Le traduzioni sono generate tramite traduzione automatica. In caso di conflitto tra il contenuto di una traduzione e la versione originale in Inglese, quest'ultima prevarrà.

Document-level controlli di accesso

Le fonti di dati personalizzate supportano opzionalmente il controllo degli accessi a livello di documento. A differenza dei connettori sottoposti a scansione, un'origine dati personalizzata non dispone di un sistema di autorizzazioni nativo, quindi è necessario fornire l'elenco di controllo degli accessi (ACL) per ogni documento quando lo si inserisce con l'operazione. IngestKnowledgeBaseDocuments Per una panoramica del riconoscimento ACL su tutti i connettori, vedere. Attivazione del riconoscimento delle liste di controllo degli accessi

Come funziona

Per un'origine dati ACL-enabled personalizzata, Bedrock Managed Knowledge Base applica gli elenchi di controllo degli accessi forniti dal cliente durante il filtraggio preliminare, restituendo solo i documenti a cui l'utente che effettua l'interrogazione è autorizzato a accedere. Real-time La verifica ACL non è supportata per le origini dati personalizzate perché i metadati ACL forniti dal cliente sono la fonte della verità.

Abilita il riconoscimento ACL

Per abilitare il riconoscimento ACL per un'origine dati personalizzata, imposta su aclEnabled true in connectorParameters quando crei o aggiorni l'origine dati. Per la struttura di configurazione dell'origine dati, vediPersonalizzato.

"connectorParameters": {
    "type": "CUSTOM",
    "version": "1",
    "aclEnabled": true
}

Fornisci controlli di accesso durante l'importazione di documenti

Fornisci l'ACL di un documento tramite il accessControlList campo del documento metadata nella IngestKnowledgeBaseDocuments richiesta. L'origine ACL è determinata dallo metadata.type stesso campo che controlla la provenienza degli attributi dei metadati:

Poiché accessControlList risiede sotto metadata anziché come campo di primo livelloKnowledgeBaseDocument, un documento ha un'unica fonte ACL, controllata da. metadata.type In questo modo si evita che vengano forniti ACL in conflitto per lo stesso documento (ad esempio, un ACL in linea nella richiesta e un ACL nel file S3). Il compromesso è che non è possibile combinare un ACL in linea con attributi di metadati o S3-based un ACL con attributi di S3-based metadati in linea per lo stesso documento.

Ogni voce contiene: accessControlList

ACL in linea (metadata.type = IN_LINE_ATTRIBUTE)

Forniscili accessControlList direttamente nel corpo della richiesta insieme agli attributi dei metadati in linea.

PUT /knowledgebases/KB12345678/datasources/DS12345678/documents HTTP/1.1
Content-type: application/json

{
    "documents": [
        {
            "content": {
                "dataSourceType": "CUSTOM",
                "custom": {
                    "customDocumentIdentifier": {
                        "id": "hr-policy-2026"
                    },
                    "inlineContent": {
                        "textContent": {
                            "data": "Annual leave policy: All full-time employees are entitled to..."
                        },
                        "type": "TEXT"
                    },
                    "sourceType": "IN_LINE"
                }
            },
            "metadata": {
                "type": "IN_LINE_ATTRIBUTE",
                "inlineAttributes": [
                    {
                        "key": "department",
                        "value": { "stringValue": "HR", "type": "STRING" }
                    }
                ],
                "accessControlList": [
                    {
                        "name": "alice@example.com",
                        "type": "USER",
                        "access": "ALLOW"
                    },
                    {
                        "name": "bob@example.com",
                        "type": "USER",
                        "access": "DENY"
                    }
                ]
            }
        }
    ]
}

S3-based ACL (metadata.type = S3_LOCATION)

Indirizza i metadati del documento verso un .metadata.json file in Amazon S3. Sia gli attributi dei metadati che i accessControlList vengono letti da quel file.

"metadata": {
    "type": "S3_LOCATION",
    "s3Location": {
        "uri": "s3://amzn-s3-demo-bucket/hr-policy-2026.metadata.json"
    }
}

Il .metadata.json file utilizza lo stesso formato dei file di metadati per documento per le origini dati Amazon S3. Questo file utilizza nomi di campo ACL in maiuscolo (Name,,Access)Type, che differiscono dai nomi di campo in minuscolo (name,,type) utilizzati nella richiesta in linea. access

{
    "metadataAttributes": {},
    "accessControlList": [
        {
            "Name": "alice@example.com",
            "Type": "USER",
            "Access": "ALLOW"
        },
        {
            "Name": "bob@example.com",
            "Type": "USER",
            "Access": "DENY"
        }
    ]
}

Verifica la tua configurazione

Poiché gli ACL personalizzati vengono forniti dal clienteIngestKnowledgeBaseDocuments, convalidali prima di eseguire la query:

Risoluzione dei problemi