Configurar a App-Only autenticação Microsoft Entra ID para SharePoint

A App-Only autenticação Microsoft Entra ID (ENTRA_ID_APP_ONLY) é o método de autenticação recomendado para uma fonte SharePoint de dados. Ele usa o fluxo de credenciais do cliente do OAuth 2.0 (somente aplicativo): um aplicativo Microsoft Entra se autentica com um certificado, portanto, nenhum login de usuário está envolvido no momento do rastreamento ou da consulta. Esse é o único método de autenticação que oferece suporte ao controle de acesso (ACLs) em nível de documento. Para uma comparação com o OAUTH2_APP método alternativo, consulteMétodos de autenticação.

Essa configuração abrange dois sistemas — Microsoft Entra ID e sua AWS conta — e o certificado é a credencial que os une. O conector armazena o certificado (chave privada incluída) como um arquivo PKCS #12 (.p12) no Amazon S3 e o usa para assinar declarações de autenticação para a Microsoft; o certificado público correspondente é carregado no registro do aplicativo Entra para que a Microsoft possa validar essas afirmações.

Etapas e funções de configuração

Esse procedimento envolve um administrador do Microsoft Entra ID e um AWS administrador. Dependendo de como as responsabilidades são divididas em sua organização, uma pessoa ou várias pessoas podem concluir essas etapas. Use a tabela a seguir para identificar o acesso que cada etapa exige.

Escolha sua configuração

Antes de começar, tome duas decisões. Eles determinam quais permissões você atribui na Etapa 2 e como você concede acesso ao site.

A combinação dessas duas opções seleciona um dos conjuntos de permissões na seção a seguir.

Referência de permissões

Atribua as permissões do aplicativo que correspondem à sua configuração. Todas as permissões são permissões de aplicativos (não delegadas) e todas exigem o consentimento do administrador. O conector se autentica em dois recursos da Microsoft: Microsoft Graph (para enumerar sites e, para ACLs, para resolver usuários e grupos) e a API SharePointREST (para ler o conteúdo do site e, para ACLs, permissões em nível de item).

Selecione a guia da sua configuração para ver o Microsoft Graph exato e SharePoint as permissões a serem atribuídas.

Valores que você coleta durante a configuração

Você cria ou coleta os seguintes valores à medida que avança nas etapas. Você os usa ao criar a fonte de dados. Para obter detalhes, consulte Conectar uma fonte SharePoint de dados.

Etapa 1: registrar o aplicativo no Microsoft Entra ID

Etapa 2: adicionar permissões de API e conceder o consentimento do administrador

Adicione as permissões para sua configuração deReferência de permissões.

Etapa 3: gerar o certificado de autenticação

Gere um certificado autoassinado e empacote-o como um pacote PKCS #12 (.p12). O pacote contém o certificado e sua chave privada, protegidos por uma senha. Você carrega o certificado público para o Entra (Etapa 4) e o .p12 pacote para o Amazon S3 (Etapa 6). Selecione a guia do seu sistema operacional para ver os comandos.

Etapa 4: Carregar o certificado público para o Entra

Etapa 5 (Sites.Selected somente): conceder acesso por site

ComSites.Selected, você concede ao seu aplicativo conector acesso a cada SharePoint site individualmente por meio da API do Microsoft Graph. Isso requer uma inscrição separada e temporária que seja válida Sites.FullControl.All e usada apenas para realizar os subsídios. O Amazon Bedrock nunca vê esse aplicativo temporário ou suas credenciais.

Etapa 6: Faça o upload do certificado para o Amazon S3

Faça o upload do .p12 pacote da Etapa 3 para um bucket do Amazon S3 na AWS mesma região da sua base de conhecimento. Registre o nome e a chave do bucket — você os usa como fonte de dadoscertificateS3Path.

aws s3api put-object \
  --bucket your-certificate-bucket \
  --key certs/certificate.p12 \
  --body certificate.p12 \
  --server-side-encryption AES256

Etapa 7: Criar o segredo do Secrets Manager

Armazene as credenciais em AWS Secrets Manager segredo. Para a App-Only autenticação do Entra ID, inclua os seguintes pares de valores-chave:

{
    "clientId": "your-client-id",
    "certificatePassword": "your-certificate-password"
}

Crie o segredo com AWS Command Line Interface:

aws secretsmanager create-secret \
  --name bedrock-sharepoint-creds \
  --secret-string file://secret.json

Registre o ARN secreto da resposta. Você o usa como fonte de dadossecretArn.

{
    "clientId": "your-client-id",
    "privateKey": "your-base64-pkcs8-private-key"
}

Etapa 8: Conceder à função de serviço acesso ao certificado

Sua função de serviço da base de conhecimento deve ser capaz de ler o objeto certificado do Amazon S3. Adicione a seguinte declaração à política de permissões da função, substituindo o nome e a chave do bucket pelos seus valores.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "S3ListCertificateBucket",
            "Effect": "Allow",
            "Action": ["s3:ListBucket"],
            "Resource": ["arn:aws:s3:::your-certificate-bucket"],
            "Condition": {
                "StringEquals": { "aws:ResourceAccount": ["123456789012"] }
            }
        },
        {
            "Sid": "S3GetCertificate",
            "Effect": "Allow",
            "Action": ["s3:GetObject"],
            "Resource": [
                "arn:aws:s3:::your-certificate-bucket/certs/certificate.p12",
                "arn:aws:s3:::your-certificate-bucket/certs/certificate.p12.metadata.json"
            ],
            "Condition": {
                "StringEquals": { "aws:ResourceAccount": ["123456789012"] }
            }
        }
    ]
}

Se o objeto certificado estiver criptografado com uma chave AWS KMS

O comando de upload Etapa 6: Faça o upload do certificado para o Amazon S3 usa a S3-managed criptografia da Amazon (AES256), que não precisa de permissões adicionais. Se, em vez disso, você criptografar o objeto certificado com a criptografia do lado do servidor Amazon S3 usando uma chave KMS gerenciada pelo cliente SSE-KMS (), a função de serviço também kms:Decrypt precisará de permissão para essa chave, e a política da chave deve permitir que a função a use. Objetos criptografados com a aws/s3 chave AWS gerenciada não exigem essa concessão adicional.

{
    "Sid": "KmsDecryptCertificate",
    "Effect": "Allow",
    "Action": ["kms:Decrypt"],
    "Resource": ["arn:aws:kms:us-west-2:123456789012:key/your-key-id"]
}

É necessário apenas o acesso de leiturakms:Decrypt. Para obter mais informações, consulte Uso da criptografia do lado do servidor com chaves AWS KMS (). SSE-KMS

Para obter o conjunto completo de permissões de função de serviço da base de conhecimento, consultePermissões para acessar as fontes de dados.

Próximas etapas

Agora você tem tudo o que precisa para criar a fonte de dados: o ARN secreto, seu ID de inquilino e a localização do certificado no Amazon S3. Para criar a fonte de SharePoint dados com a Console de gerenciamento da AWS ou a API, consulteConectar uma fonte SharePoint de dados.