As traduções são geradas por tradução automática. Em caso de conflito entre o conteúdo da tradução e da versão original em inglês, a versão em inglês prevalecerá.
Configurar permissões do OpenSearch com controle de acesso refinado
Embora opcional, recomendamos que você habilite o controle de acesso refinado para seu domínio do OpenSearch. Usando o controle de acesso refinado, você pode usar o controle de acesso baseado em perfil, que permite criar um perfil do OpenSearch com permissões específicas e associá-lo ao perfil de serviço da base de conhecimento. O mapeamento concede à base de conhecimento as permissões mínimas necessárias que possibilitam acessar e realizar operações no domínio e no índice do OpenSearch.
Para configurar e usar o controle de acesso refinado:
-
O domínio do OpenSearch que você está usando deve ter o controle de acesso refinado habilitado.
-
Para domínios que usam controle de acesso refinado, configure permissões com permissões de escopo reduzido em forma de um perfil do OpenSearch.
-
Para o domínio para o qual você cria um perfil, adicione um mapeamento de perfis ao perfil de serviço da base de conhecimento.
As etapas a seguir mostram como configurar seu perfil do OpenSearch e garantir o mapeamento correto entre o perfil do OpenSearch e o perfil de serviço da base de conhecimento.
Como criar um perfil do OpenSearch e configurar permissões
Depois de habilitar o controle de acesso refinado e configurar o Amazon Bedrock para se conectar ao OpenSearch Service, você pode configurar as permissões usando o link “OpenSearch Dashboards” para cada domínio do OpenSearch.
Para configurar permissões para um domínio permitir acesso ao Amazon Bedrock:
-
Abra o painel do OpenSearch para o domínio do OpenSearch com o qual deseja trabalhar. Para encontrar o link para os painéis, acesse o domínio que você criou no console do OpenSearch Service. Para domínios que executam o OpenSearch, o formado do URL é
domain-endpoint/_dashboards/ -
No painel do OpenSearch, escolha Segurança e selecione Perfis.
-
Selecione Criar perfil.
-
Forneça qualquer nome para o perfil; por exemplo, kb_opensearch_role.
-
Em Permissões de cluster, adicione as seguintes permissões:
-
indices:data/read/msearch -
indices:data/write/bulk* -
indices:data/read/mget*
-
-
Em Permissões de índice, forneça um nome para o índice de vetores. Escolha Criar grupo de permissões e selecione Criar grupo de ação. Adicione as seguintes permissões a um grupo de ação, como
KnowledgeBasesActionGroup. Adicione as seguintes permissões a um grupo de ação.-
indices:admin/get -
indices:data/read/msearch -
indices:data/read/search -
indices:data/write/index -
indices:data/write/update -
indices:data/write/delete -
indices:data/write/delete/byquery -
indices:data/write/bulk* -
indices:admin/mapping/put -
indices:data/read/mget*
-
-
Escolha Criar para criar o perfil do OpenSearch.
A seguir é mostrado um exemplo de perfil do OpenSearch com as permissões adicionadas.
Noções básicas sobre mapeamento de perfis para o perfil de serviço da base de conhecimento
-
Identifique um perfil do IAM que precisará ser mapeado.
-
Se você tiver criado seu perfil do IAM personalizado, poderá copiar o ARN do perfil para esse perfil do console do IAM.
-
Se estiver permitindo que as bases de conhecimento criem o perfil para você, você pode anotar o ARN do perfil ao criar a base de conhecimento e, em seguida, copiar o respectivo ARN.
-
-
Abra o painel do OpenSearch para o domínio do OpenSearch com o qual deseja trabalhar. O formato do URL é
domain-endpoint/_dashboards/ -
No painel de navegação, escolha Segurança.
-
Pesquise o perfil que você acabou de criar na lista (por exemplo, kb_opensearch_role) e abra-o.
-
Na guia Usuários mapeados, selecione Gerenciar mapeamento.
-
Na seção Perfis de backend, insira o ARN do perfil do IAM gerenciado pela AWS para as bases de conhecimento. Dependendo se você criou seu perfil personalizado ou permitiu que as bases de conhecimento o criassem para você, copie as informações do ARN do perfil do console do IAM ou no console do Amazon Bedrock e, em seguida, insira essas informações para Perfis de backend no console do OpenSearch. Veja um exemplo a seguir.
arn:aws:iam::<accountId>:role/service-role/<knowledge-base-service-role> -
Escolha Mapear.
O perfil de serviço da base de conhecimento agora pode se conectar ao perfil do OpenSearch e realizar as operações necessárias no domínio e no índice.
