Terjemahan disediakan oleh mesin penerjemah. Jika konten terjemahan yang diberikan bertentangan dengan versi bahasa Inggris aslinya, utamakan versi bahasa Inggris.

Enkripsi evaluasi batch

Saat Anda menentukan evaluasi kmsKeyArn pada batch, layanan mengenkripsi semua artefak keluaran yang disimpan di S3 menggunakan enkripsi sisi server S3 dengan KMS (). SSE-KMS Ini termasuk konfigurasi sumber data, metadata sesi, dan hasil evaluasi.

Ini kmsKeyArn ditentukan pada waktu pembuatan melaluiStartBatchEvaluation.

Cara kerjanya

Enkripsi evaluasi batch menggunakan S3 SSE-KMS. Ketika layanan menulis atau membaca output evaluasi batch di S3, S3 memanggil KMS atas nama layanan untuk mengenkripsi atau mendekripsi data. Prinsip layanan (bedrock-agentcore.amazonaws.com) harus memiliki izin KMS dalam kebijakan kunci.

Pada waktu API, layanan memvalidasi bahwa pemanggil memiliki izin KMS menggunakan pemeriksaan dry-run (Sesi Akses Teruskan). Ini menangkap masalah izin dengan segera daripada gagal secara asinkron selama alur kerja evaluasi batch.

Layanan ini juga memvalidasi bahwa ia dapat melakukan kms:GenerateDataKey dengan kredensialnya sendiri untuk memastikan kebijakan kunci memberikan prinsipal layanan izin yang diperlukan untuk menulis output terenkripsi.

AgentCore Evaluasi hanya mendukung kunci KMS enkripsi simetris. Kunci KMS harus berada di Wil AWS ayah yang sama dengan evaluasi batch.

Mengkonfigurasi izin untuk menggunakan kunci KMS yang dikelola pelanggan

Kebijakan kunci berikut memberikan izin minimum yang diperlukan untuk enkripsi evaluasi batch. Kebijakan tersebut memiliki tiga pernyataan:

{
"Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "AllowCallerAccess",
      "Effect": "Allow",
      "Principal": {
        "AWS": "arn:aws:iam::111122223333:role/MyBatchEvaluationRole"
      },
      "Action": "kms:DescribeKey",
      "Resource": "*"
    },
    {
      "Sid": "AllowCallerCryptoOps",
      "Effect": "Allow",
      "Principal": {
        "AWS": "arn:aws:iam::111122223333:role/MyBatchEvaluationRole"
      },
      "Action": [
        "kms:GenerateDataKey",
        "kms:Decrypt"
      ],
      "Resource": "*",
      "Condition": {
        "StringLike": {
          "kms:EncryptionContext:aws:bedrock-agentcore:batchEvaluationArn": "arn:aws:bedrock-agentcore:us-east-1:111122223333:batch-evaluate/*"
        }
      }
    },
    {
      "Sid": "AllowServicePrincipalAccess",
      "Effect": "Allow",
      "Principal": {
        "Service": "bedrock-agentcore.amazonaws.com"
      },
      "Action": [
        "kms:GenerateDataKey",
        "kms:Decrypt"
      ],
      "Resource": "*",
      "Condition": {
        "StringEquals": {
          "aws:SourceAccount": "111122223333"
        },
        "ArnLike": {
          "aws:SourceArn": "arn:aws:bedrock-agentcore:us-east-1:111122223333:batch-evaluate/*"
        }
      }
    }
  ]
}

Kebijakan tersebut berisi pernyataan berikut:

Mengurangi akses ke kunci KMS yang dikelola pelanggan

Anda dapat menggunakan konteks enkripsi untuk mengurangi akses ke kunci yang dikelola pelanggan. AgentCore Evaluasi mencakup konteks enkripsi berikut dalam semua operasi KMS:

{
  "aws:bedrock-agentcore:batchEvaluationArn": "arn:aws:bedrock-agentcore:us-east-1:111122223333:batch-evaluate/batch-evaluation-id"
}

Anda dapat menggunakan konteks enkripsi ini dalam kondisi kebijakan utama untuk membatasi operasi KMS ke evaluasi batch tertentu, seperti yang ditunjukkan dalam AllowCallerCryptoOps pernyataan dalam contoh kebijakan kunci di atas. Perhatikan bahwa digunakan AllowServicePrincipalAccess aws:SourceArn untuk pelingkupan daripada konteks enkripsi.

Memulai evaluasi batch dengan kunci KMS yang dikelola pelanggan

Tentukan kmsKeyArn parameter saat memanggilStartBatchEvaluation:

Memantau penggunaan KMS untuk evaluasi batch

Nama CloudTrail peristiwa berikut muncul untuk operasi KMS evaluasi batch:

Untuk informasi selengkapnya tentang pemantauan penggunaan KMS, lihat Pencat AWS atan panggilan API KMS dengan AWS CloudTrail dalam Panduan Pengembang Layanan Manajemen K AWS unci.

Perilaku saat kunci menjadi tidak tersedia

Jika Anda menonaktifkan atau menghapus kunci KMS yang dikelola pelanggan yang digunakan oleh evaluasi batch:

Untuk memulihkan akses, aktifkan kembali kunci atau perbarui kebijakan kunci untuk memberikan izin yang diperlukan.

Operasi siklus hidup evaluasi batch yang dijelaskan di atas memetakan ke perintah AgentCore CLI. Per stop archive intah dan menargetkan pekerjaan melalui -i, --id <id> opsi. Per view batch-evaluation intah mengambil ID sebagai argumen posisi: