Las traducciones son generadas a través de traducción automática. En caso de conflicto entre la traducción y la version original de inglés, prevalecerá la version en inglés.

Document-level controles de acceso

Las fuentes de datos personalizadas admiten opcionalmente el control de acceso a nivel de documento. A diferencia de los conectores rastreados, una fuente de datos personalizada no tiene un sistema de permisos nativo, por lo que debe proporcionar la lista de control de acceso (ACL) de cada documento cuando lo ingiere junto con la operación. IngestKnowledgeBaseDocuments Para obtener información general sobre el reconocimiento de las ACL en todos los conectores, consulte. Habilitación del conocimiento de las listas de control de acceso

Funcionamiento

Para obtener una fuente de datos ACL-enabled personalizada, la base de conocimiento gestionada de Bedrock aplica las listas de control de acceso proporcionadas por el cliente durante el filtrado previo a la recuperación y devuelve solo los documentos a los que el usuario que realiza la consulta puede acceder. Real-time La verificación de la ACL no es compatible con las fuentes de datos personalizadas porque los metadatos de la ACL proporcionados por el cliente son la fuente de la verdad.

Habilite el reconocimiento de ACL

Para habilitar el reconocimiento de la ACL en una fuente de datos personalizada, aclEnabled true configúrelo en connectorParameters cuando cree o actualice la fuente de datos. Para ver la estructura de configuración de la fuente de datos, consultePersonalizada.

"connectorParameters": {
    "type": "CUSTOM",
    "version": "1",
    "aclEnabled": true
}

Proporcione controles de acceso al ingerir documentos

La ACL de un documento se proporciona a través del accessControlList campo del documento de metadata la IngestKnowledgeBaseDocuments solicitud. La fuente de la ACL viene determinada por metadata.type el mismo campo que controla la procedencia de los atributos de los metadatos:

Como se accessControlList encuentra debajo de un campo de nivel superior y metadata no como un campo de nivel superiorKnowledgeBaseDocument, un documento tiene una única fuente de ACL, controlada pormetadata.type. Esto evita que se proporcionen ACL contradictorias para el mismo documento (por ejemplo, una ACL en línea en la solicitud y una ACL en el archivo S3). La desventaja es que no se puede combinar una ACL en línea con atributos de S3-based metadatos, o S3-based una ACL con atributos de metadatos en línea, para el mismo documento.

Cada entrada contieneaccessControlList:

ACL en línea (metadata.type = IN_LINE_ATTRIBUTE)

Introdúzcalos accessControlList directamente en el cuerpo de la solicitud junto con los atributos de metadatos en línea.

PUT /knowledgebases/KB12345678/datasources/DS12345678/documents HTTP/1.1
Content-type: application/json

{
    "documents": [
        {
            "content": {
                "dataSourceType": "CUSTOM",
                "custom": {
                    "customDocumentIdentifier": {
                        "id": "hr-policy-2026"
                    },
                    "inlineContent": {
                        "textContent": {
                            "data": "Annual leave policy: All full-time employees are entitled to..."
                        },
                        "type": "TEXT"
                    },
                    "sourceType": "IN_LINE"
                }
            },
            "metadata": {
                "type": "IN_LINE_ATTRIBUTE",
                "inlineAttributes": [
                    {
                        "key": "department",
                        "value": { "stringValue": "HR", "type": "STRING" }
                    }
                ],
                "accessControlList": [
                    {
                        "name": "alice@example.com",
                        "type": "USER",
                        "access": "ALLOW"
                    },
                    {
                        "name": "bob@example.com",
                        "type": "USER",
                        "access": "DENY"
                    }
                ]
            }
        }
    ]
}

S3-based ACL (metadata.type = S3_LOCATION)

Dirija los metadatos del documento a un .metadata.json archivo de Amazon S3. Tanto los atributos de los metadatos como los que accessControlList se leen de ese archivo.

"metadata": {
    "type": "S3_LOCATION",
    "s3Location": {
        "uri": "s3://amzn-s3-demo-bucket/hr-policy-2026.metadata.json"
    }
}

El .metadata.json archivo usa el mismo formato que los archivos de metadatos por documento para las fuentes de datos de Amazon S3. Este archivo utiliza nombres de campo de ACL en mayúsculas (Name,Type,Access), que difieren de los nombres de campo en minúsculas (name,type,access) que se utilizan en la solicitud en línea.

{
    "metadataAttributes": {},
    "accessControlList": [
        {
            "Name": "alice@example.com",
            "Type": "USER",
            "Access": "ALLOW"
        },
        {
            "Name": "bob@example.com",
            "Type": "USER",
            "Access": "DENY"
        }
    ]
}

Verificación de la configuración

Como las ACL personalizadas las proporciona el cliente, valídalas antes de realizar la consultaIngestKnowledgeBaseDocuments:

Resolución de problemas