某个团队正在使用 Amazon Bedrock 和存储在 Amazon S3 中的客户数据构建一个 LLM 应用程序。公司策略要求每个团队只能访问他们自己的客户数据。哪种方法可以强制执行此要求？

正确答案通过为每个团队创建独立的 Amazon Bedrock 服务角色来强制执行数据隔离，每个角色都配置了仅访问其特定客户数据的权限。这样，Bedrock 应用程序在代表团队访问 S3 时，将自动继承该角色的权限，确保了数据访问的严格限制。 选项二不切实际，因为在每次 Bedrock 请求中手动指定客户名称会增加复杂性且容易出错，并且服务角色本身仍然需要适当的权限来执行访问控制。选项三修改 S3 中的个人数据与安全最佳实践不符，且 S3 存储桶策略需要更精细的控制，而不仅仅是允许访问。选项四虽然为每个团队创建 IAM 角色可以限制其对 S3 的直接访问，但 Bedrock 角色拥有完整的 S3 访问权限会成为一个安全漏洞，因为它允许 Bedrock 应用程序绕过团队的 IAM 角色限制。