一個團隊正在使用 Amazon Bedrock 和儲存在 Amazon S3 中的客戶資料來建構 LLM 應用程式。公司政策要求每個團隊只能存取他們自己的客戶資料。哪種方法可以強制執行此要求？

正確答案是為每個團隊建立一個 Amazon Bedrock 自訂服務角色，該角色只能存取該團隊的客戶資料。這種方法利用了 AWS 的最小權限原則，確保每個團隊只能透過其專屬的 Bedrock 服務角色，存取其在 S3 中被授權的客戶資料。這直接滿足了公司「每個團隊只能存取他們自己的客戶資料」的要求，提供了精細的存取控制。 建立一個具有 Amazon S3 存取權限的自訂服務角色，並要求團隊在每個 Amazon Bedrock 請求中指定客戶名稱，這並不能強制執行存取控制，因為 Bedrock 服務角色本身可能擁有超出單一團隊所需的廣泛 S3 存取權限。在 Amazon S3 中編輯個人資料並更新 S3 儲存貯體政策以允許團隊存取客戶資料，這是一種不精確且難以管理的做法，尤其當資料量大或團隊眾多時。建立一個具有完整 Amazon S3 存取權限的 Amazon Bedrock 角色，然後為每個團隊建立 IAM 角色來限制其對 S3 資料夾的存取，這種方法會導致 Bedrock 角色擁有過高的權限，違反了最小權限原則，增加了安全風險。