Ein Team entwickelt eine LLM-Anwendung unter Verwendung von Amazon Bedrock und Kundendaten, die in Amazon S3 gespeichert sind. Die Unternehmensrichtlinie verlangt, dass jedes Team nur auf die Daten seiner eigenen Kunden zugreifen kann. Welcher Ansatz setzt diese Anforderung durch?

Die Erstellung einer benutzerdefinierten Amazon Bedrock-Servicerolle für jedes Team, die nur Zugriff auf die spezifischen Kundendaten des Teams in Amazon S3 hat, ist der effektivste Ansatz. Diese Rollen können präzise S3-Bucket-Richtlinien oder IAM-Richtlinien verwenden, um den Zugriff auf bestimmte Präfixe oder Objekte zu beschränken, die den Daten des jeweiligen Teams entsprechen. Dies stellt sicher, dass die LLM-Anwendung im Kontext des Teams nur auf autorisierte Daten zugreifen kann. Die Option, den Kundennamen bei jeder Anfrage anzugeben, ist unsicher und fehleranfällig, da sie auf Anwendungsebene durchgesetzt werden müsste. Das Schwärzen persönlicher Daten löst nicht das Problem des unbefugten Zugriffs auf die verbleibenden Daten. Eine Amazon Bedrock-Rolle mit vollem S3-Zugriff und separate IAM-Rollen für Teams würden bedeuten, dass die Bedrock-Rolle immer vollen Zugriff hätte, was die Granularität der Team-IAM-Rollen umgehen könnte.