あるチームが、Amazon Bedrock と Amazon S3 に保存されている顧客データを使用して LLM アプリケーションを構築しています。会社のポリシーでは、各チームが自分の顧客データのみにアクセスできることが求められています。この要件を強制するには、どのアプローチが適切ですか？

各チームの顧客データのみにアクセスできるカスタムサービスロールをAmazon Bedrock用にチームごとに作成することで、最小権限の原則に従い、各チームが自身のデータのみにアクセスできるようになります。これにより、セキュリティとデータプライバシーの要件が満たされます。 他の選択肢は不適切です。 顧客名をリクエストで指定する方法は、アクセス制御をアプリケーション層に委ねるため、セキュリティリスクが高まります。 S3の個人データを編集したり、S3バケットポリシーを更新して全チームにアクセスを許可したりすると、データ漏洩のリスクが生じます。 Amazon S3へのフルアクセス権を持つBedrockロールを作成し、IAMロールでチームごとのS3フォルダーアクセスを制御する方法は、Bedrockロールに過剰な権限を与えるため、最小権限の原則に反します。