As traduções são geradas por tradução automática. Em caso de conflito entre o conteúdo da tradução e da versão original em inglês, a versão em inglês prevalecerá.

Configurar a autenticação Microsoft Entra App ID para OneDrive

A autenticação Microsoft Entra App ID (ENTRA_APP_ID) é o método de autenticação recomendado para uma fonte OneDrive de dados. O conector rastreia o conteúdo com o fluxo de credenciais do cliente do OAuth 2.0 (somente do aplicativo), usando o ID do cliente e o segredo do seu aplicativo — nenhum login de usuário está envolvido. Esse é o único método de autenticação que oferece suporte ao controle de acesso (ACLs) em nível de documento. Para uma comparação com o OAUTH2 método alternativo, consulteMétodos de autenticação.

Etapas e funções de configuração

Esse procedimento envolve um administrador do Microsoft Entra ID e um AWS administrador. Dependendo de como as responsabilidades são divididas em sua organização, uma pessoa ou várias pessoas podem concluir essas etapas. As etapas do certificado (etapas 4 a 6 e 8) se aplicam somente quando você ativa o controle de acesso em nível de documento. Use a tabela a seguir para identificar o acesso que cada etapa exige.

Referência de permissões

Atribua as permissões do aplicativo que correspondem à sua configuração. Todas as permissões são permissões de aplicativos (não delegadas) e todas exigem o consentimento do administrador. Para rastreamento somente de conteúdo, o conector é autenticado somente no Microsoft Graph. Quando o controle de acesso em nível de documento é ativado, o conector também se autentica na API SharePointREST para verificar o acesso no momento da consulta, porque o OneDrive for Business é apoiado por. SharePoint

Selecione a guia da sua configuração para ver as permissões exatas a serem atribuídas.

Content only (no ACLs)

Somente conteúdo

solicitações de	Permissão	Finalidade
Microsoft Graph	Files.Read.All	Leia os arquivos nos drives dos usuários.
Microsoft Graph	Sites.Read.All	Leia os OneDrive sites que respaldam os discos dos usuários.
Microsoft Graph	User.Read.All	Enumere os usuários cujos drives você rastreia.

With ACLs

Com ACLs

solicitações de	Permissão	Finalidade
Microsoft Graph	Files.Read.All	Leia os arquivos nos drives dos usuários.
Microsoft Graph	Sites.Read.All	Leia os OneDrive sites que respaldam os discos dos usuários.
Microsoft Graph	User.Read.All	Enumere os usuários e resolva-os para ACLs em nível de documento.
Microsoft Graph	GroupMember.Read.All	Resolva a associação ao grupo para ACLs em nível de documento.
SharePoint	Sites.FullControl.All	Verifique o acesso de cada usuário a um documento no momento da consulta. Sites.Read.Allnão é suficiente para essa verificação.

Valores que você coleta durante a configuração

Você cria ou coleta os seguintes valores à medida que avança nas etapas. Você os usa ao criar a fonte de dados. Para obter detalhes, consulte Conectar uma fonte OneDrive de dados.

Etapa 1: registrar o aplicativo no Microsoft Entra ID

Etapa 2: adicionar permissões de API e conceder o consentimento do administrador

Adicione as permissões para sua configuração deReferência de permissões.

Etapa 3: criar um segredo de cliente

OneDrive o rastreamento usa o ID e o segredo do cliente do aplicativo, portanto, um segredo do cliente é necessário tanto para fontes de dados quanto somente de conteúdo. ACL-enabled Quando o controle de acesso em nível de documento é ativado, o conector usa o segredo do cliente para obter um token do Microsoft Graph que resolve o OneDrive host do seu locatário e o certificado (da Etapa 4) para obter o SharePoint token usado para a verificação de acesso.

Etapa 4 (somente ACLs): gerar o certificado de autenticação

Gere um certificado autoassinado e empacote-o como um pacote PKCS #12 (.p12). O pacote contém o certificado e sua chave privada, protegidos por uma senha. Você carrega o certificado público para o Entra (Etapa 5) e o .p12 pacote para o Amazon S3 (Etapa 6). Selecione a guia do seu sistema operacional para ver os comandos.

Linux or macOS (OpenSSL)

Gere uma chave privada e um certificado autoassinado

openssl req -x509 -newkey rsa:2048 -keyout private_key.pem -out certificate.cer \
    -days 365 -nodes \
    -subj "/CN=bedrock-onedrive-connector"

Package o certificado e a chave como um pacote PKCS #12 (.p12)

Insira uma senha de exportação forte quando solicitado. Grave-o para a Etapa 7.

openssl pkcs12 -export -out certificate.p12 \
    -inkey private_key.pem -in certificate.cer

Agora você tem três arquivos: a chave privada (private_key.pem), o certificado público (certificate.cer) e o pacote (certificate.p12). Você carrega o certificado público para a Entra na Etapa 5 e o .p12 pacote para o Amazon S3 na Etapa 6.

Windows (PowerShell)

Gere um certificado autoassinado

Os PowerShell comandos a seguir geram um certificado autoassinado RSA de 2048 bits com um período de validade de um ano e o armazenam no repositório de certificados do usuário atual. your-passwordSubstitua por uma senha forte e aleatória — você a armazena em segredo, como certificatePassword na Etapa 7.

$cert = New-SelfSignedCertificate `
    -Subject "CN=bedrock-onedrive-connector" `
    -CertStoreLocation "Cert:\CurrentUser\My" `
    -KeyAlgorithm RSA `
    -KeyLength 2048 `
    -KeyExportPolicy Exportable `
    -NotAfter (Get-Date).AddYears(1)

Exportar o certificado público

Export-Certificate -Cert $cert -FilePath certificate.cer -Type CERT

Exportar o pacote PKCS #12 (.p12)

$password = ConvertTo-SecureString -String "your-password" -Force -AsPlainText
Export-PfxCertificate -Cert $cert -FilePath certificate.p12 -Password $password

Agora você tem dois arquivos: o certificado público (certificate.cer) e o pacote (certificate.p12). Você carrega o certificado público para a Entra na Etapa 5 e o .p12 pacote para o Amazon S3 na Etapa 6.

Etapa 5 (somente ACLs): Carregue o certificado público para o Entra

Etapa 6 (somente ACLs): faça o upload do certificado para o Amazon S3

Faça o upload do .p12 pacote da Etapa 4 para um bucket do Amazon S3 na AWS mesma região da sua base de conhecimento. Registre o nome e a chave do bucket — você os usa como fonte de dadoscertificateS3Path.

aws s3api put-object \
  --bucket your-certificate-bucket \
  --key certs/certificate.p12 \
  --body certificate.p12 \
  --server-side-encryption AES256

Etapa 7: Criar o segredo do Secrets Manager

Armazene as credenciais em AWS Secrets Manager segredo. Para a autenticação do Microsoft Entra App ID, inclua os seguintes pares de valores-chave:

Somente conteúdo (sem controle de acesso em nível de documento)

{
    "clientId": "your-client-id",
    "clientSecret": "your-client-secret"
}

Com controle de acesso em nível de documento

{
    "clientId": "your-client-id",
    "clientSecret": "your-client-secret",
    "certificatePassword": "your-certificate-password"
}

Crie o segredo com o AWS Command Line Interface:

aws secretsmanager create-secret \
  --name bedrock-onedrive-creds \
  --secret-string file://secret.json

Registre o ARN secreto da resposta. Você o usa como fonte de dadossecretArn.

Etapa 8 (somente ACLs): conceder à função de serviço acesso ao certificado

Sua função de serviço da base de conhecimento deve ser capaz de ler o objeto certificado do Amazon S3. Adicione a seguinte declaração à política de permissões da função, substituindo o nome e a chave do bucket pelos seus valores.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "S3ListCertificateBucket",
            "Effect": "Allow",
            "Action": ["s3:ListBucket"],
            "Resource": ["arn:aws:s3:::your-certificate-bucket"],
            "Condition": {
                "StringEquals": { "aws:ResourceAccount": ["123456789012"] }
            }
        },
        {
            "Sid": "S3GetCertificate",
            "Effect": "Allow",
            "Action": ["s3:GetObject"],
            "Resource": [
                "arn:aws:s3:::your-certificate-bucket/certs/certificate.p12",
                "arn:aws:s3:::your-certificate-bucket/certs/certificate.p12.metadata.json"
            ],
            "Condition": {
                "StringEquals": { "aws:ResourceAccount": ["123456789012"] }
            }
        }
    ]
}

Se o objeto certificado estiver criptografado com uma chave AWS KMS

O comando de upload Etapa 6 (somente ACLs): faça o upload do certificado para o Amazon S3 usa a S3-managed criptografia da Amazon (AES256), que não precisa de permissões adicionais. Se, em vez disso, você criptografar o objeto certificado com a criptografia do lado do servidor Amazon S3 usando uma chave KMS gerenciada pelo cliente SSE-KMS (), a função de serviço também kms:Decrypt precisará de permissão para essa chave, e a política da chave deve permitir que a função a use. Objetos criptografados com a aws/s3 chave AWS gerenciada não exigem essa concessão adicional.

{
    "Sid": "KmsDecryptCertificate",
    "Effect": "Allow",
    "Action": ["kms:Decrypt"],
    "Resource": ["arn:aws:kms:us-west-2:123456789012:key/your-key-id"]
}

Para obter o conjunto completo de permissões de função de serviço da base de conhecimento, consultePermissões para acessar as fontes de dados.

Próximas etapas

Agora você tem as credenciais necessárias para criar a fonte de dados: o ARN secreto, seu ID de inquilino e (para controle de acesso em nível de documento) a localização do certificado no Amazon S3. Para criar a fonte de OneDrive dados com a Console de gerenciamento da AWS ou a API, consulteConectar uma fonte OneDrive de dados.