本文属于机器翻译版本。若本译文内容与英语原文存在差异，则一律以英文原文为准。

批量评估加密

当您在批量评估中指定时，该服务使用带有 KMS () SSE-KMS 的 S3 服务器端加密来加密存储在 S3 中的所有输出对象。kmsKeyArn这包括数据源配置、会话元数据和评估结果。

在创建时通过指定StartBatchEvaluation。kmsKeyArn

工作原理

批量评估加密使用 S3 SSE-KMS。当该服务在 S3 中写入或读取批量评估输出时，S3 会代表该服务调用 KMS 来加密或解密数据。服务主体 (bedrock-agentcore.amazonaws.com) 必须在密钥策略中拥有 KMS 权限。

在 API 时，该服务使用试运行检查（转发访问会话）来验证调用者是否具有 KMS 权限。这样可以立即捕获权限问题，而不是在批量评估工作流程中异步失败。

该服务还验证其是否可以使用自己的凭据执行kms:GenerateDataKey，以确保密钥策略向服务主体授予写入加密输出所需的权限。

AgentCore 评估仅支持对称加密 KMS 密钥。KMS 密钥必须与批量评估位于同一 AWS 区域。

配置使用客户管理的 KMS 密钥的权限

以下密钥策略提供了批量评估加密所需的最低权限。该策略包含三条语句：

{
"Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "AllowCallerAccess",
      "Effect": "Allow",
      "Principal": {
        "AWS": "arn:aws:iam::111122223333:role/MyBatchEvaluationRole"
      },
      "Action": "kms:DescribeKey",
      "Resource": "*"
    },
    {
      "Sid": "AllowCallerCryptoOps",
      "Effect": "Allow",
      "Principal": {
        "AWS": "arn:aws:iam::111122223333:role/MyBatchEvaluationRole"
      },
      "Action": [
        "kms:GenerateDataKey",
        "kms:Decrypt"
      ],
      "Resource": "*",
      "Condition": {
        "StringLike": {
          "kms:EncryptionContext:aws:bedrock-agentcore:batchEvaluationArn": "arn:aws:bedrock-agentcore:us-east-1:111122223333:batch-evaluate/*"
        }
      }
    },
    {
      "Sid": "AllowServicePrincipalAccess",
      "Effect": "Allow",
      "Principal": {
        "Service": "bedrock-agentcore.amazonaws.com"
      },
      "Action": [
        "kms:GenerateDataKey",
        "kms:Decrypt"
      ],
      "Resource": "*",
      "Condition": {
        "StringEquals": {
          "aws:SourceAccount": "111122223333"
        },
        "ArnLike": {
          "aws:SourceArn": "arn:aws:bedrock-agentcore:us-east-1:111122223333:batch-evaluate/*"
        }
      }
    }
  ]
}

该政策包含以下声明：

缩小对客户管理的 KMS 密钥的访问权限

您可以使用加密上下文来缩小对客户管理密钥的访问范围。 AgentCore 评估包括所有 KMS 操作中的以下加密上下文：

{
  "aws:bedrock-agentcore:batchEvaluationArn": "arn:aws:bedrock-agentcore:us-east-1:111122223333:batch-evaluate/batch-evaluation-id"
}

您可以在密钥策略条件中使用此加密上下文将 KMS 操作限制为特定的批量评估，如上面示例密钥策略中的AllowCallerCryptoOps语句所示。请注意，AllowServicePrincipalAccessaws:SourceArn用于范围界定而不是加密上下文。

使用客户管理的 KMS 密钥开始批量评估

调用时指定kmsKeyArn参数StartBatchEvaluation：

监控 KMS 使用情况以进行批量评估

批量评估 KMS 操作会显示以下 CloudTrail 事件名称：

有关监控 KMS 使用情况的更多信息，请参阅密 AWS 钥管理服务开发人员指南 AWS CloudTrail中的使用记录 AWS KMS API 调用。

密钥不可用时的行为

如果您禁用或删除批量评估使用的客户管理的 KMS 密钥：

要恢复访问权限，请重新启用密钥或更新密钥策略以授予所需的权限。

上述批量评估生命周期操作映射到 AgentCore CLI 命令。stop和archive命令通过-i, --id <id>选项定位作业。该view batch-evaluation命令将 ID 作为位置参数：