데이터 세트 암호화

데이터 세트kmsKeyArn에를 지정하면 서비스는 KMS를 사용한 S3 서버 측 암호화(SSE-KMS)를 사용하여 저장된 모든 예제를 암호화합니다. 여기에는 초안의 예와 게시된 모든 버전이 포함됩니다.

데이터 세트 생성 후에는 kmsKeyArn를 변경할 수 없으며 변경하거나 제거할 수 없습니다.

작동 방식

데이터 세트 암호화는 S3 SSE-KMS를 사용합니다. 서비스가 S3에서 데이터 세트 콘텐츠를 쓰거나 읽을 때 S3는 서비스를 대신하여 KMS를 호출하여 데이터를 암호화하거나 해독합니다. 서비스 보안 주체(bedrock-agentcore.amazonaws.com)는 키 정책에 KMS 권한이 있어야 합니다.

API 시간에 서비스는 직접 실행 검사(Forward Access Sessions)를 사용하여 호출자에게 KMS 권한이 있는지 확인합니다. 이렇게 하면 수집 중에 비동기적으로 실패하지 않고 권한 문제를 즉시 포착할 수 있습니다.

AgentCore Evaluations는 대칭 암호화 KMS 키만 지원합니다. KMS 키는 데이터 세트와 동일한 AWS 리전에 있어야 합니다.

필수 키 정책

다음 키 정책은 데이터 세트 암호화에 필요한 최소 권한을 부여합니다. 여기에는 두 개의 문이 포함됩니다.

{
"Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "AllowCallerAccess",
      "Effect": "Allow",
      "Principal": {
        "AWS": "arn:aws:iam::111122223333:role/MyDatasetRole"
      },
      "Action": [
        "kms:GenerateDataKey",
        "kms:Decrypt",
        "kms:DescribeKey"
      ],
      "Resource": "*"
    },
    {
      "Sid": "AllowAgentCoreDatasetAccess",
      "Effect": "Allow",
      "Principal": {
        "Service": "bedrock-agentcore.amazonaws.com"
      },
      "Action": [
        "kms:GenerateDataKey",
        "kms:Decrypt",
        "kms:DescribeKey"
      ],
      "Resource": "*"
    }
  ]
}

액세스 범위 축소

조건을 추가하여 키를 사용할 수 있는 시기를 제한할 수 있습니다. 데이터 세트의 경우 서비스는 KMS 쓰기 작업(GenerateDataKey)과 함께 다음 컨텍스트를 전송합니다.

다음 정책은 권한을 쓰기(조건부) 및 읽기(비조건부)로 분할합니다.

{
"Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "AllowCallerAccess",
      "Effect": "Allow",
      "Principal": {
        "AWS": "arn:aws:iam::111122223333:role/MyDatasetRole"
      },
      "Action": [
        "kms:GenerateDataKey",
        "kms:Decrypt",
        "kms:DescribeKey"
      ],
      "Resource": "*"
    },
    {
      "Sid": "AllowAgentCoreDatasetWrite",
      "Effect": "Allow",
      "Principal": {
        "Service": "bedrock-agentcore.amazonaws.com"
      },
      "Action": "kms:GenerateDataKey",
      "Resource": "*",
      "Condition": {
        "StringEquals": {
          "aws:SourceAccount": "111122223333"
        },
        "StringLike": {
          "aws:SourceArn": "arn:aws:bedrock-agentcore:us-east-1:111122223333:dataset/*",
          "kms:EncryptionContext:aws:bedrock-agentcore:datasetArn": "arn:aws:bedrock-agentcore:us-east-1:111122223333:dataset/*"
        }
      }
    },
    {
      "Sid": "AllowAgentCoreDatasetRead",
      "Effect": "Allow",
      "Principal": {
        "Service": "bedrock-agentcore.amazonaws.com"
      },
      "Action": [
        "kms:Decrypt",
        "kms:DescribeKey"
      ],
      "Resource": "*"
    }
  ]
}

111122223333을 계정 ID로 바꾸고 us-east-1을 AWS 리전으로 바꿉니다. 특정 데이터 세트로 범위를 지정하려면 와일드카드를 데이터 세트 ID 로 바꿉니다arn:aws:bedrock-agentcore:us-east-1:111122223333:dataset/my-dataset-id.

고객 관리형 KMS 키를 사용하여 데이터 세트 생성

를 호출할 때 kmsKeyArn 파라미터를 지정합니다CreateDataset.

데이터 세트의 KMS 사용량 모니터링

데이터 세트 KMS 작업에 대해 다음과 같은 CloudTrail 이벤트 이름이 나타납니다.

키를 사용할 수 없게 될 때의 동작

데이터 세트에서 사용하는 고객 관리형 KMS 키를 비활성화하거나 삭제하는 경우: