Configurer l' App-Only authentification Microsoft Entra ID pour SharePoint

L' App-Only authentification Microsoft Entra ID (ENTRA_ID_APP_ONLY) est la méthode d'authentification recommandée pour une source de SharePoint données. Il utilise le flux d'informations d'identification du client OAuth 2.0 (application uniquement) : une application Microsoft Entra s'authentifie à l'aide d'un certificat, de sorte qu'aucune connexion utilisateur n'est requise au moment de l'analyse ou de la requête. Il s'agit de la seule méthode d'authentification qui prend en charge le contrôle d'accès au niveau du document (ACL). Pour une comparaison avec la OAUTH2_APP méthode alternative, voirMéthodes d’authentification.

Cette configuration couvre deux systèmes (Microsoft Entra ID et votre AWS compte) et le certificat est l'identifiant qui les lie. Le connecteur stocke le certificat (clé privée incluse) sous forme de fichier PKCS #12 (.p12) dans Amazon S3 et l'utilise pour signer des assertions d'authentification à Microsoft ; le certificat public correspondant est chargé lors de l'enregistrement de l'application Entra afin que Microsoft puisse valider ces assertions.

Étapes de configuration et rôles

Cette procédure implique à la fois un administrateur Microsoft Entra ID et un AWS administrateur. Selon la répartition des responsabilités au sein de votre organisation, une ou plusieurs personnes peuvent effectuer ces étapes. Utilisez le tableau suivant pour identifier l'accès requis par chaque étape.

Choisissez votre configuration

Avant de commencer, prenez deux décisions. Ils déterminent les autorisations que vous attribuez à l'étape 2 et la manière dont vous accordez l'accès au site.

La combinaison de ces deux choix permet de sélectionner l'un des ensembles d'autorisations présentés dans la section suivante.

Référence des autorisations

Attribuez les autorisations d'application correspondant à votre configuration. Toutes les autorisations sont des autorisations d'application (non déléguées), et chacune nécessite le consentement de l'administrateur. Le connecteur s'authentifie auprès de deux ressources Microsoft : Microsoft Graph (pour énumérer les sites et, pour les ACL, pour résoudre les problèmes d'utilisateurs et de groupes) et l'SharePointAPI REST (pour lire le contenu du site et, pour les ACL, les autorisations au niveau des éléments).

Sélectionnez l'onglet correspondant à votre configuration pour voir le Microsoft Graph exact et SharePoint les autorisations à attribuer.

Valeurs que vous collectez lors de la configuration

Vous créez ou collectez les valeurs suivantes au fur et à mesure que vous suivez les étapes. Vous les utilisez lorsque vous créez la source de données. Pour en savoir plus, consultez Connecter une source SharePoint de données.

Étape 1 : enregistrer l'application dans Microsoft Entra ID

Étape 2 : ajouter des autorisations d'API et accorder le consentement de l'administrateur

Ajoutez les autorisations pour votre configuration à partir deRéférence des autorisations.

Étape 3 : générer le certificat d'authentification

Générez un certificat auto-signé et empaquetez-le sous forme de bundle PKCS #12 (.p12). Le bundle contient à la fois le certificat et sa clé privée, protégés par un mot de passe. Vous chargez le certificat public vers Entra (étape 4) et le .p12 bundle vers Amazon S3 (étape 6). Sélectionnez l'onglet correspondant à votre système d'exploitation pour voir les commandes.

Étape 4 : Téléchargez le certificat public sur Entra

Étape 5 (Sites.Selected uniquement) : Accorder l'accès par site

AvecSites.Selected, vous accordez à votre application de connecteur l'accès à chaque SharePoint site individuellement via l'API Microsoft Graph. Cela nécessite une demande temporaire distincte qui contient Sites.FullControl.All et est utilisée uniquement pour exécuter les subventions. Amazon Bedrock ne voit jamais cette application temporaire ni ses informations d'identification.

Étape 6 : télécharger le certificat sur Amazon S3

Téléchargez le .p12 bundle de l'étape 3 vers un compartiment Amazon S3 situé dans la même AWS région que votre base de connaissances. Enregistrez le nom et la clé du compartiment : vous les utilisez comme source de donnéescertificateS3Path.

aws s3api put-object \
  --bucket your-certificate-bucket \
  --key certs/certificate.p12 \
  --body certificate.p12 \
  --server-side-encryption AES256

Étape 7 : Création du secret du Gestionnaire de Secrets

Conservez les informations d'identification dans un AWS Secrets Manager secret. Pour l' App-Only authentification Entra ID, incluez les paires clé-valeur suivantes :

{
    "clientId": "your-client-id",
    "certificatePassword": "your-certificate-password"
}

Créez le secret avec AWS Command Line Interface :

aws secretsmanager create-secret \
  --name bedrock-sharepoint-creds \
  --secret-string file://secret.json

Enregistrez l'ARN secret de la réponse. Vous l'utilisez comme source de donnéessecretArn.

{
    "clientId": "your-client-id",
    "privateKey": "your-base64-pkcs8-private-key"
}

Étape 8 : Accorder au rôle de service l'accès au certificat

Votre rôle de service de base de connaissances doit être capable de lire l'objet de certificat depuis Amazon S3. Ajoutez la déclaration suivante à la politique d'autorisation du rôle, en remplaçant le nom du compartiment et la clé par vos valeurs.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "S3ListCertificateBucket",
            "Effect": "Allow",
            "Action": ["s3:ListBucket"],
            "Resource": ["arn:aws:s3:::your-certificate-bucket"],
            "Condition": {
                "StringEquals": { "aws:ResourceAccount": ["123456789012"] }
            }
        },
        {
            "Sid": "S3GetCertificate",
            "Effect": "Allow",
            "Action": ["s3:GetObject"],
            "Resource": [
                "arn:aws:s3:::your-certificate-bucket/certs/certificate.p12",
                "arn:aws:s3:::your-certificate-bucket/certs/certificate.p12.metadata.json"
            ],
            "Condition": {
                "StringEquals": { "aws:ResourceAccount": ["123456789012"] }
            }
        }
    ]
}

Si l'objet du certificat est chiffré avec une clé AWS KMS

La commande de téléchargement Étape 6 : télécharger le certificat sur Amazon S3 utilise Amazon S3-managed encryption (AES256), qui ne nécessite aucune autorisation supplémentaire. Si vous chiffrez plutôt l'objet du certificat avec le chiffrement côté serveur Amazon S3 à l'aide d'une clé KMS gérée par le client (SSE-KMS), le rôle de service doit également disposer d'une kms:Decrypt autorisation sur cette clé, et la politique de la clé doit autoriser le rôle à l'utiliser. Les objets chiffrés AWS à l'aide de la aws/s3 clé gérée ne nécessitent pas cette autorisation supplémentaire.

{
    "Sid": "KmsDecryptCertificate",
    "Effect": "Allow",
    "Action": ["kms:Decrypt"],
    "Resource": ["arn:aws:kms:us-west-2:123456789012:key/your-key-id"]
}

L'accès en lecture est uniquement requiskms:Decrypt. Pour plus d'informations, consultez la section Utilisation du chiffrement côté serveur avec des clés AWS KMS () SSE-KMS.

Pour obtenir l'ensemble complet des autorisations relatives aux rôles de service de la base de connaissances, consultezAutorisations d’accès aux sources de données.

Étapes suivantes

Vous disposez désormais de tout ce dont vous avez besoin pour créer la source de données : l'ARN secret, votre identifiant de locataire et l'emplacement du certificat sur Amazon S3. Pour créer la source de SharePoint données à l'aide de l'API AWS Management Console ou de l'API, consultezConnecter une source SharePoint de données.