Chiffrement des ressources des agents pour les agents créés avant le 22 janvier 2025 - Amazon Bedrock

Les traductions sont fournies par des outils de traduction automatique. En cas de conflit entre le contenu d'une traduction et celui de la version originale en anglais, la version anglaise prévaudra.

Chiffrement des ressources des agents pour les agents créés avant le 22 janvier 2025

Important

Si vous avez créé votre agent après le 22 janvier 2025, suivez les instructions relatives au Chiffrement des ressources de l’agent

Amazon Bedrock chiffre les informations de session de l’agent. Par défaut, Amazon Bedrock chiffre ces données à l'aide d'une clé AWS gérée. Vous avez aussi la possibilité de chiffrer les artefacts de l’agent à l’aide d’une clé gérée par le client.

Pour plus d'informationsAWS KMS keys, consultez la section Clés gérées par le client dans le Guide du AWS Key Management Service développeur.

Si vous chiffrez des sessions avec l’agent à l’aide d’une clé KMS personnalisée, vous devez configurer la politique suivante basée sur l’identité et la politique suivante basée sur les ressources pour permettre à Amazon Bedrock de chiffrer et de déchiffrer les ressources de l’agent en votre nom.

  1. Associez la politique suivante basée sur l’identité à un rôle ou à un utilisateur IAM avec les autorisations requises pour envoyer des appels à InvokeAgent. Cette politique valide que l’utilisateur effectuant un appel InvokeAgent dispose des autorisations KMS. Remplacez ${region}, ${account-id}, ${agent-id} et ${key-id} par les valeurs appropriées.

    JSON
    {
    "Version":"2012-10-17",		 	 	 
    "Statement": [
        {
            "Sid": "EncryptDecryptAgents",
            "Effect": "Allow",
            "Action": [
                "kms:GenerateDataKey",
                "kms:Decrypt"
            ],
            "Resource": "arn:aws:kms:us-east-1:123456789012:key/key-id",
            "Condition": {
                "StringEquals": {
                    "kms:EncryptionContext:aws:bedrock:arn": "arn:aws:bedrock:us-east-1:123456789012:agent/agent-id"
                }
            }
        }
    ]
}

  2. Attachez la politique suivante basée sur les ressources à votre clé KMS. Modifiez l’étendue des autorisations si nécessaire. Remplacez ${region}, ${account-id}, ${agent-id} et ${key-id} par les valeurs appropriées.

    JSON
    {
    "Version":"2012-10-17",		 	 	 
    "Statement": [
        {
            "Sid": "AllowRootModifyKMSKey",
            "Effect": "Allow",
            "Principal": {
                "AWS": "arn:aws:iam::123456789012:root"
            },
            "Action": "kms:*",
            "Resource": "arn:aws:kms:us-east-1:123456789012:key/KeyId"
        },
        {
            "Sid": "AllowBedrockEncryptAgent",
            "Effect": "Allow",
            "Principal": {
                "Service": "bedrock.amazonaws.com"
            },
            "Action": [
                "kms:GenerateDataKey",
                "kms:Decrypt"
            ],
            "Resource": "arn:aws:kms:us-east-1:123456789012:key/KeyId",
            "Condition": {
                "StringEquals": {
                    "kms:EncryptionContext:aws:bedrock:arn": "arn:aws:bedrock:us-east-1:123456789012:agent/AgentId"
                }
            }
        },
        {
            "Sid": "AllowRoleEncryptAgent",
            "Effect": "Allow",
            "Principal": {
                "AWS": "arn:aws:iam::123456789012:role/Role"
            },
            "Action": [
                "kms:GenerateDataKey*",
                "kms:Decrypt"
            ],
            "Resource": "arn:aws:kms:us-east-1:123456789012:key/KeyId"
        },
        {
            "Sid": "AllowAttachmentPersistentResources",
            "Effect": "Allow",
            "Principal": {
                "Service": "bedrock.amazonaws.com"
            },
            "Action": [
                "kms:CreateGrant",
                "kms:ListGrants",
                "kms:RevokeGrant"
            ],
            "Resource": "*",
            "Condition": {
                "Bool": {
                    "kms:GrantIsForAWSResource": "true"
                }
            }
        }
    ]
}