翻訳は機械翻訳により提供されています。提供された翻訳内容と英語版の間で齟齬、不一致または矛盾がある場合、英語版が優先します。

ドキュメントレベルのアクセスコントロール

Google Drive データソースは、オプションでドキュメントレベルのアクセスコントロールをサポートします。有効にすると、Bedrock Managed Knowledge Base はクロールのたびに Google Drive のアクセスコントロールリスト (ACLs) を同期し、クエリ時に各ユーザーのアクセス許可を検証するため、ユーザーは Google Drive でアクセスが許可されているドキュメントの結果のみを表示できます。すべてのコネクタにおける ACL 対応の概要については、「」を参照してくださいアクセスコントロールリストの認識の有効化。

仕組み

ユーザーが ACL 対応の Google Drive データソースを使用するナレッジベースにクエリを実行すると、Bedrock マネージドナレッジベースは 2 つの段階でアクセスコントロールを適用します。

この 2 段階のアプローチは、Google Drive のアクセス許可が同期間で変化しても最新の状態を維持するドキュメントレベルのアクセスコントロールを提供します。

クロールされる内容

ACLs を有効にすると、Bedrock Managed Knowledge Base は Google Drive からファイルレベルの共有アクセス許可をクロールします。これには以下が含まれます。

ACL 対応を有効にする

Google Drive データソースの ACL 対応を有効にするには、 true で SERVICE_ACCOUNT aclEnabledを に設定connectorParametersし、認証タイプを使用します。サービスアカウントでは、Google Workspace 管理者コンソールでドメイン全体の委任が有効になっている必要があります。

AWS Secrets Manager シークレットには、adminAccountEmail、clientEmail、および が含まれている必要がありますprivateKey。サービスアカウントを作成し、ドメイン全体の委任を設定し、これらの値を取得するstep-by-stepについては、「」を参照してくださいGoogle Drive のサービスアカウント認証を設定する。

"connectorParameters": {
    "type": "GOOGLEDRIVE",
    "version": "1",
    "aclEnabled": true,
    "connectionConfiguration": {
        "authType": "SERVICE_ACCOUNT",
        "secretArn": "arn:aws:secretsmanager:region:account-id:secret:secret-name"
    },
    "dataEntityConfiguration": {
        "crawlMyDrive": true,
        "crawlSharedWithMe": false,
        "crawlSharedDrives": false
    }
}

リアルタイムアクセス検証

Bedrock Managed Knowledge Base は、サービスアカウントのドメイン全体の委任を使用して、Google Drive API に対するドキュメントアクセスをリアルタイムで検証し、クエリを実行するユーザーが引き続き各候補ドキュメントにアクセスできることを確認します。

設定を確認する

サービスアカウント設定は、取得リクエストとは別に検証できます。次の各チェックを実行します。

トラブルシューティング