c3.2 Use um papel de serviço de privilégio mínimo para a base de conhecimento

Por que o knowledge base precisa de uma função restrita

Um knowledge base do Bedrock assume uma função de serviço do IAM para fazer seu trabalho: chamar o modelo de embeddings, ler documentos de origem do S3 e ler/gravar o vector store (por exemplo, OpenSearch Serverless). Essa função toca seus dados de origem e seu índice de recuperação, então deve ser dedicada a este único knowledge base e restrita exatamente ao modelo, aos buckets e à coleção que usa, não uma função ampla compartilhada entre vários knowledge bases.

Confie apenas no Bedrock, protegido contra o confused deputy

A política de confiança permite que o principal de serviço do Bedrock assuma a função, restrita à sua conta e (idealmente) ao ARN do knowledge base específico:

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Principal": { "Service": "bedrock.amazonaws.com" },
      "Action": "sts:AssumeRole",
      "Condition": {
        "StringEquals": { "aws:SourceAccount": "111122223333" },
        "ArnLike": {
          "aws:SourceArn": "arn:aws:bedrock:us-east-1:111122223333:knowledge-base/*"
        }
      }
    }
  ]
}

Conceda apenas as três coisas que o KB toca

Modelo de embeddings, fontes do S3 e o vector store, cada um restrito a recursos específicos:

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "InvokeEmbeddingsModel",
      "Effect": "Allow",
      "Action": "bedrock:InvokeModel",
      "Resource": "arn:aws:bedrock:us-east-1::foundation-model/amazon.titan-embed-text-v2:0"
    },
    {
      "Sid": "ReadSourceDocuments",
      "Effect": "Allow",
      "Action": ["s3:GetObject", "s3:ListBucket"],
      "Resource": [
        "arn:aws:s3:::my-kb-sources",
        "arn:aws:s3:::my-kb-sources/*"
      ]
    },
    {
      "Sid": "AccessVectorStore",
      "Effect": "Allow",
      "Action": "aoss:APIAccessAll",
      "Resource": "arn:aws:aoss:us-east-1:111122223333:collection/<collection-id>"
    }
  ]
}

Faça coincidir as políticas do próprio vector store

Para o OpenSearch Serverless, o IAM é apenas metade: a coleção também tem uma política de acesso a dados que deve conceder a esta mesma função leitura/gravação sobre o índice. Restrinja a instrução de embeddings ao único ARN do modelo de embeddings, e a de S3 apenas ao(s) bucket(s) de origem que este knowledge base ingere, para que a função não possa ler dados não relacionados.

Nota de nomenclatura: substitua o id da conta, a região, o bucket, o id da coleção e o ARN do modelo de embeddings. Use uma função por knowledge base em vez de uma função compartilhada.