本文属于机器翻译版本。若本译文内容与英语原文存在差异，则一律以英文原文为准。

# 对 SharePoint 数据源进行故障排除
<a name="kb-managed-ds-sharepoint-troubleshooting"></a>

使用此页可以诊断 SharePoint 身份验证、数据源创建和同步方面的常见问题。有关文档级访问控制的特定问题，请参阅中的疑难解答表。[Document-level 访问控制](kb-managed-ds-sharepoint-acl.md)

## 数据源创建和连接错误
<a name="kb-managed-ds-sharepoint-troubleshooting-create"></a>


**创建和连接错误**  

| 症状 | 可能的原因 | Fix | 
| --- | --- | --- | 
| 数据源立即失败，错误connectionConfiguration.certificateS3Path不能为空。 | 提供authType了 is ENTRA\_ID\_APP\_ONLY 但没有提供证书路径。即使禁用 ACL，这种身份验证类型也始终需要证书。 | 添加certificateS3Path到connectionConfiguration，指向 Amazon S3 中的.p12证书。请参阅[设置 Microsoft Entra ID App-Only 身份验证用于 SharePoint](kb-managed-sharepoint-entra-setup.md)。 | 
| 租户 ID 无效。 | 租户 ID 格式错误或与你的 Microsoft Entra 租户不匹配。 | 从 Microsoft Entra 管理中心的应用程序概述页面复制目录（租户）ID。 | 
| 客户端 ID 无效或找不到应用程序。 | 秘密clientId中的不正确，或者应用程序注册不存在。 | 从应用程序概述页面复制应用程序（客户端）ID 并更新密钥。 | 
| 无法连接到 SharePoint。 | 一个或多个凭证不正确，或者应用程序缺少所需的权限或管理员同意。 | 验证密钥值，确认应用程序权限并授予管理员同意。请参阅[设置 Microsoft Entra ID App-Only 身份验证用于 SharePoint](kb-managed-sharepoint-entra-setup.md)。 | 
| 知识库服务角色无法读取证书。 | 证书对象s3:GetObject上缺少服务角色，或者该对象使用角色无法使用的客户托管密钥进行加密。 | 授予s3:GetObject证书，如果对象使用客户托管的 KMS 密钥，则对该密钥kms:Decrypt进行授权。请参阅[步骤 8：向服务角色授予证书访问权限](kb-managed-sharepoint-entra-setup.md#kb-managed-sharepoint-entra-step8)。 | 

## 证书错误（微软 Entra ID App-Only）
<a name="kb-managed-ds-sharepoint-troubleshooting-cert"></a>


**证书错误**  

| 症状 | 可能的原因 | Fix | 
| --- | --- | --- | 
| 同步期间出现证书密码或令牌铸造错误。 | .p12密码与秘密certificatePassword中的不匹配。 | 设置certificatePassword为用于创建.p12文件的密码，或者使用已知密码重新创建分发包。 | 
| 以前身份验证有效，现在所有同步都失败了。 | 证书已过期，或者管理员的同意已被撤销。 | 生成新证书，将公共证书上传到 Entra 应用程序注册处，替换 Amazon S3 .p12 中的证书，然后重新授予管理员同意。 | 
| 同步失败，并显示无法将证书加载为 X.509 或 PKCS \#12 的错误（例如，“证书格式无效-无法加载为 X.509 或 PKCS12”）。 | Amazon Bedrock 无法使用提供的凭证读取 Amazon S3 中的证书。常见原因包括密钥certificatePassword中缺失或空白、certificateS3Path指向错误对象（例如 .cer /PEM 文件或剩余对象），或者证书不再与该密钥匹配。在重新配置数据源或切换身份验证方法之后，更有可能出现这种情况。 | 确认数据源引用的密钥包含与您的.p12捆绑包匹配的，并且该密钥certificateS3Path指向该密钥.p12。certificatePassword如果您重新配置了数据源，请验证证书和密钥是否仍然对应，然后再次同步。 | 

## 轮换证书
<a name="kb-managed-ds-sharepoint-rotate-cert"></a>

在证书到期之前对其进行轮换。证书过期会导致所有同步失败。要在不中断访问的情况下进行轮换，请将新证书作为单独的对象上传，然后将数据源切换到该证书，这样现有证书就会一直有效，直到您切换。

1. 生成新证书和 PKCS \#12 (`.p12`) 捆绑包，如中所述。[设置 Microsoft Entra ID App-Only 身份验证用于 SharePoint](kb-managed-sharepoint-entra-setup.md)

1. 在您的 Entra 应用程序注册中，在 “**证书和机密**” 下，上传新的公共证书。保留现有证书 — 一个应用程序注册可以保存多个证书。

1. 使用新的**对象密钥**将新`.p12`捆绑包上传到 Amazon S3（不要覆盖现有证书对象）。确认您的知识库服务角色可以读取新对象。

1. 更新数据源，使其`certificateS3Path`指向新对象，然后更新 AWS Secrets Manager 密钥`certificatePassword`中的数据源以匹配新包。使用[UpdateDataSource](https://docs.aws.amazon.com/bedrock/latest/APIReference/API_agent_UpdateDataSource.html)操作或 AWS 管理控制台。

1. 开始同步并使用新证书确认同步成功完成。

1. 同步成功后，从 Entra 应用程序注册中删除旧证书，并从 Amazon S3 中删除旧`.p12`对象。

## OAuth 2.0 身份验证错误
<a name="kb-managed-ds-sharepoint-troubleshooting-oauth2"></a>


**OAuth 2.0 错误**  

| 症状 | 可能的原因 | Fix | 
| --- | --- | --- | 
| 同步失败，并显示一条消息：REST API 令牌请求失败，状态为 400。 | 该账户需要 MFA 或条件访问权限，但资源所有者密码凭证流程无法满足；或者密钥缺少或字段。userName password | 确认密钥包括clientIdclientSecret、userName、和password。如果账户强制执行 MFA 或条件访问，请切换到。[设置 Microsoft Entra ID App-Only 身份验证用于 SharePoint](kb-managed-sharepoint-entra-setup.md) | 
| 账户密码更改后，同步失败。 | 存储的密码已失效。 | 更新密钥中的password字段。 | 

## 同步错误
<a name="kb-managed-ds-sharepoint-troubleshooting-sync"></a>


**同步错误**  

| 症状 | 可能的原因 | Fix | 
| --- | --- | --- | 
| 同步已完成，但没有为任何文档编制索引。 | 应用程序无法访问已配置的站点。使用Sites.Selected，可能无法授予每个站点的权限。 | 验证应用程序权限和管理员同意。如果您使用Sites.Selected，请确认每个站点的每个站点的授权。请参阅[第 5 步（Sites.Selected 仅限）：授予每个站点的访问权限](kb-managed-sharepoint-entra-setup.md#kb-managed-sharepoint-entra-step5)。 | 
| 新添加的网站不会被抓取 (Sites.Selected)。 | Per-site 补助金不具有追溯力，因此新站点没有授权。 | 授予连接器应用程序访问新站点的权限，然后再次同步。 | 
| 特定路径不返回任何结果。 | 路径以浏览器 URL 的形式输入，或者项目已被移动或重命名 SharePoint。 | 使用 SharePoint 路径（不是浏览器 URL），并验证该路径上是否仍存在该项目。 | 

## Document-level 访问控制问题
<a name="kb-managed-ds-sharepoint-troubleshooting-acl"></a>

ACL 配置错误不会在检索过程中产生明显的错误。相反，查询返回的结果较少或为零。有关 ACL-specific 症状、验证步骤和修复方法，请参阅[Document-level 访问控制](kb-managed-ds-sharepoint-acl.md)。