Configurare l' App-Only autenticazione Microsoft Entra ID per SharePoint

Microsoft Entra ID App-Only authentication (ENTRA_ID_APP_ONLY) è il metodo di autenticazione consigliato per un'origine SharePoint dati. Utilizza il flusso di credenziali client OAuth 2.0 (solo applicazioni): un'applicazione Microsoft Entra si autentica con un certificato, quindi non è necessario alcun accesso utente durante la scansione o durante la query. Questo è l'unico metodo di autenticazione che supporta il controllo degli accessi a livello di documento (ACL). Per un confronto con il OAUTH2_APP metodo alternativo, vedere. Metodi di autenticazione

Questa configurazione si estende su due sistemi, l'ID Microsoft Entra e il tuo AWS account, e il certificato è la credenziale che li unisce. Il connettore memorizza il certificato (chiave privata inclusa) come file PKCS #12 (.p12) in Amazon S3 e lo utilizza per firmare asserzioni di autenticazione a Microsoft; il certificato pubblico corrispondente viene caricato nella registrazione dell'applicazione Entra in modo che Microsoft possa convalidare tali asserzioni.

Fasi e ruoli di configurazione

Questa procedura coinvolge sia un amministratore dell'ID Microsoft Entra che un AWS amministratore. A seconda della ripartizione delle responsabilità all'interno dell'organizzazione, è possibile che una o più persone completino questi passaggi. Utilizza la tabella seguente per identificare l'accesso richiesto da ogni fase.

Scegli la tua configurazione

Prima di iniziare, prendi due decisioni. Determinano quali autorizzazioni assegnare nella Fase 2 e come concedere l'accesso al sito.

La combinazione di queste due scelte seleziona uno dei set di autorizzazioni nella sezione seguente.

Riferimento per le autorizzazioni

Assegna le autorizzazioni all'applicazione che corrispondono alla tua configurazione. Tutte le autorizzazioni sono autorizzazioni dell'applicazione (non delegate) e ognuna richiede il consenso dell'amministratore. Il connettore esegue l'autenticazione su due risorse Microsoft: Microsoft Graph (per enumerare i siti e, per gli ACL, per risolvere utenti e gruppi) e l'API SharePointREST (per leggere il contenuto del sito e, per gli ACL, le autorizzazioni a livello di elemento).

Seleziona la scheda relativa alla configurazione per visualizzare l'esatto Microsoft Graph e SharePoint le autorizzazioni da assegnare.

Valori raccolti durante la configurazione

I seguenti valori vengono creati o raccolti man mano che si eseguono i passaggi. Li usi quando crei l'origine dati. Per informazioni dettagliate, vedi Connect una fonte di SharePoint dati.

Passaggio 1: registrare l'applicazione in Microsoft Entra ID

Passaggio 2: aggiungi le autorizzazioni API e concedi il consenso dell'amministratore

Aggiungi le autorizzazioni per la tua configurazione da. Riferimento per le autorizzazioni

Fase 3: Generare il certificato di autenticazione

Genera un certificato autofirmato e impacchettalo come pacchetto PKCS #12 (.p12). Il pacchetto contiene sia il certificato che la relativa chiave privata, protetta da una password. Carichi il certificato pubblico su Entra (Fase 4) e il .p12 pacchetto su Amazon S3 (Fase 6). Seleziona la scheda del tuo sistema operativo per visualizzare i comandi.

Fase 4: Caricare il certificato pubblico su Entra

Fase 5 (Sites.Selected solo): concedere l'accesso per sito

ConSites.Selected, concedi all'applicazione del connettore l'accesso a ciascun SharePoint sito individualmente tramite l'API Microsoft Graph. Ciò richiede un'applicazione temporanea separata che contenga Sites.FullControl.All e venga utilizzata solo per eseguire le concessioni. Amazon Bedrock non vede mai questa applicazione temporanea o le relative credenziali.

Fase 6: caricare il certificato su Amazon S3

Carica il .p12 pacchetto dalla Fase 3 in un bucket Amazon S3 nella AWS stessa regione della tua knowledge base. Registra il nome e la chiave del bucket: li usi come fonte di dati. certificateS3Path

aws s3api put-object \
  --bucket your-certificate-bucket \
  --key certs/certificate.p12 \
  --body certificate.p12 \
  --server-side-encryption AES256

Passaggio 7: Creare il segreto di Secrets Manager

Memorizza le credenziali in un luogo AWS Secrets Manager segreto. Per l' App-Only autenticazione Entra ID, includi le seguenti coppie chiave-valore:

{
    "clientId": "your-client-id",
    "certificatePassword": "your-certificate-password"
}

Crea il segreto con AWS Command Line Interface:

aws secretsmanager create-secret \
  --name bedrock-sharepoint-creds \
  --secret-string file://secret.json

Registra l'ARN segreto della risposta. Lo usi come fonte secretArn di dati.

{
    "clientId": "your-client-id",
    "privateKey": "your-base64-pkcs8-private-key"
}

Fase 8: concedere al ruolo di servizio l'accesso al certificato

Il ruolo del servizio della Knowledge Base deve essere in grado di leggere l'oggetto del certificato da Amazon S3. Aggiungi la seguente dichiarazione alla politica di autorizzazione del ruolo, sostituendo il nome e la chiave del bucket con i tuoi valori.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "S3ListCertificateBucket",
            "Effect": "Allow",
            "Action": ["s3:ListBucket"],
            "Resource": ["arn:aws:s3:::your-certificate-bucket"],
            "Condition": {
                "StringEquals": { "aws:ResourceAccount": ["123456789012"] }
            }
        },
        {
            "Sid": "S3GetCertificate",
            "Effect": "Allow",
            "Action": ["s3:GetObject"],
            "Resource": [
                "arn:aws:s3:::your-certificate-bucket/certs/certificate.p12",
                "arn:aws:s3:::your-certificate-bucket/certs/certificate.p12.metadata.json"
            ],
            "Condition": {
                "StringEquals": { "aws:ResourceAccount": ["123456789012"] }
            }
        }
    ]
}

Se l'oggetto del certificato è crittografato con una chiave AWS KMS

Il comando upload in Fase 6: caricare il certificato su Amazon S3 utilizza la S3-managed crittografia Amazon (AES256), che non richiede autorizzazioni aggiuntive. Se invece si crittografa l'oggetto certificato con la crittografia lato server di Amazon S3 utilizzando una chiave KMS gestita dal cliente SSE-KMS (), anche il ruolo di servizio kms:Decrypt necessita dell'autorizzazione su quella chiave e la politica della chiave deve consentire al ruolo di utilizzarla. Gli oggetti crittografati con la aws/s3 chiave AWS gestita non richiedono questa concessione aggiuntiva.

{
    "Sid": "KmsDecryptCertificate",
    "Effect": "Allow",
    "Action": ["kms:Decrypt"],
    "Resource": ["arn:aws:kms:us-west-2:123456789012:key/your-key-id"]
}

È richiesto solo l'accesso in letturakms:Decrypt. Per ulteriori informazioni, consulta Utilizzo della crittografia lato server con le chiavi AWS KMS (). SSE-KMS

Per il set completo di autorizzazioni per i ruoli del servizio della Knowledge Base, vedere. Autorizzazioni per accedere alle origini dati

Fasi successive

Ora hai tutto ciò di cui hai bisogno per creare l'origine dati: l'ARN segreto, il tuo ID tenant e la posizione Amazon S3 del certificato. Per creare l'origine SharePoint dati con Console di gestione AWS o l'API, consulta. Connect una fonte di SharePoint dati