Configurez votre moteur de requête et vos autorisations pour créer une base de connaissances avec un magasin de données structuré

(Si vous vous authentifiez avec IAM et qu'aucun utilisateur n'a encore été créé pour votre base de données) Exécutez la commande suivante, qui utilise CREATE USER pour créer un utilisateur de base de données et l'autoriser à s'authentifier via IAM, en le ${service-role} remplaçant par le nom du rôle de service Amazon Bedrock Knowledge Bases personnalisé que vous avez créé :

CREATE USER "IAMR:${service-role}" WITH PASSWORD DISABLE;

Accordez à une identité l'autorisation de récupérer des informations de votre base de données en exécutant la commande GRANT.

Pour un contrôle plus précis des tables accessibles, vous pouvez remplacer des noms de tables ALL TABLES spécifiques par la notation suivante :. ${schemaName} ${tableName} Pour plus d'informations sur cette notation, consultez la section Objets de requête sur Requêtes entre bases de données.

Si vous avez créé un nouveau schéma dans la base de données Redshift, exécutez la commande suivante pour accorder des autorisations d'identité sur le nouveau schéma.

GRANT USAGE ON SCHEMA ${schemaName} TO "IAMR:${serviceRole}";

Exécutez la commande suivante, qui utilise CREATE USER pour créer un utilisateur de base de données et l'autoriser à s'authentifier via IAM, en ${service-role} remplaçant par le nom du rôle de service Amazon Bedrock Knowledge Bases personnalisé que vous avez créé :

CREATE USER "IAMR:${service-role}" WITH PASSWORD DISABLE;

Accordez au rôle de service les autorisations nécessaires pour récupérer des informations de votre base de données en exécutant la commande GRANT suivante :

GRANT USAGE ON DATABASE awsdatacatalog TO "IAMR:${serviceRole}";

Pour autoriser l'accès à vos AWS Glue Data Catalog bases de données, associez les autorisations suivantes au rôle de service :

Accordez des autorisations à votre rôle de service via AWS Lake Formation (pour en savoir plus sur Lake Formation et sa relation avec Amazon Redshift, voir Sources de données pour Redshift) en procédant comme suit :

1. Connectez-vous à la AWS Management Console console Lake Formation et ouvrez-la à l'adresse https://console.aws.amazon.com/lakeformation/.

2. Sélectionnez Autorisations relatives aux données dans le volet de navigation de gauche.

3. Accordez des autorisations au rôle de service que vous utilisez pour les bases de connaissances Amazon Bedrock.

4. Accordez les autorisations Describe et Select pour vos bases de données et vos tables.

Selon la source de données dans laquelle vous utilisez AWS Glue Data Catalog, vous devrez peut-être ajouter des autorisations pour accéder à cette source de données (pour plus d'informations, voir AWS Glue Dépendance par rapport à d'autres Services AWS). Par exemple, si votre source de données se trouve dans un emplacement Amazon S3, vous devez ajouter la déclaration suivante à la politique ci-dessus.

{
    "Sid": "Statement1",
    "Effect": "Allow",
    "Action": [
        "s3:ListBucket",
        "s3:GetObject"
    ],
    "Resource": [
        "arn:aws:s3:::${BucketName}",
        "arn:aws:s3:::${BucketName}/*"
    ]
}

(Facultatif) Si vous cryptez les données dans Amazon S3 ou AWS Glue Data Catalog si vous devez ajouter des autorisations au rôle pour déchiffrer les données de la clé KMS. AWS KMS

{
    "Action": [
        "kms:Decrypt"
    ],
    "Resource": [
        "arn:aws:kms:${Region}:${Account}:key/{KmsId}",
        "arn:aws:kms:${Region}:${Account}:key/{KmsId}"
    ],
    "Effect": "Allow"
}