c3.2 Usa un rol de servicio de mínimo privilegio para la base de conocimiento

Por qué el knowledge base necesita un rol acotado

Un knowledge base de Bedrock asume un rol de servicio de IAM para hacer su trabajo: llamar al modelo de embeddings, leer documentos fuente desde S3 y leer/escribir el vector store (por ejemplo, OpenSearch Serverless). Ese rol toca tus datos fuente y tu índice de recuperación, así que debe estar dedicado a este único knowledge base y acotado exactamente al modelo, los buckets y la colección que usa, no ser un rol amplio compartido entre varios knowledge bases.

Confía solo en Bedrock, protegido contra el confused deputy

La política de confianza permite que el principal de servicio de Bedrock asuma el rol, restringida a tu cuenta y (idealmente) al ARN del knowledge base específico:

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Principal": { "Service": "bedrock.amazonaws.com" },
      "Action": "sts:AssumeRole",
      "Condition": {
        "StringEquals": { "aws:SourceAccount": "111122223333" },
        "ArnLike": {
          "aws:SourceArn": "arn:aws:bedrock:us-east-1:111122223333:knowledge-base/*"
        }
      }
    }
  ]
}

Concede solo las tres cosas que el KB toca

Modelo de embeddings, fuentes de S3 y el vector store, cada uno acotado a recursos específicos:

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "InvokeEmbeddingsModel",
      "Effect": "Allow",
      "Action": "bedrock:InvokeModel",
      "Resource": "arn:aws:bedrock:us-east-1::foundation-model/amazon.titan-embed-text-v2:0"
    },
    {
      "Sid": "ReadSourceDocuments",
      "Effect": "Allow",
      "Action": ["s3:GetObject", "s3:ListBucket"],
      "Resource": [
        "arn:aws:s3:::my-kb-sources",
        "arn:aws:s3:::my-kb-sources/*"
      ]
    },
    {
      "Sid": "AccessVectorStore",
      "Effect": "Allow",
      "Action": "aoss:APIAccessAll",
      "Resource": "arn:aws:aoss:us-east-1:111122223333:collection/<collection-id>"
    }
  ]
}

Haz coincidir las políticas propias del vector store

Para OpenSearch Serverless, IAM es solo la mitad: la colección también tiene una política de acceso a datos que debe conceder a este mismo rol lectura/escritura sobre el índice. Acota la sentencia de embeddings al único ARN del modelo de embeddings, y la de S3 solo al bucket o buckets fuente que este knowledge base ingiere, para que el rol no pueda leer datos no relacionados.

Nota de nomenclatura: reemplaza el id de cuenta, la región, el bucket, el id de la colección y el ARN del modelo de embeddings. Usa un rol por knowledge base en lugar de un rol compartido.