本文属于机器翻译版本。若本译文内容与英语原文存在差异，则一律以英文原文为准。
对 SharePoint 数据源进行故障排除
使用此页可以诊断 SharePoint 身份验证、数据源创建和同步方面的常见问题。有关文档级访问控制的特定问题，请参阅中的疑难解答表。Document-level 访问控制
数据源创建和连接错误
| 症状 | 可能的原因 | Fix |
|---|---|---|
数据源立即失败，错误connectionConfiguration.certificateS3Path不能为空。 |
提供authType了 is ENTRA_ID_APP_ONLY 但没有提供证书路径。即使禁用 ACL，这种身份验证类型也始终需要证书。 |
添加certificateS3Path到connectionConfiguration，指向 Amazon S3 中的.p12证书。请参阅设置 Microsoft Entra ID App-Only 身份验证用于 SharePoint。 |
| 租户 ID 无效。 | 租户 ID 格式错误或与你的 Microsoft Entra 租户不匹配。 | 从 Microsoft Entra 管理中心的应用程序概述页面复制目录（租户）ID。 |
| 客户端 ID 无效或找不到应用程序。 | 秘密clientId中的不正确，或者应用程序注册不存在。 |
从应用程序概述页面复制应用程序（客户端）ID 并更新密钥。 |
| 无法连接到 SharePoint。 | 一个或多个凭证不正确，或者应用程序缺少所需的权限或管理员同意。 | 验证密钥值，确认应用程序权限并授予管理员同意。请参阅设置 Microsoft Entra ID App-Only 身份验证用于 SharePoint。 |
| 知识库服务角色无法读取证书。 | 证书对象s3:GetObject上缺少服务角色，或者该对象使用角色无法使用的客户托管密钥进行加密。 |
授予s3:GetObject证书，如果对象使用客户托管的 KMS 密钥，则对该密钥kms:Decrypt进行授权。请参阅步骤 8：向服务角色授予证书访问权限。 |
证书错误（微软 Entra ID App-Only）
| 症状 | 可能的原因 | Fix |
|---|---|---|
| 同步期间出现证书密码或令牌铸造错误。 | .p12密码与秘密certificatePassword中的不匹配。 |
设置certificatePassword为用于创建.p12文件的密码，或者使用已知密码重新创建分发包。 |
| 以前身份验证有效，现在所有同步都失败了。 | 证书已过期，或者管理员的同意已被撤销。 | 生成新证书，将公共证书上传到 Entra 应用程序注册处，替换 Amazon S3 .p12 中的证书，然后重新授予管理员同意。 |
| 同步失败，并显示无法将证书加载为 X.509 或 PKCS #12 的错误（例如，“证书格式无效-无法加载为 X.509 或 PKCS12”）。 | Amazon Bedrock 无法使用提供的凭证读取 Amazon S3 中的证书。常见原因包括密钥certificatePassword中缺失或空白、certificateS3Path指向错误对象（例如 .cer /PEM 文件或剩余对象），或者证书不再与该密钥匹配。在重新配置数据源或切换身份验证方法之后，更有可能出现这种情况。 |
确认数据源引用的密钥包含与您的.p12捆绑包匹配的，并且该密钥certificateS3Path指向该密钥.p12。certificatePassword如果您重新配置了数据源，请验证证书和密钥是否仍然对应，然后再次同步。 |
轮换证书
在证书到期之前对其进行轮换。证书过期会导致所有同步失败。要在不中断访问的情况下进行轮换，请将新证书作为单独的对象上传，然后将数据源切换到该证书，这样现有证书就会一直有效，直到您切换。
-
生成新证书和 PKCS #12 (
.p12) 捆绑包，如中所述。设置 Microsoft Entra ID App-Only 身份验证用于 SharePoint -
在您的 Entra 应用程序注册中，在 “证书和机密” 下，上传新的公共证书。保留现有证书 — 一个应用程序注册可以保存多个证书。
-
使用新的对象密钥将新
.p12捆绑包上传到 Amazon S3（不要覆盖现有证书对象）。确认您的知识库服务角色可以读取新对象。 -
更新数据源，使其
certificateS3Path指向新对象，然后更新 AWS Secrets Manager 密钥certificatePassword中的数据源以匹配新包。使用UpdateDataSource操作或 AWS 管理控制台。 -
开始同步并使用新证书确认同步成功完成。
-
同步成功后，从 Entra 应用程序注册中删除旧证书，并从 Amazon S3 中删除旧
.p12对象。
OAuth 2.0 身份验证错误
| 症状 | 可能的原因 | Fix |
|---|---|---|
| 同步失败，并显示一条消息：REST API 令牌请求失败，状态为 400。 | 该账户需要 MFA 或条件访问权限，但资源所有者密码凭证流程无法满足；或者密钥缺少或字段。userName password |
确认密钥包括clientIdclientSecret、userName、和password。如果账户强制执行 MFA 或条件访问，请切换到。设置 Microsoft Entra ID App-Only 身份验证用于 SharePoint |
| 账户密码更改后，同步失败。 | 存储的密码已失效。 | 更新密钥中的password字段。 |
同步错误
| 症状 | 可能的原因 | Fix |
|---|---|---|
| 同步已完成，但没有为任何文档编制索引。 | 应用程序无法访问已配置的站点。使用Sites.Selected，可能无法授予每个站点的权限。 |
验证应用程序权限和管理员同意。如果您使用Sites.Selected，请确认每个站点的每个站点的授权。请参阅第 5 步（Sites.Selected 仅限）：授予每个站点的访问权限。 |
新添加的网站不会被抓取 (Sites.Selected)。 |
Per-site 补助金不具有追溯力，因此新站点没有授权。 | 授予连接器应用程序访问新站点的权限，然后再次同步。 |
| 特定路径不返回任何结果。 | 路径以浏览器 URL 的形式输入，或者项目已被移动或重命名 SharePoint。 | 使用 SharePoint 路径（不是浏览器 URL），并验证该路径上是否仍存在该项目。 |
Document-level 访问控制问题
ACL 配置错误不会在检索过程中产生明显的错误。相反，查询返回的结果较少或为零。有关 ACL-specific 症状、验证步骤和修复方法，请参阅Document-level 访问控制。
