Las traducciones son generadas a través de traducción automática. En caso de conflicto entre la traducción y la version original de inglés, prevalecerá la version en inglés.

Configurar la autenticación de Microsoft Entra App ID para OneDrive

La autenticación Microsoft Entra App ID (ENTRA_APP_ID) es el método de autenticación recomendado para una fuente de OneDrive datos. El conector rastrea el contenido con el flujo de credenciales de cliente de OAuth 2.0 (solo para aplicaciones), utilizando el identificador de cliente y el secreto de la aplicación, sin que el usuario inicie sesión. Este es el único método de autenticación que admite el control de acceso (ACL) a nivel de documento. Para ver una comparación con el OAUTH2 método alternativo, consulte. Métodos de autenticación

Pasos y funciones de configuración

Este procedimiento implica tanto a un administrador de Microsoft Entra ID como a un AWS administrador. Según cómo se dividan las responsabilidades en la organización, una o varias personas pueden completar estos pasos. Los pasos del certificado (pasos 4 a 6 y 8) solo se aplican cuando se habilita el control de acceso a nivel de documento. Utilice la siguiente tabla para identificar el acceso que requiere cada paso.

Referencia de permisos

Asigne los permisos de aplicación que coincidan con su configuración. Todos los permisos son permisos de aplicación (no delegados) y todos requieren el consentimiento del administrador. Para el rastreo exclusivo de contenido, el conector se autentica únicamente en Microsoft Graph. Cuando el control de acceso a nivel de documento está habilitado, el conector también se autentica en la API SharePointREST para verificar el acceso en el momento de la consulta, ya que for Business está respaldado por. OneDrive SharePoint

Seleccione la pestaña de su configuración para ver los permisos exactos que debe asignar.

Content only (no ACLs)

Solo contenido

API	Permiso	Finalidad
Microsoft Graph	Files.Read.All	Lee los archivos de las unidades de los usuarios.
Microsoft Graph	Sites.Read.All	Lee los OneDrive sitios que respaldan las unidades de disco de los usuarios.
Microsoft Graph	User.Read.All	Enumere los usuarios cuyas unidades rastrea.

With ACLs

Con ACL

API	Permiso	Finalidad
Microsoft Graph	Files.Read.All	Lee los archivos de las unidades de los usuarios.
Microsoft Graph	Sites.Read.All	Lee los OneDrive sitios que respaldan las unidades de disco de los usuarios.
Microsoft Graph	User.Read.All	Enumere los usuarios y resuélvalos para las ACL a nivel de documento.
Microsoft Graph	GroupMember.Read.All	Resuelva la pertenencia a grupos para las ACL a nivel de documento.
SharePoint	Sites.FullControl.All	Compruebe el acceso de cada usuario a un documento en el momento de la consulta. Sites.Read.Allno es suficiente para esta comprobación.

Valores que se recopilan durante la configuración

Los siguientes valores se crean o recopilan a medida que avanza en los pasos. Los usa al crear la fuente de datos. Para obtener más información, consulte Conectar una fuente OneDrive de datos.

Paso 1: Registrar la aplicación en Microsoft Entra ID

Paso 2: Agrega los permisos de la API y otorga el consentimiento del administrador

Añada los permisos para su configuración desdeReferencia de permisos.

Paso 3: Crea un secreto de cliente

OneDrive El rastreo utiliza el identificador y el secreto de cliente de la aplicación, por lo que se requiere un secreto de cliente tanto para las fuentes de datos como para las que solo contienen contenido. ACL-enabled Cuando el control de acceso a nivel de documento está habilitado, el conector usa el secreto del cliente para obtener un token de Microsoft Graph que resuelve el OneDrive host del inquilino y el certificado (del paso 4) para obtener el SharePoint token utilizado para la verificación de acceso.

Paso 4 (solo ACL): generar el certificado de autenticación

Genere un certificado autofirmado y empaquételo como un paquete PKCS #12 (). .p12 El paquete contiene el certificado y su clave privada, protegidos por una contraseña. Debe cargar el certificado público en Entra (paso 5) y el .p12 paquete en Amazon S3 (paso 6). Seleccione la pestaña de su sistema operativo para ver los comandos.

Linux or macOS (OpenSSL)

Genera una clave privada y un certificado autofirmado

openssl req -x509 -newkey rsa:2048 -keyout private_key.pem -out certificate.cer \
    -days 365 -nodes \
    -subj "/CN=bedrock-onedrive-connector"

Package el certificado y la clave como un paquete PKCS #12 (.p12)

Introduzca una contraseña de exportación segura cuando se le pida. Grábala para el paso 7.

openssl pkcs12 -export -out certificate.p12 \
    -inkey private_key.pem -in certificate.cer

Ahora tiene tres archivos: la clave privada (private_key.pem), el certificado público (certificate.cer) y el paquete (certificate.p12). El certificado público se carga en Entra en el paso 5 y el .p12 paquete en Amazon S3 en el paso 6.

Windows (PowerShell)

Genere un certificado autofirmado

Los siguientes PowerShell comandos generan un certificado autofirmado RSA de 2048 bits con un período de validez de un año y lo almacenan en el almacén de certificados del usuario actual. your-passwordSustitúyala por una contraseña segura y aleatoria; guárdela en secreto como en el paso 7. certificatePassword

$cert = New-SelfSignedCertificate `
    -Subject "CN=bedrock-onedrive-connector" `
    -CertStoreLocation "Cert:\CurrentUser\My" `
    -KeyAlgorithm RSA `
    -KeyLength 2048 `
    -KeyExportPolicy Exportable `
    -NotAfter (Get-Date).AddYears(1)

Exporte el certificado público

Export-Certificate -Cert $cert -FilePath certificate.cer -Type CERT

Exporte el paquete PKCS #12 (.p12)

$password = ConvertTo-SecureString -String "your-password" -Force -AsPlainText
Export-PfxCertificate -Cert $cert -FilePath certificate.p12 -Password $password

Ahora tiene dos archivos: el certificado público (certificate.cer) y el paquete (certificate.p12). El certificado público se carga en Entra en el paso 5 y el .p12 paquete en Amazon S3 en el paso 6.

Paso 5 (solo ACL): Cargue el certificado público a Entra

Paso 6 (solo ACL): cargar el certificado en Amazon S3

Sube el .p12 paquete del paso 4 a un depósito de Amazon S3 en la misma AWS región que tu base de conocimientos. Registra el nombre y la clave del bucket; úsalos como fuente de datoscertificateS3Path.

aws s3api put-object \
  --bucket your-certificate-bucket \
  --key certs/certificate.p12 \
  --body certificate.p12 \
  --server-side-encryption AES256

Paso 7: Crea el secreto de Secrets Manager

Guarde las credenciales en AWS Secrets Manager secreto. Para la autenticación de Microsoft Entra App ID, incluye los siguientes pares clave-valor:

Solo contenido (sin control de acceso a nivel de documento)

{
    "clientId": "your-client-id",
    "clientSecret": "your-client-secret"
}

Con control de acceso a nivel de documento

{
    "clientId": "your-client-id",
    "clientSecret": "your-client-secret",
    "certificatePassword": "your-certificate-password"
}

Crea el secreto con: AWS Command Line Interface

aws secretsmanager create-secret \
  --name bedrock-onedrive-creds \
  --secret-string file://secret.json

Registre el ARN secreto de la respuesta. Se usa como fuente secretArn de datos.

Paso 8 (solo ACL): conceda al rol de servicio acceso al certificado

Su función de servicio de base de conocimientos debe poder leer el objeto de certificado de Amazon S3. Añada la siguiente declaración a la política de permisos del rol y sustituya el nombre y la clave del bucket por sus valores.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "S3ListCertificateBucket",
            "Effect": "Allow",
            "Action": ["s3:ListBucket"],
            "Resource": ["arn:aws:s3:::your-certificate-bucket"],
            "Condition": {
                "StringEquals": { "aws:ResourceAccount": ["123456789012"] }
            }
        },
        {
            "Sid": "S3GetCertificate",
            "Effect": "Allow",
            "Action": ["s3:GetObject"],
            "Resource": [
                "arn:aws:s3:::your-certificate-bucket/certs/certificate.p12",
                "arn:aws:s3:::your-certificate-bucket/certs/certificate.p12.metadata.json"
            ],
            "Condition": {
                "StringEquals": { "aws:ResourceAccount": ["123456789012"] }
            }
        }
    ]
}

Si el objeto de certificado está cifrado con una clave AWS KMS

El comando upload Paso 6 (solo ACL): cargar el certificado en Amazon S3 utiliza el S3-managed cifrado de Amazon (AES256), que no necesita permisos adicionales. Si, por el contrario, cifra el objeto de certificado con el cifrado del lado del servidor de Amazon S3 mediante una clave de KMS administrada por el cliente (SSE-KMS), el rol de servicio también necesita kms:Decrypt permiso sobre esa clave y la política de la clave debe permitir que el rol lo use. Los objetos cifrados con la aws/s3 clave AWS administrada no requieren esta concesión adicional.

{
    "Sid": "KmsDecryptCertificate",
    "Effect": "Allow",
    "Action": ["kms:Decrypt"],
    "Resource": ["arn:aws:kms:us-west-2:123456789012:key/your-key-id"]
}

Para ver el conjunto completo de permisos de rol de servicio de la base de conocimientos, consultePermisos de acceso a los orígenes de datos.

Siguientes pasos

Ahora tiene las credenciales que necesita para crear la fuente de datos: el ARN secreto, su ID de inquilino y (para el control de acceso a nivel de documento) la ubicación del certificado en Amazon S3. Para crear la fuente de OneDrive datos con la API Consola de administración de AWS o la API, consulte. Conectar una fuente OneDrive de datos