View a markdown version of this page

Document-level kontrol akses - Amazon Bedrock
Cara kerjanyaApa yang merangkakAktifkan kesadaran ACLReal-time verifikasi aksesVerifikasi konfigurasi AndaPemecahan masalah

Terjemahan disediakan oleh mesin penerjemah. Jika konten terjemahan yang diberikan bertentangan dengan versi bahasa Inggris aslinya, utamakan versi bahasa Inggris.

Document-level kontrol akses

Kesadaran ACL bukan otorisasi

Basis Pengetahuan Terkelola Bedrock menyediakan pem ACL-aware filteran, bukan batas keamanan. Basis Pengetahuan Terkelola Bedrock tidak mengotentikasi pengguna akhir — aplikasi Anda bertanggung jawab untuk mengotentikasi pengguna dan meneruskan konteks identitas terverifikasi. Karena Basis Pengetahuan Terkelola Bedrock tidak dapat memverifikasi keaslian konteks pengguna yang Anda berikan, fitur ini menyaring hasil berdasarkan identitas yang Anda berikan tetapi bukan merupakan otorisasi yang sebenarnya. Anda tidak boleh mengandalkan fitur ini sebagai mekanisme kontrol akses tunggal tanpa otentikasi hulu.

Sumber data Google Drive secara opsional mendukung kontrol akses tingkat dokumen. Saat diaktifkan, Basis Pengetahuan Terkelola Bedrock menyinkronkan daftar kontrol akses (ACL) dari Google Drive selama setiap perayapan dan memverifikasi izin setiap pengguna pada waktu kueri, sehingga pengguna hanya melihat hasil dari dokumen yang diizinkan untuk mereka akses di Google Drive. Untuk ikhtisar kesadaran ACL di semua konektor, lihatPengaktifan kesadaran Daftar Kontrol Akses.

Cara kerjanya

Saat pengguna menanyakan basis pengetahuan yang menggunakan sumber data ACL-enabled Google Drive, Basis Pengetahuan Terkelola Bedrock memberlakukan kontrol akses dalam dua tahap:

  • Pre-retrieval pemfilter an — Basis Pengetahuan Terkelola Bedrock menerapkan daftar kontrol akses yang disinkronkan dari Google Drive selama perayapan terakhir, mengembalikan hanya dokumen kandidat yang diizinkan untuk diakses pengguna (atau grup mereka).

  • Real-time verifikasi — Basis Pengetahuan Terkelola Bedrock memverifikasi dokumen kandidat secara real time dengan memeriksa akses pengguna saat ini yang melakukan kueri di Google Drive. Hanya dokumen yang saat ini diotorisasi untuk diakses pengguna yang disertakan dalam tanggapan.

Pendekatan dua tahap ini menyediakan kontrol akses tingkat dokumen yang tetap terkini bahkan ketika izin Google Drive berubah di antara sinkronisasi.

Apa yang merangkak

Saat ACL diaktifkan, Basis Pengetahuan Terkelola Bedrock akan merayapi izin berbagi tingkat file dari Google Drive, termasuk:

  • Berbagi pengguna langsung (izin file individual)

  • Keanggotaan Grup Google

  • Keanggotaan drive bersama

Aktifkan kesadaran ACL

Untuk mengaktifkan kesadaran ACL untuk sumber data Google Drive, setel aclEnabled ke true dalam connectorParameters dan gunakan jenis autenti SERVICE_ACCOUNT kasi. Akun layanan harus mengaktifkan delegasi seluruh domain di konsol admin Google Workspace Anda.

penting

Konfigurasi ACL bersifat permanen. Anda tidak dapat mengaktifkan ACL pada sumber data yang dibuat tanpa dukungan ACL, dan Anda tidak dapat menonaktifkan ACL setelah diaktifkan.

AWS Secrets Manager Rahasianya harus mencakupadminAccountEmail,clientEmail, danprivateKey. Untuk petunjuk langkah demi langkah untuk membuat akun layanan, mengonfigurasi delegasi seluruh domain, dan mendapatkan nilai-nilai ini, lihat. Menyiapkan otentikasi akun layanan untuk Google Drive

"connectorParameters": {
    "type": "GOOGLEDRIVE",
    "version": "1",
    "aclEnabled": true,
    "connectionConfiguration": {
        "authType": "SERVICE_ACCOUNT",
        "secretArn": "arn:aws:secretsmanager:region:account-id:secret:secret-name"
    },
    "dataEntityConfiguration": {
        "crawlMyDrive": true,
        "crawlSharedWithMe": false,
        "crawlSharedDrives": false
    }
}
catatan

Jenis OAUTH2 autentikasi tidak didukung untuk sumber data ACL-enabled Google Drive. Anda harus menggunakan SERVICE_ACCOUNT dengan delegasi seluruh domain.

Real-time verifikasi akses

Basis Pengetahuan Terkelola Bedrock menggunakan delegasi seluruh domain akun layanan untuk memverifikasi akses dokumen secara real time terhadap API Google Drive, mengonfirmasi bahwa pengguna yang melakukan kueri masih memiliki akses ke setiap dokumen kandidat.

Verifikasi konfigurasi Anda

Anda dapat memvalidasi konfigurasi akun layanan Anda secara independen dari permintaan pengambilan. Lakukan setiap pemeriksaan berikut:

  1. Domain-wide delegasi:

    • Di konsol Admin Google Workspace, konfirmasikan ID klien akun layanan diotorisasi untuk cakupan yang diperlukan (cakupan baca saja Google Drive dan Admin SDK directory/group baca).

  2. Akses drive (crawling dan verifikasi):

    • Menggunakan akun layanan (clientEmaildanprivateKey) menyamaradminAccountEmail, panggil API Google Drive untuk mencantumkan file pengguna dan mengonfirmasi bahwa file tersebut berhasil.

  3. Resolusi grup:

    • Panggil Admin SDK Directory API untuk mencantumkan keanggotaan grup pengguna dan mengonfirmasi bahwa ia mengembalikan grup yang diharapkan.

Pemecahan masalah

catatan

Kesalahan konfigurasi ACL tidak menghasilkan kesalahan eksplisit selama pengambilan. Pengambilan gagal ditutup: dokumen yang terpengaruh secara diam-diam dihilangkan, sehingga kueri mengembalikan hasil yang lebih sedikit atau nol daripada kesalahan. Gunakan pemeriksaan verifikasi di atas untuk mendiagnosis masalah ini.

ACL-enabled Gejala, penyebab, dan perbaikan Google Drive
Gejala Kemungkinan penyebabnya Memperbaiki
Ambil mengembalikan hasil 0, tetapi pengguna memiliki akses di Google Drive. Domain-wide delegasi tidak dikonfigurasi, atau akun layanan tidak memiliki cakupan yang diperlukan, sehingga akses tidak dapat diverifikasi. Otorisasi ID klien akun layanan untuk cakupan Drive dan Admin SDK yang diperlukan di konsol Admin Google Workspace.
Group-based Akses tidak dihormati. Lingkup directory/group baca Admin SDK hilang dari delegasi. Tambahkan cakupan baca grup Admin SDK ke delegasi seluruh domain akun layanan.
Perayapan atau sinkronisasi gagal. clientEmail/privateKeytidak valid, atau adminAccountEmail bukan admin Workspace. Verifikasi kredenSIAL akun layanan dan itu adminAccountEmail adalah administrator Workspace.
Semua pengguna ditolak setelah sebelumnya bekerja. Kunci akun layanan diputar atau dicabut. Per privateKey barui rahasia.