Configure el motor de consultas y los permisos para crear una base de conocimientos con un almacén de datos estructurado

(Si se autentica con IAM y aún no se ha creado un usuario para la base de datos) Ejecute el siguiente comando, que utiliza CREATE USER para crear un usuario de base de datos y permitir que se autentique a través de IAM, sustituyéndolo ${service-role} por el nombre del rol de servicio personalizado de Amazon Bedrock Knowledge Bases que creó:

CREATE USER "IAMR:${service-role}" WITH PASSWORD DISABLE;

Otorgue permisos de identidad para recuperar información de su base de datos ejecutando el comando GRANT.

Para un control más detallado de las tablas a las que se puede acceder, puede reemplazar nombres de tablas ALL TABLES específicos con la siguiente notación:. ${schemaName} ${tableName} Para obtener más información sobre esta notación, consulte la sección de objetos de consulta en consultas entre bases de datos.

Si ha creado un esquema nuevo en la base de datos de Redshift, ejecute el siguiente comando para conceder permisos de identidad para el nuevo esquema.

GRANT USAGE ON SCHEMA ${schemaName} TO "IAMR:${serviceRole}";

Ejecute el siguiente comando, que usa CREATE USER para crear un usuario de base de datos y permitir que se autentique a través de IAM, sustituyéndolo ${service-role} por el nombre del rol de servicio personalizado de Amazon Bedrock Knowledge Bases que creó:

CREATE USER "IAMR:${service-role}" WITH PASSWORD DISABLE;

Otorgue al rol de servicio permisos para recuperar información de la base de datos ejecutando el siguiente comando GRANT:

GRANT USAGE ON DATABASE awsdatacatalog TO "IAMR:${serviceRole}";

Para permitir el acceso a sus AWS Glue Data Catalog bases de datos, asocie los siguientes permisos a la función de servicio:

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "VisualEditor0",
            "Effect": "Allow",
            "Action": [
                "glue:GetDatabases",
                "glue:GetDatabase",
                "glue:GetTables",
                "glue:GetTable",
                "glue:GetPartitions",
                "glue:GetPartition",
                "glue:SearchTables"
            ],
            "Resource": [
                "arn:aws:glue:${Region}:${Account}:table/${DatabaseName}/${TableName}",
                "arn:aws:glue:${Region}:${Account}:database/${DatabaseName}",
                "arn:aws:glue:${Region}:${Account}:catalog"
            ]
        }
    ]
}

Otorgue permisos a su función de servicio de la siguiente manera AWS Lake Formation (para obtener más información sobre Lake Formation y su relación con Amazon Redshift, consulte Fuentes de datos de Redshift):

1. Inicie sesión en y abra la AWS Management Console consola de Lake Formation en https://console.aws.amazon.com/lakeformation/.

2. Seleccione Permisos de datos en el panel de navegación izquierdo.

3. Conceda permisos al rol de servicio que está utilizando para las bases de conocimiento de Amazon Bedrock.

4. Otorgue los permisos de descripción y selección para sus bases de datos y tablas.

En función de la fuente de datos que utilice AWS Glue Data Catalog, es posible que necesite añadir permisos para acceder a esa fuente de datos (para obtener más información, consulte la sección sobre la AWS Glue dependencia de otras fuentes Servicios de AWS). Por ejemplo, si su fuente de datos se encuentra en una ubicación de Amazon S3, tendrá que añadir la siguiente declaración a la política anterior.

{
    "Sid": "Statement1",
    "Effect": "Allow",
    "Action": [
        "s3:ListBucket",
        "s3:GetObject"
    ],
    "Resource": [
        "arn:aws:s3:::${BucketName}",
        "arn:aws:s3:::${BucketName}/*"
    ]
}

(Opcional) Si lo utiliza AWS KMS para cifrar los datos en Amazon S3 o AWS Glue Data Catalog, entonces necesita añadir permisos al rol para descifrar los datos de la clave de KMS.

{
    "Action": [
        "kms:Decrypt"
    ],
    "Resource": [
        "arn:aws:kms:${Region}:${Account}:key/{KmsId}",
        "arn:aws:kms:${Region}:${Account}:key/{KmsId}"
    ],
    "Effect": "Allow"
}