Die vorliegende Übersetzung wurde maschinell erstellt. Im Falle eines Konflikts oder eines Widerspruchs zwischen dieser übersetzten Fassung und der englischen Fassung (einschließlich infolge von Verzögerungen bei der Übersetzung) ist die englische Fassung maßgeblich.

Document-level Zugriffskontrollen

Benutzerdefinierte Datenquellen unterstützen optional die Zugriffskontrolle auf Dokumentebene. Im Gegensatz zu gecrawlten Konnektoren verfügt eine benutzerdefinierte Datenquelle über kein systemeigenes Berechtigungssystem. Sie geben daher die Zugriffskontrollliste (ACL) für jedes Dokument an, wenn Sie es im Rahmen des Vorgangs aufnehmen. IngestKnowledgeBaseDocuments Eine Übersicht über die ACL-Awareness für alle Konnektoren finden Sie unter. Aktivierung des Bewusstseins für Zugriffskontrolllisten

Funktionsweise

Bei einer ACL-enabled benutzerdefinierten Datenquelle wendet Bedrock Managed Knowledge Base beim Filtern vor dem Abruf die vom Kunden bereitgestellten Zugriffskontrolllisten an und gibt nur Dokumente zurück, auf die der abfragende Benutzer zugreifen darf. Real-time Die ACL-Prüfung wird für benutzerdefinierte Datenquellen nicht unterstützt, da die vom Kunden bereitgestellten ACL-Metadaten die Quelle der Wahrheit sind.

Aktivieren Sie ACL Awareness

Um ACL Awareness für eine benutzerdefinierte Datenquelle aclEnabled zu aktivieren, legen Sie true connectorParameters bei der Erstellung oder Aktualisierung der Datenquelle die Einstellung auf fest. Informationen zur Konfigurationsstruktur der Datenquelle finden Sie unterBenutzerdefiniert.

"connectorParameters": {
    "type": "CUSTOM",
    "version": "1",
    "aclEnabled": true
}

Sorgen Sie für Zugriffskontrollen, wenn Sie Dokumente aufnehmen

Sie geben die ACL eines Dokuments über das accessControlList Feld auf dem Dokument metadata in der IngestKnowledgeBaseDocuments Anfrage an. Die ACL-Quelle wird durch dasselbe Feld bestimmtmetadata.type, das steuert, woher die Metadatenattribute stammen:

Da accessControlList sich ein Dokument metadata unter und nicht als Feld der obersten Ebene befindetKnowledgeBaseDocument, hat es eine einzige ACL-Quelle, die von metadata.type gesteuert wird. Dadurch wird verhindert, dass widersprüchliche ACLs für dasselbe Dokument bereitgestellt werden (z. B. eine Inline-ACL für die Anfrage und eine ACL in der S3-Datei). Der Kompromiss besteht darin, dass Sie eine Inline-ACL nicht mit S3-based Metadatenattributen oder eine S3-based ACL mit Inline-Metadatenattributen für dasselbe Dokument kombinieren können.

Jeder accessControlList Eintrag enthält:

Inline-ACL (metadata.type = IN_LINE_ATTRIBUTE)

Geben Sie die accessControlList direkt im Anfragetext zusammen mit den Inline-Metadatenattributen an.

PUT /knowledgebases/KB12345678/datasources/DS12345678/documents HTTP/1.1
Content-type: application/json

{
    "documents": [
        {
            "content": {
                "dataSourceType": "CUSTOM",
                "custom": {
                    "customDocumentIdentifier": {
                        "id": "hr-policy-2026"
                    },
                    "inlineContent": {
                        "textContent": {
                            "data": "Annual leave policy: All full-time employees are entitled to..."
                        },
                        "type": "TEXT"
                    },
                    "sourceType": "IN_LINE"
                }
            },
            "metadata": {
                "type": "IN_LINE_ATTRIBUTE",
                "inlineAttributes": [
                    {
                        "key": "department",
                        "value": { "stringValue": "HR", "type": "STRING" }
                    }
                ],
                "accessControlList": [
                    {
                        "name": "alice@example.com",
                        "type": "USER",
                        "access": "ALLOW"
                    },
                    {
                        "name": "bob@example.com",
                        "type": "USER",
                        "access": "DENY"
                    }
                ]
            }
        }
    ]
}

S3-based ACL (metadata.type = S3_LOCATION)

Zeigen Sie mit den Metadaten des Dokuments auf eine .metadata.json Datei in Amazon S3. Sowohl die Metadatenattribute als auch die accessControlList werden aus dieser Datei gelesen.

"metadata": {
    "type": "S3_LOCATION",
    "s3Location": {
        "uri": "s3://amzn-s3-demo-bucket/hr-policy-2026.metadata.json"
    }
}

Die .metadata.json Datei verwendet dasselbe Format wie die Metadatendateien pro Dokument für Amazon S3 S3-Datenquellen. Diese Datei verwendet großgeschriebene ACL-Feldnamen (Name,Type,Access), die sich von den in der Inline-Anfrage verwendeten kleingeschriebenen Feldnamen (nametype,,access) unterscheiden.

{
    "metadataAttributes": {},
    "accessControlList": [
        {
            "Name": "alice@example.com",
            "Type": "USER",
            "Access": "ALLOW"
        },
        {
            "Name": "bob@example.com",
            "Type": "USER",
            "Access": "DENY"
        }
    ]
}

Überprüfen Ihrer Konfiguration

Da benutzerdefinierte ACLs vom Kunden bereitgestellt werdenIngestKnowledgeBaseDocuments, überprüfen Sie sie, bevor Sie eine Abfrage durchführen:

Fehlerbehebung