Cifrado de los recursos de Flujos de Amazon Bedrock - Amazon Bedrock

Las traducciones son generadas a través de traducción automática. En caso de conflicto entre la traducción y la version original de inglés, prevalecerá la version en inglés.

Cifrado de los recursos de Flujos de Amazon Bedrock

Amazon Bedrock siempre cifra sus datos en reposo. De forma predeterminada, Amazon Bedrock cifra estos datos mediante una clave administrada de AWS. Si lo desea, puede cifrar los datos mediante una clave administrada por el cliente.

Para obtener más informaciónAWS KMS keys, consulte Claves administradas por el cliente en la Guía para AWS Key Management Service desarrolladores.

Si cifra los datos con una clave de KMS personalizada, debe configurar la política basada en identidades y la política basada en recursos siguientes para que Amazon Bedrock pueda cifrar y descifrar los datos en su nombre.

  1. Asocie la siguiente política basada en identidades a un usuario o rol de IAM con permisos para realizar llamadas a la API de Flujos de Amazon Bedrock. Esta política valida que el usuario que realiza llamadas de Amazon Bedrock tenga permisos de KMS. Sustituya los campos ${region}, ${account-id}, ${flow-id} y ${key-id} por los valores adecuados.

    JSON
    {
    "Version":"2012-10-17",		 	 	 
    "Statement": [
        {
            "Sid": "EncryptFlow",
            "Effect": "Allow",
            "Action": [
                "kms:GenerateDataKey",
                "kms:Decrypt"
            ],
            "Resource": "arn:aws:kms:us-east-1:123456789012:key/${key-id}",
            "Condition": {
                "StringEquals": {
                    "kms:EncryptionContext:aws:bedrock-flows:arn": "arn:aws:bedrock:us-east-1:123456789012:flow/${flow-id}",
                    "kms:ViaService": "bedrock.us-east-1.amazonaws.com"
                }
            }
        }
    ]
}

  2. Asocie la siguiente política basada en recursos a su clave KMS. Cambie el alcance de los permisos según sea necesario. Sustituya {IAM-USER/ROLE-ARN}${region},${account-id},${flow-id}, y por ${key-id} los valores adecuados.

    JSON
    {
    "Version":"2012-10-17",		 	 	 
    "Statement": [
        {
            "Sid": "AllowRootModifyKMSId",
            "Effect": "Allow",
            "Principal": {
                "AWS": "arn:aws:iam::123456789012:root"
            },
            "Action": "kms:*",
            "Resource": "arn:aws:kms:us-east-1:123456789012:key/KeyId"
        },
        {
            "Sid": "AllowRoleUseKMSKey",
            "Effect": "Allow",
            "Principal": {
                "AWS": "arn:aws:iam::123456789012:role/RoleName"
            },
            "Action": [
                "kms:GenerateDataKey",
                "kms:Decrypt"
            ],
            "Resource": "arn:aws:kms:us-east-1:123456789012:key/${key-id}",
            "Condition": {
                "StringEquals": {
                    "kms:EncryptionContext:aws:bedrock-flows:arn": "arn:aws:bedrock:us-east-1:123456789012:flow/FlowId",
                    "kms:ViaService": "bedrock.us-east-1.amazonaws.com"
                }
            }
        }
    ]
}

  3. Para las ejecuciones de flujos, asocie la siguiente política basada en la identidad a un rol de servicio con permisos para crear y administrar flujos. Esta política valida que su rol de servicio tenga AWS KMS permisos. Sustituya los campos region, account-id, flow-id y key-id por los valores adecuados.

    JSON
    {
    "Version":"2012-10-17",		 	 	 
    "Statement": [
        {
            "Sid": "EncryptionFlows",
            "Effect": "Allow",
            "Action": [
                "kms:GenerateDataKey",
                "kms:Decrypt"
            ],
            "Resource": "arn:aws:kms:us-east-1:123456789012:key/key-id",
            "Condition": {
                "StringEquals": {
                    "kms:EncryptionContext:aws:bedrock-flows:arn": "arn:aws:bedrock:us-east-1:123456789012:flow/flow-id",
                    "kms:ViaService": "bedrock.us-east-1.amazonaws.com"
                }
            }
        }
    ]
}