翻訳は機械翻訳により提供されています。提供された翻訳内容と英語版の間で齟齬、不一致または矛盾がある場合、英語版が優先します。

ドキュメントレベルのアクセスコントロール

カスタムデータソースは、オプションでドキュメントレベルのアクセスコントロールをサポートします。クロールされたコネクタとは異なり、カスタムデータソースにはネイティブアクセス許可システムがないため、 IngestKnowledgeBaseDocumentsオペレーションで取り込むときに各ドキュメントのアクセスコントロールリスト (ACL) を指定します。すべてのコネクタにおける ACL 対応の概要については、「」を参照してくださいアクセスコントロールリストの認識の有効化。

仕組み

ACL 対応のカスタムデータソースの場合、Bedrock Managed Knowledge Base は、取得前のフィルタリング中にお客様が用意したアクセスコントロールリストを適用し、クエリユーザーがアクセスできるドキュメントのみを返します。お客様が用意した ACL メタデータが信頼できるソースであるため、カスタムデータソースではリアルタイムの ACL 検証はサポートされていません。

ACL 対応を有効にする

カスタムデータソースの ACL 対応を有効にするには、データソースを作成または更新connectorParametersするときに、 trueで を aclEnabledに設定します。データソース設定構造については、「」を参照してくださいカスタム。

"connectorParameters": {
    "type": "CUSTOM",
    "version": "1",
    "aclEnabled": true
}

ドキュメントを取り込むときにアクセスコントロールを提供する

ドキュメントの ACL は、IngestKnowledgeBaseDocumentsリクエストmetadata内のドキュメントの の accessControlList フィールドを通じて指定します。ACL ソースはmetadata.type、メタデータ属性の送信元を制御するのと同じフィールドである によって決定されます。

accessControlList は の最上位フィールドとしてmetadataではなく に存在するためKnowledgeBaseDocument、ドキュメントには によって制御される単一の ACL ソースがありますmetadata.type。これにより、競合する ACLs が同じドキュメント (たとえば、リクエストのインライン ACL と S3 ファイル内の ACL) に提供されるのを防ぐことができます。トレードオフは、インライン ACL を S3-basedメタデータ属性と組み合わせたり、S3-based ACL をインラインメタデータ属性と組み合わせたりできないことです。

各accessControlListエントリには以下が含まれます。

インライン ACL (metadata.type = IN_LINE_ATTRIBUTE)

インラインメタデータ属性とともにリクエスト本文accessControlListに直接 を指定します。

PUT /knowledgebases/KB12345678/datasources/DS12345678/documents HTTP/1.1
Content-type: application/json

{
    "documents": [
        {
            "content": {
                "dataSourceType": "CUSTOM",
                "custom": {
                    "customDocumentIdentifier": {
                        "id": "hr-policy-2026"
                    },
                    "inlineContent": {
                        "textContent": {
                            "data": "Annual leave policy: All full-time employees are entitled to..."
                        },
                        "type": "TEXT"
                    },
                    "sourceType": "IN_LINE"
                }
            },
            "metadata": {
                "type": "IN_LINE_ATTRIBUTE",
                "inlineAttributes": [
                    {
                        "key": "department",
                        "value": { "stringValue": "HR", "type": "STRING" }
                    }
                ],
                "accessControlList": [
                    {
                        "name": "alice@example.com",
                        "type": "USER",
                        "access": "ALLOW"
                    },
                    {
                        "name": "bob@example.com",
                        "type": "USER",
                        "access": "DENY"
                    }
                ]
            }
        }
    ]
}

S3-based ACL (metadata.type = S3_LOCATION)

Amazon S3 の.metadata.jsonファイルにドキュメントのメタデータをポイントします。メタデータ属性と の両方accessControlListがそのファイルから読み取られます。

"metadata": {
    "type": "S3_LOCATION",
    "s3Location": {
        "uri": "s3://amzn-s3-demo-bucket/hr-policy-2026.metadata.json"
    }
}

.metadata.json ファイルは、Amazon S3 データソースのドキュメントごとのメタデータファイルと同じ形式を使用します。このファイルは、大文字の ACL フィールド名 (Name、Type、Access) を使用します。これは、インラインリクエストで使用される小文字のフィールド名 (name、type、access) とは異なります。

{
    "metadataAttributes": {},
    "accessControlList": [
        {
            "Name": "alice@example.com",
            "Type": "USER",
            "Access": "ALLOW"
        },
        {
            "Name": "bob@example.com",
            "Type": "USER",
            "Access": "DENY"
        }
    ]
}

設定を確認する

カスタム ACLs は を通じてお客様が提供するためIngestKnowledgeBaseDocuments、クエリを実行する前に検証してください。

トラブルシューティング