Les traductions sont fournies par des outils de traduction automatique. En cas de conflit entre le contenu d'une traduction et celui de la version originale en anglais, la version anglaise prévaudra.

Chiffrement des recommandations

Lorsque vous spécifiez un kmsKeyArn sur une recommandation, le service chiffre la configuration de la recommandation et le résultat de la recommandation à l'aide du chiffrement d'enveloppe avec le SDK de AWS chiffrement. Toutes les autres métadonnées de recommandation (nom, type, statut) restent cryptées avec la clé AWS détenue.

Le kmsKeyArn est spécifié au moment de la création viaStartRecommendation.

Comment ça marche

Le chiffrement des recommandations utilise le SDK AWS Encryption pour le chiffrement des enveloppes. Lorsque le service écrit ou lit des données de recommandation, il appelle KMS pour générer ou déchiffrer des clés de données. Le résultat de la recommandation est également stocké dans S3 à SSE-KMS l'aide de la même clé gérée par le client.

Au moment de l'API, le service vérifie que l'appelant dispose des autorisations KMS à l'aide d'un contrôle à sec (sessions d'accès direct). Cela permet de détecter immédiatement les problèmes d'autorisation au lieu d'échouer de manière asynchrone pendant le flux de recommandation.

Lorsque le flux de travail de recommandation s'exécute de manière asynchrone, le service principal (bedrock-agentcore.amazonaws.com) déchiffre la configuration et chiffre le résultat. Le responsable du service doit disposer kms:GenerateDataKey d'une kms:Decrypt autorisation dans la politique clé.

AgentCore Les optimisations ne prennent en charge que les clés KMS de chiffrement symétrique. La clé KMS doit se trouver dans la même AWS région que la recommandation.

Configuration des autorisations pour utiliser une clé KMS gérée par le client

La politique de clé suivante fournit les autorisations minimales requises pour le chiffrement des recommandations. La stratégie comporte trois déclarations :

{
"Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "AllowCallerAccess",
      "Effect": "Allow",
      "Principal": {
        "AWS": "arn:aws:iam::111122223333:role/MyRecommendationRole"
      },
      "Action": "kms:DescribeKey",
      "Resource": "*"
    },
    {
      "Sid": "AllowCallerCryptoOps",
      "Effect": "Allow",
      "Principal": {
        "AWS": "arn:aws:iam::111122223333:role/MyRecommendationRole"
      },
      "Action": [
        "kms:GenerateDataKey",
        "kms:Decrypt"
      ],
      "Resource": "*",
      "Condition": {
        "StringLike": {
          "kms:EncryptionContext:aws:bedrock-agentcore:recommendationArn": "arn:aws:bedrock-agentcore:us-east-1:111122223333:recommendation/*"
        }
      }
    },
    {
      "Sid": "AllowServicePrincipalAccess",
      "Effect": "Allow",
      "Principal": {
        "Service": "bedrock-agentcore.amazonaws.com"
      },
      "Action": [
        "kms:GenerateDataKey",
        "kms:Decrypt"
      ],
      "Resource": "*",
      "Condition": {
        "StringEquals": {
          "aws:SourceAccount": "111122223333"
        },
        "ArnLike": {
          "aws:SourceArn": "arn:aws:bedrock-agentcore:us-east-1:111122223333:recommendation/*"
        }
      }
    }
  ]
}

La politique contient les déclarations suivantes :

Limiter l'accès à la clé KMS gérée par le client

Vous pouvez utiliser le contexte de chiffrement pour limiter l'accès à la clé gérée par le client. AgentCore les optimisations incluent le contexte de chiffrement suivant dans toutes les opérations KMS :

{
  "aws:bedrock-agentcore:recommendationArn": "arn:aws:bedrock-agentcore:us-east-1:111122223333:recommendation/recommendation-id"
}

Vous pouvez utiliser ce contexte de chiffrement dans des conditions de stratégie clés afin de limiter les opérations KMS à des recommandations spécifiques, comme indiqué dans la AllowCallerCryptoOps déclaration de l'exemple de politique clé ci-dessus. Notez qu'il est AllowServicePrincipalAccess utilisé aws:SourceArn pour définir la portée plutôt que pour le contexte de chiffrement.

Commencer une recommandation avec une clé KMS gérée par le client

Spécifiez le kmsKeyArn paramètre lors de l'appel StartRecommendation :

Surveillance de l'utilisation de KMS pour les recommandations

Les noms CloudTrail d'événements suivants apparaissent pour les opérations KMS de recommandation :

Comportement lorsqu'une clé devient indisponible

Si vous désactivez ou supprimez la clé KMS gérée par le client utilisée par une recommandation :