Chiffrement des ressources Amazon Bedrock Flows - Amazon Bedrock

Les traductions sont fournies par des outils de traduction automatique. En cas de conflit entre le contenu d'une traduction et celui de la version originale en anglais, la version anglaise prévaudra.

Chiffrement des ressources Amazon Bedrock Flows

Amazon Bedrock chiffre vos données au repos. Par défaut, Amazon Bedrock chiffre ces données à l’aide d’une clé gérée par AWS. Vous pouvez éventuellement chiffrer les données à l’aide d’une clé gérée par le client.

Pour plus d'informationsAWS KMS keys, consultez la section Clés gérées par le client dans le Guide du AWS Key Management Service développeur.

Si vous chiffrez des données à l’aide d’une clé KMS personnalisée, vous devez configurer la politique suivante basée sur l’identité et la politique suivante basée sur les ressources pour permettre à Amazon Bedrock de chiffrer et déchiffrer les données en votre nom.

  1. Attachez la politique suivante basée sur l’identité à un rôle ou utilisateur IAM avec les autorisations requises pour effectuer des appels d’API Amazon Bedrock Flows. Cette politique vérifie que l’utilisateur effectuant des appels Amazon Bedrock Flows dispose des autorisations KMS. Remplacez ${region}, ${account-id}, ${flow-id} et ${key-id} par les valeurs appropriées.

    JSON
    {
    "Version":"2012-10-17",		 	 	 
    "Statement": [
        {
            "Sid": "EncryptFlow",
            "Effect": "Allow",
            "Action": [
                "kms:GenerateDataKey",
                "kms:Decrypt"
            ],
            "Resource": "arn:aws:kms:us-east-1:123456789012:key/${key-id}",
            "Condition": {
                "StringEquals": {
                    "kms:EncryptionContext:aws:bedrock-flows:arn": "arn:aws:bedrock:us-east-1:123456789012:flow/${flow-id}",
                    "kms:ViaService": "bedrock.us-east-1.amazonaws.com"
                }
            }
        }
    ]
}

  2. Attachez la politique suivante basée sur les ressources à votre clé KMS. Modifiez l’étendue des autorisations si nécessaire. Remplacez les valeurs {IAM-USER/ROLE-ARN} ${region}${account-id},${flow-id}, et ${key-id} par les valeurs appropriées.

    JSON
    {
    "Version":"2012-10-17",		 	 	 
    "Statement": [
        {
            "Sid": "AllowRootModifyKMSId",
            "Effect": "Allow",
            "Principal": {
                "AWS": "arn:aws:iam::123456789012:root"
            },
            "Action": "kms:*",
            "Resource": "arn:aws:kms:us-east-1:123456789012:key/KeyId"
        },
        {
            "Sid": "AllowRoleUseKMSKey",
            "Effect": "Allow",
            "Principal": {
                "AWS": "arn:aws:iam::123456789012:role/RoleName"
            },
            "Action": [
                "kms:GenerateDataKey",
                "kms:Decrypt"
            ],
            "Resource": "arn:aws:kms:us-east-1:123456789012:key/${key-id}",
            "Condition": {
                "StringEquals": {
                    "kms:EncryptionContext:aws:bedrock-flows:arn": "arn:aws:bedrock:us-east-1:123456789012:flow/FlowId",
                    "kms:ViaService": "bedrock.us-east-1.amazonaws.com"
                }
            }
        }
    ]
}

  3. Pour les exécutions de flux, associez la politique basée sur l’identité suivante à un rôle de service disposant des autorisations nécessaires pour créer et gérer des flux. Cette politique confirme que votre rôle de service dispose d'AWS KMSautorisations. Remplacez region, account-id, flow-id et key-id par les valeurs appropriées.

    JSON
    {
    "Version":"2012-10-17",		 	 	 
    "Statement": [
        {
            "Sid": "EncryptionFlows",
            "Effect": "Allow",
            "Action": [
                "kms:GenerateDataKey",
                "kms:Decrypt"
            ],
            "Resource": "arn:aws:kms:us-east-1:123456789012:key/key-id",
            "Condition": {
                "StringEquals": {
                    "kms:EncryptionContext:aws:bedrock-flows:arn": "arn:aws:bedrock:us-east-1:123456789012:flow/flow-id",
                    "kms:ViaService": "bedrock.us-east-1.amazonaws.com"
                }
            }
        }
    ]
}