翻訳は機械翻訳により提供されています。提供された翻訳内容と英語版の間で齟齬、不一致または矛盾がある場合、英語版が優先します。

OneDrive の Microsoft Entra App ID 認証を設定する

Microsoft Entra App ID 認証 (ENTRA_APP_ID) は、OneDrive データソースに推奨される認証方法です。コネクタは、アプリケーションのクライアント ID とシークレットを使用して、OAuth 2.0 クライアント認証情報 (アプリケーションのみ) フローでコンテンツをクロールします。ユーザーのサインインは必要ありません。これは、ドキュメントレベルのアクセスコントロール (ACLs) をサポートする唯一の認証方法です。代替OAUTH2方法との比較については、「」を参照してください認証方法。

セットアップステップとロール

この手順には、Microsoft Entra ID 管理者と AWS 管理者の両方が含まれます。組織における責任の分担方法によっては、1 人または複数のユーザーがこれらのステップを完了する場合があります。証明書のステップ (ステップ 4～6 および 8) は、ドキュメントレベルのアクセスコントロールを有効にする場合にのみ適用されます。以下の表を使用して、各ステップに必要なアクセスを特定します。

アクセス許可に関するリファレンス

設定に一致するアプリケーションアクセス許可を割り当てます。すべてのアクセス許可はアプリケーションのアクセス許可 (委任されていません) であり、すべてのアクセス許可には管理者の同意が必要です。コンテンツのみのクローリングの場合、コネクタは Microsoft Graph に対してのみ認証します。ドキュメントレベルのアクセスコントロールを有効にすると、OneDrive for Business は SharePoint によってバックアップされるため、コネクタはさらに SharePoint REST API を認証してクエリ時にアクセスを検証します。

設定のタブを選択すると、割り当てる正確なアクセス許可が表示されます。

Content only (no ACLs)

コンテンツのみ

API	アクセス許可	目的
Microsoft Graph	Files.Read.All	ユーザーのドライブにあるファイルを読み取ります。
Microsoft Graph	Sites.Read.All	ユーザーのドライブをバックアップする OneDrive サイトをお読みください。
Microsoft Graph	User.Read.All	クロールするドライブを持つユーザーを列挙します。

With ACLs

ACLs

API	アクセス許可	目的
Microsoft Graph	Files.Read.All	ユーザーのドライブにあるファイルを読み取ります。
Microsoft Graph	Sites.Read.All	ユーザーのドライブをバックアップする OneDrive サイトをお読みください。
Microsoft Graph	User.Read.All	ユーザーを列挙し、ドキュメントレベルの ACLs。
Microsoft Graph	GroupMember.Read.All	ドキュメントレベルの ACLs。
SharePoint	Sites.FullControl.All	クエリ時に各ユーザーのドキュメントへのアクセスを確認します。 Sites.Read.Allはこのチェックには不十分です。

セットアップ時に収集する値

ステップを進めながら、以下の値を作成または収集します。データソースを作成するときに使用します。詳細については、「OneDrive データソースを接続する」を参照してください。

ステップ 1: Microsoft Entra ID にアプリケーションを登録する

ステップ 2: API アクセス許可を追加し、管理者の同意を付与する

から設定のアクセス許可を追加しますアクセス許可に関するリファレンス。

ステップ 3: クライアントシークレットを作成する

OneDrive クローリングはアプリケーションのクライアント ID とシークレットを使用するため、コンテンツ専用データソースと ACL 対応データソースの両方にクライアントシークレットが必要です。ドキュメントレベルのアクセスコントロールを有効にすると、コネクタはクライアントシークレットを使用してテナントの OneDrive ホストを解決する Microsoft Graph トークンを取得し、証明書 (ステップ 4 から) を使用してアクセスチェックに使用される SharePoint トークンを取得します。

ステップ 4 (ACLsのみ): 認証証明書を生成する

自己署名証明書を生成し、PKCS#12 (.p12) バンドルとしてパッケージ化します。バンドルには、パスワードで保護された証明書とそのプライベートキーの両方が含まれています。パブリック証明書を Entra (ステップ 5) にアップロードし、.p12バンドルを Amazon S3 (ステップ 6) にアップロードします。オペレーティングシステムのタブを選択すると、コマンドが表示されます。

Linux or macOS (OpenSSL)

プライベートキーと自己署名証明書を生成する

openssl req -x509 -newkey rsa:2048 -keyout private_key.pem -out certificate.cer \
    -days 365 -nodes \
    -subj "/CN=bedrock-onedrive-connector"

証明書とキーを PKCS#12 (.p12) バンドルとしてパッケージ化する

プロンプトが表示されたら、強力なエクスポートパスワードを入力します。ステップ 7 で記録します。

openssl pkcs12 -export -out certificate.p12 \
    -inkey private_key.pem -in certificate.cer

これで、プライベートキー (private_key.pem)、パブリック証明書 ()、バンドル (certificate.cer) の 3 つのファイルが作成されましたcertificate.p12。ステップ 5 で Entra にパブリック証明書をアップロードし、ステップ 6 で.p12バンドルを Amazon S3 にアップロードします。

Windows (PowerShell)

自己署名証明書を生成する

次の PowerShell コマンドは、1 年間の有効期間を持つ 2048 ビット RSA 自己署名証明書を生成し、現在のユーザーの証明書ストアに保存します。your-password を強力でランダムなパスワードに置き換えます。ステップ 7 certificatePasswordのようにシークレットに保存します。

$cert = New-SelfSignedCertificate `
    -Subject "CN=bedrock-onedrive-connector" `
    -CertStoreLocation "Cert:\CurrentUser\My" `
    -KeyAlgorithm RSA `
    -KeyLength 2048 `
    -KeyExportPolicy Exportable `
    -NotAfter (Get-Date).AddYears(1)

パブリック証明書をエクスポートする

Export-Certificate -Cert $cert -FilePath certificate.cer -Type CERT

PKCS#12 (.p12) バンドルをエクスポートする

$password = ConvertTo-SecureString -String "your-password" -Force -AsPlainText
Export-PfxCertificate -Cert $cert -FilePath certificate.p12 -Password $password

これで、パブリック証明書 (certificate.cer) とバンドル () の 2 つのファイルが作成されましたcertificate.p12。ステップ 5 で Entra にパブリック証明書をアップロードし、ステップ 6 で.p12バンドルを Amazon S3 にアップロードします。

ステップ 5 (ACLs のみ): Entra にパブリック証明書をアップロードする

ステップ 6 (ACLsのみ): Amazon S3 に証明書をアップロードする

ステップ 4 の.p12バンドルをナレッジベースと同じ AWS リージョンの Amazon S3 バケットにアップロードします。バケット名とキーを記録します。データソース として使用しますcertificateS3Path。

aws s3api put-object \
  --bucket your-certificate-bucket \
  --key certs/certificate.p12 \
  --body certificate.p12 \
  --server-side-encryption AES256

ステップ 7: Secrets Manager シークレットを作成する

認証情報を AWS Secrets Manager シークレットに保存します。Microsoft Entra App ID 認証には、次のキーと値のペアを含めます。

コンテンツのみ (ドキュメントレベルのアクセスコントロールなし)

{
    "clientId": "your-client-id",
    "clientSecret": "your-client-secret"
}

ドキュメントレベルのアクセスコントロールを使用する

{
    "clientId": "your-client-id",
    "clientSecret": "your-client-secret",
    "certificatePassword": "your-certificate-password"
}

以下を使用してシークレットを作成します AWS Command Line Interface。

aws secretsmanager create-secret \
  --name bedrock-onedrive-creds \
  --secret-string file://secret.json

レスポンスからシークレット ARN を記録します。データソース として使用しますsecretArn。

ステップ 8 (ACLsのみ): サービスロールに証明書へのアクセスを許可する

ナレッジベースサービスロールは、Amazon S3 から証明書オブジェクトを読み取ることができる必要があります。次のステートメントをロールのアクセス許可ポリシーに追加し、バケット名とキーを値に置き換えます。

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "S3ListCertificateBucket",
            "Effect": "Allow",
            "Action": ["s3:ListBucket"],
            "Resource": ["arn:aws:s3:::your-certificate-bucket"],
            "Condition": {
                "StringEquals": { "aws:ResourceAccount": ["123456789012"] }
            }
        },
        {
            "Sid": "S3GetCertificate",
            "Effect": "Allow",
            "Action": ["s3:GetObject"],
            "Resource": [
                "arn:aws:s3:::your-certificate-bucket/certs/certificate.p12",
                "arn:aws:s3:::your-certificate-bucket/certs/certificate.p12.metadata.json"
            ],
            "Condition": {
                "StringEquals": { "aws:ResourceAccount": ["123456789012"] }
            }
        }
    ]
}

証明書オブジェクトが KMS AWS キーで暗号化されている場合

のアップロードコマンドは、追加のアクセス許可を必要としない Amazon S3-managed暗号化 (AES256) ステップ 6 (ACLsのみ): Amazon S3 に証明書をアップロードするを使用します。代わりに、カスタマーマネージド KMS キー (SSE-KMS) を使用して Amazon S3 サーバー側の暗号化で証明書オブジェクトを暗号化する場合、サービスロールにはそのキーに対する kms:Decrypt アクセス許可も必要です。また、キーのポリシーでは、そのキーの使用をロールに許可する必要があります。 AWS マネージドaws/s3キーで暗号化されたオブジェクトには、この追加の許可は必要ありません。

{
    "Sid": "KmsDecryptCertificate",
    "Effect": "Allow",
    "Action": ["kms:Decrypt"],
    "Resource": ["arn:aws:kms:us-west-2:123456789012:key/your-key-id"]
}

ナレッジベースサービスロールのアクセス許可の完全なセットについては、「」を参照してくださいデータソースにアクセスするためのアクセス許可。

次の手順

これで、データソースの作成に必要な認証情報、シークレット ARN、テナント ID、および証明書の Amazon S3 の場所 (ドキュメントレベルのアクセスコントロール用) ができました。 AWS マネジメントコンソール または API を使用して OneDrive データソースを作成するには、「」を参照してくださいOneDrive データソースを接続する。