Chiffrement de session

Par défaut, Amazon Bedrock utilise des clés AWS gérées pour le chiffrement des sessions. Pour plus d'informations sur le chiffrement par défaut utilisé par Amazon Bedrock, consultez la section Chiffrement des données.

Pour un niveau de sécurité supplémentaire, vous pouvez chiffrer les données de session à l'aide d'une clé gérée par le client. Pour utiliser votre propre clé, spécifiez le nom de ressource Amazon (ARN) de la clé pour KMSKeyArn l'opération CreateSessiond'API. L'utilisateur ou le rôle qui crée la session doit être autorisé à utiliser la clé. Vous pouvez utiliser la politique IAM suivante pour accorder les autorisations requises.

{
    "Version": "2012-10-17",
    "Statement": [{
            "Effect": "Allow",
            "Action": [
                "kms:Encrypt",
                "kms:Decrypt",
                "kms:GenerateDataKey"
            ],
            "Resource": "arn:aws:kms:${region}:${account-id}:key/${key-id}",
            "Condition": {
                "StringLike": {
                    "kms:EncryptionContext:aws:bedrock:session:arn": "arn:aws:bedrock:${region}:${account}:session/*"
                },
                "StringEquals": {
                    "kms:ViaService": "bedrock.${region}.amazonaws.com"
                }
            }
        },
        {
            "Effect": "Allow",
            "Action": [
                "kms:DescribeKey"
            ],
            "Resource": "arn:aws:kms:${region}:${account-id}:key/${key-id}",
            "Condition": {
                "StringEquals": {
                    "kms:ViaService": "bedrock.${region}.amazonaws.com"
                }
            }
        }
    ]
}