par lots avec une clé KMS gérée par le client

Spécifiez le kmsKeyArn paramètre lors de l'appel StartBatchEvaluation :

Surveillance de l'utilisation de KMS pour les évaluations par lots

Les noms CloudTrail d'événements suivants apparaissent pour les opérations KMS d'évaluation par lots :

Pour plus d'informations sur la surveillance de l'utilisation de KMS, consultez la section Journalisation des appels d'API AWS KMS AWS CloudTrail dans le Guide du développeur du service de gestion des AWS clés.

Comportement lorsqu'une clé devient indisponible

Si vous désactivez ou supprimez la clé KMS gérée par le client utilisée lors d'une évaluation par lots :

Pour rétablir l'accès, réactivez la clé ou mettez à jour la politique de clé pour accorder les autorisations requises.

Les opérations d'évaluation par lots du cycle de vie décrites ci-dessus correspondent aux commandes de l' AgentCore interface de ligne de commande. Les archive commandes stop et ciblent la tâche via l'-i, --id <id>option. La view batch-evaluation commande prend l'ID comme argument positionnel :