IAM-Berechtigungen für benutzerverwaltetes Setup (3LO)

Mit der benutzerverwalteten Einrichtung (3LO) melden Sie sich direkt von der Amazon Bedrock Knowledge Bases-Konsole aus bei einer Drittanbieter-Datenquelle (wie SharePointOneDrive, oderConfluence) an, und Amazon Bedrock Managed Knowledge Base kümmert sich um die Authentifizierung. Um diesen Vorgang abzuschließen, muss der IAM-Principal, der die Anmeldung startet, in der Lage sein, die Autorisierungs-URL anzufordern und den resultierenden Code gegen ein Token auszutauschen. Der Principal muss auch in der Lage sein, den AWS Secrets Manager geheimen Schlüssel zu erstellen, in dem das Token gespeichert wird. Auf dieser Seite werden die IAM-Berechtigungen beschrieben, die Sie diesem Principal gewähren müssen.

Anmerkung

Die Berechtigungen auf dieser Seite gelten für den Konsolenbenutzer, der das benutzerverwaltete Setup (3LO) initiiert. Sie unterscheiden sich von den Berechtigungen, die der Knowledge-Base-Ausführungsrolle gewährt wurden, die Lese- und Schreibzugriff auf das Secret für die Token-Aktualisierung benötigt. Die Berechtigungen für die Ausführungsrolle finden Sie auf den connectorspezifischen Einrichtungsseiten, z. B. User-managed einrichten (3LO)User-managed einrichten (3LO), oder. User-managed einrichten (3LO)

Amazon Bedrock-Berechtigungen für den Anmeldeablauf

Sie benötigen die folgenden Amazon Bedrock-Berechtigungen, um den Anmeldevorgang für das benutzerverwaltete Setup (3LO) zu starten. Amazon Bedrock verwendetGetDataSourceAuthorizationUrl, um die Autorisierungs-URL eines Drittanbieters zu erstellen, die im Anmelde-Popup geöffnet wird. Es wird verwendetCreateDataSourceToken, um den Autorisierungscode gegen ein Token auszutauschen, nachdem Sie die Verbindung autorisiert haben.

{
    "Version": "2012-10-17",
    "Statement": [{
        "Sid": "BedrockManagedKb3LO",
        "Effect": "Allow",
        "Action": [
            "bedrock:GetDataSourceAuthorizationUrl",
            "bedrock:CreateDataSourceToken"
        ],
        "Resource": "*"
    }]
}

AWS Secrets Manager Berechtigungen für das generierte Geheimnis

Wenn Sie sich anmelden, erstellt Amazon Bedrock Managed Knowledge Base ein Geheimnis in Ihrem AWS Konto, um das 3LO-Aktualisierungstoken zu speichern. Sie benötigen eine secretsmanager:CreateSecret Genehmigung für die Geheimnisse, die Amazon Bedrock erstellt.

Wenn Sie Anmelden wählen, können Sie optional ein geheimes Namenspräfix angeben. Amazon Bedrock Managed Knowledge Base nimmt dieses Präfix in den generierten geheimen ARN auf. Mit einem Präfix können Sie das Resource Element nur auf die Geheimnisse beschränken, die Amazon Bedrock für die benutzerverwaltete Einrichtung erstellt. Wenn Sie kein Präfix angeben, verwendet Amazon Bedrock es default als Präfix.

Der generierte geheime ARN folgt diesem Muster:

arn:aws:secretsmanager:region:account-id:secret:bedrock-managedkb-oauth/your-prefix/connector-type/uuid

Fügen Sie die folgende Richtlinie hinzu, um secretsmanager:CreateSecret Secred-to-Secrets mit Ihrem Präfix zuzuweisen:

{
    "Version": "2012-10-17",
    "Statement": [{
        "Sid": "BedrockManagedKb3LOCreateSecret",
        "Effect": "Allow",
        "Action": [
            "secretsmanager:CreateSecret"
        ],
        "Resource": [
            "arn:aws:secretsmanager:region:account-id:secret:bedrock-managedkb-oauth/your-prefix/*"
        ]
    }]
}

Anmerkung

Wenn Sie kein geheimes Namenspräfix angeben, ersetzen Sie das your-prefix Segment im Resource Element durchdefault, sodass es den Gültigkeitsbereich hat. arn:aws:secretsmanager:region:account-id:secret:bedrock-managedkb-oauth/default/*

Beispiel für eine kombinierte Richtlinie

Die folgende Richtlinie kombiniert Amazon Bedrock und AWS Secrets Manager Berechtigungen, die der Konsolenbenutzer benötigt, um das benutzerverwaltete Setup (3LO) abzuschließen:

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "BedrockManagedKb3LO",
            "Effect": "Allow",
            "Action": [
                "bedrock:GetDataSourceAuthorizationUrl",
                "bedrock:CreateDataSourceToken"
            ],
            "Resource": "*"
        },
        {
            "Sid": "BedrockManagedKb3LOCreateSecret",
            "Effect": "Allow",
            "Action": [
                "secretsmanager:CreateSecret"
            ],
            "Resource": [
                "arn:aws:secretsmanager:region:account-id:secret:bedrock-managedkb-oauth/your-prefix/*"
            ]
        }
    ]
}