SharePoint の Microsoft Entra ID アプリ専用認証を設定する

Microsoft Entra ID App-Only 認証 (ENTRA_ID_APP_ONLY) は、SharePoint データソースに推奨される認証方法です。OAuth 2.0 クライアント認証情報 (アプリケーションのみ) フローを使用します。Microsoft Entra アプリケーションは証明書で認証するため、クロール時またはクエリ時にユーザーのサインインは関与しません。これは、ドキュメントレベルのアクセスコントロール (ACLs) をサポートする唯一の認証方法です。代替OAUTH2_APP方法との比較については、「」を参照してください認証方法。

この設定は、Microsoft Entra ID とアカウントという 2 つのシステムにまた AWS がり、証明書はそれらを結び付ける認証情報です。コネクタは、証明書 (プライベートキーを含む) を PKCS#12 (.p12) ファイルとして Amazon S3 に保存し、それを使用して Microsoft への認証アサーションに署名します。一致するパブリック証明書は Entra アプリケーション登録にアップロードされるため、Microsoft はそれらのアサーションを検証できます。

セットアップステップとロール

この手順には、Microsoft Entra ID 管理者と AWS 管理者の両方が含まれます。組織における責任の分担方法によっては、1 人または複数のユーザーがこれらのステップを完了する場合があります。以下の表を使用して、各ステップに必要なアクセスを特定します。

設定を選択する

開始する前に、2 つの決定を行います。ステップ 2 で割り当てるアクセス許可と、サイトアクセスの付与方法を決定します。

これら 2 つの選択肢を組み合わせると、次のセクションのアクセス許可セットのいずれかが選択されます。

アクセス許可に関するリファレンス

設定に一致するアプリケーションアクセス許可を割り当てます。すべてのアクセス許可はアプリケーションのアクセス許可 (委任されていません) であり、すべてのアクセス許可には管理者の同意が必要です。コネクタは、Microsoft Graph (サイトを列挙するため、ACLs の場合はユーザーとグループを解決するため) と SharePoint REST API (サイトコンテンツを読み取るため、ACLsの場合は項目レベルのアクセス許可) の 2 つの Microsoft リソースを認証します。

設定のタブを選択すると、割り当てる Microsoft Graph と SharePoint の正確なアクセス許可が表示されます。

セットアップ時に収集する値

ステップを進めながら、以下の値を作成または収集します。データソースを作成するときに使用します。詳細については、「SharePoint データソースを接続する」を参照してください。

ステップ 1: Microsoft Entra ID にアプリケーションを登録する

ステップ 2: API アクセス許可を追加し、管理者の同意を付与する

から設定のアクセス許可を追加しますアクセス許可に関するリファレンス。

ステップ 3: 認証証明書を生成する

自己署名証明書を生成し、PKCS#12 (.p12) バンドルとしてパッケージ化します。バンドルには、パスワードで保護された証明書とそのプライベートキーの両方が含まれています。パブリック証明書を Entra (ステップ 4) にアップロードし、.p12バンドルを Amazon S3 (ステップ 6) にアップロードします。オペレーティングシステムのタブを選択すると、コマンドが表示されます。

ステップ 4: Entra にパブリック証明書をアップロードする

ステップ 5 (Sites.Selected のみ): サイトごとのアクセス許可を付与する

ではSites.Selected、Microsoft Graph API を使用して、コネクタアプリケーションに各 SharePoint サイトへのアクセス権を個別に付与します。これには、 を保持Sites.FullControl.Allし、許可の実行にのみ使用される別の一時的なアプリケーションが必要です。Amazon Bedrock は、この一時アプリケーションまたはその認証情報を表示しません。

ステップ 6: Amazon S3 に証明書をアップロードする

ステップ 3 の.p12バンドルをナレッジベースと同じ AWS リージョンの Amazon S3 バケットにアップロードします。バケット名とキーを記録します。データソース として使用しますcertificateS3Path。

aws s3api put-object \
  --bucket your-certificate-bucket \
  --key certs/certificate.p12 \
  --body certificate.p12 \
  --server-side-encryption AES256

ステップ 7: Secrets Manager シークレットを作成する

認証情報を AWS Secrets Manager シークレットに保存します。Entra ID App-Only 認証には、次のキーと値のペアを含めます。

{
    "clientId": "your-client-id",
    "certificatePassword": "your-certificate-password"
}

以下を使用してシークレットを作成します AWS Command Line Interface。

aws secretsmanager create-secret \
  --name bedrock-sharepoint-creds \
  --secret-string file://secret.json

レスポンスからシークレット ARN を記録します。データソース として使用しますsecretArn。

{
    "clientId": "your-client-id",
    "privateKey": "your-base64-pkcs8-private-key"
}

ステップ 8: サービスロールに証明書へのアクセス権を付与する

ナレッジベースサービスロールは、Amazon S3 から証明書オブジェクトを読み取ることができる必要があります。次のステートメントをロールのアクセス許可ポリシーに追加し、バケット名とキーを値に置き換えます。

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "S3ListCertificateBucket",
            "Effect": "Allow",
            "Action": ["s3:ListBucket"],
            "Resource": ["arn:aws:s3:::your-certificate-bucket"],
            "Condition": {
                "StringEquals": { "aws:ResourceAccount": ["123456789012"] }
            }
        },
        {
            "Sid": "S3GetCertificate",
            "Effect": "Allow",
            "Action": ["s3:GetObject"],
            "Resource": [
                "arn:aws:s3:::your-certificate-bucket/certs/certificate.p12",
                "arn:aws:s3:::your-certificate-bucket/certs/certificate.p12.metadata.json"
            ],
            "Condition": {
                "StringEquals": { "aws:ResourceAccount": ["123456789012"] }
            }
        }
    ]
}

証明書オブジェクトが KMS AWS キーで暗号化されている場合

のアップロードコマンドは、追加のアクセス許可を必要としない Amazon S3-managed暗号化 (AES256) ステップ 6: Amazon S3 に証明書をアップロードするを使用します。代わりに、カスタマーマネージド KMS キー (SSE-KMS) を使用して Amazon S3 サーバー側の暗号化で証明書オブジェクトを暗号化する場合、サービスロールにはそのキーに対する kms:Decrypt アクセス許可も必要です。また、キーのポリシーでは、そのキーの使用をロールに許可する必要があります。 AWS マネージドaws/s3キーで暗号化されたオブジェクトには、この追加の許可は必要ありません。

{
    "Sid": "KmsDecryptCertificate",
    "Effect": "Allow",
    "Action": ["kms:Decrypt"],
    "Resource": ["arn:aws:kms:us-west-2:123456789012:key/your-key-id"]
}

読み取りアクセスに必要なのは のみですkms:Decrypt。詳細については、「Using server-side encryption with AWS KMS keys (SSE-KMS)」を参照してください。

ナレッジベースサービスロールのアクセス許可の完全なセットについては、「」を参照してくださいデータソースにアクセスするためのアクセス許可。

次の手順

これで、シークレット ARN、テナント ID、証明書の Amazon S3 の場所など、データソースの作成に必要なものがすべて揃いました。 AWS マネジメントコンソール または API を使用して SharePoint データソースを作成するには、「」を参照してくださいSharePoint データソースを接続する。