Autorizzazioni IAM per la configurazione gestita dall'utente (3LO)

Con la configurazione gestita dall'utente (3LO), accedi a un'origine dati di terze parti (ad esempio SharePointOneDrive, oConfluence) direttamente dalla console Amazon Bedrock Knowledge Bases e Amazon Bedrock Managed Knowledge Base gestisce l'autenticazione. Per completare questo flusso, il principale IAM che avvia l'accesso deve essere in grado di richiedere l'URL di autorizzazione e scambiare il codice risultante con un token. Il principale deve anche essere in grado di creare il AWS Secrets Manager segreto che memorizza il token. Questa pagina descrive le autorizzazioni IAM da concedere a quel principale.

Nota

Le autorizzazioni in questa pagina si applicano all'utente della console che avvia la configurazione gestita dall'utente (3LO). Sono distinte dalle autorizzazioni concesse al ruolo di esecuzione della knowledge base, che richiede l'accesso in lettura e scrittura al segreto per l'aggiornamento del token. Per le autorizzazioni del ruolo di esecuzione, consulta le pagine di configurazione specifiche del connettore, ad esempio, o. User-managed configurazione (3LO) User-managed configurazione (3LO) User-managed configurazione (3LO)

Autorizzazioni Amazon Bedrock per il flusso di accesso

Sono necessarie le seguenti autorizzazioni Amazon Bedrock per avviare il flusso di accesso alla configurazione gestita dagli utenti (3LO). Amazon Bedrock lo utilizza GetDataSourceAuthorizationUrl per creare l'URL di autorizzazione di terze parti che si apre nel popup di accesso. Viene utilizzato CreateDataSourceToken per scambiare il codice di autorizzazione con un token dopo aver autorizzato la connessione.

{
    "Version": "2012-10-17",
    "Statement": [{
        "Sid": "BedrockManagedKb3LO",
        "Effect": "Allow",
        "Action": [
            "bedrock:GetDataSourceAuthorizationUrl",
            "bedrock:CreateDataSourceToken"
        ],
        "Resource": "*"
    }]
}

AWS Secrets Manager autorizzazioni per il segreto generato

Quando effettui l'accesso, Amazon Bedrock Managed Knowledge Base crea un codice segreto nel tuo AWS account per archiviare il token di aggiornamento 3LO. È necessaria secretsmanager:CreateSecret l'autorizzazione per accedere ai segreti creati da Amazon Bedrock.

Quando scegli Accedi, puoi facoltativamente fornire un prefisso di nome segreto. Amazon Bedrock Managed Knowledge Base include questo prefisso nell'ARN segreto generato. Con un prefisso, puoi limitare l'Resourceelemento solo ai segreti che Amazon Bedrock crea per la configurazione gestita dall'utente. Se non fornisci un prefisso, Amazon Bedrock default lo utilizza.

L'ARN segreto generato segue questo schema:

arn:aws:secretsmanager:region:account-id:secret:bedrock-managedkb-oauth/your-prefix/connector-type/uuid

Allega la seguente politica per assegnare secretsmanager:CreateSecret scoped ai segreti con il tuo prefisso:

{
    "Version": "2012-10-17",
    "Statement": [{
        "Sid": "BedrockManagedKb3LOCreateSecret",
        "Effect": "Allow",
        "Action": [
            "secretsmanager:CreateSecret"
        ],
        "Resource": [
            "arn:aws:secretsmanager:region:account-id:secret:bedrock-managedkb-oauth/your-prefix/*"
        ]
    }]
}

Nota

Se non fornite un prefisso per il nome segreto, sostituite il your-prefix segmento nell'Resourceelemento condefault, in modo che abbia l'ambito a. arn:aws:secretsmanager:region:account-id:secret:bedrock-managedkb-oauth/default/*

Esempio di politica combinata

La seguente policy combina Amazon Bedrock e AWS Secrets Manager le autorizzazioni necessarie all'utente della console per completare la configurazione gestita dall'utente (3LO):

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "BedrockManagedKb3LO",
            "Effect": "Allow",
            "Action": [
                "bedrock:GetDataSourceAuthorizationUrl",
                "bedrock:CreateDataSourceToken"
            ],
            "Resource": "*"
        },
        {
            "Sid": "BedrockManagedKb3LOCreateSecret",
            "Effect": "Allow",
            "Action": [
                "secretsmanager:CreateSecret"
            ],
            "Resource": [
                "arn:aws:secretsmanager:region:account-id:secret:bedrock-managedkb-oauth/your-prefix/*"
            ]
        }
    ]
}