Terjemahan disediakan oleh mesin penerjemah. Jika konten terjemahan yang diberikan bertentangan dengan versi bahasa Inggris aslinya, utamakan versi bahasa Inggris.

Document-level kontrol akses

Sumber data khusus secara opsional mendukung kontrol akses tingkat dokumen. Tidak seperti konektor yang dirayapi, sumber data kustom tidak memiliki sistem izin asli, sehingga Anda menyediakan daftar kontrol akses (ACL) untuk setiap dokumen saat Anda menelannya dengan operasi. IngestKnowledgeBaseDocuments Untuk ikhtisar kesadaran ACL di semua konektor, lihatAkses Kontrol Daftar pemberdayaan kesadaran.

Cara kerjanya

Untuk sumber data ACL-enabled kustom, Basis Pengetahuan Terkelola Bedrock menerapkan daftar kontrol akses yang disediakan pelanggan selama pemfilteran pra-pengambilan, hanya mengembalikan dokumen yang diizinkan untuk diakses oleh pengguna kueri. Real-time Verifikasi ACL tidak didukung untuk sumber data khusus karena metadata ACL yang disediakan pelanggan adalah sumber kebenaran.

Aktifkan kesadaran ACL

Untuk mengaktifkan kesadaran ACL untuk sumber data kustom, setel aclEnabled ke true connectorParameters saat Anda membuat atau memperbarui sumber data. Untuk struktur konfigurasi sumber data, lihatKhusus.

"connectorParameters": {
    "type": "CUSTOM",
    "version": "1",
    "aclEnabled": true
}

Menyediakan kontrol akses saat Anda menelan dokumen

Anda memberikan ACL dokumen melalui accessControlList bidang pada dokumen metadata dalam IngestKnowledgeBaseDocuments permintaan. Sumber ACL ditentukan olehmetadata.type, bidang yang sama yang mengontrol dari mana atribut metadata berasal:

Karena accessControlList hidup di bawah metadata bukan sebagai bidang tingkat atasKnowledgeBaseDocument, dokumen memiliki sumber ACL tunggal, dikendalikan oleh. metadata.type Ini mencegah ACL yang bertentangan disediakan untuk dokumen yang sama (misalnya, ACL sebaris pada permintaan dan ACL dalam file S3). Penggantiannya adalah Anda tidak dapat mencampur ACL sebaris dengan atribut metadata, atau S3-based ACL dengan atribut S3-based metadata sebaris, untuk dokumen yang sama.

Setiap accessControlList entri berisi:

ACL sebaris (metadata.type = IN_LINE_ATTRIBUTE)

Menyediakan accessControlList langsung di badan permintaan bersama atribut metadata inline.

PUT /knowledgebases/KB12345678/datasources/DS12345678/documents HTTP/1.1
Content-type: application/json

{
    "documents": [
        {
            "content": {
                "dataSourceType": "CUSTOM",
                "custom": {
                    "customDocumentIdentifier": {
                        "id": "hr-policy-2026"
                    },
                    "inlineContent": {
                        "textContent": {
                            "data": "Annual leave policy: All full-time employees are entitled to..."
                        },
                        "type": "TEXT"
                    },
                    "sourceType": "IN_LINE"
                }
            },
            "metadata": {
                "type": "IN_LINE_ATTRIBUTE",
                "inlineAttributes": [
                    {
                        "key": "department",
                        "value": { "stringValue": "HR", "type": "STRING" }
                    }
                ],
                "accessControlList": [
                    {
                        "name": "alice@example.com",
                        "type": "USER",
                        "access": "ALLOW"
                    },
                    {
                        "name": "bob@example.com",
                        "type": "USER",
                        "access": "DENY"
                    }
                ]
            }
        }
    ]
}

S3-based ACL (metadata.type = S3_LOKASI)

Arahkan metadata dokumen ke .metadata.json file di Amazon S3. Baik atribut metadata dan dibaca dari file itu. accessControlList

"metadata": {
    "type": "S3_LOCATION",
    "s3Location": {
        "uri": "s3://amzn-s3-demo-bucket/hr-policy-2026.metadata.json"
    }
}

.metadata.jsonFile menggunakan format yang sama dengan file metadata per dokumen untuk sumber data Amazon S3. File ini menggunakan nama bidang ACL yang dikapitalisasi (NameType,,Access), yang berbeda dari nama bidang huruf kecil (name,type,access) yang digunakan dalam permintaan sebaris.

{
    "metadataAttributes": {},
    "accessControlList": [
        {
            "Name": "alice@example.com",
            "Type": "USER",
            "Access": "ALLOW"
        },
        {
            "Name": "bob@example.com",
            "Type": "USER",
            "Access": "DENY"
        }
    ]
}

Verifikasi konfigurasi Anda

Karena ACL Kustom disediakan oleh pelangganIngestKnowledgeBaseDocuments, validasi sebelum Anda melakukan kueri:

Pemecahan masalah