SharePoint에 대한 Microsoft Entra ID 앱 전용 인증 설정

Microsoft Entra ID 앱 전용 인증(ENTRA_ID_APP_ONLY)은 SharePoint 데이터 소스에 권장되는 인증 방법입니다. OAuth 2.0 클라이언트 자격 증명(애플리케이션 전용) 흐름을 사용합니다. Microsoft Entra 애플리케이션은 인증서로 인증하므로 크롤링 시 또는 쿼리 시 사용자 로그인이 관여하지 않습니다. 이는 문서 수준 액세스 제어(ACLs)를 지원하는 유일한 인증 방법입니다. 대체 OAUTH2_APP 방법과의 비교는 단원을 참조하십시오인증 방법.

이 설정은 Microsoft Entra ID와 AWS 계정이라는 두 시스템에 걸쳐 있으며, 인증서는 이를 연결하는 자격 증명입니다. 커넥터는 인증서(프라이빗 키 포함)를 Amazon S3에 PKCS#12(.p12) 파일로 저장하고 이를 사용하여 Microsoft에 인증 어설션에 서명합니다. 일치하는 퍼블릭 인증서는 Entra 애플리케이션 등록에 업로드되어 Microsoft가 해당 어설션을 검증할 수 있습니다.

설정 단계 및 역할

이 절차에는 Microsoft Entra ID 관리자와 AWS 관리자가 모두 포함됩니다. 조직에서 책임을 나누는 방법에 따라 한 사람 또는 여러 사람이이 단계를 완료할 수 있습니다. 다음 표를 사용하여 각 단계에 필요한 액세스를 식별합니다.

구성 선택

시작하기 전에 두 가지 결정을 내립니다. 2단계에서 할당하는 권한과 사이트 액세스 권한을 부여하는 방법을 결정합니다.

이 두 선택 항목의 조합은 다음 섹션의 권한 세트 중 하나를 선택합니다.

권한 참조

구성과 일치하는 애플리케이션 권한을 할당합니다. 모든 권한은 애플리케이션 권한(위임되지 않음)이며, 모든 권한에는 관리자 동의가 필요합니다. 커넥터는 Microsoft Graph(사이트를 열거하고 ACLs의 경우 사용자 및 그룹을 확인)와 SharePoint REST API(사이트 콘텐츠를 읽고 ACLs의 경우 항목 수준 권한)의 두 가지 Microsoft 리소스에 대해 인증합니다.

구성의 탭을 선택하여 할당할 정확한 Microsoft Graph 및 SharePoint 권한을 확인합니다.

설정 중에 수집하는 값

단계를 진행하면서 다음 값을 생성하거나 수집합니다. 데이터 소스를 생성할 때 이를 사용합니다. 자세한 내용은 SharePoint 데이터 소스 연결을 참조하세요.

1단계: Microsoft Entra ID에 애플리케이션 등록

2단계: API 권한 추가 및 관리자 동의 부여

에서 구성에 대한 권한을 추가합니다권한 참조.

3단계: 인증 인증서 생성

자체 서명된 인증서를 생성하고 PKCS#12(.p12) 번들로 패키징합니다. 번들에는 암호로 보호되는 인증서와 프라이빗 키가 모두 포함되어 있습니다. 퍼블릭 인증서를 Entra(4단계)에 업로드하고 .p12 번들을 Amazon S3(6단계)에 업로드합니다. 운영 체제의 탭을 선택하여 명령을 확인합니다.

4단계: Entra에 퍼블릭 인증서 업로드

5단계(Sites.Selected만 해당): 사이트별 액세스 권한 부여

를 사용하면 Microsoft Graph API를 통해 커넥터 애플리케이션에 각 SharePoint 사이트에 대한 액세스 권한을 개별적으로 Sites.Selected부여합니다. 이를 위해서는 Sites.FullControl.All 권한을 보유하며 권한 부여를 수행하는 데만 사용되는 별도의 임시 애플리케이션이 필요합니다. Amazon Bedrock은이 임시 애플리케이션 또는 자격 증명을 볼 수 없습니다.

6단계: Amazon S3에 인증서 업로드

3단계에서 지식 기반과 동일한 AWS 리전의 Amazon S3 버킷으로 .p12 번들을 업로드합니다. 버킷 이름과 키를 기록합니다. 이를 데이터 소스 로 사용합니다certificateS3Path.

aws s3api put-object \
  --bucket your-certificate-bucket \
  --key certs/certificate.p12 \
  --body certificate.p12 \
  --server-side-encryption AES256

7단계: Secrets Manager 보안 암호 생성

보안 인증 정보를 AWS Secrets Manager 보안 암호에 저장합니다. Entra ID 앱 전용 인증의 경우 다음 키-값 페어를 포함합니다.

{
    "clientId": "your-client-id",
    "certificatePassword": "your-certificate-password"
}

AWS Command Line Interface다음을 사용하여 보안 암호를 생성합니다.

aws secretsmanager create-secret \
  --name bedrock-sharepoint-creds \
  --secret-string file://secret.json

응답의 보안 암호 ARN을 기록합니다. 이를 데이터 소스 로 사용합니다secretArn.

{
    "clientId": "your-client-id",
    "privateKey": "your-base64-pkcs8-private-key"
}

8단계: 서비스 역할에 인증서에 대한 액세스 권한 부여

지식 기반 서비스 역할은 Amazon S3에서 인증서 객체를 읽을 수 있어야 합니다. 다음 문을 역할의 권한 정책에 추가하여 버킷 이름과 키를 값으로 바꿉니다.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "S3ListCertificateBucket",
            "Effect": "Allow",
            "Action": ["s3:ListBucket"],
            "Resource": ["arn:aws:s3:::your-certificate-bucket"],
            "Condition": {
                "StringEquals": { "aws:ResourceAccount": ["123456789012"] }
            }
        },
        {
            "Sid": "S3GetCertificate",
            "Effect": "Allow",
            "Action": ["s3:GetObject"],
            "Resource": [
                "arn:aws:s3:::your-certificate-bucket/certs/certificate.p12",
                "arn:aws:s3:::your-certificate-bucket/certs/certificate.p12.metadata.json"
            ],
            "Condition": {
                "StringEquals": { "aws:ResourceAccount": ["123456789012"] }
            }
        }
    ]
}

인증서 객체가 AWS KMS 키로 암호화된 경우

의 업로드 명령은 추가 권한이 필요하지 않은 Amazon S3-managed 암호화(AES256)를 6단계: Amazon S3에 인증서 업로드 사용합니다. 대신 고객 관리형 KMS 키(SSE-KMS)를 사용하여 Amazon S3 서버 측 암호화로 인증서 객체를 암호화하는 경우 서비스 역할에는 해당 키에 대한 kms:Decrypt 권한도 필요하며 키의 정책은 역할이 이를 사용하도록 허용해야 합니다. AWS 관리형 aws/s3 키로 암호화된 객체에는이 추가 권한이 필요하지 않습니다.

{
    "Sid": "KmsDecryptCertificate",
    "Effect": "Allow",
    "Action": ["kms:Decrypt"],
    "Resource": ["arn:aws:kms:us-west-2:123456789012:key/your-key-id"]
}

읽기 액세스에는 만 필요합니다kms:Decrypt. 자세한 내용은 AWS KMS 키로 서버 측 암호화 사용(SSE-KMS)을 참조하세요.

지식 기반 서비스 역할 권한의 전체 세트는 섹션을 참조하세요데이터 소스에 액세스할 수 있는 권한.

다음 단계

이제 보안 암호 ARN, 테넌트 ID, 인증서의 Amazon S3 위치 등 데이터 소스를 생성하는 데 필요한 모든 것이 준비되었습니다. AWS Management Console 또는 API를 사용하여 SharePoint 데이터 소스를 생성하려면 섹션을 참조하세요SharePoint 데이터 소스 연결.