構造化データストアを使用してナレッジベースを作成するためのクエリエンジンとアクセス許可を設定します

(IAM で認証し、ユーザーがデータベース用にまだ作成されていない場合) 次のコマンドを実行します。このコマンドでは、CREATE USER を使用してデータベースユーザーを作成し、IAM による認証を許可します。${service-role} を、作成したカスタム Amazon Bedrock ナレッジベースサービスロールの名前に置き換えます。

CREATE USER "IAMR:${service-role}" WITH PASSWORD DISABLE;

GRANT コマンドを実行して、データベースから情報を取得するアクセス許可を ID に付与します。

アクセス可能なテーブルをよりきめ細かく制御するには、ALL TABLES の特定のテーブル名を ${schemaName}${tableName} という表記に置き換えます。この表記の詳細については、「データベース間でのクエリ」の「オブジェクトをクエリします」セクションを参照してください。

Redshift データベースで新しいスキーマを作成した場合は、次のコマンドを実行して、新しいスキーマに対する ID アクセス許可を付与します。

GRANT USAGE ON SCHEMA ${schemaName} TO "IAMR:${serviceRole}";

次のコマンドを実行します。このコマンドは CREATE USER を使用してデータベースユーザーを作成し、IAM による認証を許可します。${service-role} を、作成したカスタム Amazon Bedrock ナレッジベースサービスロールの名前に置き換えます。

CREATE USER "IAMR:${service-role}" WITH PASSWORD DISABLE;

次の GRANT コマンドを実行して、データベースから情報を取得するアクセス許可をサービスロールに付与します。

GRANT USAGE ON DATABASE awsdatacatalog TO "IAMR:${serviceRole}";

AWS Glue Data Catalogデータベースへのアクセスを許可するには、サービスロールに次のアクセス許可をアタッチします。

以下を実行してAWS Lake Formation、 (Lake Formation とその Amazon Redshift との関係の詳細については、「Redshift のデータソース」を参照) を通じてサービスロールにアクセス許可を付与します。

1. にサインインしAWS マネジメントコンソール、https://console.aws.amazon.com/lakeformation/ で Lake Formation コンソールを開きます。

2. 左側のナビゲーションペインで [データのアクセス許可]を選択します。

3. Amazon Bedrock ナレッジベースに使用しているサービスロールにアクセス許可を付与します。

4. データベースとテーブルの Describe アクセス許可と Select アクセス許可を付与します。

使用するデータソースによってはAWS Glue Data Catalog、そのデータソースにアクセスするためのアクセス許可を追加する必要がある場合があります (詳細については、AWS Glue「他の への依存関係AWS のサービス」を参照してください）。例えば、データソースが Amazon S3 の場所にある場合は、上記のポリシーに次のステートメントを追加する必要があります。

{
    "Sid": "Statement1",
    "Effect": "Allow",
    "Action": [
        "s3:ListBucket",
        "s3:GetObject"
    ],
    "Resource": [
        "arn:aws:s3:::${BucketName}",
        "arn:aws:s3:::${BucketName}/*"
    ]
}

(オプション) AWS KMSを使用して Amazon S3 または のデータを暗号化する場合はAWS Glue Data Catalog、KMS キーのデータを復号化するためのアクセス許可をロールに追加する必要があります。

{
    "Action": [
        "kms:Decrypt"
    ],
    "Resource": [
        "arn:aws:kms:${Region}:${Account}:key/{KmsId}",
        "arn:aws:kms:${Region}:${Account}:key/{KmsId}"
    ],
    "Effect": "Allow"
}