マネージド Amazon Bedrock ナレッジベースのサービスロールを作成する

Amazon Bedrock が自動的に作成するロールの代わりにマネージドナレッジベースのカスタムロールを使用するには、AWS 「 サービスにアクセス許可を委任するロールを作成する」の手順に従って、IAM ロールを作成し、次のアクセス許可をアタッチします。独自のセキュリティに必要なアクセス許可のみを含めるようにしてください。

信頼関係

以下のポリシーにより、Amazon Bedrock がこのロールを引き受け、ナレッジベースを作成および管理することができます。1 つ以上のグローバル条件コンテキストキーを使用して、アクセス許可の範囲を制限できます。詳細については、「AWS グローバル条件コンテキストキー」を参照してください。aws:SourceAccount の値をアカウント ID に設定します。ArnEquals または ArnLike 条件を使用して、範囲を特定のナレッジベースに制限します。

Amazon Bedrock モデルにアクセスするためのアクセス許可

ロールがソースデータの組み込みに Amazon Bedrock モデルを使用するためのアクセス許可を提供するには、以下のポリシーをアタッチします。

TwelveLabs Marengo Embed 3.0 埋め込みモデルを使用する場合、ナレッジベースは同期的にも非同期的にもモデルを呼び出すため、ロールには両方のアクセス許可が必要です。次のステートメントをアタッチします。${Region} と ${AccountId} をナレッジベースの AWS リージョン とアカウント ID に置き換え、${InferenceProfileId} を使用する推論プロファイルの ID に置き換えます。foundation-model ARN は、特定のリージョンではなく、リージョン*に を使用します。これは、クロスリージョン推論プロファイルがモデル呼び出しをそのメンバーの基盤となる基盤モデルにルーティングできるため必要です AWS リージョン。

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "BedrockInvokeModelStatement",
            "Effect": "Allow",
            "Action": [
                "bedrock:InvokeModel"
            ],
            "Resource": [
                "arn:aws:bedrock:*::foundation-model/twelvelabs.marengo-embed-3-0-v1:0",
                "arn:aws:bedrock:${Region}:${AccountId}:inference-profile/${InferenceProfileId}",
                "arn:aws:bedrock:${Region}:${AccountId}:async-invoke/*"
            ]
        },
        {
            "Sid": "BedrockGetAsyncInvokeStatement",
            "Effect": "Allow",
            "Action": [
                "bedrock:GetAsyncInvoke"
            ],
            "Resource": [
                "arn:aws:bedrock:${Region}:${AccountId}:async-invoke/*"
            ]
        }
    ]
}

マルチモーダルストレージの送信先のアクセス許可

マルチモーダルストレージの送信先は、マルチモーダルコンテンツを処理してナレッジベースに取り込むために使用される Amazon S3 バケットです。Amazon Bedrock ナレッジベースは、簡単にアクセスできるようにバケット内にaws/プレフィックスフォルダを作成します。

次のポリシーをアタッチして、このコンテンツの読み取り、書き込み、削除をロールに許可します。amzn-s3-demo-bucket をマルチモーダルストレージバケットの名前に置き換えます。

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "S3MultimodalStorageListStatement",
            "Effect": "Allow",
            "Action": [
                "s3:ListBucket"
            ],
            "Resource": [
                "arn:aws:s3:::amzn-s3-demo-bucket"
            ]
        },
        {
            "Sid": "S3MultimodalStorageObjectStatement",
            "Effect": "Allow",
            "Action": [
                "s3:GetObject",
                "s3:PutObject",
                "s3:DeleteObject"
            ],
            "Resource": [
                "arn:aws:s3:::amzn-s3-demo-bucket/*"
            ]
        }
    ]
}

データソースにアクセスするためのアクセス許可

次のデータソースの中から選択して、ロールに必要なアクセス許可をアタッチしてください。

Amazon S3 データソースにアクセスするためのアクセス許可

データソースが Amazon S3 の場合は、次のポリシーをアタッチして、データソースとして接続する S3 バケットにアクセスするためのアクセス許可をロールに付与します。

AWS KMS キーを使用してデータソースを暗号化した場合は、「」の手順に従って、キーを復号するアクセス許可をロールにアタッチしますAmazon S3 のデータソースの AWS KMS キーを復号するアクセス許可。

Confluence データソースにアクセスするためのアクセス許可

以下のポリシーをアタッチして、ロールが Confluence にアクセスするためのアクセス許可を付与します。

{
    "Version": "2012-10-17",
    "Statement": [{
        "Effect": "Allow",
        "Action": [
            "secretsmanager:GetSecretValue"
        ],
        "Resource": [
            "arn:aws:secretsmanager:${Region}:${AccountId}:secret:${SecretId}"
        ]
    }]
}

Microsoft SharePoint データソースにアクセスするためのアクセス許可

次のポリシーをアタッチして、ロールが Microsoft SharePoint にアクセスするためのアクセス許可を付与します。

{
    "Version": "2012-10-17",
    "Statement": [{
        "Effect": "Allow",
        "Action": [
            "secretsmanager:GetSecretValue"
        ],
        "Resource": [
            "arn:aws:secretsmanager:${Region}:${AccountId}:secret:${SecretId}"
        ]
    }]
}

{
    "Version": "2012-10-17",
    "Statement": [{
        "Effect": "Allow",
        "Action": [
            "s3:GetObject"
        ],
        "Resource": [
            "arn:aws:s3:::${CertificateBucketName}/${CertificateKeyPath}"
        ]
    }]
}

Web Crawler データソースへのアクセス許可

次のポリシーをアタッチして、ウェブクローラーを介してウェブサイトにアクセスするためのアクセス許可をロールに付与します。ウェブサイトで認証が必要な場合は、認証情報を保存する AWS Secrets Manager シークレットにアクセスするためのアクセス許可を含めます。

{
    "Version": "2012-10-17",
    "Statement": [{
        "Effect": "Allow",
        "Action": [
            "secretsmanager:GetSecretValue"
        ],
        "Resource": [
            "arn:aws:secretsmanager:${Region}:${AccountId}:secret:${SecretId}"
        ]
    }]
}

Microsoft OneDrive データソースへのアクセス許可

次のポリシーをアタッチして、ロールが Microsoft OneDrive にアクセスするためのアクセス許可を付与します。

{
    "Version": "2012-10-17",
    "Statement": [{
        "Effect": "Allow",
        "Action": [
            "secretsmanager:GetSecretValue"
        ],
        "Resource": [
            "arn:aws:secretsmanager:${Region}:${AccountId}:secret:${SecretId}"
        ]
    }]
}

Google Drive データソースへのアクセス許可

次のポリシーをアタッチして、ロールが Google Drive にアクセスするためのアクセス許可を付与します。

{
    "Version": "2012-10-17",
    "Statement": [{
        "Effect": "Allow",
        "Action": [
            "secretsmanager:GetSecretValue"
        ],
        "Resource": [
            "arn:aws:secretsmanager:${Region}:${AccountId}:secret:${SecretId}"
        ]
    }]
}