Ausgehende Verbindungen und ausgehender Datenfluss in Amazon Quick

Was löst das aus — On-demand Konnektoren werden ausgeführt, wenn ein Benutzer sie initiiert. Automatisierte Workflow-Connectors werden nach einem Zeitplan oder als Reaktion auf ein Ereignis ohne Benutzerinteraktion ausgeführt.

Wer kontrolliert es — Ein Administrator erstellt und konfiguriert jeden Connector und wählt dabei die Authentifizierungsmethode (verwaltetes OAuth, benutzerdefiniertes Benutzer-OAuth, API-Schlüssel oder Service-to-Service) und die gewährten Bereiche aus. Ein Benutzer kann nur die Connectors aufrufen, die ein Administrator mit diesem Benutzer teilt. Administratoren können einzelne Aktionsconnectors zusätzlich durch benutzerdefinierte Berechtigungen einschränken. Jeder Connector unterstützt drei Berechtigungen: Aktion erstellen und aktualisieren , Aktion teilen und Aktion verwenden. Benutzerdefinierte Berechtigungsprofile gelten auf Benutzer-, Rollen- oder Kontoebene. Die spezifischste Ebene hat Vorrang. Weitere Informationen finden Sie unter Benutzerdefinierte Berechtigungen.

Was muss überprüft werden — Bevor Sie einen Connector aktivieren, überprüfen Sie die Authentifizierungsmethode und die gewährten OAuth-Bereiche, ob der Connector breit oder eng geteilt wird, ob er auf Anfrage oder automatisiert ist und was die Service-Level-Autorisierung zulässt. Die von Ihnen konfigurierten Anmeldeinformationen definieren die Reichweite des Connectors in das verbundene System. Der Connector kann auf der Grundlage der gewährten Bereiche und der Service-Level-Autorisierung handeln, mehr nicht.

Was löst es aus — Der KI-Assistent wählt während einer vom Benutzer initiierten oder automatisierten Konversation ein Tool aus. Während der Verbindung erkennt und registriert Amazon Quick die Tools, die der MCP-Server bereitstellt. Nach Abschluss der Erkennung wird jedes Tool als Aktion aufgeführt, die Sie überprüfen und aktivieren können.

Wer kontrolliert es — Ein Administrator erstellt die MCP-Integration in der Konsole. Die Integration spezifiziert die Endpunkt-URL, den Verbindungstyp (öffentliches Internet oder private VPC) und die Authentifizierungsmethode. Sie benötigen ein Enterprise-Abonnement. Administratoren können einzelne MCP-Connectors durch benutzerdefinierte Berechtigungen einschränken. Jeder Connector unterstützt drei Berechtigungen: Aktion „Erstellen und aktualisieren“, Aktion „Teilen“ und Aktion „Verwenden“. Weitere Informationen finden Sie unter Benutzerdefinierte Berechtigungen.

Transportbeschränkung — Die MCP-Integration unterstützt nur Remoteserver. Lokale Studioverbindungen werden nicht unterstützt. Eine MCP-Integration kann keinen Prozess aufrufen, der auf einem lokalen Computer ausgeführt wird.

Was zu überprüfen ist — Überprüfen Sie vor der Aktivierung einer MCP-Integration, ob die Authentifizierung aktiviert ist (nicht authentifizierter Zugriff ist eine auswählbare Option), den OAuth-Bereich, falls die Benutzerauthentifizierung ausgewählt ist, den Netzwerkpfad (öffentliches Internet oder private VPC) und welche Tools der Server zur Verfügung stellt. Vergewissern Sie sich, dass nur die Tools aktiviert sind, die für den vorgesehenen Anwendungsfall erforderlich sind.

Was löst es aus — Der Assistent wählt während einer vom Benutzer initiierten Chat- oder Recherchesitzung die Websuche aus. Sie können die Websuche für einzelne Abfragen deaktivieren.

Wer kontrolliert sie — Ein Administrator aktiviert oder deaktiviert die Websuche für die Organisation. Wenn die Websuche aktiviert ist, können Sie sie für jede Abfrage deaktivieren. Web-Suchanfragen werden anhand der Hauptregion des Kontos durch bestimmte AWS Regionen weitergeleitet.

Was muss überprüft werden? Stellen Sie vor der Aktivierung der Websuche fest, ob für Ihren Anwendungsfall externe Webdaten erforderlich sind, und machen Sie sich damit vertraut, wie Abfragen regionsübergreifend weitergeleitet werden.

Was löst sie aus — Der Rechercheagent wählt Anbieter automatisch anhand ihrer Relevanz aus. Die Benutzer wählen aus, welche Anbieterkategorien für jede Forschungssitzung berücksichtigt werden sollen.

Wer kontrolliert es — Der Zugang zu Drittanbietern von Recherchen erfolgt über mehrere Kontrollmöglichkeiten. Ein Administrator richtet jede Integration einzeln ein und gibt sie nur an die Benutzer weiter, die Zugriff benötigen. Integrationen ohne gemeinsame Nutzung sind nicht verfügbar. Premium-Anbieter (FactSet, IDC, S&P Global Energy, S&P Global Market Intelligence) benötigen zusätzlich eine vom Administrator bereitgestellte Lizenz. Wenn Sie keine Lizenz bereitstellen, sind diese Anbieter weiterhin nicht verfügbar. Die Recherchefunktion in benutzerdefinierten Berechtigungen entfernt den Zugriff auf Research — und damit auf alle Drittanbieter — für ein bestimmtes Profil. Wenn Sie die Funktion „Internet nutzen, um die Ergebnisse zu verbessern“ einschränken, wird die webbasierte Suche in Chat-Agenten und in der Recherche separat entfernt.

Was zu überprüfen ist — Stellen Sie sicher, dass jede Datenintegration von Drittanbietern nur mit autorisierten Benutzern geteilt wird. Stellen Sie bei Premium-Anbietern sicher, dass Lizenzen nur dort bereitgestellt werden, wo sie benötigt werden. Stellen Sie bei öffentlichen Anbietern sicher, dass Ihre Richtlinien zur zulässigen Nutzung das Senden von Rechercheanfragen an externe Quellen zulassen. Verwenden Sie die Recherchefunktion in benutzerdefinierten Berechtigungen, um Recherchen für Profile, die keinen externen Anbieter erreichen dürfen, vollständig zu entfernen. Weitere Informationen zu benutzerdefinierten Berechtigungen finden Sie unterBenutzerdefinierte Berechtigungen.

Was löst es aus — Der App-Besitzer erstellt und veröffentlicht eine App. Anonyme Zuschauer greifen über eine öffentliche URL darauf zu.

Wer kontrolliert sie — Der Besitzer der App kontrolliert die Einstellungen für das Teilen und den öffentlichen Zugriff. Der öffentliche Zugriff ist nur für Free- und Plus-Konten verfügbar. Die Sandbox wird von der Plattform durchgesetzt und verhindert, dass App-Code direkte HTTP-Anfragen an externe Server sendet oder externe Ressourcen lädt.

Was Sie überprüfen müssen — Bevor Sie eine App veröffentlichen, stellen Sie sicher, dass öffentliche Zuschauer keinen Zugriff auf Integrationen haben, dass die Nutzung auf das Kontingent des Besitzers angerechnet wird und dass die Sandbox-Einschränkungen Ihren Sicherheitsanforderungen entsprechen.

Was löst das aus — Ein Administrator oder Entwickler konfiguriert die Einbettung über IAM-API-Aufrufe. Endbenutzer greifen dann auf den eingebetteten Inhalt in der Host-Anwendung zu.

Wer kontrolliert es — Ein Enterprise-Abonnement ist erforderlich. Der Administrator oder Entwickler konfiguriert den AllowedDomains Parameter, um einzuschränken, welche Domains eingebettete Inhalte hosten können. Die IAM-Richtlinienbedingung AllowedEmbeddingDomains bietet zusätzliche Einschränkungen.

Was muss überprüft werden? Stellen Sie vor der Aktivierung der Einbettung sicher, dass jede Domäne auf der Zulassungsliste von Ihrer Organisation kontrolliert wird, dass RLS und CLS für die zugrunde liegenden Datensätze konfiguriert sind und dass Sie über ein Enterprise-Abonnement verfügen.

Was löst es aus — Ein Benutzer initiiert eine Export- oder Download-Aktion in der Konsole.

Wer kontrolliert es — Ein Administrator kann die Exportfunktionen durch benutzerdefinierte Berechtigungen einschränken. Beispielsweise können Sie den Zugriff auf die Option „In PDF exportieren“ in Analysen und Dashboards deaktivieren. Für benutzerdefinierte Berechtigungen ist ein Enterprise-Abonnement erforderlich.

Was zu überprüfen ist — Es gibt keine einzige konsolidierte Export-Sicherheitskonfiguration. Prüfen Sie, ob die Exportfunktionen durch benutzerdefinierte Berechtigungen für die jeweiligen Rollen eingeschränkt sind, ob geplante E-Mail-Berichte auf die vorgesehenen Empfänger beschränkt sind und ob Ihre Compliance-Anforderungen den Speicherort exportierter Daten einschränken.

Was löst es aus — Ein Administrator konfiguriert die Zustellung. Nach der Konfiguration erfolgt die Lieferung kontinuierlich oder geplant.

Wer kontrolliert es — Ein Administrator konfiguriert das Lieferziel (CloudWatch Logs, Amazon S3 oder Firehose). Für die Einrichtung der Zustellung sind IAM-Berechtigungen erforderlich. Wenn ein Ziel einen vom Kunden verwalteten KMS-Schlüssel verwendet, muss die Schlüsselrichtlinie dies dem Zustellungsdienst-Prinzipal ermöglichen.

Was zu überprüfen ist — Bevor Sie die Protokollzustellung konfigurieren, sollten Sie die Verschlüsselungs- und Zugriffsrichtlinien am Zielort und die Aufbewahrungsrichtlinien am Zielort überprüfen und sicherstellen, dass das Personal mit Zugriff auf das Ziel versteht, dass Chat-Protokolle vertrauliche Daten enthalten können.

Was bewegt sich — Inferenzeingaben (Eingabeaufforderungen) und -ausgaben (Ergebnisse) können sich während der Verarbeitung außerhalb der primären Region bewegen. Alle Daten werden verschlüsselt über das AWS sichere Netzwerk übertragen.

Was löst es aus — Amazon Quick wählt automatisch die optimale Region innerhalb einer definierten Region aus, um Inferenzanfragen zu verarbeiten. Sie initiieren oder planen dieses Routing nicht.

Wer kontrolliert es — Cross-Region Inferenz ist kein vom Kunden konfigurierbarer ausgehender Pfad. Inferenzen werden innerhalb der Regionen verarbeitet, aus denen sich Ihre Region zusammensetzt, keine Daten gelangen an Dritte, und die gespeicherten Daten verbleiben in Ihrer Hauptregion. Da es kein ausgehendes Ziel gibt, gibt es kein Ziel, das Sie genehmigen oder einschränken müssten. Sie können die regionsübergreifende Inferenz nicht deaktivieren. Überprüfen Sie stattdessen, zu welcher Region Ihre Region gehört. Vergewissern Sie sich, dass die geografische Grenze Ihre Anforderungen an die Datenresidenz erfüllt.

Grenzen — Cross-Region Inferenzanfragen bleiben innerhalb der AWS Regionen, die Teil der Geografie sind, in der sich die Daten ursprünglich befinden. Gespeicherte Daten verbleiben nur in der primären Region.