Amazon Bedrock Knowledge Bases：ドキュメントレベルのアクセス制御（ACL）をデバッグ・監査する新APIとコンソール機能が登場

Amazon Bedrock Managed Knowledge Base において、ドキュメントレベルのアクセス制御（ACL）に関するデバッグと監査を容易にするための新機能が追加されました。具体的には、特定のユーザーのアクセス権を確認する CheckIngestedDocumentAcl API、ドキュメントに付与された完全な ACL を取得する GetIngestedDocumentAcl API が導入されました。また、AWS マネジメントコンソールのデータソース詳細ページに「Document Access Control」セクションが追加され、GUI 上からドキュメント ID やユーザーのメールアドレスを用いて、権限設定の確認や監査が直接行えるようになります。

🛠️ エンジニアの視点：ACL デバッグの「ブラックボックス化」を解消

RAG（検索拡張生成）をエンタープライズ環境で運用する際、**「特定のユーザーにだけ検索結果が正しく返ってこない」**という問題は非常に厄介です。原因が「ACL の設定ミス」なのか「検索アルゴリズムやチャンク分割の問題」なのかを切り分けるのは、これまでは非常に困難でした。

今回のアップデートにより、以下の課題が解決されます：

• 原因特定の手間削減: API やコンソールから直接権限を確認できるため、サポートケースを起票する前に自己解決が可能になります。
• 監査の自動化: GetIngestedDocumentAcl を活用することで、大量のドキュメントに対して意図しない権限が付与されていないかをプログラム的に監査できます。

🇯🇵 日本国内リージョンの状況

最新のリージョン状況を確認したところ、Amazon Bedrock 自体は 東京 (ap-northeast-1) および 大阪 (ap-northeast-3) で利用可能ですが、今回の新機能（CheckIngestedDocumentAcl / GetIngestedDocumentAcl API）の具体的な展開状況については、現時点の公式発表およびドキュメントでは未確認です。導入の際は、まずご自身の環境で API が利用可能か確認することをお勧めします。

💡 運用上のアドバイス

ACL を有効にしている場合、ドキュメントの取り込み（Ingestion）プロセスにおいて、メタデータに正しく ACL 情報が含まれているかが鍵となります。新機能を使って「なぜ見えないのか」を調査する際は、まず GetIngestedDocumentAcl でドキュメント自体に期待通りの権限が付いているかを確認し、次に CheckIngestedDocumentAcl でユーザーの属性と照らし合わせる、というステップを踏むのが効率的です。

✅ Next Action

1. 現在運用中の Knowledge Base のデータソース詳細ページに「Document Access Control」セクションが表示されているか確認する。
2. ACL を利用している環境であれば、テストユーザーのメールアドレスを用いてコンソール上での権限チェックを試行する。

🔗 Reference

• Amazon Bedrock API Reference (CheckIngestedDocumentAcl)
• Amazon Bedrock API Reference (GetIngestedDocumentAcl)
• Amazon Bedrock Knowledge Bases 製品ページ (https://aws.amazon.com/bedrock/knowledge-bases/)