Cerca in modo sicuro dati non strutturati su file system Windows con il connettore Amazon Kendra per Amazon FSx per file server Windows

Ripubblicato da Platone

Seguaci: 0

Le informazioni critiche possono essere sparse in più origini dati nell'organizzazione, incluse origini come i file system Windows in cui sono archiviati Amazon FSx per file server di Windows. Ora puoi usare il Connettore Amazon Kendra per FSx per Windows File Server per indicizzare documenti (HTML, PDF, MS Word, MS PowerPoint e testo normale) archiviati nel file system di Windows su FSx per Windows File Server e cercare informazioni in questo contenuto utilizzando la ricerca intelligente in Amazon Kendra.

Le organizzazioni archiviano i dati non strutturati in file su file system Windows condivisi e li proteggono utilizzando gli elenchi di controllo di accesso (ACL) di Windows per garantire che gli utenti possano leggere, scrivere e creare file in base alle autorizzazioni di accesso configurate nel dominio Active Directory (AD) aziendale . Trovare informazioni specifiche da questi dati non solo richiede la ricerca nei file, ma anche garantire che l'utente sia autorizzato ad accedervi. Il connettore Amazon Kendra per FSx per Windows File Server indicizza i file archiviati su FSx per Windows File Server e acquisisce gli ACL nell'indice Amazon Kendra, in modo che la risposta di una query di ricerca effettuata da un utente includa i risultati solo da quei documenti che l'utente è autorizzato a leggere.

Questo post prende l'esempio di una serie di documenti archiviati in modo sicuro su un file system utilizzando ACL su FSx per Windows File Server. Questi documenti vengono inseriti in un indice Amazon Kendra configurando e sincronizzando questo file system come origine dati dell'indice utilizzando il connettore per FSx per Windows File Server. Quindi dimostriamo che quando un utente esegue una query di ricerca, l'indice Amazon Kendra utilizza gli ACL in base al nome utente e ai gruppi a cui appartiene l'utente e restituisce solo i documenti a cui l'utente è autorizzato ad accedere. Includiamo anche i dettagli della configurazione e gli screenshot in ogni fase in modo che tu possa utilizzarli come riferimento durante la configurazione del connettore Amazon Kendra per FSx per Windows File Server nella tua configurazione.

Prerequisiti

Per provare il connettore Amazon Kendra per FSx per Windows File Server, è necessario quanto segue:

An Account AWS con privilegi da creare Gestione dell'identità e dell'accesso di AWS (IAM) ruoli e politiche. Per ulteriori informazioni, vedere Panoramica della gestione degli accessi: autorizzazioni e criteri.
Conoscenza di base di AWS e conoscenza pratica degli ACL di Windows e dell'amministrazione del dominio Microsoft AD.
Accesso come amministratore a un file system su FSx per Windows File Server, con accesso come amministratore al dominio AD a cui appartiene. In alternativa, puoi distribuirlo usando il Avvio rapido per FSx per file server di Windows.
I AWS_Whitepaper.zip, che utilizziamo per provare la funzionalità. Per le versioni aggiornate, fare riferimento a Whitepaper e guide di AWS. In alternativa, puoi utilizzare i tuoi documenti.

Architettura della soluzione

Il diagramma seguente illustra l'architettura della soluzione:

I documenti in questo esempio sono archiviati su un file system (3 nel diagramma) su FSx per Windows File Server (4). I file vengono impostati con ACL in base alle configurazioni utente e gruppo nel dominio AD creato utilizzando Servizio di directory AWS (1) a cui appartiene FSx per Windows File Server. Questo file system su FSx per Windows File Server è configurato come origine dati per Amazon Kendra (5). Accesso singolo AWS (AWS SSO) è abilitato con l'AD come origine dell'identità e l'indice Amazon Kendra è impostato per utilizzare AWS SSO (2) per il nome utente e la ricerca di gruppo per il contesto utente delle query di ricerca dalle distribuzioni della soluzione di ricerca del cliente ( 6). Il file system FSx per Windows File Server, il server AWS Managed Microsoft AD, il Cloud privato virtuale di Amazon (Amazon VPC) e le sottoreti configurate in questo esempio vengono create utilizzando il file Avvio rapido per FSx per file server di Windows.

FSx per la configurazione del file server di Windows

Lo screenshot seguente mostra il file system su FSx per Windows File Server configurato come parte di un dominio AWS Managed Microsoft AD utilizzato nel nostro esempio, come mostrato sulla console Amazon FSx.

Configurazione gestita da AWS Microsoft AD

L'AD a cui appartiene FSx per Windows File Server è configurato come AWS Managed Microsoft AD, come mostrato nella schermata seguente della console Directory Service.

Utenti, gruppi e configurazione ACL per set di dati di esempio

Per questo post, abbiamo utilizzato un set di dati composto da alcuni whitepaper AWS disponibili pubblicamente e li abbiamo archiviati in directory in base alle loro categorie (Best_Practices, Databases, General, Machine_Learning, Securitye Well_Architected) su un file system su FSx per Windows File Server. La schermata seguente mostra le cartelle viste da un host bastion Windows che fa parte del dominio AD a cui appartiene il file system.

Gli utenti e i gruppi sono configurati nel dominio AD come segue:

kadmin - group_kadmin
patricia - group_sa, group_kauthenticated
Giacomo - group_db_sa, group_kauthenticated
Giovanni - group_ml_sa, group_kauthenticated
Maria, Giulia, Tom - group_kauthenticated

Lo screenshot seguente mostra gli utenti e i gruppi configurati nel dominio AWS Managed Microsoft AD visti dall'host Windows Bastion.

Gli ACL per i file in ogni directory vengono impostati in base alle configurazioni di utenti e gruppi nel dominio AD a cui appartiene FSx per Windows File Server:

Tutti gli utenti autenticati (group_kauthenticated) – Può accedere ai documenti in Best_Practices ed General directory
Soluzioni Architetti (group_sa) – Può accedere ai documenti in Best_Practices, General, Securitye Well_Architected directory
Esperto in materia di database Solutions Architects (group_db_sa) – Può accedere ai documenti in Best_Practices, General, Security, Well_Architectede Database directory
Esperto in materia di apprendimento automatico Solutions Architects (group_ml_sa) – Può accedere Best_Practices, General, Security, Well_Architectede Machine_Learning directory
Amministratore (group_kadmin) – Può accedere ai documenti in una qualsiasi delle sei directory

Lo screenshot seguente mostra le configurazioni ACL per ciascuna delle directory dei nostri dati di esempio, come si vede dall'host Windows Bastion.

Configurazione AWS Single Sign-On

AWS SSO è configurato con il dominio AD come origine dell'identità. Lo screenshot seguente mostra le impostazioni sulla console AWS SSO.

I gruppi vengono sincronizzati in AWS SSO da AD, come mostrato nella schermata seguente.

Lo screenshot seguente mostra i membri del group_kauthenticated gruppo sincronizzato dall'AD.

Configurazione dell'origine dati utilizzando Amazon Kendra Connector per FSx per Windows File Server

Configuriamo un'origine dati utilizzando il connettore Amazon Kendra per FSx per Windows File Server in un indice Amazon Kendra sulla console Amazon Kendra. Puoi creare un nuovo indice Amazon Kendra oppure usane uno esistente e aggiungi una nuova origine dati.

Quando aggiungi un'origine dati per un indice Amazon Kendra, scegli il connettore FSx per Windows File Server scegliendo Aggiungi connettore per AmazonFSx.

I passaggi per aggiungere un nome di origine dati e tag di risorsa sono simili all'aggiunta di qualsiasi altra origine dati, come mostrato nella schermata seguente.

I dettagli per la configurazione del file system specifico su Amazon FSx e il tipo di file system (in questo caso FSx per Windows File Server), sono configurati per Fonte sezione. Le credenziali di autenticazione di un utente con privilegi di amministratore per il file system vengono configurate utilizzando un AWS Secrets Manager segreto.

Le impostazioni del VPC e del gruppo di sicurezza della configurazione dell'origine dati includono i dettagli del VPC, delle sottoreti e del gruppo di sicurezza di Amazon FSx e del server AD. Nello screenshot seguente, creiamo anche un nuovo ruolo IAM per l'origine dati.

Il passaggio successivo nella configurazione dell'origine dati prevede la mappatura dei campi del connettore Amazon FSx ai facet o ai nomi dei campi di Amazon Kendra. Nello screenshot seguente, lasciamo invariata la configurazione. Il passaggio successivo prevede la revisione della configurazione e la conferma della creazione dell'origine dati.

Dopo aver configurato il file system su FSx per Windows File Server, in cui i dati di esempio sono archiviati come origine dati, configurare le operazioni di base di Custom Document Enrichment (CDE) per questa origine dati in modo che l'indice Amazon Kendra filed _category è configurato in base alla directory in cui è archiviato un documento. La sincronizzazione dell'origine dati viene avviata dopo la configurazione del CDE, in modo che il file _category gli attributi per i documenti vengono configurati durante il flusso di lavoro di importazione.

Come mostrato nello screenshot seguente, le impostazioni di controllo dell'accesso utente dell'indice Amazon Kendra sono configurate per la ricerca di utenti e gruppi tramite l'integrazione AWS SSO. Il controllo dell'accesso degli utenti basato su token JSON è abilitato per la ricerca in base ai nomi di utenti e gruppi dalla console Amazon Kendra Search.

Nella definizione del facet per l'indice Amazon Kendra, assicurati che le caselle facetable e visualizzabili siano selezionate _category. Ciò consente di utilizzare il _category valori impostati dalle operazioni di base del CDE come facet durante la ricerca.

Cerca con Amazon Kendra

Una volta completata la sincronizzazione dell'origine dati, possiamo iniziare a cercare dalla console Amazon Kendra Search, scegliendo Cerca contenuto indicizzato nel riquadro di navigazione sulla console Amazon Kendra. Poiché utilizziamo i whitepaper AWS come set di dati da importare nell'indice Amazon Kendra, utilizziamo "Cos'è DynamoDB?" come query di ricerca. Solo gli utenti autenticati sono autorizzati ad accedere ai file sul file system su FSx per Windows File Server; pertanto, quando utilizziamo questa query di ricerca senza impostare alcun nome utente o gruppo, non otteniamo alcun risultato.

Ora impostiamo il nome utente su mary@kendra-01.com. L'utente mary appartiene a group_kauthenticated, ed è quindi autorizzato ad accedere ai documenti in Best_Practices ed General directory. Nella schermata seguente, la risposta alla ricerca include documenti con il facet category impostato Best Practices ed Generale. Le operazioni di base del CDE impostano il facet category a seconda dei nomi di directory contenuti nel file source_uri. Ciò conferma che gli ACL acquisiti in Amazon Kendra dal connettore per FSx per Windows File Server vengono applicati nei risultati della ricerca in base al nome utente.

Ora cambiamo il nome utente in patricia@kendra-01.com. L'utente patricia appartiene a group_sa, con accesso a Security ed Well_Architected directory, oltre a Best_Practices ed General directory. La risposta di ricerca include i risultati di queste directory aggiuntive.

Ora possiamo osservare come cambiano i risultati della risposta di ricerca quando cambiamo il nome utente in james@kendra-01.com, john@kendra-01.come kadmin@kendra-01.com negli screenshot seguenti.

ripulire

Se hai distribuito un'infrastruttura AWS per sperimentare il connettore Amazon Kendra per FSx per Windows File Server, ripulisci l'infrastruttura come segue:

Se hai usato il file Avvio rapido per FSx per file server di Windows, elimina il file AWS CloudFormazione stack che hai creato in modo che elimini tutte le risorse che ha creato.
Se hai creato un nuovo indice Amazon Kendra, eliminalo.
Se hai aggiunto solo una nuova origine dati utilizzando il connettore, elimina tale origine dati.
Elimina la configurazione AWS SSO.

Conclusione

Il connettore Amazon Kendra per FSx per Windows File Server consente la ricerca sicura e intelligente delle informazioni sparse nel contenuto non strutturato. I dati vengono archiviati in modo sicuro su file system su Windows File Server FSx con ACL e condivisi con gli utenti in base alle loro credenziali di dominio Microsoft AD.

Per ulteriori informazioni sul connettore Amazon Kendra per FSx per Windows File Server, fare riferimento a Introduzione a un'origine dati Amazon FSx (console) ed Utilizzo di un'origine dati Amazon FSx.

Per informazioni sull'arricchimento di documenti personalizzati, fare riferimento a Personalizzazione dei metadati del documento durante il processo di importazione ed Arricchisci i tuoi contenuti e metadati per migliorare la tua esperienza di ricerca con l'arricchimento dei documenti personalizzato in Amazon Kendra.

L'autore

Abhinav Jawadekar è Senior Partner Solutions Architect presso Amazon Web Services. Abhinav collabora con i partner AWS per aiutarli nel loro viaggio verso il cloud.