Richten Sie die Microsoft Entra App-Only ID-Authentifizierung ein für SharePoint

Die Microsoft Entra App-Only ID-Authentifizierung (ENTRA_ID_APP_ONLY) ist die empfohlene Authentifizierungsmethode für eine SharePoint Datenquelle. Es verwendet den OAuth 2.0-Client-Anmeldedatenfluss (nur für Anwendungen): Eine Microsoft Entra-Anwendung authentifiziert sich mit einem Zertifikat, sodass beim Crawlen oder bei der Abfrage keine Benutzeranmeldung erforderlich ist. Dies ist die einzige Authentifizierungsmethode, die die Zugriffskontrolle auf Dokumentebene (ACLs) unterstützt. Einen Vergleich mit der alternativen OAUTH2_APP Methode finden Sie unter. Authentifizierungsmethoden

Dieses Setup umfasst zwei Systeme — Microsoft Entra ID und Ihr AWS Konto — und das Zertifikat ist der Berechtigungsnachweis, der sie miteinander verbindet. Der Connector speichert das Zertifikat (einschließlich des privaten Schlüssels) als PKCS #12 (.p12) -Datei in Amazon S3 und verwendet es, um Authentifizierungsbestätigungen an Microsoft zu signieren. Das entsprechende öffentliche Zertifikat wird in die Entra-Anwendungsregistrierung hochgeladen, damit Microsoft diese Assertionen validieren kann.

Einrichtungsschritte und Rollen

An diesem Verfahren sind sowohl ein Microsoft Entra ID-Administrator als auch ein AWS Administrator beteiligt. Je nachdem, wie die Zuständigkeiten in Ihrer Organisation aufgeteilt sind, können eine oder mehrere Personen diese Schritte ausführen. Identifizieren Sie anhand der folgenden Tabelle, welche Zugriffsrechte für jeden Schritt erforderlich sind.

Wählen Sie Ihre Konfiguration

Bevor Sie beginnen, treffen Sie zwei Entscheidungen. Sie legen fest, welche Berechtigungen Sie in Schritt 2 zuweisen und wie Sie den Zugriff auf die Website gewähren.

Durch die Kombination dieser beiden Optionen wird einer der Berechtigungssätze im folgenden Abschnitt ausgewählt.

Berechtigungsreferenz

Weisen Sie die Anwendungsberechtigungen zu, die Ihrer Konfiguration entsprechen. Bei allen Berechtigungen handelt es sich um Anwendungsberechtigungen (nicht delegiert), und für jede Genehmigung ist die Zustimmung des Administrators erforderlich. Der Connector authentifiziert sich bei zwei Microsoft-Ressourcen: Microsoft Graph (zum Auflisten von Websites und für ACLs zum Auflösen von Benutzern und Gruppen) und der SharePointREST-API (zum Lesen von Seiteninhalten und, für ACLs, Berechtigungen auf Elementebene).

Wählen Sie die Registerkarte für Ihre Konfiguration aus, um den genauen Microsoft Graph und die zuzuweisenden SharePoint Berechtigungen anzuzeigen.

Werte, die Sie während der Einrichtung sammeln

Sie erstellen oder sammeln die folgenden Werte, während Sie die Schritte durcharbeiten. Sie verwenden sie, wenn Sie die Datenquelle erstellen. Details hierzu finden Sie unter Eine SharePoint Datenquelle Connect.

Schritt 1: Registrieren Sie die Anwendung in Microsoft Entra ID

Schritt 2: Fügen Sie API-Berechtigungen hinzu und erteilen Sie die Zustimmung des Administrators

Fügen Sie die Berechtigungen für Ihre Konfiguration von hinzuBerechtigungsreferenz.

Schritt 3: Generieren Sie das Authentifizierungszertifikat

Generieren Sie ein selbstsigniertes Zertifikat und verpacken Sie es als PKCS #12 (.p12) -Paket. Das Paket enthält sowohl das Zertifikat als auch seinen privaten Schlüssel, die durch ein Passwort geschützt sind. Sie laden das öffentliche Zertifikat auf Entra (Schritt 4) und das .p12 Paket auf Amazon S3 (Schritt 6) hoch. Wählen Sie die Registerkarte für Ihr Betriebssystem aus, um die Befehle zu sehen.

Schritt 4: Laden Sie das öffentliche Zertifikat auf Entra hoch

Schritt 5 (Sites.Selected nur): Zugriff pro Site gewähren

Mit Sites.Selected gewähren Sie Ihrer Connector-Anwendung über die Microsoft Graph-API Zugriff auf jede SharePoint Site einzeln. Dazu ist eine separate, temporäre Anwendung erforderlich, die die Zuschüsse enthält Sites.FullControl.All und nur für deren Durchführung verwendet wird. Amazon Bedrock sieht diese temporäre Anwendung oder ihre Anmeldeinformationen niemals.

Schritt 6: Laden Sie das Zertifikat auf Amazon S3 hoch

Laden Sie das .p12 Paket aus Schritt 3 in einen Amazon S3 S3-Bucket in derselben AWS Region wie Ihre Wissensdatenbank hoch. Notieren Sie sich den Bucket-Namen und den Schlüssel — Sie verwenden sie als DatenquellecertificateS3Path.

aws s3api put-object \
  --bucket your-certificate-bucket \
  --key certs/certificate.p12 \
  --body certificate.p12 \
  --server-side-encryption AES256

Schritt 7: Erstellen Sie das Secrets Manager Manager-Geheimnis

Speichern Sie die Anmeldeinformationen AWS Secrets Manager geheim. Geben Sie für die App-Only Entra-ID-Authentifizierung die folgenden Schlüssel-Wert-Paare an:

{
    "clientId": "your-client-id",
    "certificatePassword": "your-certificate-password"
}

Erstellen Sie das Geheimnis mit dem AWS Command Line Interface:

aws secretsmanager create-secret \
  --name bedrock-sharepoint-creds \
  --secret-string file://secret.json

Notieren Sie den geheimen ARN aus der Antwort. Sie verwenden es als DatenquellesecretArn.

{
    "clientId": "your-client-id",
    "privateKey": "your-base64-pkcs8-private-key"
}

Schritt 8: Gewähren Sie der Servicerolle Zugriff auf das Zertifikat

Ihre Wissensdatenbank-Servicerolle muss in der Lage sein, das Zertifikatsobjekt aus Amazon S3 zu lesen. Fügen Sie der Berechtigungsrichtlinie der Rolle die folgende Anweisung hinzu und ersetzen Sie den Bucket-Namen und den Schlüssel durch Ihre Werte.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "S3ListCertificateBucket",
            "Effect": "Allow",
            "Action": ["s3:ListBucket"],
            "Resource": ["arn:aws:s3:::your-certificate-bucket"],
            "Condition": {
                "StringEquals": { "aws:ResourceAccount": ["123456789012"] }
            }
        },
        {
            "Sid": "S3GetCertificate",
            "Effect": "Allow",
            "Action": ["s3:GetObject"],
            "Resource": [
                "arn:aws:s3:::your-certificate-bucket/certs/certificate.p12",
                "arn:aws:s3:::your-certificate-bucket/certs/certificate.p12.metadata.json"
            ],
            "Condition": {
                "StringEquals": { "aws:ResourceAccount": ["123456789012"] }
            }
        }
    ]
}

Wenn das Zertifikatsobjekt mit einem AWS KMS-Schlüssel verschlüsselt ist

Der Upload-Befehl in Schritt 6: Laden Sie das Zertifikat auf Amazon S3 hoch verwendet S3-managed Amazon-Verschlüsselung (AES256), für die keine zusätzlichen Berechtigungen erforderlich sind. Wenn Sie stattdessen das Zertifikatsobjekt mit serverseitiger Amazon S3 S3-Verschlüsselung unter Verwendung eines vom Kunden verwalteten KMS-Schlüssels (SSE-KMS) verschlüsseln, benötigt die Servicerolle auch eine kms:Decrypt Genehmigung für diesen Schlüssel, und die Richtlinie des Schlüssels muss es der Rolle ermöglichen, ihn zu verwenden. Für Objekte, die mit dem AWS verwalteten aws/s3 Schlüssel verschlüsselt wurden, ist diese zusätzliche Genehmigung nicht erforderlich.

{
    "Sid": "KmsDecryptCertificate",
    "Effect": "Allow",
    "Action": ["kms:Decrypt"],
    "Resource": ["arn:aws:kms:us-west-2:123456789012:key/your-key-id"]
}

Lesezugriff erfordert nurkms:Decrypt. Weitere Informationen finden Sie unter Serverseitige Verschlüsselung mit AWS KMS-Schlüsseln verwenden (SSE-KMS).

Den vollständigen Satz der Rollenberechtigungen für den Wissensdatenbankdienst finden Sie unterBerechtigungen für den Zugriff auf Ihre Datenquellen.

Nächste Schritte

Sie haben jetzt alles, was Sie zum Erstellen der Datenquelle benötigen: den geheimen ARN, Ihre Mandanten-ID und den Amazon S3 S3-Speicherort des Zertifikats. Informationen zum Erstellen der SharePoint Datenquelle mit der AWS-Managementkonsole oder der API finden Sie unterEine SharePoint Datenquelle Connect.