Configurar um mecanismo de consulta e permissões para criar uma base de conhecimento

(Se você se autenticar com o IAM e um usuário ainda não tiver sido criado para seu banco de dados) Execute o comando a seguir, que usa CREATE USER para criar um usuário de banco de dados e permitir que ele se autentique por meio do IAM, ${service-role} substituindo-o pelo nome da função de serviço personalizada do Amazon Bedrock Knowledge Bases que você criou:

CREATE USER "IAMR:${service-role}" WITH PASSWORD DISABLE;

Conceda permissões de identidade para recuperar informações do banco de dados executando o comando GRANT.

Para um controle mais refinado das tabelas que podem ser acessadas, você pode substituir nomes ALL TABLES específicos de tabelas pela seguinte notação:. ${schemaName} ${tableName} Para ter mais informações sobre essa notação, consulte a seção Objetos de consulta em Consultas entre bancos de dados.

Se você criou um esquema no banco de dados do Redshift, execute o comando a seguir para conceder permissões de identidade em relação ao novo esquema.

GRANT USAGE ON SCHEMA ${schemaName} TO "IAMR:${serviceRole}";

Execute o comando a seguir, que usa CREATE USER para criar um usuário de banco de dados e permitir que ele se autentique por meio do IAM, ${service-role} substituindo-o pelo nome da função de serviço personalizada do Amazon Bedrock Knowledge Bases que você criou:

CREATE USER "IAMR:${service-role}" WITH PASSWORD DISABLE;

Conceda ao perfil de serviço permissões para recuperar informações do banco de dados executando o seguinte comando GRANT:

GRANT USAGE ON DATABASE awsdatacatalog TO "IAMR:${serviceRole}";

Para permitir o acesso aos seus AWS Glue Data Catalog bancos de dados, anexe as seguintes permissões à função de serviço:

Conceda permissões para sua função de serviço por meio AWS Lake Formation (para saber mais sobre o Lake Formation e seu relacionamento com o Amazon Redshift, consulte Fontes de dados para Redshift) fazendo o seguinte:

1. Faça login noConsole de gerenciamento da AWS, e abra o console do Lake Formation em https://console.aws.amazon.com/lakeformation/.

2. Selecione Permissões de dados no painel de navegação à esquerda.

3. Conceda permissões ao perfil de serviço que você está usando para as Bases de Conhecimento do Amazon Bedrock.

4. Conceda as permissões Descrever e Selecionar para seus bancos de dados e tabelas.

Dependendo da fonte de dados em que você usaAWS Glue Data Catalog, talvez seja necessário adicionar permissões para acessar essa fonte de dados (para obter mais informações, consulte AWS Gluedependência de outras Serviços da AWS). Por exemplo, se a fonte de dados estiver em um local do Amazon S3, você precisará adicionar a declaração a seguir à política acima.

{
    "Sid": "Statement1",
    "Effect": "Allow",
    "Action": [
        "s3:ListBucket",
        "s3:GetObject"
    ],
    "Resource": [
        "arn:aws:s3:::${BucketName}",
        "arn:aws:s3:::${BucketName}/*"
    ]
}

(Opcional) Se você usa AWS KMS para criptografar os dados no Amazon S3 AWS Glue Data Catalog ou, então você precisa adicionar permissões à função para descriptografar os dados na chave KMS.

{
    "Action": [
        "kms:Decrypt"
    ],
    "Resource": [
        "arn:aws:kms:${Region}:${Account}:key/{KmsId}",
        "arn:aws:kms:${Region}:${Account}:key/{KmsId}"
    ],
    "Effect": "Allow"
}