Configure seu mecanismo de consulta e permissões para criar uma base de conhecimento com armazenamento de dados estruturado

(Se você se autenticar com o IAM e um usuário ainda não tiver sido criado para seu banco de dados) Execute o comando a seguir, que usa CREATE USER para criar um usuário de banco de dados e permitir que ele se autentique por meio do IAM, ${service-role} substituindo-o pelo nome da função de serviço personalizada do Amazon Bedrock Knowledge Bases que você criou:

CREATE USER "IAMR:${service-role}" WITH PASSWORD DISABLE;

Conceda permissões de identidade para recuperar informações do seu banco de dados executando o comando GRANT.

Para um controle mais refinado das tabelas que podem ser acessadas, você pode substituir nomes ALL TABLES específicos de tabelas pela seguinte notação:. ${schemaName} ${tableName} Para obter mais informações sobre essa notação, consulte a seção Objetos de consulta em Consultas entre bancos de dados.

Se você criou um novo esquema no banco de dados do Redshift, execute o comando a seguir para conceder permissões de identidade em relação ao novo esquema.

GRANT USAGE ON SCHEMA ${schemaName} TO "IAMR:${serviceRole}";

Execute o comando a seguir, que usa CREATE USER para criar um usuário de banco de dados e permitir que ele se autentique por meio do IAM, ${service-role} substituindo-o pelo nome da função de serviço personalizada do Amazon Bedrock Knowledge Bases que você criou:

CREATE USER "IAMR:${service-role}" WITH PASSWORD DISABLE;

Conceda à função de serviço permissões para recuperar informações do seu banco de dados executando o seguinte comando GRANT:

GRANT USAGE ON DATABASE awsdatacatalog TO "IAMR:${serviceRole}";

Para permitir o acesso aos seus AWS Glue Data Catalog bancos de dados, anexe as seguintes permissões à função de serviço:

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "VisualEditor0",
            "Effect": "Allow",
            "Action": [
                "glue:GetDatabases",
                "glue:GetDatabase",
                "glue:GetTables",
                "glue:GetTable",
                "glue:GetPartitions",
                "glue:GetPartition",
                "glue:SearchTables"
            ],
            "Resource": [
                "arn:aws:glue:${Region}:${Account}:table/${DatabaseName}/${TableName}",
                "arn:aws:glue:${Region}:${Account}:database/${DatabaseName}",
                "arn:aws:glue:${Region}:${Account}:catalog"
            ]
        }
    ]
}

Conceda permissões para sua função de serviço por meio AWS Lake Formation (para saber mais sobre o Lake Formation e seu relacionamento com o Amazon Redshift, consulte Fontes de dados para Redshift) fazendo o seguinte:

1. Faça login no AWS Management Console, e abra o console do Lake Formation em https://console.aws.amazon.com/lakeformation/.

2. Selecione Permissões de dados no painel de navegação esquerdo.

3. Conceda permissões para a função de serviço que você está usando para as Bases de Conhecimento Amazon Bedrock.

4. Conceda permissões Descrever e Selecionar para seus bancos de dados e tabelas.

Dependendo da fonte de dados usada AWS Glue Data Catalog, talvez seja necessário adicionar permissões para acessar essa fonte de dados (para obter mais informações, consulte AWS Glue dependência de outras Serviços da AWS). Por exemplo, se sua fonte de dados estiver em um local do Amazon S3, você precisará adicionar a seguinte declaração à política acima.

{
    "Sid": "Statement1",
    "Effect": "Allow",
    "Action": [
        "s3:ListBucket",
        "s3:GetObject"
    ],
    "Resource": [
        "arn:aws:s3:::${BucketName}",
        "arn:aws:s3:::${BucketName}/*"
    ]
}

(Opcional) Se você usa AWS KMS para criptografar os dados no Amazon S3 AWS Glue Data Catalog ou, então você precisa adicionar permissões à função para descriptografar os dados na chave KMS.

{
    "Action": [
        "kms:Decrypt"
    ],
    "Resource": [
        "arn:aws:kms:${Region}:${Account}:key/{KmsId}",
        "arn:aws:kms:${Region}:${Account}:key/{KmsId}"
    ],
    "Effect": "Allow"
}