本文属于机器翻译版本。若本译文内容与英语原文存在差异，则一律以英文原文为准。

设置 Microsoft Entra 应用程序 ID 身份验证 OneDrive

Microsoft Entra 应用程序 ID 身份验证 (ENTRA_APP_ID) 是 OneDrive 数据源的推荐身份验证方法。连接器使用应用程序的客户端 ID 和密钥通过 OAuth 2.0 客户端凭证（仅限应用程序）流程抓取内容，不涉及用户登录。这是唯一支持文档级访问控制 (ACL) 的身份验证方法。有关与替代OAUTH2方法的比较，请参见身份验证方法。

设置步骤和角色

此过程同时涉及 Microsoft Entra ID AWS 管理员和管理员。根据组织中职责的划分方式，可以由一个人或几个人来完成这些步骤。证书步骤（步骤 4—6 和 8）仅在启用文档级访问控制时适用。使用下表确定每个步骤所需的访问权限。

权限参考

分配与您的配置相匹配的应用程序权限。所有权限均为应用程序权限（非委托），并且每个权限都需要管理员同意。对于仅限内容的抓取，连接器仅向 Microsoft Graph 进行身份验证。启用文档级访问控制后，连接器还会向 SharePointREST API 进行身份验证，以便在查询时验证访问权限，因为 for Business 由 OneDrive 提供支持。 SharePoint

选择您的配置选项卡，查看要分配的确切权限。

Content only (no ACLs)

仅限内容

API	权限	用途
Microsoft Graph	Files.Read.All	读取用户云端硬盘中的文件。
Microsoft Graph	Sites.Read.All	阅读支持用户 OneDrive 云端硬盘的网站。
Microsoft Graph	User.Read.All	列举您抓取其驱动器的用户。

With ACLs

使用 ACL

API	权限	用途
Microsoft Graph	Files.Read.All	读取用户云端硬盘中的文件。
Microsoft Graph	Sites.Read.All	阅读支持用户 OneDrive 云端硬盘的网站。
Microsoft Graph	User.Read.All	枚举用户并将其解析为文档级 ACL。
Microsoft Graph	GroupMember.Read.All	解决文档级 ACL 的群组成员资格问题。
SharePoint	Sites.FullControl.All	在查询时验证每个用户对文档的访问权限。 Sites.Read.All不足以进行此项检查。

您在设置过程中收集的值

在完成这些步骤时，您可以创建或收集以下值。您可以在创建数据源时使用它们。有关更多信息，请参阅 Connect OneDrive 数据源。

第 1 步：在 Microsoft Entra ID 中注册应用程序

第 2 步：添加 API 权限并授予管理员同意

从中为您的配置添加权限权限参考。

步骤 3：创建客户端密钥

OneDrive 抓取使用应用程序的客户端 ID 和密钥，因此纯内容源和 ACL-enabled 数据源都需要客户端密钥。启用文档级访问控制后，连接器使用客户端密钥获取用于解析租户 OneDrive 主机的 Microsoft Graph 令牌，并使用证书（来自步骤 4）获取用于访问检查的 SharePoint 令牌。

步骤 4（仅限 ACL）：生成身份验证证书

生成自签名证书并将其打包为 PKCS #12 (.p12) 捆绑包。该捆绑包包含证书及其受密码保护的私钥。您将公共证书上传到 Entra（步骤 5），将.p12捆绑包上传到 Amazon S3（步骤 6）。选择操作系统的选项卡以查看命令。

Linux or macOS (OpenSSL)

生成私钥和自签名证书

openssl req -x509 -newkey rsa:2048 -keyout private_key.pem -out certificate.cer \
    -days 365 -nodes \
    -subj "/CN=bedrock-onedrive-connector"

Package 将证书和密钥打包为 PKCS #12 (.p12) 捆绑包

出现提示时，请输入强导出密码。为步骤 7 录制下来。

openssl pkcs12 -export -out certificate.p12 \
    -inkey private_key.pem -in certificate.cer

您现在有三个文件：私钥 (private_key.pem)、公共证书 (certificate.cer) 和捆绑包 (certificate.p12)。您在步骤 5 中将公共证书上传到 Entra，在步骤 6 中将.p12捆绑包上传到 Amazon S3。

Windows (PowerShell)

生成自签名证书

以下 PowerShell 命令生成有效期为一年 2048 位 RSA 自签名证书，并将其存储在当前用户的证书存储中。your-password替换为一个强的随机密码——你可以将其存储在秘密中，如certificatePassword步骤 7 所示。

$cert = New-SelfSignedCertificate `
    -Subject "CN=bedrock-onedrive-connector" `
    -CertStoreLocation "Cert:\CurrentUser\My" `
    -KeyAlgorithm RSA `
    -KeyLength 2048 `
    -KeyExportPolicy Exportable `
    -NotAfter (Get-Date).AddYears(1)

导出公共证书

Export-Certificate -Cert $cert -FilePath certificate.cer -Type CERT

导出 PKCS #12 (.p12) 捆绑包

$password = ConvertTo-SecureString -String "your-password" -Force -AsPlainText
Export-PfxCertificate -Cert $cert -FilePath certificate.p12 -Password $password

您现在有两个文件：公共证书 (certificate.cer) 和捆绑包 (certificate.p12)。您在步骤 5 中将公共证书上传到 Entra，在步骤 6 中将.p12捆绑包上传到 Amazon S3。

步骤 5（仅限 ACL）：将公共证书上传到 Entra

第 6 步（仅限 ACL）：将证书上传到 Amazon S3

将步骤 4 中的.p12捆绑包上传到知识库所在 AWS 区域的 Amazon S3 存储桶。记录存储桶名称和密钥——您可以将其用作数据源certificateS3Path。

aws s3api put-object \
  --bucket your-certificate-bucket \
  --key certs/certificate.p12 \
  --body certificate.p12 \
  --server-side-encryption AES256

第 7 步：创建 Secrets Manager 密钥

将凭证存储在 AWS Secrets Manager 密钥中。对于 Microsoft Entra 应用程序 ID 身份验证，请包括以下键值对：

仅限内容（无文档级访问控制）

{
    "clientId": "your-client-id",
    "clientSecret": "your-client-secret"
}

使用文档级访问控制

{
    "clientId": "your-client-id",
    "clientSecret": "your-client-secret",
    "certificatePassword": "your-certificate-password"
}

使用以下命令创建密钥 AWS Command Line Interface：

aws secretsmanager create-secret \
  --name bedrock-onedrive-creds \
  --secret-string file://secret.json

记录响应中的秘密 ARN。您可以将其用作数据源secretArn。

步骤 8（仅限 ACL）：授予服务角色对证书的访问权限

您的知识库服务角色必须能够从 Amazon S3 读取证书对象。将以下语句添加到角色的权限策略中，将存储桶名称和密钥替换为您的值。

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "S3ListCertificateBucket",
            "Effect": "Allow",
            "Action": ["s3:ListBucket"],
            "Resource": ["arn:aws:s3:::your-certificate-bucket"],
            "Condition": {
                "StringEquals": { "aws:ResourceAccount": ["123456789012"] }
            }
        },
        {
            "Sid": "S3GetCertificate",
            "Effect": "Allow",
            "Action": ["s3:GetObject"],
            "Resource": [
                "arn:aws:s3:::your-certificate-bucket/certs/certificate.p12",
                "arn:aws:s3:::your-certificate-bucket/certs/certificate.p12.metadata.json"
            ],
            "Condition": {
                "StringEquals": { "aws:ResourceAccount": ["123456789012"] }
            }
        }
    ]
}

如果证书对象使用 AWS KMS 密钥加密

中的上传命令第 6 步（仅限 ACL）：将证书上传到 Amazon S3使用 Amazon S3-managed 加密 (AES256)，无需额外权限。相反，如果您使用客户托管的 KMS 密钥 (SSE-KMS) 使用 Amazon S3 服务器端加密对证书对象进行加密，则服务角色还需要对该密钥的kms:Decrypt权限，并且密钥的策略必须允许该角色使用该密钥。使用 AWS 托管aws/s3密钥加密的对象不需要此额外授权。

{
    "Sid": "KmsDecryptCertificate",
    "Effect": "Allow",
    "Action": ["kms:Decrypt"],
    "Resource": ["arn:aws:kms:us-west-2:123456789012:key/your-key-id"]
}

有关知识库服务角色权限的完整集合，请参阅访问数据来源的权限。

后续步骤

现在，您拥有了创建数据源所需的凭证：秘密 ARN、您的租户 ID 以及（用于文档级访问控制）证书的 Amazon S3 位置。要使用 AWS 管理控制台 或 API 创建 OneDrive 数据源，请参阅Connect OneDrive 数据源。