Einrichten Ihrer Abfrage-Engine und der Berechtigungen zum Erstellen einer Wissensdatenbank mit strukturiertem Datenspeicher

(Wenn Sie sich mit IAM authentifizieren und noch kein Benutzer für Ihre Datenbank erstellt wurde) Führen Sie den folgenden Befehl aus, der CREATE USER verwendet, um einen Datenbankbenutzer zu erstellen und ihm die Authentifizierung über IAM zu erlauben. Ersetzen Sie dabei ${service-role} durch den Namen der benutzerdefinierten Servicerolle von Wissensdatenbanken für Amazon Bedrock, die Sie erstellt haben:

CREATE USER "IAMR:${service-role}" WITH PASSWORD DISABLE;

Erteilen Sie einer Identität Berechtigungen zum Abrufen von Informationen aus Ihrer Datenbank, indem Sie den Befehl GRANT ausführen.

Für eine genauere Kontrolle der Tabellen, auf die zugegriffen werden kann, können Sie ALL TABLES durch bestimmte Tabellennamen mit der folgenden Notation ersetzen: ${schemaName}${tableName}. Weitere Informationen zu dieser Notation finden Sie im Abschnitt Abfrageobjekte unter Datenbankübergreifende Abfragen.

Wenn Sie ein neues Schema in der Redshift-Datenbank erstellt haben, führen Sie den folgenden Befehl aus, um eine Identitätsberechtigung für das neue Schema zu erteilen.

GRANT USAGE ON SCHEMA ${schemaName} TO "IAMR:${serviceRole}";

Führen Sie den folgenden Befehl aus, der CREATE USER verwendet, um einen Datenbankbenutzer zu erstellen und ihm die Authentifizierung über IAM zu erlauben. Ersetzen Sie dabei ${service-role} durch den Namen der benutzerdefinierten Servicerolle von Wissensdatenbanken für Amazon Bedrock, die Sie erstellt haben:

CREATE USER "IAMR:${service-role}" WITH PASSWORD DISABLE;

Erteilen Sie der Servicerolle Berechtigungen zum Abrufen von Informationen aus Ihrer Datenbank, indem Sie den folgenden GRANT-Befehl ausführen:

GRANT USAGE ON DATABASE awsdatacatalog TO "IAMR:${serviceRole}";

Wenn Sie den Zugriff auf Ihre Datenbanken von AWS Glue Data Catalog zulassen möchten, fügen Sie der Servicerolle die folgenden Berechtigungen an:

Erteilen Sie Ihrer Servicerolle Berechtigungen über AWS Lake Formation (weitere Informationen zu Lake Formation und seiner Beziehung zu Amazon Redshift finden Sie unter Datenquellen für Redshift), indem Sie wie folgt vorgehen:

1. Melden Sie sich bei der AWS-Managementkonsole an und öffnen Sie die Lake-Formation-Konsole unter https://console.aws.amazon.com/lakeformation/.

2. Wählen Sie im linken Navigationsbereich Datenberechtigungen aus.

3. Erteilen Sie der Servicerolle, die Sie für Wissensdatenbanken für Amazon Bedrock verwenden, Berechtigungen.

4. Erteilen Sie Berechtigungen zum Beschreiben und Auswählen für Ihre Datenbanken und Tabellen.

Abhängig von der Datenquelle, die Sie in AWS Glue Data Catalog verwenden, müssen Sie möglicherweise Berechtigungen für den Zugriff auf diese Datenquelle hinzufügen (weitere Informationen finden Sie unter Abhängigkeit von AWS Glue von anderen AWS-Services). Wenn sich Ihre Datenquelle beispielsweise an einem Amazon-S3-Speicherort befindet, müssen Sie der obigen Richtlinie die folgende Anweisung hinzufügen.

{
    "Sid": "Statement1",
    "Effect": "Allow",
    "Action": [
        "s3:ListBucket",
        "s3:GetObject"
    ],
    "Resource": [
        "arn:aws:s3:::${BucketName}",
        "arn:aws:s3:::${BucketName}/*"
    ]
}

(Optional) Wenn Sie AWS KMS zum Verschlüsseln der Daten in Amazon S3 oder AWS Glue Data Catalog verwenden, müssen Sie der Rolle Berechtigungen hinzufügen, um die Daten auf dem KMS-Schlüssel zu entschlüsseln.

{
    "Action": [
        "kms:Decrypt"
    ],
    "Resource": [
        "arn:aws:kms:${Region}:${Account}:key/{KmsId}",
        "arn:aws:kms:${Region}:${Account}:key/{KmsId}"
    ],
    "Effect": "Allow"
}