Connexions sortantes et sortie de données dans Amazon Quick

Ce qui le déclenche  : les On-demand connecteurs s'exécutent lorsqu'un utilisateur les lance. Les connecteurs de flux de travail automatisés s'exécutent selon un calendrier ou en réponse à un événement, sans interaction de l'utilisateur.

Qui le contrôle ? Un administrateur crée et configure chaque connecteur en choisissant la méthode d'authentification (OAuth géré, OAuth utilisateur personnalisé, clé API ou service à service) et les étendues accordées. Un utilisateur ne peut invoquer que les connecteurs qu'un administrateur partage avec cet utilisateur. Les administrateurs peuvent également restreindre les connecteurs d'action individuels par le biais d'autorisations personnalisées. Chaque connecteur prend en charge trois autorisations : l'action Créer et mettre à jour , l'action Partager et l'action Utiliser. Les profils d'autorisations personnalisés s'appliquent au niveau de l'utilisateur, du rôle ou du compte. Le niveau le plus spécifique est prioritaire. Pour de plus amples informations, veuillez consulter Autorisations personnalisées.

Éléments à vérifier  : avant d'activer un connecteur, vérifiez la méthode d'authentification et les étendues OAuth accordées, si le connecteur est partagé de manière large ou restreinte, s'il est à la demande ou automatisé, et ce que permet l'autorisation au niveau de service. Les informations d'identification que vous configurez définissent la portée du connecteur dans le système connecté. Le connecteur peut agir sur tout ce que les étendues accordées et l'autorisation de niveau de service le permettent, et rien de plus.

Qu'est-ce qui le déclenche  ? L'assistant intelligent sélectionne un outil lors d'une conversation initiée par l'utilisateur ou automatisée. Lors de la connexion, Amazon Quick découvre et enregistre les outils fournis par le serveur MCP. Une fois la découverte terminée, chaque outil est répertorié comme une action que vous pouvez consulter et activer.

Qui le contrôle  ? Un administrateur crée l'intégration MCP dans la console. L'intégration spécifie l'URL du point de terminaison, le type de connexion (Internet public ou VPC privé) et la méthode d'authentification. Vous avez besoin d'un abonnement Enterprise. Les administrateurs peuvent restreindre les connecteurs MCP individuels par le biais d'autorisations personnalisées. Chaque connecteur prend en charge trois autorisations : l'action Créer et mettre à jour , l'action Partager et l'action Utiliser. Pour de plus amples informations, veuillez consulter Autorisations personnalisées.

Restriction de transport  : l'intégration MCP ne prend en charge que les serveurs distants. Les connexions locales au studio ne sont pas prises en charge. Une intégration MCP ne peut pas invoquer un processus s'exécutant sur une machine locale.

Éléments à vérifier  : avant d'activer une intégration MCP, vérifiez si l'authentification est activée (l'accès non authentifié est une option sélectionnable), la portée OAuth si l'authentification utilisateur est sélectionnée, le chemin réseau (Internet public ou VPC privé) et les outils exposés par le serveur. Vérifiez que seuls les outils nécessaires au cas d'utilisation prévu sont activés.

Qu'est-ce qui le déclenche ? L'assistant sélectionne la recherche sur le Web lors d'une discussion ou d'une session de recherche initiée par l'utilisateur. Vous pouvez désactiver la recherche sur le Web pour des requêtes individuelles.

Qui le contrôle ? Un administrateur active ou désactive la recherche sur le Web pour l'organisation. Lorsque la recherche sur le Web est activée, vous pouvez la désactiver pour chaque requête. Les requêtes de recherche sur le Web passent par AWS des régions désignées en fonction de la région principale du compte.

Éléments à vérifier  : avant d'activer la recherche sur le Web, déterminez si votre cas d'utilisation nécessite des données Web externes et comprenez comment les requêtes sont acheminées d'une région à l'autre.

Qu'est-ce qui le déclenche  ? L'agent de recherche sélectionne automatiquement les fournisseurs en fonction de leur pertinence. Les utilisateurs choisissent les catégories de fournisseurs à inclure pour chaque session de recherche.

Qui le contrôle ? L'accès à des fournisseurs de recherche tiers est subordonné à de multiples contrôles. Un administrateur configure chaque intégration individuellement et ne la partage qu'avec les utilisateurs qui ont besoin d'y accéder. Les intégrations non partagées ne sont pas disponibles. Les fournisseurs premium (IDCFactSet, S&P Global Energy, S&P Global Market Intelligence) ont également besoin d'une licence fournie par un administrateur. Si vous ne fournissez pas de licence, ces fournisseurs ne seront pas disponibles. La fonctionnalité Recherche dans les autorisations personnalisées supprime l'accès à Research, et donc à tous les fournisseurs tiers, pour un profil donné. La restriction de la fonctionnalité « Utiliser Internet pour améliorer les résultats » supprime séparément la recherche sur le Web dans les agents de chat et dans Research.

Éléments à vérifier  : vérifiez que chaque intégration de données tierce est partagée uniquement avec les utilisateurs autorisés. Pour les fournisseurs premium, vérifiez que les licences ne sont fournies que lorsque cela est nécessaire. Pour les fournisseurs publics, vérifiez que vos politiques d'utilisation acceptable autorisent l'envoi de requêtes de recherche à des sources externes. Utilisez la fonctionnalité Recherche dans les autorisations personnalisées pour supprimer complètement la Recherche pour les profils qui ne doivent être accessibles à aucun fournisseur externe. Pour plus d'informations sur les autorisations personnalisées, consultezAutorisations personnalisées.

Qu'est-ce qui le déclenche ? Le propriétaire de l'application crée et publie une application. Les spectateurs anonymes y accèdent via une URL publique.

Qui la contrôle ? Le propriétaire de l'application contrôle les paramètres de partage et d'accès public. L'accès public n'est disponible que pour les comptes Free et Plus. Le sandbox est géré par la plateforme et empêche le code de l'application d'effectuer des requêtes HTTP directes vers des serveurs externes ou de charger des ressources externes.

Ce qu'il faut vérifier — Avant de rendre une application publique, vérifiez que les utilisateurs publics n'ont pas accès aux intégrations, que l'utilisation est prise en compte dans le quota du propriétaire et que les restrictions du bac à sable répondent à vos exigences de sécurité.

Qu'est-ce qui le déclenche  ? Un administrateur ou un développeur configure l'intégration via des appels d'API IAM. Les utilisateurs finaux accèdent ensuite au contenu intégré dans l'application hôte.

Qui le contrôle  ? Un abonnement Enterprise est requis. L'administrateur ou le développeur configure le AllowedDomains paramètre pour limiter les domaines qui peuvent héberger du contenu intégré. La condition de politique IAM AllowedEmbeddingDomains fournit une restriction supplémentaire.

Ce qu'il faut vérifier — Avant d'activer l'intégration, vérifiez que chaque domaine de la liste d'autorisation est contrôlé par votre organisation, que RLS et CLS sont configurés pour les ensembles de données sous-jacents et que vous disposez d'un abonnement Enterprise.

Qu'est-ce qui le déclenche ? Un utilisateur lance une action d'exportation ou de téléchargement dans la console.

Qui le contrôle ? Un administrateur peut restreindre les fonctionnalités d'exportation par le biais d'autorisations personnalisées. Par exemple, vous pouvez désactiver l'accès à l'option Exporter au format PDF sur les analyses et les tableaux de bord. Un abonnement Enterprise est requis pour les autorisations personnalisées.

Éléments à vérifier  : il n'existe aucune configuration consolidée de sécurité des exportations. Vérifiez si les fonctionnalités d'exportation sont limitées par des autorisations personnalisées pour les rôles concernés, si les rapports par e-mail planifiés sont limités aux destinataires prévus et si vos exigences de conformité imposent des contraintes quant à l'endroit où les données exportées peuvent être stockées.

Qu'est-ce qui le déclenche  ? Un administrateur configure la livraison. Après la configuration, la livraison est continue ou planifiée.

Qui le contrôle  ? Un administrateur configure la destination de livraison (CloudWatch Logs, Amazon S3 ou Firehose). Les autorisations IAM sont requises pour configurer la livraison. Lorsqu'une destination utilise une clé KMS gérée par le client, la politique de clé doit autoriser le responsable du service de livraison.

Ce qu'il faut vérifier — Avant de configurer la diffusion des journaux, vérifiez les politiques de chiffrement et d'accès de la destination, ainsi que les politiques de conservation de la destination, et assurez-vous que le personnel ayant accès à la destination comprend que les journaux de discussion peuvent contenir des données sensibles.

Ce qui bouge  : les entrées d'inférence (invites) et les sorties (résultats) peuvent être déplacées en dehors de la région principale pendant le traitement. Toutes les données sont transmises cryptées sur le réseau AWS sécurisé.

Qu'est-ce qui le déclenche  ? Amazon Quick sélectionne automatiquement la région optimale au sein d'une zone géographique définie pour traiter les demandes d'inférence. Vous n'initiez ni ne planifiez ce routage.

Qui le contrôle ? L' Cross-Region inférence n'est pas un chemin sortant configurable par le client. L'inférence est traitée dans les régions qui constituent votre zone géographique, aucune donnée ne parvient à un tiers et les données stockées restent dans votre région principale. Comme il n'y a pas de destination sortante, il n'y a aucune destination à approuver ou à restreindre. Vous ne pouvez pas désactiver l'inférence interrégionale. Vérifiez plutôt à quelle zone géographique appartient votre région. Vérifiez que la limite géographique répond à vos exigences en matière de résidence des données.

Limites  : les demandes d' Cross-Region inférence restent dans les AWS régions qui font partie de la zone géographique dans laquelle les données se trouvent à l'origine. Les données stockées ne sont conservées que dans la région principale.