Mengatur App-Only otentikasi Microsoft Entra ID untuk SharePoint

Microsoft Entra ID App-Only authentication (ENTRA_ID_APP_ONLY) adalah metode otentikasi yang direkomendasikan untuk sumber data. SharePoint Ini menggunakan alur kredensial-klien OAuth 2.0 (khusus aplikasi): aplikasi Microsoft Entra mengautentikasi dengan sertifikat, jadi tidak ada login pengguna yang terlibat pada waktu crawl atau pada waktu kueri. Ini adalah satu-satunya metode otentikasi yang mendukung kontrol akses tingkat dokumen (ACL). Untuk perbandingan dengan OAUTH2_APP metode alternatif, lihatMetode autentikasi.

Pengaturan ini mencakup dua sistem — Microsoft Entra ID dan AWS akun Anda — dan sertifikat adalah kredensi yang mengikat mereka bersama-sama. Konektor menyimpan sertifikat (termasuk kunci pribadi) sebagai file PKCS #12 (.p12) di Amazon S3 dan menggunakannya untuk menandatangani pernyataan otentikasi ke Microsoft; sertifikat publik yang cocok diunggah ke pendaftaran aplikasi Entra sehingga Microsoft dapat memvalidasi pernyataan tersebut.

Langkah dan peran pengaturan

Prosedur ini melibatkan administrator Microsoft Entra ID dan AWS administrator. Bergantung pada bagaimana tanggung jawab dibagi dalam organisasi Anda, satu orang atau beberapa orang mungkin menyelesaikan langkah-langkah ini. Gunakan tabel berikut untuk mengidentifikasi akses yang dibutuhkan setiap langkah.

Pilih konfigurasi Anda

Sebelum memulai, buatlah dua keputusan. Mereka menentukan izin yang Anda tetapkan di Langkah 2 dan bagaimana Anda memberikan akses situs.

Kombinasi dari dua pilihan ini memilih salah satu set izin di bagian berikut.

Referensi izin

Tetapkan izin aplikasi yang sesuai dengan konfigurasi Anda. Semua izin adalah izin aplikasi (tidak didelegasikan), dan setiap izin memerlukan persetujuan admin. Konektor mengautentikasi ke dua sumber daya Microsoft: Microsoft Graph (untuk menghitung situs dan, untuk ACL, untuk menyelesaikan pengguna dan grup) dan SharePointREST API (untuk membaca konten situs dan, untuk ACL, izin tingkat item).

Pilih tab untuk konfigurasi Anda untuk melihat Microsoft Graph dan SharePoint izin yang tepat untuk ditetapkan.

Nilai yang Anda kumpulkan selama penyiapan

Anda membuat atau mengumpulkan nilai-nilai berikut saat Anda mengerjakan langkah-langkahnya. Anda menggunakannya saat Anda membuat sumber data. Lihat perinciannya di Connect sumber SharePoint data.

Langkah 1: Daftarkan aplikasi di Microsoft Entra ID

Langkah 2: Tambahkan izin API dan berikan persetujuan admin

Tambahkan izin untuk konfigurasi Anda dariReferensi izin.

Langkah 3: Hasilkan sertifikat otentikasi

Buat sertifikat yang ditandatangani sendiri dan paketkan sebagai bundel PKCS #12 ().p12. Bundel berisi sertifikat dan kunci pribadinya, dilindungi oleh kata sandi. Anda mengunggah sertifikat publik ke Entra (Langkah 4) dan .p12 bundel ke Amazon S3 (Langkah 6). Pilih tab untuk sistem operasi Anda untuk melihat perintah.

Langkah 4: Unggah sertifikat publik ke Entra

Langkah 5 (Sites.Selected hanya): Berikan akses per situs

DenganSites.Selected, Anda memberikan akses aplikasi konektor Anda ke setiap SharePoint situs secara individual melalui Microsoft Graph API. Ini membutuhkan aplikasi sementara terpisah yang berlaku Sites.FullControl.All dan hanya digunakan untuk melakukan hibah. Amazon Bedrock tidak pernah melihat aplikasi sementara ini atau kredensialnya.

Langkah 6: Unggah sertifikat ke Amazon S3

Unggah .p12 bundel dari Langkah 3 ke bucket Amazon S3 di AWS Wilayah yang sama dengan basis pengetahuan Anda. Rekam nama dan kunci bucket — Anda menggunakannya sebagai sumber datacertificateS3Path.

aws s3api put-object \
  --bucket your-certificate-bucket \
  --key certs/certificate.p12 \
  --body certificate.p12 \
  --server-side-encryption AES256

Langkah 7: Buat rahasia Secrets Manager

Simpan kredensialnya secara rahasia. AWS Secrets Manager Untuk App-Only otentikasi Entra ID, sertakan pasangan kunci-nilai berikut:

{
    "clientId": "your-client-id",
    "certificatePassword": "your-certificate-password"
}

Buat rahasia dengan AWS Command Line Interface:

aws secretsmanager create-secret \
  --name bedrock-sharepoint-creds \
  --secret-string file://secret.json

Rekam rahasia ARN dari tanggapannya. Anda menggunakannya sebagai sumber datasecretArn.

{
    "clientId": "your-client-id",
    "privateKey": "your-base64-pkcs8-private-key"
}

Langkah 8: Berikan akses peran layanan ke sertifikat

Peran layanan basis pengetahuan Anda harus dapat membaca objek sertifikat dari Amazon S3. Tambahkan pernyataan berikut ke kebijakan izin peran, ganti nama dan kunci bucket dengan nilai Anda.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "S3ListCertificateBucket",
            "Effect": "Allow",
            "Action": ["s3:ListBucket"],
            "Resource": ["arn:aws:s3:::your-certificate-bucket"],
            "Condition": {
                "StringEquals": { "aws:ResourceAccount": ["123456789012"] }
            }
        },
        {
            "Sid": "S3GetCertificate",
            "Effect": "Allow",
            "Action": ["s3:GetObject"],
            "Resource": [
                "arn:aws:s3:::your-certificate-bucket/certs/certificate.p12",
                "arn:aws:s3:::your-certificate-bucket/certs/certificate.p12.metadata.json"
            ],
            "Condition": {
                "StringEquals": { "aws:ResourceAccount": ["123456789012"] }
            }
        }
    ]
}

Jika objek sertifikat dienkripsi dengan kunci KMS AWS

Perintah upload Langkah 6: Unggah sertifikat ke Amazon S3 menggunakan S3-managed enkripsi Amazon (AES256), yang tidak memerlukan izin tambahan. Jika Anda mengenkripsi objek sertifikat dengan enkripsi sisi server Amazon S3 menggunakan kunci KMS yang dikelola pelanggan SSE-KMS (), peran layanan juga kms:Decrypt memerlukan izin pada kunci tersebut, dan kebijakan kunci harus mengizinkan peran untuk menggunakannya. Objek yang dienkripsi dengan aws/s3 kunci AWS terkelola tidak memerlukan hibah tambahan ini.

{
    "Sid": "KmsDecryptCertificate",
    "Effect": "Allow",
    "Action": ["kms:Decrypt"],
    "Resource": ["arn:aws:kms:us-west-2:123456789012:key/your-key-id"]
}

Akses baca hanya membutuhkankms:Decrypt. Untuk informasi selengkapnya, lihat Menggunakan enkripsi sisi server dengan kunci AWS KMS (). SSE-KMS

Untuk set lengkap izin peran layanan basis pengetahuan, lihatIzin untuk mengakses sumber data Anda.

Langkah selanjutnya

Anda sekarang memiliki semua yang Anda butuhkan untuk membuat sumber data: ARN rahasia, ID penyewa Anda, dan lokasi Amazon S3 sertifikat. Untuk membuat sumber SharePoint data dengan Konsol Manajemen AWS atau API, lihatConnect sumber SharePoint data.