本文為英文版的機器翻譯版本，如內容有任何歧義或不一致之處，概以英文版為準。

文件層級存取控制

自訂資料來源可選擇性支援文件層級存取控制。與抓取連接器不同，自訂資料來源沒有原生許可系統，因此當您使用 IngestKnowledgeBaseDocuments操作擷取每個文件時，您會提供存取控制清單 (ACL)。如需所有連接器的 ACL 意識概觀，請參閱 存取控制清單意識啟用。

運作方式

對於啟用 ACL 的自訂資料來源，Bedrock 受管知識庫會在擷取前篩選期間套用客戶提供的存取控制清單，僅傳回查詢使用者允許存取的文件。自訂資料來源不支援即時 ACL 驗證，因為客戶提供的 ACL 中繼資料是事實來源。

啟用 ACL 意識

若要啟用自訂資料來源的 ACL 意識，請在建立或更新資料來源connectorParameters時，在 true中將 aclEnabled設定為 。如需資料來源組態結構，請參閱 Custom。

"connectorParameters": {
    "type": "CUSTOM",
    "version": "1",
    "aclEnabled": true
}

擷取文件時提供存取控制

您可以透過IngestKnowledgeBaseDocuments請求metadata中文件 的 accessControlList 欄位提供文件的 ACL。ACL 來源由 決定metadata.type，該欄位控制中繼資料屬性的來源：

由於 accessControlList位於 之下，metadata而不是 的頂層欄位KnowledgeBaseDocument，因此文件具有單一 ACL 來源，由 控制metadata.type。這可防止為相同的文件提供衝突ACLs （例如，請求上的內嵌 ACL 和 S3 檔案中的 ACL)。權衡是您無法針對相同文件混合內嵌 ACL 與以 S3-based中繼資料屬性，或以 S3-based ACL 與內嵌中繼資料屬性。

每個accessControlList項目都包含：

內嵌 ACL (metadata.type = IN_LINE_ATTRIBUTE)

在請求內文中accessControlList直接提供 以及內嵌中繼資料屬性。

PUT /knowledgebases/KB12345678/datasources/DS12345678/documents HTTP/1.1
Content-type: application/json

{
    "documents": [
        {
            "content": {
                "dataSourceType": "CUSTOM",
                "custom": {
                    "customDocumentIdentifier": {
                        "id": "hr-policy-2026"
                    },
                    "inlineContent": {
                        "textContent": {
                            "data": "Annual leave policy: All full-time employees are entitled to..."
                        },
                        "type": "TEXT"
                    },
                    "sourceType": "IN_LINE"
                }
            },
            "metadata": {
                "type": "IN_LINE_ATTRIBUTE",
                "inlineAttributes": [
                    {
                        "key": "department",
                        "value": { "stringValue": "HR", "type": "STRING" }
                    }
                ],
                "accessControlList": [
                    {
                        "name": "alice@example.com",
                        "type": "USER",
                        "access": "ALLOW"
                    },
                    {
                        "name": "bob@example.com",
                        "type": "USER",
                        "access": "DENY"
                    }
                ]
            }
        }
    ]
}

S3-based ACL (metadata.type = S3_LOCATION)

將文件的中繼資料指向 Amazon S3 中的.metadata.json檔案。中繼資料屬性和 accessControlList都會從該檔案讀取。

"metadata": {
    "type": "S3_LOCATION",
    "s3Location": {
        "uri": "s3://amzn-s3-demo-bucket/hr-policy-2026.metadata.json"
    }
}

.metadata.json 檔案使用的格式與 Amazon S3 資料來源的每個文件中繼資料檔案相同。此檔案使用大寫 ACL 欄位名稱 (Name、Type、Access)，這與內嵌請求中使用的小寫欄位名稱 (name、type、access) 不同。

{
    "metadataAttributes": {},
    "accessControlList": [
        {
            "Name": "alice@example.com",
            "Type": "USER",
            "Access": "ALLOW"
        },
        {
            "Name": "bob@example.com",
            "Type": "USER",
            "Access": "DENY"
        }
    ]
}

驗證您的組態

由於自訂 ACLs 是透過 客戶提供IngestKnowledgeBaseDocuments，因此請在查詢之前驗證它們：

疑難排解