データセットの暗号化

データセットkmsKeyArnで を指定すると、サービスは KMS による S3 サーバー側の暗号化 (SSE-KMS) を使用して、保存されたすべての例を暗号化します。これには、ドラフトの例とすべての公開バージョンが含まれます。

kmsKeyArn はデータセットの作成後に変更できません。変更または削除することはできません。

仕組み

データセット暗号化は S3 SSE-KMS を使用します。サービスが S3 でデータセットコンテンツを書き込みまたは読み取ると、S3 はサービスに代わって KMS を呼び出してデータを暗号化または復号します。サービスプリンシパル (bedrock-agentcore.amazonaws.com) には、キーポリシーで KMS アクセス許可が必要です。

API 時に、サービスは、ドライランチェック (転送アクセスセッション) を使用して発信者に KMS アクセス許可があることを検証します。これにより、取り込み中に非同期的に失敗するのではなく、アクセス許可の問題がすぐに検出されます。

AgentCore Evaluations は、対称暗号化 KMS キーのみをサポートします。KMS キーは、データセットと同じ AWS リージョンにある必要があります。

必要なキーポリシー

次のキーポリシーは、データセットの暗号化に必要な最小限のアクセス許可を付与します。これには、次の 2 つのステートメントが含まれます。

{
"Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "AllowCallerAccess",
      "Effect": "Allow",
      "Principal": {
        "AWS": "arn:aws:iam::111122223333:role/MyDatasetRole"
      },
      "Action": [
        "kms:GenerateDataKey",
        "kms:Decrypt",
        "kms:DescribeKey"
      ],
      "Resource": "*"
    },
    {
      "Sid": "AllowAgentCoreDatasetAccess",
      "Effect": "Allow",
      "Principal": {
        "Service": "bedrock-agentcore.amazonaws.com"
      },
      "Action": [
        "kms:GenerateDataKey",
        "kms:Decrypt",
        "kms:DescribeKey"
      ],
      "Resource": "*"
    }
  ]
}

アクセスのスコープダウン

キーを使用できるタイミングを制限する条件を追加できます。データセットの場合、サービスは KMS 書き込みオペレーション () を使用して次のコンテキストを送信しますGenerateDataKey。

次のポリシーは、アクセス許可を書き込み (条件付き) と読み取り (無条件) に分割します。

{
"Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "AllowCallerAccess",
      "Effect": "Allow",
      "Principal": {
        "AWS": "arn:aws:iam::111122223333:role/MyDatasetRole"
      },
      "Action": [
        "kms:GenerateDataKey",
        "kms:Decrypt",
        "kms:DescribeKey"
      ],
      "Resource": "*"
    },
    {
      "Sid": "AllowAgentCoreDatasetWrite",
      "Effect": "Allow",
      "Principal": {
        "Service": "bedrock-agentcore.amazonaws.com"
      },
      "Action": "kms:GenerateDataKey",
      "Resource": "*",
      "Condition": {
        "StringEquals": {
          "aws:SourceAccount": "111122223333"
        },
        "StringLike": {
          "aws:SourceArn": "arn:aws:bedrock-agentcore:us-east-1:111122223333:dataset/*",
          "kms:EncryptionContext:aws:bedrock-agentcore:datasetArn": "arn:aws:bedrock-agentcore:us-east-1:111122223333:dataset/*"
        }
      }
    },
    {
      "Sid": "AllowAgentCoreDatasetRead",
      "Effect": "Allow",
      "Principal": {
        "Service": "bedrock-agentcore.amazonaws.com"
      },
      "Action": [
        "kms:Decrypt",
        "kms:DescribeKey"
      ],
      "Resource": "*"
    }
  ]
}

111122223333 をアカウント ID に、us-east-1 を AWS リージョンに置き換えます。特定のデータセットの範囲を指定するには、ワイルドカードをデータセット ID に置き換えますarn:aws:bedrock-agentcore:us-east-1:111122223333:dataset/my-dataset-id。

カスタマーマネージド KMS キーを使用したデータセットの作成

を呼び出すときに kmsKeyArnパラメータを指定しますCreateDataset。

データセットの KMS 使用状況のモニタリング

データセット KMS オペレーションには、次の CloudTrail イベント名が表示されます。

キーが使用できなくなった場合の動作

データセットで使用されるカスタマーマネージド KMS キーを無効化または削除する場合: