设置查询引擎和权限以创建带结构化数据存储的知识库

（如果您使用 IAM 进行身份验证但尚未为数据库创建用户）运行以下命令，该命令使用 CREATE USER 创建数据库用户并允许其通过 IAM 进行身份验证，${service-role}替换为您创建的自定义 Amazon Bedrock 知识库服务角色的名称：

CREATE USER "IAMR:${service-role}" WITH PASSWORD DISABLE;

通过运行 GRANT 命令向身份授予从数据库中检索信息的权限。

为了更精细地控制可以访问的表，可以用以下表示法替换ALL TABLES特定的表名：。${schemaName} ${tableName}有关此表示法的更多信息，请参阅跨数据库查询中的查询对象部分。

如果您在 Redshift 数据库中创建了新架构，请运行以下命令以向身份授予对新架构的权限。

GRANT USAGE ON SCHEMA ${schemaName} TO "IAMR:${serviceRole}";

运行以下命令，该命令使用 CREATE US ER 创建数据库用户并允许其通过 IAM 进行身份验证，${service-role}替换为您创建的自定义 Amazon Bedrock 知识库服务角色的名称：

CREATE USER "IAMR:${service-role}" WITH PASSWORD DISABLE;

通过运行以下 GRANT 命令向服务角色授予从数据库中检索信息的权限：

GRANT USAGE ON DATABASE awsdatacatalog TO "IAMR:${serviceRole}";

要允许访问您的AWS Glue Data Catalog数据库，请将以下权限附加到服务角色：

通过以下方式向你的服务角色授予权限AWS Lake Formation（要详细了解 Lake Formation 及其与 Amazon Redshift 的关系，请参阅 Redshift 的数据源）：

1. 登录并打开 Lake AWS 管理控制台 Formation 控制台，网址为https://console.aws.amazon.com/lakeformation/。

2. 从左侧导航窗格中选择数据权限。

3. 向用于 Amazon Bedrock 知识库的服务角色授予权限。

4. 授予数据库和表的描述和选择权限。

根据您在中使用的数据源AWS Glue Data Catalog，您可能需要添加访问该数据源的权限（有关更多信息，请参阅AWS Glue依赖于其他数据源AWS 服务）。例如，如果您的数据来源位于 Amazon S3 位置，则您需要向上述策略添加以下语句。

{
    "Sid": "Statement1",
    "Effect": "Allow",
    "Action": [
        "s3:ListBucket",
        "s3:GetObject"
    ],
    "Resource": [
        "arn:aws:s3:::${BucketName}",
        "arn:aws:s3:::${BucketName}/*"
    ]
}

（可选）如果您使用AWS KMS对 Amazon S3 中的数据进行加密AWS Glue Data Catalog，则需要向该角色添加解密 KMS 密钥上数据的权限。

{
    "Action": [
        "kms:Decrypt"
    ],
    "Resource": [
        "arn:aws:kms:${Region}:${Account}:key/{KmsId}",
        "arn:aws:kms:${Region}:${Account}:key/{KmsId}"
    ],
    "Effect": "Allow"
}