Izin IAM untuk penyiapan yang dikelola pengguna (3LO)

Dengan penyiapan yang dikelola pengguna (3LO), Anda masuk ke sumber data pihak ketiga (seperti,, atauConfluence) langsung dari konsol Amazon Bedrock Knowledge Bases SharePointOneDrive, dan Amazon Bedrock Managed Knowledge Base menangani autentikasi. Untuk menyelesaikan alur ini, prinsipal IAM yang memulai proses masuk harus dapat meminta URL otorisasi dan menukar kode yang dihasilkan dengan token. Kepala sekolah juga harus dapat membuat AWS Secrets Manager rahasia yang menyimpan token. Halaman ini menjelaskan izin IAM yang harus Anda berikan kepada prinsipal tersebut.

catatan

Izin di halaman ini berlaku untuk pengguna konsol yang memulai penyiapan yang dikelola pengguna (3LO). Mereka terpisah dari izin yang diberikan untuk peran eksekusi basis pengetahuan, yang membutuhkan akses baca dan tulis ke rahasia untuk penyegaran token. Untuk izin peran eksekusi, lihat halaman penyiapan khusus konektor, sepertiUser-managed pengaturan (3LO),, atau. User-managed pengaturan (3LO) User-managed pengaturan (3LO)

Izin Amazon Bedrock untuk alur masuk

Anda memerlukan izin Amazon Bedrock berikut untuk memulai alur masuk penyiapan yang dikelola pengguna (3LO). Amazon Bedrock menggunakan GetDataSourceAuthorizationUrl untuk membangun URL otorisasi pihak ketiga yang terbuka di popup masuk. Ini digunakan CreateDataSourceToken untuk menukar kode otorisasi untuk token setelah Anda mengotorisasi koneksi.

{
    "Version": "2012-10-17",
    "Statement": [{
        "Sid": "BedrockManagedKb3LO",
        "Effect": "Allow",
        "Action": [
            "bedrock:GetDataSourceAuthorizationUrl",
            "bedrock:CreateDataSourceToken"
        ],
        "Resource": "*"
    }]
}

AWS Secrets Manager izin untuk rahasia yang dihasilkan

Saat Anda masuk, Amazon Bedrock Managed Knowledge Base membuat rahasia di AWS akun Anda untuk menyimpan token penyegaran 3LO. Anda memerlukan secretsmanager:CreateSecret izin tentang rahasia yang dibuat Amazon Bedrock.

Saat Anda memilih Masuk, Anda dapat memberikan awalan nama rahasia secara opsional. Amazon Bedrock Managed Knowledge Base menyertakan awalan ini di ARN rahasia yang dihasilkan. Dengan awalan, Anda dapat membuat cakupan Resource elemen hanya ke rahasia yang dibuat Amazon Bedrock untuk penyiapan yang dikelola pengguna. Jika Anda tidak memberikan awalan, Amazon Bedrock menggunakan default sebagai awalan.

ARN rahasia yang dihasilkan mengikuti pola ini:

arn:aws:secretsmanager:region:account-id:secret:bedrock-managedkb-oauth/your-prefix/connector-type/uuid

Lampirkan kebijakan berikut untuk memberikan secretsmanager:CreateSecret cakupan rahasia dengan awalan Anda:

{
    "Version": "2012-10-17",
    "Statement": [{
        "Sid": "BedrockManagedKb3LOCreateSecret",
        "Effect": "Allow",
        "Action": [
            "secretsmanager:CreateSecret"
        ],
        "Resource": [
            "arn:aws:secretsmanager:region:account-id:secret:bedrock-managedkb-oauth/your-prefix/*"
        ]
    }]
}

catatan

Jika Anda tidak memberikan awalan nama rahasia, ganti your-prefix segmen dalam Resource elemen dengandefault, sehingga cakupannya. arn:aws:secretsmanager:region:account-id:secret:bedrock-managedkb-oauth/default/*

Contoh kebijakan gabungan

Kebijakan berikut menggabungkan Amazon Bedrock dan AWS Secrets Manager izin yang diperlukan pengguna konsol untuk menyelesaikan penyiapan yang dikelola pengguna (3LO):

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "BedrockManagedKb3LO",
            "Effect": "Allow",
            "Action": [
                "bedrock:GetDataSourceAuthorizationUrl",
                "bedrock:CreateDataSourceToken"
            ],
            "Resource": "*"
        },
        {
            "Sid": "BedrockManagedKb3LOCreateSecret",
            "Effect": "Allow",
            "Action": [
                "secretsmanager:CreateSecret"
            ],
            "Resource": [
                "arn:aws:secretsmanager:region:account-id:secret:bedrock-managedkb-oauth/your-prefix/*"
            ]
        }
    ]
}