View a markdown version of this page

Creare un ruolo di servizio per Knowledge Base per Amazon Bedrock - Amazon Bedrock
Relazione di attendibilitàAutorizzazioni per accedere ai modelli Amazon BedrockAutorizzazioni per accedere alle origini datiAutorizzazioni per decrittografare i tuoi AWS KMS chiave per le origini dati crittografate in Amazon S3Autorizzazioni per chattare con il documentoAutorizzazioni per contenuti multimodaliAutorizzazioni per accedere all’Indice GenAI di Amazon KendraAutorizzazioni per accedere al tuo database vettoriale in Amazon Serverless OpenSearchAutorizzazioni per accedere al tuo database vettoriale in OpenSearch Managed ClustersAutorizzazioni per accedere al cluster di database di Amazon AuroraAutorizzazioni per accedere al database vettoriale in Analisi Amazon NeptuneAutorizzazioni per accedere all’archivio vettoriale in Amazon S3 VectorsAutorizzazioni per accedere a un database vettoriale configurato con un AWS Secrets Manager SecretAutorizzazioni per AWS per gestire un AWS KMS chiave per l'archiviazione transitoria dei dati durante l'inserimento dei datiAutorizzazioni per AWS per gestire un'origine dati da quella di un altro utente AWS account.

Le traduzioni sono generate tramite traduzione automatica. In caso di conflitto tra il contenuto di una traduzione e la versione originale in Inglese, quest'ultima prevarrà.

Creare un ruolo di servizio per Knowledge Base per Amazon Bedrock

Per utilizzare un ruolo personalizzato per una knowledge base anziché quello creato automaticamente da Amazon Bedrock, crea un ruolo IAM e allega le seguenti autorizzazioni seguendo la procedura descritta in Creazione di un ruolo per delegare le autorizzazioni a un servizio. AWS Includere solo le autorizzazioni necessarie per la sicurezza.

Nota

Una policy non può essere condivisa tra più ruoli quando viene utilizzato il ruolo di servizio.

  • Relazione di attendibilità

  • Accesso ai modelli base di Amazon Bedrock

  • Accesso all’origine dati in cui sono archiviati i dati

  • (Se crei un database vettoriale in Amazon OpenSearch Service) Accesso alla tua raccolta di servizi OpenSearch

  • (Se è stato creato un database vettoriale in Amazon Aurora) Accesso al cluster Aurora

  • (Se crei un database vettoriale in Pinecone oRedis Enterprise Cloud) Autorizzazioni AWS Secrets Manager per l'autenticazione del tuo Pinecone account or Redis Enterprise Cloud

  • (Facoltativo) Se una delle seguenti risorse è crittografata con una chiave KMS, le autorizzazioni per decrittografare la chiave (consultare Crittografia delle risorse della knowledge base)

    • La knowledge base

    • Origini dati per la knowledge base

    • Il tuo database vettoriale in Amazon Service OpenSearch

    • Il segreto del tuo database vettoriale di terze parti in AWS Secrets Manager

    • Un processo di importazione dei dati

Relazione di attendibilità

La seguente policy consente ad Amazon Bedrock di assumere questo ruolo e creare e gestire knowledge base. Di seguito viene riportato un esempio di policy utilizzabile. È possibile limitare l’ambito dell’autorizzazione utilizzando una o più chiavi di contesto delle condizioni globali. Per ulteriori informazioni, consulta Chiavi di contesto delle condizioni globali AWS. Impostare il valore aws:SourceAccount sull’ID dell’account. Utilizzare la condizione ArnEquals o ArnLike per limitare l’ambito a knowledge base specifiche.

Nota

Come best practice per motivi di sicurezza, sostituiscili * con ID specifici della knowledge base dopo averli creati.

JSON
{
    "Version":"2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Principal": {
                "Service": "bedrock.amazonaws.com"
            },
            "Action": "sts:AssumeRole",
            "Condition": {
                "StringEquals": {
                    "aws:SourceAccount": "123456789012"
                },
                "ArnLike": {
                    "AWS:SourceArn": "arn:aws:bedrock:us-east-1:123456789012:knowledge-base/*"
                }
            }
        }
    ]
}

Autorizzazioni per accedere ai modelli Amazon Bedrock

Collegare la seguente policy per fornire al ruolo le autorizzazioni per utilizzare i modelli di Amazon Bedrock per incorporare i dati di origine.

JSON
{
    "Version":"2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "bedrock:ListFoundationModels",
                "bedrock:ListCustomModels"
            ],
            "Resource": "*"
        },
        {
            "Effect": "Allow",
            "Action": [
                "bedrock:InvokeModel"
            ],
            "Resource": [
                "arn:aws:bedrock:us-east-1::foundation-model/amazon.titan-embed-text-v1",
                "arn:aws:bedrock:us-east-1::foundation-model/cohere.embed-english-v3",
                "arn:aws:bedrock:us-east-1::foundation-model/cohere.embed-multilingual-v3"
            ]
        }
    ]
}

Autorizzazioni per accedere alle origini dati

Selezionare una delle seguenti origini dati per collegare le autorizzazioni necessarie per il ruolo.

Autorizzazioni per accedere all’origine dati in Amazon S3

Se l’origine dati è Amazon S3, collegare la seguente policy per fornire al ruolo le autorizzazioni per accedere al bucket S3 utilizzato per connettersi come origine dati.

Se hai crittografato l'origine dati con una AWS KMS chiave, allega le autorizzazioni per decrittografare la chiave del ruolo seguendo i passaggi indicati in. Autorizzazioni per decrittografare i tuoi AWS KMS chiave per le tue fonti di dati in Amazon S3

JSON
{
    "Version":"2012-10-17",
    "Statement": [
        {
            "Sid": "S3ListBucketStatement",
            "Effect": "Allow",
            "Action": [
                "s3:ListBucket"
            ],
            "Resource": [
                "arn:aws:s3:::amzn-s3-demo-bucket"
            ],
            "Condition": {
                "StringEquals": {
                    "aws:ResourceAccount": "123456789012"
                }
            }
        },
        {
            "Sid": "S3GetObjectStatement",
            "Effect": "Allow",
            "Action": [
                "s3:GetObject"
            ],
            "Resource": [
                "arn:aws:s3:::amzn-s3-demo-bucket/*"
            ],
            "Condition": {
                "StringEquals": {
                    "aws:ResourceAccount": "123456789012"
                }
            }
        }
    ]
}

Autorizzazioni per accedere all’origine dati in Confluence

Nota

Il connettore dell’origine dati in Confluence è disponibile nella versione di anteprima ed è soggetto a modifiche.

Collegare la seguente policy per fornire al ruolo le autorizzazioni per accedere a Confluence.

Nota

secretsmanager:PutSecretValue è necessario solo se viene utilizzata l’autenticazione OAuth 2.0 con un token di aggiornamento.

Il token di OAuth2.0 accesso Confluence ha un tempo di scadenza predefinito di 60 minuti. Se il token di accesso scade durante la sincronizzazione dell’origine dati (processo di sincronizzazione), Amazon Bedrock utilizza il token di aggiornamento fornito per rigenerarlo. In questo caso vengono rigenerati sia i token di accesso sia quelli di aggiornamento. Per mantenere i token aggiornati dal processo di sincronizzazione corrente al processo di sincronizzazione successivo, Amazon Bedrock richiede le write/put autorizzazioni per le tue credenziali segrete.

JSON
{
    "Version":"2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "secretsmanager:GetSecretValue",
                "secretsmanager:PutSecretValue"
            ],
            "Resource": [
                "arn:aws:secretsmanager:us-east-1:123456789012:secret:SecretId"
            ]
        },
        {
            "Effect": "Allow",
            "Action": [
                "kms:Decrypt"
            ],
            "Resource": [
                "arn:aws:kms:us-east-1:123456789012:key/KeyId"
            ],
            "Condition": {
                "StringLike": {
                    "kms:ViaService": [
                        "secretsmanager.us-east-1.amazonaws.com"
                    ]
                }
            }
        }
    ]
}

Autorizzazioni per accedere alla tua fonte di dati Microsoft SharePoint

Nota

SharePoint il connettore per l'origine dati è disponibile in anteprima ed è soggetto a modifiche.

Allega la seguente politica per fornire le autorizzazioni di accesso SharePoint al ruolo.

JSON
{
    "Version":"2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "secretsmanager:GetSecretValue"
            ],
            "Resource": [
                "arn:aws:secretsmanager:us-east-1:123456789012:secret:SecretId"
            ]
        },
        {
            "Effect": "Allow",
            "Action": [
                "kms:Decrypt"
            ],
            "Resource": [
                "arn:aws:kms:us-east-1:123456789012:key/KeyId"
            ],
            "Condition": {
                "StringLike": {
                    "kms:ViaService": [
                        "secretsmanager.us-east-1.amazonaws.com"
                    ]
                }
            }
        }
    ]
}

Autorizzazioni per accedere alle origini dati in Salesforce

Nota

Il connettore delle origini dati in Salesforce è disponibile nella versione di anteprima ed è soggetto a modifiche.

Collegare la seguente policy per fornire al ruolo le autorizzazioni per accedere a Salesforce.

JSON
{
    "Version":"2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "secretsmanager:GetSecretValue"
            ],
            "Resource": [
                "arn:aws:secretsmanager:us-east-1:123456789012:secret:SecretId"
            ]
        },
        {
            "Effect": "Allow",
            "Action": [
                "kms:Decrypt"
            ],
            "Resource": [
                "arn:aws:kms:us-east-1:123456789012:key/KeyId"
            ],
            "Condition": {
                "StringLike": {
                    "kms:ViaService": [
                        "secretsmanager.us-east-1.amazonaws.com"
                    ]
                }
            }
        }
    ]
}

Autorizzazioni per accedere alla tua origine dati Web Crawler

Allega la seguente politica per fornire le autorizzazioni per il ruolo di accedere ai siti Web tramite Web Crawler. Se il tuo sito Web richiede l'autenticazione, includi le autorizzazioni per accedere al AWS Secrets Manager segreto che memorizza le tue credenziali.

JSON
{
    "Version":"2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "secretsmanager:GetSecretValue"
            ],
            "Resource": [
                "arn:aws:secretsmanager:us-east-1:123456789012:secret:SecretId"
            ]
        },
        {
            "Effect": "Allow",
            "Action": [
                "kms:Decrypt"
            ],
            "Resource": [
                "arn:aws:kms:us-east-1:123456789012:key/KeyId"
            ],
            "Condition": {
                "StringLike": {
                    "kms:ViaService": [
                        "secretsmanager.us-east-1.amazonaws.com"
                    ]
                }
            }
        }
    ]
}

Autorizzazioni per accedere all'origine dati Microsoft OneDrive

Allega la seguente policy per fornire al ruolo le autorizzazioni di accesso a Microsoft. OneDrive

JSON
{
    "Version":"2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "secretsmanager:GetSecretValue"
            ],
            "Resource": [
                "arn:aws:secretsmanager:us-east-1:123456789012:secret:SecretId"
            ]
        },
        {
            "Effect": "Allow",
            "Action": [
                "kms:Decrypt"
            ],
            "Resource": [
                "arn:aws:kms:us-east-1:123456789012:key/KeyId"
            ],
            "Condition": {
                "StringLike": {
                    "kms:ViaService": [
                        "secretsmanager.us-east-1.amazonaws.com"
                    ]
                }
            }
        }
    ]
}

Autorizzazioni per accedere all'origine dati di Google Drive

Allega la seguente policy per fornire al ruolo le autorizzazioni per l'accesso a Google Drive.

JSON
{
    "Version":"2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "secretsmanager:GetSecretValue"
            ],
            "Resource": [
                "arn:aws:secretsmanager:us-east-1:123456789012:secret:SecretId"
            ]
        },
        {
            "Effect": "Allow",
            "Action": [
                "kms:Decrypt"
            ],
            "Resource": [
                "arn:aws:kms:us-east-1:123456789012:key/KeyId"
            ],
            "Condition": {
                "StringLike": {
                    "kms:ViaService": [
                        "secretsmanager.us-east-1.amazonaws.com"
                    ]
                }
            }
        }
    ]
}

Autorizzazioni per decrittografare i tuoi AWS KMS chiave per le origini dati crittografate in Amazon S3

Se hai crittografato le tue origini dati in Amazon S3 con una AWS KMS chiave, allega la seguente policy al tuo ruolo di servizio Amazon Bedrock Knowledge Bases per consentire ad Amazon Bedrock di decrittografare la tua chiave. Sostituisci ${Region} e ${AccountId} con la regione e l'ID dell'account a cui appartiene la chiave. Sostituisci ${KeyId} con l'ID della tua AWS KMS chiave.

{
    "Version": "2012-10-17",
    "Statement": [{
        "Effect": "Allow",
        "Action": [
            "kms:Decrypt"
        ],
        "Resource": [
            "arn:aws:kms:${Region}:${AccountId}:key/${KeyId}"
        ],
        "Condition": {
            "StringEquals": {
                "kms:ViaService": [
                    "s3.${Region}.amazonaws.com"
                ]
            }
        }
    }]
}

Autorizzazioni per chattare con il documento

Collegare la seguente policy per fornire al ruolo le autorizzazioni per utilizzare i modelli di Amazon Bedrock per chattare con il documento:

JSON
{
    "Version":"2012-10-17",
    "Statement": [
        {
			"Effect": "Allow",
			"Action": [
				"bedrock:RetrieveAndGenerate"
			],
			"Resource": "*"
		}
    ]
}

Per concedere a un utente solo l’accesso per chattare con il documento (e non per RetrieveAndGenerate in tutte le knowledge base), utilizzare la seguente policy:

JSON
{
    "Version":"2012-10-17",
    "Statement": [
        {
			"Effect": "Allow",
			"Action": [
				"bedrock:RetrieveAndGenerate"
			],
			"Resource": "*"
		},
        {
			"Effect": "Deny",
			"Action": [
				"bedrock:Retrieve"
			],
			"Resource": "*"
		}
    ]
}

Se desideri utilizzare il documento tramite chat e utilizzarlo RetrieveAndGenerate su una Knowledge Base specifica, fornisci una ${KnowledgeBaseArn} e utilizza la seguente politica:

JSON
{
    "Version":"2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "bedrock:RetrieveAndGenerate"
            ],
            "Resource": "*"
        },
        {
            "Effect": "Allow",
            "Action": [
                "bedrock:Retrieve"
            ],
            "Resource": "arn:aws:bedrock:us-east-1:123456789012:knowledge-base/$KnowledgeBaseId"
        }
    ]
}

Autorizzazioni per contenuti multimodali

Quando si lavora con contenuti multimodali (immagini, audio, video), sono necessarie autorizzazioni aggiuntive a seconda dell'approccio di elaborazione utilizzato.

Autorizzazioni Nova Multimodal Embeddings

Quando si utilizza Nova Multimodal Embeddings, allegate la seguente politica per fornire le autorizzazioni per l'invocazione asincrona del modello:

{
    "Sid": "BedrockInvokeModelStatement",
    "Effect": "Allow",
    "Action": ["bedrock:InvokeModel"],
    "Resource": [
        "arn:aws:bedrock:us-east-1::foundation-model/amazon.nova-*-multimodal-embeddings-*",
        "arn:aws:bedrock:us-east-1::async-invoke/*"
    ],
    "Condition": {
        "StringEquals": {
            "aws:ResourceAccount": ""
        }
    }
},
{
    "Sid": "BedrockGetAsyncInvokeStatement",
    "Effect": "Allow",
    "Action": ["bedrock:GetAsyncInvoke"],
    "Resource": ["arn:aws:bedrock:us-east-1::async-invoke/*"],
    "Condition": {
        "StringEquals": {
            "aws:ResourceAccount": ""
        }
    }
}

Autorizzazioni Bedrock Data Automation (BDA)

Quando utilizzi BDA per elaborare contenuti multimodali, allega la seguente politica:

{
    "Sid": "BDAInvokeStatement",
    "Effect": "Allow",
    "Action": ["bedrock:InvokeDataAutomationAsync"],
    "Resource": [
        "arn:aws:bedrock:us-east-1:aws:data-automation-project/public-rag-default",
        "arn:aws:bedrock:us-east-1::data-automation-profile/*"
    ]
},
{
    "Sid": "BDAGetStatement",
    "Effect": "Allow",
    "Action": ["bedrock:GetDataAutomationStatus"],
    "Resource": "arn:aws:bedrock:us-east-1::data-automation-invocation/*"
}

Se utilizzi AWS KMS chiavi gestite dal cliente con BDA, allega anche la seguente politica. Sostituisci account-id e key-id con region i tuoi valori specifici:

{
    "Sid": "KmsPermissionStatementForBDA",
    "Effect": "Allow",
    "Action": [
        "kms:GenerateDataKey",
        "kms:Decrypt",
        "kms:DescribeKey",
        "kms:CreateGrant"
    ],
    "Resource": ["arn:aws:kms:region:account-id:key/key-id"],
    "Condition": {
        "StringEquals": {
            "aws:ResourceAccount": "account-id",
            "kms:ViaService": "bedrock.region.amazonaws.com"
        }
    }
}

Autorizzazioni di destinazione di archiviazione multimodale

Quando configuri un bucket di destinazione di archiviazione multimodale per la tua knowledge base, allega la seguente politica JSON IAM. Sostituiscilo amzn-s3-demo-bucket con il nome del tuo bucket di storage multimodale e con l'ID del tuo account AWS. account-id Questa policy concede alla tua knowledge base le autorizzazioni di lettura, scrittura ed eliminazione per i contenuti multimodali analizzati in Amazon S3:

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "S3MultimodalStorageListStatement",
            "Effect": "Allow",
            "Action": ["s3:ListBucket"],
            "Resource": ["arn:aws:s3:::amzn-s3-demo-bucket"],
            "Condition": {
                "StringEquals": {
                    "aws:ResourceAccount": "account-id"
                }
            }
        },
        {
            "Sid": "S3MultimodalStorageObjectStatement",
            "Effect": "Allow",
            "Action": [
                "s3:PutObject",
                "s3:GetObject",
                "s3:DeleteObject"
            ],
            "Resource": ["arn:aws:s3:::amzn-s3-demo-bucket/*"],
            "Condition": {
                "StringEquals": {
                    "aws:ResourceAccount": "account-id"
                }
            }
        }
    ]
}

Autorizzazioni per accedere all’Indice GenAI di Amazon Kendra

Se è stato creato un Indice GenAI di Amazon Kendra per la knowledge base, collegare la seguente policy al ruolo di servizio di Knowledge Base per Amazon Bedrock per consentire l’accesso all’indice. Nella policy, sostituisci, ${Partition} ${Region}${AccountId}, e ${IndexId} con i valori del tuo indice. È possibile consentire l’accesso a più cluster di database aggiungendoli all’elenco Resource. Per consentire l'accesso a tutti gli indici del tuo Account AWS, sostituiscilo ${IndexId} con un carattere jolly (*).

JSON
{
    "Version":"2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "kendra:Retrieve",
                "kendra:DescribeIndex"
            ],
            "Resource": "arn:aws:kendra:us-east-1:123456789012:index/${IndexId}" 
        }
    ]
}

Autorizzazioni per accedere al tuo database vettoriale in Amazon Serverless OpenSearch

Se hai creato un database vettoriale in OpenSearch Serverless per la tua knowledge base, allega la seguente policy al tuo ruolo di servizio Amazon Bedrock Knowledge Bases per consentire l'accesso alla raccolta. Sostituisci ${Region} e ${AccountId} con la regione e l'ID dell'account a cui appartiene il database. Inserisci l'ID della tua collezione Amazon OpenSearch Service in${CollectionId}. È possibile consentire l’accesso a più raccolte aggiungendole all’elenco Resource.

JSON
{
    "Version":"2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "aoss:APIAccessAll"
            ],
            "Resource": [
                "arn:aws:aoss:us-east-1:123456789012:collection/${CollectionId}"
            ]
        }
    ]
}

Autorizzazioni per accedere al tuo database vettoriale in OpenSearch Managed Clusters

Se hai creato un database vettoriale in OpenSearch Managed Cluster per la tua knowledge base, allega la seguente policy al tuo ruolo di servizio Amazon Bedrock Knowledge Bases per consentire l'accesso al dominio. Sostituisci <region> e <accountId> con la regione e l'ID dell'account a cui appartiene il database. È possibile consentire l’accesso a più domini aggiungendoli all’elenco Resource. Per ulteriori informazioni sulla configurazione delle autorizzazioni, consultare Prerequisiti e autorizzazioni necessari per l'utilizzo di OpenSearch Managed Clusters con Amazon Bedrock Knowledge Bases.

JSON
{
    "Version":"2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",       
            "Action": [
                "es:ESHttpGet", 
                "es:ESHttpPost", 
                "es:ESHttpPut", 
                "es:ESHttpDelete" 
            ],
            "Resource": [
                "arn:aws:es:us-east-1:123456789012:domain/domainName/indexName"
            ]       
        }, 
        {
            "Effect": "Allow",
            "Action": [
                "es:DescribeDomain" 
            ],
            "Resource": [
                "arn:aws:es:us-east-1:123456789012:domain/domainName"
            ]       
        }
    ]
}

Autorizzazioni per accedere al cluster di database di Amazon Aurora

Nota

Il cluster Amazon Aurora deve risiedere nello Account AWS stesso in cui è stata creata la knowledge base per Amazon Bedrock.

Se è stato creato un cluster di database (DB) in Amazon Aurora per la knowledge base, collegare la seguente policy al ruolo di servizio di Knowledge Base per Amazon Bedrock per consentire l’accesso al cluster di database e fornire autorizzazioni in lettura e scrittura su di esso. Sostituisci ${Region} e ${AccountId} con la regione e l'ID dell'account a cui appartiene il cluster DB. Inserisci l'ID del cluster di database Amazon Aurora in${DbClusterId}. È possibile consentire l’accesso a più cluster di database aggiungendole all’elenco Resource.

JSON
{
    "Version":"2012-10-17",
    "Statement": [
        {
            "Sid": "RdsDescribeStatementID",
            "Effect": "Allow",
            "Action": [
                "rds:DescribeDBClusters"
            ],
            "Resource": [
                "arn:aws:rds:us-east-1:123456789012:cluster:${DbClusterId}"
            ]
        },
        {
            "Sid": "DataAPIStatementID",
            "Effect": "Allow",
            "Action": [
                "rds-data:BatchExecuteStatement",
                "rds-data:ExecuteStatement"
            ],
            "Resource": [
                "arn:aws:rds:us-east-1:123456789012:cluster:${DbClusterId}"
            ]
        }
    ]
}

Autorizzazioni per accedere al database vettoriale in Analisi Amazon Neptune

Se è stato creato un grafo di Analisi Amazon Neptune per la knowledge base, collegare la seguente policy al ruolo di servizio di Knowledge Base per Amazon Bedrock per consentire l’accesso al grafo. Nella policy, sostituisci ${Region} and ${AccountId} con la regione e l'ID dell'account a cui appartiene il database. Sostituiscilo ${GraphId} con i valori del tuo database grafico.

JSON
{
    "Version":"2012-10-17",
    "Statement": [
        {
            "Sid": "NeptuneAnalyticsAccess",
            "Effect": "Allow",
            "Action": [
                "neptune-graph:GetGraph",
                "neptune-graph:ReadDataViaQuery",
                "neptune-graph:WriteDataViaQuery",
                "neptune-graph:DeleteDataViaQuery"
            ],
            "Resource": [
                "arn:aws:neptune-graph:us-east-1:123456789012:graph/${GraphId}"
            ]
        }
    ]
}

Autorizzazioni per accedere all’archivio vettoriale in Amazon S3 Vectors

Se si è scelto di utilizzare Amazon S3 Vectors per la knowledge base, collegare la seguente policy al ruolo di servizio di Knowledge Base per Amazon Bedrock per consentire l’accesso all’indice vettoriale.

Nella policy, sostituisci ${Region} e ${AccountId} con la regione e l'ID dell'account a cui appartiene l'indice vettoriale. Sostituisci ${BucketName} con il nome del tuo bucket vettoriale S3 e ${IndexName} con il nome del tuo indice vettoriale. Per ulteriori informazioni su Amazon S3 Vectors, consultare Configurazione per utilizzare Amazon S3 Vectors.

JSON
{
    "Version":"2012-10-17",
    "Statement": [
        {
            "Sid": "S3VectorBucketReadAndWritePermission",
            "Effect": "Allow",
            "Action": [
                "s3vectors:PutVectors",
                "s3vectors:GetVectors",
                "s3vectors:DeleteVectors",
                "s3vectors:QueryVectors",
                "s3vectors:GetIndex"
            ],
            "Resource": "arn:aws:s3vectors:us-east-1:123456789012:bucket/${BucketName}/index/${IndexName}"
        }
    ]
}

Autorizzazioni per accedere a un database vettoriale configurato con un AWS Secrets Manager Secret

Se il database vettoriale è configurato con un AWS Secrets Manager segreto, allega la seguente policy al tuo ruolo di servizio Amazon Bedrock Knowledge Bases AWS Secrets Manager per consentire l'autenticazione del tuo account per accedere al database. Sostituisci ${Region} and ${AccountId} con la regione e l'ID dell'account a cui appartiene il database. Sostituisci ${SecretId} con l'ID del tuo segreto.

JSON
{
    "Version":"2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "secretsmanager:GetSecretValue"
            ],
            "Resource": [
                "arn:aws:secretsmanager:us-east-1:123456789012:secret:${SecretId}"
            ]
        }
    ]
}

Se hai crittografato il tuo segreto con una AWS KMS chiave, allega le autorizzazioni per decrittografare la chiave del ruolo seguendo i passaggi indicati. Autorizzazioni per decrittografare un AWS Secrets Manager segreto per il vector store contenente la tua knowledge base

Autorizzazioni per AWS per gestire un AWS KMS chiave per l'archiviazione transitoria dei dati durante l'inserimento dei dati

Per consentire la creazione di una AWS KMS chiave per l'archiviazione temporanea dei dati durante il processo di acquisizione della fonte di dati, allega la seguente policy al tuo ruolo di servizio Amazon Bedrock Knowledge Bases. Sostituisci${Region}, e con i ${AccountId} valori appropriati. ${KeyId}

JSON
{
    "Version":"2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "kms:GenerateDataKey",
                "kms:Decrypt"
            ],
            "Resource": [
                "arn:aws:kms:us-east-1:123456789012:key/${KeyId}"
            ]
        }
    ]
}

Autorizzazioni per AWS per gestire un'origine dati da quella di un altro utente AWS account.

Per consentire l'accesso all' AWS account di un altro utente, devi creare un ruolo che consenta l'accesso tra account a un bucket Amazon S3 nell'account di un altro utente. Sostituisci ${BucketName}${BucketOwnerAccountId}, e ${BucketNameAndPrefix} con i valori appropriati.

Autorizzazioni richieste per il ruolo della knowledge base

Il ruolo della knowledge base fornito durante la creazione della knowledge base createKnowledgeBase richiede le seguenti autorizzazioni Amazon S3.

JSON
{
    "Version":"2012-10-17",
    "Statement": [
        {
            "Sid": "S3ListBucketStatement",
            "Effect": "Allow",
            "Action": [
                "s3:ListBucket"
            ],
            "Resource": [
                "arn:aws:s3:::amzn-s3-demo-bucket"
            ],
            "Condition": {
                "StringEquals": {
                    "aws:ResourceAccount": "123456789012"
                }
            }
        },
        {
            "Sid": "S3GetObjectStatement",
            "Effect": "Allow",
            "Action": [
                "s3:GetObject"
            ],
            "Resource": [
                "arn:aws:s3:::amzn-s3-demo-bucket/*"
            ],
            "Condition": {
                "StringEquals": {
                    "aws:ResourceAccount": "123456789012"
                }
            }
        }
    ]
}

Se il bucket Amazon S3 è crittografato utilizzando una AWS KMS chiave, è necessario aggiungere anche quanto segue al ruolo della knowledge base. Sostituisci la ${BucketOwnerAccountId} e ${Region} con i valori appropriati.

{
        "Sid": "KmsDecryptStatement",
        "Effect": "Allow",
        "Action": [
            "kms:Decrypt"
        ],
        "Resource": [
            "arn:aws:kms:${Region}:${BucketOwnerAccountId}:key/${KeyId}"
        ],
        "Condition": {
        "StringEquals": {
            "kms:ViaService": [
                "s3.${Region}.amazonaws.com"
            ]
        }
        }
    }

Autorizzazioni richieste per una policy di bucket Amazon S3 multi-account

Il bucket nell’altro account richiede la seguente policy di bucket Amazon S3. Sostituisci ${KbRoleArn}${BucketName}, e ${BucketNameAndPrefix} con i valori appropriati.

JSON
{
   "Version":"2012-10-17",
   "Statement": [
      {
         "Sid": "ListBucket",
         "Effect": "Allow",
         "Principal": {
            "AWS": "123456789012"
         },
         "Action": [
            "s3:ListBucket"
         ],
         "Resource": [
            "arn:aws:s3:::amzn-s3-demo-bucket"
         ]
      },
      {
         "Sid": "GetObject",
         "Effect": "Allow",
         "Principal": {
            "AWS": "123456789012"
         },
         "Action": [
            "s3:GetObject"
         ],
         "Resource": [
            "arn:aws:s3:::amzn-s3-demo-bucket/*"
         ]
      }
   ]
}

Autorizzazioni richieste sulla politica relativa alle chiavi tra più account AWS KMS

Se il bucket Amazon S3 con più account è crittografato utilizzando una AWS KMS chiave in quell'account, la politica della AWS KMS chiave richiede la seguente politica. Sostituisci la ${KbRoleArn} e ${KmsKeyArn} con i valori appropriati.

{
    "Sid": "Example policy",
    "Effect": "Allow",
    "Principal": {
        "AWS": [
            "${KbRoleArn}"
        ]
    },
    "Action": [
        "kms:Decrypt"
    ],
    "Resource": "${KmsKeyArn}"
}