Amazon Kendra n'est plus ouvert aux nouveaux clients. Pour des fonctionnalités similaires à Amazon Kendra, explorez les bases de connaissances Amazon Bedrock. En savoir plus.

Les traductions sont fournies par des outils de traduction automatique. En cas de conflit entre le contenu d'une traduction et celui de la version originale en anglais, la version anglaise prévaudra.

Exemples de Identity-based politiques Amazon Kendra

Par défaut, les utilisateurs et les rôles ne sont pas autorisés à créer ou à modifier des ressources Amazon Kendra. Ils ne peuvent pas non plus effectuer de tâches à l'aide de l' AWS API Console de gestion AWS AWS CLI, ou. Un administrateur IAM doit créer des politiques IAM autorisant les utilisateurs et les rôles à exécuter des opérations d’API spécifiques sur les ressources spécifiées dont ils ont besoin. Il doit ensuite attacher ces stratégies aux utilisateurs ou aux groupes ayant besoin de ces autorisations.

Pour savoir comment créer une politique IAM basée sur l’identité à l’aide de ces exemples de documents de politique JSON, consultez Création de politiques dans l’onglet JSON dans le Guide de l’utilisateur IAM.

Bonnes pratiques en matière de politiques

Identity-based les politiques déterminent si quelqu'un peut créer des ressources Amazon Kendra sur votre compte, y accéder ou les supprimer. Ces actions peuvent entraîner des frais pour votre Compte AWS. Lorsque vous créez ou modifiez des politiques basées sur l’identité, suivez ces instructions et recommandations :

Pour plus d’informations sur les bonnes pratiques dans IAM, consultez Bonnes pratiques de sécurité dans IAM dans le Guide de l’utilisateur IAM.

AWS Politiques gérées (prédéfinies) pour Amazon Kendra

AWS répond à de nombreux cas d'utilisation courants en fournissant des politiques IAM autonomes créées et administrées par AWS. Ces politiques sont appelées politiques AWS gérées. AWS les politiques gérées vous permettent d'attribuer des autorisations aux utilisateurs, aux groupes et aux rôles plus facilement que si vous deviez rédiger les politiques vous-même. Pour plus d’informations, consultez Ajout d’autorisations à un utilisateur dans le Guide de l’utilisateur IAM.

Les politiques AWS gérées suivantes, que vous pouvez associer à des groupes et à des rôles de votre compte, sont spécifiques à Amazon Kendra :

Pour la console, votre rôle doit également disposer d's3:ListBucketautorisations iam:CreateRole iam:CreatePolicyiam:AttachRolePolicy,, et.

Vous pouvez également créer vos propres politiques personnalisées pour autoriser les actions de l'API Amazon Kendra. Vous pouvez attacher ces politiques personnalisées aux rôles ou groupes IAM qui nécessitent ces autorisations. Pour obtenir des exemples de politiques IAM pour Amazon Kendra, consultez. Exemples de Identity-based politiques Amazon Kendra

Autorisation accordée aux utilisateurs pour afficher leurs propres autorisations

Cet exemple montre comment créer une politique qui permet aux utilisateurs IAM d’afficher les politiques en ligne et gérées attachées à leur identité d’utilisateur. Cette politique inclut des autorisations pour effectuer cette action sur la console ou par programmation à l'aide de l'API AWS CLI or AWS .

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "ViewOwnUserInfo",
            "Effect": "Allow",
            "Action": [
                "iam:GetUserPolicy",
                "iam:ListGroupsForUser",
                "iam:ListAttachedUserPolicies",
                "iam:ListUserPolicies",
                "iam:GetUser"
            ],
            "Resource": ["arn:aws:iam::*:user/${aws:username}"]
        },
        {
            "Sid": "NavigateInConsole",
            "Effect": "Allow",
            "Action": [
                "iam:GetGroupPolicy",
                "iam:GetPolicyVersion",
                "iam:GetPolicy",
                "iam:ListAttachedGroupPolicies",
                "iam:ListGroupPolicies",
                "iam:ListPolicyVersions",
                "iam:ListPolicies",
                "iam:ListUsers"
            ],
            "Resource": "*"
        }
    ]
}

Accès à un index Amazon Kendra

Dans cet exemple, vous souhaitez autoriser un utilisateur de votre AWS compte à interroger un index.

Tag-based exemples de politiques

Tag-based les politiques sont des documents de politique JSON qui spécifient les actions qu'un principal peut effectuer sur des ressources balisées.

Exemple : Utiliser une balise pour accéder à une ressource

Cet exemple de politique accorde à un utilisateur ou à un rôle de votre AWS compte l'autorisation d'utiliser l'Queryopération avec n'importe quelle ressource étiquetée avec la clé department et la valeurfinance.

JSON

{ 
    "Version":"2012-10-17", 
    "Statement": [ 
        { 
            "Effect": "Allow", 
            "Action": [ 
                "kendra:Query" 
            ], 
            "Resource": "*", 
            "Condition": { 
                "StringEquals": { 
                    "aws:ResourceTag/department": "finance" 
                } 
            } 
        } 
   ]
}

Exemple : utiliser un tag pour activer les opérations d'Amazon Kendra

Cet exemple de politique accorde à un utilisateur ou à un rôle de votre AWS compte l'autorisation d'utiliser n'importe quelle opération Amazon Kendra, à TagResource l'exception des opérations utilisant toute ressource identifiée par la clé department et la valeurfinance.

JSON

{
    "Version":"2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": "kendra:*",
            "Resource": "*"
        },
        {
            "Effect": "Deny",
            "Action": [
                "kendra:TagResource"
            ],
            "Resource": "*",
            "Condition": {
                "StringEquals": {
                    "aws:ResourceTag/department": "finance"
                }
            }
        }
    ]
}

Exemple : utilisation d’une balise pour restreindre l’accès à une opération

Cet exemple de politique restreint l'accès d'un utilisateur ou d'un rôle de votre AWS compte pour utiliser l'CreateIndexopération, sauf si l'utilisateur fournit la department balise et que celle-ci possède les valeurs autorisées finance etIT.

JSON

{
    "Version":"2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": "kendra:CreateIndex",
            "Resource": "*"
        },
        {
            "Effect": "Deny",
            "Action": "kendra:CreateIndex",
            "Resource": "*",
            "Condition": {
                "Null": {
                    "aws:RequestTag/department": "true"
                }
            }
        },
        {
            "Effect": "Deny",
            "Action": "kendra:CreateIndex",
            "Resource": "*",
            "Condition": {
                "ForAnyValue:StringNotEquals": {
                    "aws:RequestTag/department": [
                        "finance",
                        "IT"
                    ]
                }
            }
        }
    ]
}