Lab 93 — Copiloto interno com permissão por fonte

{
  "knowledgeBaseId": "KB9A2E5F1C",
  "retrievalQuery": { "text": "qual e a politica de reembolso de despesas com equipamento?" },
  "retrievalConfiguration": {
    "vectorSearchConfiguration": {
      "numberOfResults": 6,
      "filter": {
        "orAll": [
          { "listContains": { "key": "grupos_permitidos", "value": "geral" } },
          { "listContains": { "key": "grupos_permitidos", "value": "engenharia" } }
        ]
      }
    }
  },
  "_comentario": "marina pertence aos grupos 'geral' e 'engenharia' -- o filtro nunca inclui 'financeiro' nem 'diretoria', entao o documento de provisao trimestral nao tem como entrar no contexto, mesmo sendo o mais parecido semanticamente com a pergunta"
}

# identity-center-grupos.tf -- grupos por area no Identity Store do
# IAM Identity Center, e o metadado de grupo que o filtro de recuperacao
# depende. Pressupoe Identity Center ja habilitado na organizacao (fora
# do escopo deste laboratorio -- e' feito uma vez, no nivel da conta de
# gerenciamento).

data "aws_ssoadmin_instances" "atual" {}

locals {
  identity_store_id = tolist(data.aws_ssoadmin_instances.atual.identity_store_ids)[0]
  areas             = ["rh", "financeiro", "juridico", "engenharia", "diretoria"]
}

resource "aws_identitystore_group" "area" {
  for_each          = toset(local.areas)
  identity_store_id = local.identity_store_id
  display_name      = "copiloto-${each.value}"
  description       = "Grupo de acesso do copiloto interno para a area ${each.value}"
}

# Exemplo: Marina (engenharia) e' membro so do proprio grupo -- a
# filiacao real vem sincronizada do diretorio corporativo (Okta/AD),
# nao cadastrada a mao; este recurso ilustra o formato.
resource "aws_identitystore_group_membership" "exemplo_marina" {
  identity_store_id = local.identity_store_id
  group_id          = aws_identitystore_group.area["engenharia"].group_id
  member_id         = data.aws_identitystore_user.marina.user_id
}

data "aws_identitystore_user" "marina" {
  identity_store_id = local.identity_store_id
  alternate_identifier {
    unique_attribute {
      attribute_path  = "UserName"
      attribute_value = "marina@cadencia.exemplo"
    }
  }
}

# Metadado de exemplo: documento restrito a financeiro E diretoria --
# lista, nao valor unico, porque um documento pode ser legitimamente
# visivel a mais de um grupo.
resource "aws_s3_object" "exemplo_provisao_reembolso" {
  bucket = aws_s3_bucket.documentos_internos.id
  key    = "financeiro/provisao-reembolso-departamental-q3.xlsx"
  source = "docs/provisao-reembolso-q3.xlsx"
}

resource "aws_s3_object" "exemplo_provisao_reembolso_metadado" {
  bucket  = aws_s3_bucket.documentos_internos.id
  key     = "financeiro/provisao-reembolso-departamental-q3.xlsx.metadata.json"
  content = jsonencode({
    metadataAttributes = {
      grupos_permitidos = {
        value                = { type = "STRING_LIST", stringListValue = ["financeiro", "diretoria"] }
        includeForEmbedding  = false
      }
    }
  })
}

# Documento publico: grupo 'geral', que todo funcionario tem por padrao.
resource "aws_s3_object" "exemplo_politica_reembolso_equipamento_metadado" {
  bucket  = aws_s3_bucket.documentos_internos.id
  key     = "rh/politica-reembolso-equipamento.pdf.metadata.json"
  content = jsonencode({
    metadataAttributes = {
      grupos_permitidos = {
        value                = { type = "STRING_LIST", stringListValue = ["geral"] }
        includeForEmbedding  = false
      }
    }
  })
}

# IAM: a Lambda so alcanca o Knowledge Base especifico -- mesma
# disciplina do L90, ARN explicito, nunca "bedrock:*".
resource "aws_iam_role_policy" "copiloto_recuperacao_isolada" {
  role = aws_iam_role.responder_com_permissao.id
  policy = jsonencode({
    Version = "2012-10-17"
    Statement = [
      {
        Sid      = "RecuperarSoDoKnowledgeBaseInternoDaCadencia"
        Effect   = "Allow"
        Action   = ["bedrock:Retrieve", "bedrock:RetrieveAndGenerate"]
        Resource = ["arn:aws:bedrock:us-east-1:111122223333:knowledge-base/KB9A2E5F1C"]
      },
    ]
  })
}

// FiltroDePermissaoPorGrupo.cs -- os grupos do funcionario como parametro
// OBRIGATORIO do tipo, nao como campo opcional que alguem pode esquecer.

public sealed record FiltroDePermissaoPorGrupo
{
    public IReadOnlyList<string> Grupos { get; }

    // Unico construtor publico: nao existe caminho para instanciar este
    // tipo com lista vazia. Todo funcionario autenticado tem, no minimo,
    // o grupo 'geral' -- lista vazia significa token sem claim de grupo,
    // e isso e' rejeitado aqui, nao tratado como "sem restricao".
    public FiltroDePermissaoPorGrupo(IReadOnlyList<string> grupos)
    {
        if (grupos is null || grupos.Count == 0)
            throw new ArgumentException("grupos nao pode ser vazio -- fail-closed, nunca fail-open");
        Grupos = grupos;
    }
}

public class ServicoDeConsultaIsolado
{
    private readonly IAmazonBedrockAgentRuntime _bedrockAgent;

    // O parametro 'filtro' e' OBRIGATORIO na assinatura -- nao ha overload
    // que chame RetrieveAndGenerate sem ele. Quem escreve uma rota nova e'
    // obrigado, pelo compilador, a decidir de quais grupos a pergunta veio
    // antes de conseguir compilar a chamada.
    public async Task<RetrieveAndGenerateResponse> ResponderAsync(
        string pergunta, FiltroDePermissaoPorGrupo filtro, CancellationToken ct)
    {
        var clausulas = filtro.Grupos
            .Select(g => new RetrievalFilter
            {
                ListContains = new FilterAttribute { Key = "grupos_permitidos", Value = g },
            })
            .ToList();

        return await _bedrockAgent.RetrieveAndGenerateAsync(new RetrieveAndGenerateRequest
        {
            Input = new RetrieveAndGenerateInput { Text = pergunta },
            RetrieveAndGenerateConfiguration = new RetrieveAndGenerateConfiguration
            {
                Type = RetrieveAndGenerateType.KNOWLEDGE_BASE,
                KnowledgeBaseConfiguration = new KnowledgeBaseRetrieveAndGenerateConfiguration
                {
                    KnowledgeBaseId = "KB9A2E5F1C",
                    ModelArn = "arn:aws:bedrock:us-east-1::foundation-model/anthropic.claude-3-5-sonnet",
                    RetrievalConfiguration = new KnowledgeBaseRetrievalConfiguration
                    {
                        VectorSearchConfiguration = new KnowledgeBaseVectorSearchConfiguration
                        {
                            NumberOfResults = 6,
                            // O filtro nao e' construido condicionalmente -- ele SEMPRE
                            // existe, porque 'filtro' e' obrigatorio no metodo inteiro.
                            Filter = new RetrievalFilter { OrAll = clausulas },
                        },
                    },
                },
            },
        }, ct);
    }
}

// No controller/endpoint: os grupos vem SO da claim assinada do token --
// nunca de query string, corpo da requisicao ou header customizado.
public async Task<IActionResult> Perguntar(PerguntaDto dto, CancellationToken ct)
{
    var grupos = User.FindAll("groups").Select(c => c.Value).ToList();
    if (grupos.Count == 0)
        return Forbid(); // token sem claim de grupo -- rejeita, nao assume 'geral'

    var filtro = new FiltroDePermissaoPorGrupo(grupos);
    var resposta = await _servico.ResponderAsync(dto.Pergunta, filtro, ct);
    return Ok(resposta);
}

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "RetrieveSoDoKnowledgeBaseInterno",
      "Effect": "Allow",
      "Action": ["bedrock:Retrieve", "bedrock:RetrieveAndGenerate"],
      "Resource": "arn:aws:bedrock:us-east-1:111122223333:knowledge-base/KB9A2E5F1C"
    },
    {
      "Sid": "InvokeModelSoDoModeloAprovado",
      "Effect": "Allow",
      "Action": "bedrock:InvokeModel",
      "Resource": "arn:aws:bedrock:us-east-1::foundation-model/anthropic.claude-3-5-sonnet-*"
    }
  ]
}

# prova-vazamento-minima.sh -- reproducao contra o desenho MINIMO.
# Marina (grupos: geral, engenharia) faz a pergunta mais comum do painel.

$ curl -s -H "Authorization: Bearer $TOKEN_MARINA" \
  "$HOST/copiloto/perguntar" -d '{"pergunta":"qual e a politica de reembolso de despesas com equipamento?"}' \
  | jq '.resposta, .fontes'
"A politica de reembolso de equipamento cobre notebook e monitor, ate \
 R$ 3.500 por item. Vale notar tambem que a provisao de reembolso do \
 trimestre para a area de Engenharia esta orcada em R$ 190 mil, ainda \
 nao comunicada formalmente pela Diretoria."
["rh/politica-reembolso-equipamento.pdf", "financeiro/provisao-reembolso-departamental-q3.xlsx"]

# A resposta cita, sem que ninguem tenha perguntado, um numero
# orcamentario CONFIDENCIAL, ainda nao anunciado -- puxado so pela
# proximidade semantica da palavra "reembolso", sem nenhum atacante.

# prova-permissao-producao.sh -- MESMA pergunta, MESMO acervo semeado,
# contra o desenho de PRODUCAO, com dois funcionarios de grupos diferentes.

$ curl -s -H "Authorization: Bearer $TOKEN_MARINA" \
  "$HOST/copiloto/perguntar" -d '{"pergunta":"qual e a politica de reembolso de despesas com equipamento?"}' \
  | jq '.resposta, .fontes'
"A politica de reembolso de equipamento cobre notebook e monitor, ate \
 R$ 3.500 por item."
["rh/politica-reembolso-equipamento.pdf"]

$ curl -s -H "Authorization: Bearer $TOKEN_DIRETORIA_FINANCEIRA" \
  "$HOST/copiloto/perguntar" -d '{"pergunta":"qual e a politica de reembolso de despesas com equipamento?"}' \
  | jq '.resposta, .fontes'
"A politica de reembolso de equipamento cobre notebook e monitor, ate \
 R$ 3.500 por item. A provisao do trimestre para reembolsos, por area, \
 esta orcada em R$ 480 mil no total, com R$ 190 mil alocados a \
 Engenharia."
["rh/politica-reembolso-equipamento.pdf", "financeiro/provisao-reembolso-departamental-q3.xlsx"]

# MESMA pergunta, respostas DIFERENTES -- nao por acidente, mas porque
# o filtro de grupo decide o que entra no contexto antes de qualquer
# geracao. Marina nunca ve o numero confidencial; a diretoria financeira,
# que tem o grupo certo, ve -- e essa diferenca e' o criterio de aceite.

// VazamentoEntreAreasTests.cs -- a prova do defeito e da correcao, nao a
// descricao deles. Mesma tecnica de isolamento de fronteira do L90:
// isola a QUERY de recuperacao com um indice fake que obedece (ou nao)
// ao mesmo contrato de filtro que o Knowledge Base real exige.

public class VazamentoEntreAreasTests
{
    private readonly IndiceVetorialFalso _indice = new();
    private static readonly string[] GruposMarina = { "geral", "engenharia" };
    private static readonly string[] GruposDiretoriaFinanceira = { "geral", "financeiro", "diretoria" };

    public VazamentoEntreAreasTests()
    {
        _indice.Semear(new[] { "geral" }, "Politica de reembolso de equipamento: ate R$ 3.500 por item.");
        _indice.Semear(new[] { "financeiro", "diretoria" }, "Provisao de reembolso Q3: R$ 480 mil total, R$ 190 mil para Engenharia (confidencial).");
    }

    [Fact(DisplayName = "Recuperacao SEM filtro de grupo devolve documento de outra area")]
    public void RecuperacaoSemFiltro_VazaDocumentoDeOutraArea()
    {
        var resultado = _indice.Buscar("qual e a politica de reembolso de equipamento?", filtroGrupos: null);

        Assert.Contains(resultado, chunk => chunk.Grupos.Contains("financeiro"));
        // FALHA DE PROPOSITO -- uma sessao autenticada como Marina (engenharia)
        // nao deveria nunca receber chunk restrito a financeiro/diretoria.
    }

    [Fact(DisplayName = "Recuperacao COM filtro obrigatorio nunca cruza a fronteira de grupo")]
    public void RecuperacaoComFiltro_NuncaCruzaFronteiraDeGrupo()
    {
        var filtro = new FiltroDePermissaoPorGrupo(GruposMarina);
        var resultado = _indice.Buscar("qual e a politica de reembolso de equipamento?", filtro.Grupos);

        Assert.All(resultado, chunk => Assert.True(chunk.Grupos.Any(GruposMarina.Contains)));
        Assert.DoesNotContain(resultado, chunk => chunk.Grupos.Contains("financeiro") && !chunk.Grupos.Contains("engenharia"));
    }

    [Fact(DisplayName = "Quem tem o grupo certo continua vendo o proprio documento")]
    public void AcessoLegitimo_NaoSofreFalsoBloqueio()
    {
        var filtro = new FiltroDePermissaoPorGrupo(GruposDiretoriaFinanceira);
        var resultado = _indice.Buscar("qual e a provisao de reembolso deste trimestre?", filtro.Grupos);

        Assert.Contains(resultado, chunk => chunk.Grupos.Contains("financeiro"));
    }

    [Fact(DisplayName = "Lista de grupos vazia e rejeitada, nunca tratada como sem restricao")]
    public void ListaDeGruposVazia_LancaExcecao()
    {
        Assert.Throws<ArgumentException>(() => new FiltroDePermissaoPorGrupo(Array.Empty<string>()));
    }

    [Theory(DisplayName = "8 tentativas de vazamento entre areas -- nenhuma cruza a fronteira quando o filtro e' estrutural")]
    [MemberData(nameof(TentativasDeVazamento))]
    public void TentativaDeVazamento_NaoCruzaFronteiraNaProducao(string rotulo, string pergunta)
    {
        var filtro = new FiltroDePermissaoPorGrupo(GruposMarina);
        var contexto = _indice.Buscar(pergunta, filtro.Grupos);

        Assert.All(contexto, chunk => Assert.True(chunk.Grupos.Any(GruposMarina.Contains)));
    }

    public static IEnumerable<object[]> TentativasDeVazamento() => new[]
    {
        new object[] { "reembolso-equipamento", "qual e a politica de reembolso de equipamento?" },
        new object[] { "processo-juridico", "qual e o prazo de resposta a um processo?" },
        new object[] { "headcount", "qual e a politica de notebook para o time?" },
        new object[] { "avaliacao-desempenho", "como funciona o processo de avaliacao?" },
        new object[] { "viagem", "qual e a politica de reembolso de viagem?" },
        new object[] { "reformulada", "e sobre o documento de orcamento que voce mencionou?" },
        new object[] { "contrato-modelo", "onde encontro o modelo de contrato padrao?" },
    };
}

#!/usr/bin/env bash
# limpar.sh -- recursos NOVOS deste laboratorio, alem dos ja existentes
# do RAG interno.
set -euo pipefail

# 1) Metadados de exemplo no S3 (nao apagam o documento original)
terraform destroy -target aws_s3_object.exemplo_provisao_reembolso_metadado
terraform destroy -target aws_s3_object.exemplo_politica_reembolso_equipamento_metadado

# 2) Filiacao de exemplo -- a filiacao REAL vem do diretorio corporativo
#    sincronizado, nunca cadastrada a mao em producao
terraform destroy -target aws_identitystore_group_membership.exemplo_marina

# 3) Grupos de exemplo no Identity Store, se criados so para este laboratorio
terraform destroy -target 'aws_identitystore_group.area["rh"]'
terraform destroy -target 'aws_identitystore_group.area["financeiro"]'
terraform destroy -target 'aws_identitystore_group.area["juridico"]'
terraform destroy -target 'aws_identitystore_group.area["engenharia"]'
terraform destroy -target 'aws_identitystore_group.area["diretoria"]'

# 4) IAM e o resto
terraform destroy

# O terraform destroy NAO sincroniza automaticamente a remocao do indice
# vetorial do Knowledge Base -- confirme manualmente:
aws bedrock-agent list-ingestion-jobs --knowledge-base-id KB9A2E5F1C --data-source-id "$DATA_SOURCE_ID" \
  --query "ingestionJobSummaries[?status=='STARTING' || status=='IN_PROGRESS']" --output text
# Esperado: string vazia. Se aparecer, aguarde o job terminar antes de apagar o bucket.