Cifrado de los recursos de Amazon Bedrock Flows - Amazon Bedrock

Las traducciones son generadas a través de traducción automática. En caso de conflicto entre la traducción y la version original de inglés, prevalecerá la version en inglés.

Cifrado de los recursos de Amazon Bedrock Flows

Amazon Bedrock cifra los datos en reposo. De forma predeterminada, Amazon Bedrock cifra estos datos mediante una clave administrada de AWS . Si lo desea, puede cifrar los datos mediante una clave gestionada por el cliente.

Para obtener más información AWS KMS keys, consulte las claves administradas por el cliente en la Guía para AWS Key Management Service desarrolladores.

Si cifra los datos con una clave KMS personalizada, debe configurar la siguiente política basada en la identidad y la política basada en recursos para permitir que Amazon Bedrock cifre y descifre los datos en su nombre.

  1. Adjunte la siguiente política basada en la identidad a un rol o usuario de IAM con permisos para realizar llamadas a la API de Amazon Bedrock Flows. Esta política valida que el usuario que realiza llamadas a Amazon Bedrock Flows tenga permisos de KMS. Sustituya los ${account-id} valores${region},${flow-id}, y por ${key-id} los correspondientes.

    JSON
    {
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "EncryptFlow",
            "Effect": "Allow",
            "Action": [
                "kms:GenerateDataKey",
                "kms:Decrypt"
            ],
            "Resource": "arn:aws:kms:us-east-1:123456789012:key/${key-id}",
            "Condition": {
                "StringEquals": {
                    "kms:EncryptionContext:aws:bedrock-flows:arn": "arn:aws:bedrock:us-east-1:123456789012:flow/${flow-id}",
                    "kms:ViaService": "bedrock.us-east-1.amazonaws.com"
                }
            }
        }
    ]
}

  2. Asocie la siguiente política basada en recursos a su clave KMS. Cambie el alcance de los permisos según sea necesario. Sustituya {IAM-USER/ROLE-ARN}${region},${account-id},${flow-id}, y por ${key-id} los valores adecuados.

    JSON
    {
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "Allow account root to modify the KMS key, not used by Amazon Bedrock.",
            "Effect": "Allow",
            "Principal": {
                "AWS": "arn:aws:iam::123456789012:root"
            },
            "Action": "kms:*",
            "Resource": "arn:aws:kms:us-east-1:123456789012:key/${key-id}"
        },
        {
            "Sid": "Allow the IAM user or IAM role of Flows API caller to use the key to encrypt and decrypt data.",
            "Effect": "Allow",
            "Principal": {
                "AWS": "{IAM-USER/ROLE-ARN}"
            },
            "Action": [
                "kms:GenerateDataKey",
                "kms:Decrypt"
            ],
            "Resource": "arn:aws:kms:us-east-1:123456789012:key/${key-id}",
            "Condition": {
                "StringEquals": {
                    "kms:EncryptionContext:aws:bedrock-flows:arn": "arn:aws:bedrock:us-east-1:123456789012:flow/${flow-id}",
                    "kms:ViaService": "bedrock.${region}.amazonaws.com"
                }
            }
        }
    ]
}

  3. Para las ejecuciones de flujos, adjunte la siguiente política basada en la identidad a un rol de servicio con permisos para crear y administrar flujos. Esta política valida que su rol de servicio tenga permisos. AWS KMS Sustituya regionaccount-id,flow-id, y por key-id los valores adecuados.

    JSON
    {
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "EncryptionFlows",
            "Effect": "Allow",
            "Action": [
                "kms:GenerateDataKey",
                "kms:Decrypt"
            ],
            "Resource": "arn:aws:kms:us-east-1:123456789012:key/key-id",
            "Condition": {
                "StringEquals": {
                    "kms:EncryptionContext:aws:bedrock-flows:arn": "arn:aws:bedrock:us-east-1:123456789012:flow/flow-id",
                    "kms:ViaService": "bedrock.us-east-1.amazonaws.com"
                }
            }
        }
    ]
}