Verschlüsselung von Amazon Bedrock Flow-Ressourcen - Amazon Bedrock

Die vorliegende Übersetzung wurde maschinell erstellt. Im Falle eines Konflikts oder eines Widerspruchs zwischen dieser übersetzten Fassung und der englischen Fassung (einschließlich infolge von Verzögerungen bei der Übersetzung) ist die englische Fassung maßgeblich.

Verschlüsselung von Amazon Bedrock Flow-Ressourcen

Amazon Bedrock verschlüsselt Ihre Daten im Ruhezustand. Standardmäßig verschlüsselt Amazon Bedrock diese Daten mit einem AWS -verwalteten Schlüssel. Optional können Sie die Daten mit einem vom Kunden verwalteten Schlüssel verschlüsseln.

Weitere Informationen dazu finden Sie AWS KMS keys unter Vom Kunden verwaltete Schlüssel im AWS Key Management Service Entwicklerhandbuch.

Wenn Sie Daten mit einem benutzerdefinierten KMS-Schlüssel verschlüsseln, müssen Sie die folgenden identitäts- und ressourcenbasierten Richtlinien einrichten, damit Amazon Bedrock Daten in Ihrem Namen ver- und entschlüsseln kann.

  1. Fügen Sie die folgende identitätsbasierte Richtlinie einer IAM-Rolle oder einem IAM-Benutzer hinzu, der berechtigt ist, Amazon Bedrock Flows API-Aufrufe zu tätigen. Diese Richtlinie bestätigt, dass der Benutzer, der Amazon Bedrock Flows-Anrufe tätigt, über KMS-Berechtigungen verfügt. Ersetzen Sie${region}, ${account-id}${flow-id}, und durch die ${key-id} entsprechenden Werte.

    JSON
    {
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "EncryptFlow",
            "Effect": "Allow",
            "Action": [
                "kms:GenerateDataKey",
                "kms:Decrypt"
            ],
            "Resource": "arn:aws:kms:us-east-1:123456789012:key/${key-id}",
            "Condition": {
                "StringEquals": {
                    "kms:EncryptionContext:aws:bedrock-flows:arn": "arn:aws:bedrock:us-east-1:123456789012:flow/${flow-id}",
                    "kms:ViaService": "bedrock.us-east-1.amazonaws.com"
                }
            }
        }
    ]
}

  2. Hängen Sie die folgende ressourcenbasierte Richtlinie Ihrem KMS-Schlüssel an. Ändern Sie den Geltungsbereich der Berechtigungen nach Bedarf. Ersetzen Sie{IAM-USER/ROLE-ARN},${region}, ${account-id}${flow-id}, und ${key-id} durch die entsprechenden Werte.

    JSON
    {
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "Allow account root to modify the KMS key, not used by Amazon Bedrock.",
            "Effect": "Allow",
            "Principal": {
                "AWS": "arn:aws:iam::123456789012:root"
            },
            "Action": "kms:*",
            "Resource": "arn:aws:kms:us-east-1:123456789012:key/${key-id}"
        },
        {
            "Sid": "Allow the IAM user or IAM role of Flows API caller to use the key to encrypt and decrypt data.",
            "Effect": "Allow",
            "Principal": {
                "AWS": "{IAM-USER/ROLE-ARN}"
            },
            "Action": [
                "kms:GenerateDataKey",
                "kms:Decrypt"
            ],
            "Resource": "arn:aws:kms:us-east-1:123456789012:key/${key-id}",
            "Condition": {
                "StringEquals": {
                    "kms:EncryptionContext:aws:bedrock-flows:arn": "arn:aws:bedrock:us-east-1:123456789012:flow/${flow-id}",
                    "kms:ViaService": "bedrock.${region}.amazonaws.com"
                }
            }
        }
    ]
}

  3. Fügen Sie bei Flow-Ausführungen die folgende identitätsbasierte Richtlinie einer Servicerolle mit Berechtigungen zum Erstellen und Verwalten von Flows hinzu. Diese Richtlinie bestätigt, dass Ihre Servicerolle über Berechtigungen verfügt. AWS KMS Ersetzen Sieregion, account-idflow-id, und key-id durch die entsprechenden Werte.

    JSON
    {
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "EncryptionFlows",
            "Effect": "Allow",
            "Action": [
                "kms:GenerateDataKey",
                "kms:Decrypt"
            ],
            "Resource": "arn:aws:kms:us-east-1:123456789012:key/key-id",
            "Condition": {
                "StringEquals": {
                    "kms:EncryptionContext:aws:bedrock-flows:arn": "arn:aws:bedrock:us-east-1:123456789012:flow/flow-id",
                    "kms:ViaService": "bedrock.us-east-1.amazonaws.com"
                }
            }
        }
    ]
}