本文属于机器翻译版本。若本译文内容与英语原文存在差异，则一律以英文原文为准。

Document-level 访问控制

自定义数据源可以选择支持文档级访问控制。与爬网连接器不同，自定义数据源没有本机权限系统，因此在操作中摄取每个文档时，您需要为每个文档提供访问控制列表 (ACL)。IngestKnowledgeBaseDocuments有关所有连接器的 ACL 感知概述，请参阅访问控制列表感知启用。

工作原理

对于 ACL-enabled 自定义数据源，Bedrock Managed Knowledge Base 在检索前筛选期间应用客户提供的访问控制列表，仅返回允许查询用户访问的文档。 Real-time 自定义数据源不支持 ACL 验证，因为客户提供的 ACL 元数据是真实来源。

启用 ACL 感知

要为自定义数据源启用 ACL 感知，请在创建或更新数据源connectorParameters时aclEnabled将其true设置为。有关数据源的配置结构，请参见自定义。

"connectorParameters": {
    "type": "CUSTOM",
    "version": "1",
    "aclEnabled": true
}

在摄取文档时提供访问控制

您可以通过IngestKnowledgeBaseDocuments请求中文档上的accessControlList字段提供文档metadata的 ACL。ACL 来源由metadata.type控制元数据属性来源的同一字段确定：

由于accessControlList文档位于metadata而不是顶层字段之下KnowledgeBaseDocument，因此文档只有一个 ACL 源，由控制metadata.type。这样可以防止为同一文档提供相互冲突的 ACL（例如，请求中的内联 ACL 和 S3 文件中的 ACL）。权衡之处在于，对于同一文档，您不能将内联 ACL 与 S3-based 元数据属性混用，或 S3-based 将 ACL 与内联元数据属性混用。

每个accessControlList条目都包含：

内联 ACL（元数据.type = IN_LINE_ATTRIBUTE）

accessControlList直接在请求正文中提供内联元数据属性的旁边。

PUT /knowledgebases/KB12345678/datasources/DS12345678/documents HTTP/1.1
Content-type: application/json

{
    "documents": [
        {
            "content": {
                "dataSourceType": "CUSTOM",
                "custom": {
                    "customDocumentIdentifier": {
                        "id": "hr-policy-2026"
                    },
                    "inlineContent": {
                        "textContent": {
                            "data": "Annual leave policy: All full-time employees are entitled to..."
                        },
                        "type": "TEXT"
                    },
                    "sourceType": "IN_LINE"
                }
            },
            "metadata": {
                "type": "IN_LINE_ATTRIBUTE",
                "inlineAttributes": [
                    {
                        "key": "department",
                        "value": { "stringValue": "HR", "type": "STRING" }
                    }
                ],
                "accessControlList": [
                    {
                        "name": "alice@example.com",
                        "type": "USER",
                        "access": "ALLOW"
                    },
                    {
                        "name": "bob@example.com",
                        "type": "USER",
                        "access": "DENY"
                    }
                ]
            }
        }
    ]
}

S3-based ACL（元数据类型 = S3_LOCATION）

将文档的元数据指向 Amazon S3 中的某个.metadata.json文件。元数据属性和accessControlList都是从该文件中读取的。

"metadata": {
    "type": "S3_LOCATION",
    "s3Location": {
        "uri": "s3://amzn-s3-demo-bucket/hr-policy-2026.metadata.json"
    }
}

该.metadata.json文件使用的格式与 Amazon S3 数据源的每个文档的元数据文件格式相同。此文件使用大写的 ACL 字段名 (NameType,,Access)，这与内联请求中使用的小写字段名 (nametype、、access) 不同。

{
    "metadataAttributes": {},
    "accessControlList": [
        {
            "Name": "alice@example.com",
            "Type": "USER",
            "Access": "ALLOW"
        },
        {
            "Name": "bob@example.com",
            "Type": "USER",
            "Access": "DENY"
        }
    ]
}

验证配置

由于自定义 ACL 是客户通过提供的IngestKnowledgeBaseDocuments，因此请在查询之前对其进行验证：

问题排查