Configurar la App-Only autenticación de Microsoft Entra ID para SharePoint

La App-Only autenticación Microsoft Entra ID (ENTRA_ID_APP_ONLY) es el método de autenticación recomendado para una fuente SharePoint de datos. Utiliza el flujo de credenciales de cliente de OAuth 2.0 (solo para aplicaciones): una aplicación Microsoft Entra se autentica con un certificado, por lo que el usuario no tiene que iniciar sesión en el momento del rastreo o de la consulta. Este es el único método de autenticación que admite el control de acceso (ACL) a nivel de documento. Para ver una comparación con el OAUTH2_APP método alternativo, consulte. Métodos de autenticación

Esta configuración abarca dos sistemas (Microsoft Entra ID y tu AWS cuenta) y el certificado es la credencial que los une. El conector almacena el certificado (incluida la clave privada) como un archivo PKCS #12 (.p12) en Amazon S3 y lo utiliza para firmar las afirmaciones de autenticación en Microsoft; el certificado público correspondiente se carga en el registro de la aplicación Entra para que Microsoft pueda validar esas afirmaciones.

Pasos y funciones de configuración

Este procedimiento implica tanto a un administrador de Microsoft Entra ID como a un AWS administrador. Según cómo se dividan las responsabilidades en la organización, una o varias personas pueden completar estos pasos. Utilice la siguiente tabla para identificar el acceso que requiere cada paso.

Elija su configuración

Antes de empezar, tome dos decisiones. Determinan qué permisos se asignan en el paso 2 y cómo se concede el acceso al sitio.

La combinación de estas dos opciones selecciona uno de los conjuntos de permisos de la siguiente sección.

Referencia de permisos

Asigne los permisos de aplicación que coincidan con su configuración. Todos los permisos son permisos de aplicación (no delegados) y todos requieren el consentimiento del administrador. El conector se autentica en dos recursos de Microsoft: Microsoft Graph (para enumerar sitios y, en el caso de las ACL, para resolver usuarios y grupos) y la API SharePointREST (para leer el contenido del sitio y, en el caso de las ACL, los permisos a nivel de elemento).

Seleccione la pestaña de su configuración para ver los permisos exactos de Microsoft Graph y SharePoint los permisos que debe asignar.

Valores que se recopilan durante la configuración

Los siguientes valores se crean o recopilan a medida que avanza en los pasos. Los usa al crear la fuente de datos. Para obtener más información, consulte Conectar una fuente SharePoint de datos.

Paso 1: Registrar la aplicación en Microsoft Entra ID

Paso 2: Agrega los permisos de la API y otorga el consentimiento del administrador

Añada los permisos para su configuración desdeReferencia de permisos.

Paso 3: generar el certificado de autenticación

Genere un certificado autofirmado y empaquételo como un paquete PKCS #12 (.p12). El paquete contiene el certificado y su clave privada, protegidos por una contraseña. Debe cargar el certificado público en Entra (paso 4) y el .p12 paquete en Amazon S3 (paso 6). Seleccione la pestaña de su sistema operativo para ver los comandos.

Paso 4: Cargue el certificado público a Entra

Paso 5 (Sites.Selected solo): Concede acceso por sitio

ConSites.Selected, usted concede a su aplicación de conector acceso a cada SharePoint sitio de forma individual a través de la API de Microsoft Graph. Esto requiere una solicitud temporal independiente que contenga las subvenciones Sites.FullControl.All y se utilice únicamente para concederlas. Amazon Bedrock nunca ve esta solicitud temporal ni sus credenciales.

Paso 6: Cargue el certificado en Amazon S3

Sube el .p12 paquete del paso 3 a un depósito de Amazon S3 en la misma AWS región que tu base de conocimientos. Registra el nombre y la clave del bucket; úsalos como fuente de datoscertificateS3Path.

aws s3api put-object \
  --bucket your-certificate-bucket \
  --key certs/certificate.p12 \
  --body certificate.p12 \
  --server-side-encryption AES256

Paso 7: Crea el secreto de Secrets Manager

Guarde las credenciales en AWS Secrets Manager secreto. Para la App-Only autenticación de Entra ID, incluye los siguientes pares clave-valor:

{
    "clientId": "your-client-id",
    "certificatePassword": "your-certificate-password"
}

Crea el secreto con AWS Command Line Interface:

aws secretsmanager create-secret \
  --name bedrock-sharepoint-creds \
  --secret-string file://secret.json

Registre el ARN secreto de la respuesta. Se usa como fuente secretArn de datos.

{
    "clientId": "your-client-id",
    "privateKey": "your-base64-pkcs8-private-key"
}

Paso 8: Otorgue al rol de servicio acceso al certificado

Su función de servicio de base de conocimientos debe poder leer el objeto de certificado de Amazon S3. Añada la siguiente declaración a la política de permisos del rol y sustituya el nombre y la clave del bucket por sus valores.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "S3ListCertificateBucket",
            "Effect": "Allow",
            "Action": ["s3:ListBucket"],
            "Resource": ["arn:aws:s3:::your-certificate-bucket"],
            "Condition": {
                "StringEquals": { "aws:ResourceAccount": ["123456789012"] }
            }
        },
        {
            "Sid": "S3GetCertificate",
            "Effect": "Allow",
            "Action": ["s3:GetObject"],
            "Resource": [
                "arn:aws:s3:::your-certificate-bucket/certs/certificate.p12",
                "arn:aws:s3:::your-certificate-bucket/certs/certificate.p12.metadata.json"
            ],
            "Condition": {
                "StringEquals": { "aws:ResourceAccount": ["123456789012"] }
            }
        }
    ]
}

Si el objeto de certificado está cifrado con una clave AWS KMS

El comando upload Paso 6: Cargue el certificado en Amazon S3 utiliza el S3-managed cifrado de Amazon (AES256), que no necesita permisos adicionales. Si, por el contrario, cifra el objeto de certificado con el cifrado del lado del servidor de Amazon S3 mediante una clave de KMS administrada por el cliente (SSE-KMS), el rol de servicio también necesita kms:Decrypt permiso sobre esa clave y la política de la clave debe permitir que el rol lo use. Los objetos cifrados con la aws/s3 clave AWS administrada no requieren esta concesión adicional.

{
    "Sid": "KmsDecryptCertificate",
    "Effect": "Allow",
    "Action": ["kms:Decrypt"],
    "Resource": ["arn:aws:kms:us-west-2:123456789012:key/your-key-id"]
}

Solo se requiere acceso de lecturakms:Decrypt. Para obtener más información, consulte Uso del cifrado del lado del servidor con claves AWS KMS () SSE-KMS.

Para ver el conjunto completo de permisos de rol de servicio de la base de conocimientos, consulte. Permisos de acceso a los orígenes de datos

Siguientes pasos

Ahora tiene todo lo que necesita para crear la fuente de datos: el ARN secreto, su ID de inquilino y la ubicación del certificado en Amazon S3. Para crear la fuente SharePoint de datos con la API Consola de administración de AWS o la API, consulteConectar una fuente SharePoint de datos.