Configuración del motor de consultas y los permisos para crear una base de conocimiento con un almacén de datos estructurados

(Si se autentica con IAM y aún no se ha creado un usuario para la base de datos) Ejecute el siguiente comando, que utiliza CREATE USER para crear un usuario de base de datos y permitir que se autentique a través de IAM, sustituyéndolo ${service-role} por el nombre del rol de servicio personalizado de Amazon Bedrock Knowledge Bases que creó:

CREATE USER "IAMR:${service-role}" WITH PASSWORD DISABLE;

Otorgue permisos de identidad para recuperar información de su base de datos ejecutando el comando GRANT.

Para tener un control más preciso de las tablas a las que se puede acceder, puede sustituir los nombres ALL TABLES específicos de las tablas por la siguiente notación:. ${schemaName} ${tableName} Para obtener más información sobre esta notación, consulte la sección Objetos de consulta en Consultas entre bases de datos.

Si ha creado un esquema nuevo en la base de datos de Redshift, ejecute el siguiente comando para conceder permisos de identidad para el nuevo esquema.

GRANT USAGE ON SCHEMA ${schemaName} TO "IAMR:${serviceRole}";

Ejecute el siguiente comando, que usa CREATE USER para crear un usuario de base de datos y permitir que se autentique a través de IAM, sustituyéndolo ${service-role} por el nombre del rol de servicio personalizado de Amazon Bedrock Knowledge Bases que creó:

CREATE USER "IAMR:${service-role}" WITH PASSWORD DISABLE;

Otorgue permisos de rol de servicio para recuperar información de su base de datos ejecutando el comando GRANT:

GRANT USAGE ON DATABASE awsdatacatalog TO "IAMR:${serviceRole}";

Para permitir el acceso a sus AWS Glue Data Catalog bases de datos, asocie los siguientes permisos a la función de servicio:

Otorgue permisos a su función de servicio de la siguiente manera AWS Lake Formation (para obtener más información sobre Lake Formation y su relación con Amazon Redshift, consulte Fuentes de datos de Redshift):

1. Inicie sesión en y abra la Consola de administración de AWS consola de Lake Formation en https://console.aws.amazon.com/lakeformation/.

2. En el panel de navegación izquierdo, seleccione Permisos de datos.

3. Conceda permisos al rol de servicio que está utilizando para Bases de conocimiento de Amazon Bedrock.

4. Conceda los permisos Describe y Select para sus bases de datos y tablas.

En función de la fuente de datos que utiliceAWS Glue Data Catalog, es posible que necesite añadir permisos para acceder a esa fuente de datos (para obtener más información, consulte la sección sobre la AWS Glue dependencia de otras fuentesServicios de AWS). Por ejemplo, si su origen de datos se encuentra en una ubicación de Amazon S3, tendrá que añadir la siguiente instrucción a la política anterior.

{
    "Sid": "Statement1",
    "Effect": "Allow",
    "Action": [
        "s3:ListBucket",
        "s3:GetObject"
    ],
    "Resource": [
        "arn:aws:s3:::${BucketName}",
        "arn:aws:s3:::${BucketName}/*"
    ]
}

(Opcional) Si lo utiliza AWS KMS para cifrar los datos en Amazon S3 oAWS Glue Data Catalog, entonces necesita añadir permisos al rol para descifrar los datos de la clave de KMS.

{
    "Action": [
        "kms:Decrypt"
    ],
    "Resource": [
        "arn:aws:kms:${Region}:${Account}:key/{KmsId}",
        "arn:aws:kms:${Region}:${Account}:key/{KmsId}"
    ],
    "Effect": "Allow"
}