構造化データストアを使用してナレッジベースを作成するためのクエリエンジンとアクセス許可を設定する

(IAM で認証し、ユーザーがデータベース用にまだ作成されていない場合) 次のコマンドを実行します。このコマンドでは、CREATE USER を使用してデータベースユーザーを作成し、IAM による認証を許可します。${service-role} を、作成したカスタム Amazon Bedrock ナレッジベースサービスロールの名前に置き換えます。

CREATE USER "IAMR:${service-role}" WITH PASSWORD DISABLE;

GRANT コマンドを実行して、データベースから情報を取得するアクセス許可を ID に付与します。

アクセス可能なテーブルをよりきめ細かく制御するには、ALL TABLES特定のテーブル名を ${schemaName}${tableName} という表記に置き換えることができます。この表記の詳細については、「データベース間クエリ」の「オブジェクトのクエリ」セクションを参照してください。 https://docs.aws.amazon.com/redshift/latest/dg/cross-database-overview.html

Redshift データベースに新しいスキーマを作成した場合は、次のコマンドを実行して、新しいスキーマに対する ID アクセス許可を付与します。

GRANT USAGE ON SCHEMA ${schemaName} TO "IAMR:${serviceRole}";

次のコマンドを実行します。CREATE USER を使用してデータベースユーザーを作成し、IAM による認証を許可します。${service-role} は、作成したカスタム Amazon Bedrock ナレッジベースサービスロールの名前に置き換えます。

CREATE USER "IAMR:${service-role}" WITH PASSWORD DISABLE;

次の GRANT コマンドを実行して、データベースから情報を取得するアクセス許可をサービスロールに付与します。

GRANT USAGE ON DATABASE awsdatacatalog TO "IAMR:${serviceRole}";

AWS Glue Data Catalog データベースへのアクセスを許可するには、サービスロールに次のアクセス許可をアタッチします。

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "VisualEditor0",
            "Effect": "Allow",
            "Action": [
                "glue:GetDatabases",
                "glue:GetDatabase",
                "glue:GetTables",
                "glue:GetTable",
                "glue:GetPartitions",
                "glue:GetPartition",
                "glue:SearchTables"
            ],
            "Resource": [
                "arn:aws:glue:${Region}:${Account}:table/${DatabaseName}/${TableName}",
                "arn:aws:glue:${Region}:${Account}:database/${DatabaseName}",
                "arn:aws:glue:${Region}:${Account}:catalog"
            ]
        }
    ]
}

以下を実行して AWS Lake Formation 、 (Lake Formation とその Amazon Redshift との関係の詳細については、「Redshift のデータソース」を参照) を通じてサービスロールにアクセス許可を付与します。

1. にサインインし AWS Management Console、https://console.aws.amazon.com/lakeformation/ で Lake Formation コンソールを開きます。

2. 左側のナビゲーションペインからデータアクセス許可を選択します。

3. Amazon Bedrock ナレッジベースに使用しているサービスロールにアクセス許可を付与します。

4. データベースとテーブルの Describe および Select アクセス許可を付与します。

使用するデータソースによっては AWS Glue Data Catalog、そのデータソースにアクセスするためのアクセス許可を追加する必要がある場合があります (詳細については、AWS Glue 「他の への依存関係 AWS のサービス」を参照してください）。たとえば、データソースが Amazon S3 の場所にある場合は、上記のポリシーに次のステートメントを追加する必要があります。

{
    "Sid": "Statement1",
    "Effect": "Allow",
    "Action": [
        "s3:ListBucket",
        "s3:GetObject"
    ],
    "Resource": [
        "arn:aws:s3:::${BucketName}",
        "arn:aws:s3:::${BucketName}/*"
    ]
}

（オプション) AWS KMS を使用して Amazon S3 または のデータを暗号化する場合は AWS Glue Data Catalog、KMS キーのデータを復号化するためのアクセス許可をロールに追加する必要があります。

{
    "Action": [
        "kms:Decrypt"
    ],
    "Resource": [
        "arn:aws:kms:${Region}:${Account}:key/{KmsId}",
        "arn:aws:kms:${Region}:${Account}:key/{KmsId}"
    ],
    "Effect": "Allow"
}