设置 Microsoft Entra ID App-Only 身份验证用于 SharePoint

Microsoft Entra ID App-Only 身份验证 (ENTRA_ID_APP_ONLY) 是 SharePoint 数据源的推荐身份验证方法。它使用 OAuth 2.0 客户端凭证（仅限应用程序）流程：Microsoft Entra 应用程序使用证书进行身份验证，因此在抓取时或查询时不涉及用户登录。这是唯一支持文档级访问控制 (ACL) 的身份验证方法。有关与替代OAUTH2_APP方法的比较，请参见身份验证方法。

此设置跨越两个系统——Microsoft Entra ID和你的 AWS 账户——证书是将它们联系在一起的凭据。连接器将证书（包括私钥）作为 PKCS #12 (.p12) 文件存储在 Amazon S3 中，并使用它来签署微软的身份验证断言；匹配的公共证书将上传到 Entra 应用程序注册中，以便微软可以验证这些断言。

设置步骤和角色

此过程同时涉及 Microsoft Entra ID AWS 管理员和管理员。根据组织中职责的划分方式，可以由一个人或几个人来完成这些步骤。使用下表确定每个步骤所需的访问权限。

选择您的配置

在开始之前，请做出两个决定。它们决定您在步骤 2 中分配的权限以及如何授予网站访问权限。

这两个选项的组合将选择下一节中的一个权限集。

权限参考

分配与您的配置相匹配的应用程序权限。所有权限均为应用程序权限（非委托），并且每个权限都需要管理员同意。连接器对两个 Microsoft 资源进行身份验证：Microsoft Graph（用于枚举站点，对于 ACL，用于解析用户和群组）和 SharePointREST API（用于读取网站内容，对于 ACL，则为项目级权限）。

选择您的配置选项卡，查看要分配的确切的 Microsoft Graph 和 SharePoint 权限。

您在设置过程中收集的值

在完成这些步骤时，您可以创建或收集以下值。您可以在创建数据源时使用它们。有关更多信息，请参阅 Connect SharePoint 数据源。

第 1 步：在 Microsoft Entra ID 中注册应用程序

第 2 步：添加 API 权限并授予管理员同意

从中为您的配置添加权限权限参考。

步骤 3：生成身份验证证书

生成自签名证书并将其打包为 PKCS #12 (.p12) 捆绑包。该捆绑包包含证书及其受密码保护的私钥。您将公共证书上传到 Entra（步骤 4），将.p12捆绑包上传到 Amazon S3（步骤 6）。选择操作系统的选项卡以查看命令。

第 4 步：将公共证书上传到 Entra

第 5 步（Sites.Selected 仅限）：授予每个站点的访问权限

使用Sites.Selected，您可以通过 Microsoft Graph API 单独授予连接器应用程序访问每个 SharePoint 站点的权限。这需要一份单独的临时申请Sites.FullControl.All，该申请只能用于执行补助金。Amazon Bedrock 从来没有看到这个临时应用程序或其证书。

第 6 步：将证书上传到 Amazon S3

将步骤 3 中的.p12捆绑包上传到知识库所在 AWS 区域的 Amazon S3 存储桶。记录存储桶名称和密钥——您可以将其用作数据源certificateS3Path。

aws s3api put-object \
  --bucket your-certificate-bucket \
  --key certs/certificate.p12 \
  --body certificate.p12 \
  --server-side-encryption AES256

第 7 步：创建 Secrets Manager 密钥

将凭证存储在 AWS Secrets Manager 密钥中。对于 Entra ID App-Only 身份验证，请包括以下键值对：

{
    "clientId": "your-client-id",
    "certificatePassword": "your-certificate-password"
}

使用以下命令创建密钥 AWS Command Line Interface：

aws secretsmanager create-secret \
  --name bedrock-sharepoint-creds \
  --secret-string file://secret.json

记录响应中的秘密 ARN。您可以将其用作数据源secretArn。

{
    "clientId": "your-client-id",
    "privateKey": "your-base64-pkcs8-private-key"
}

步骤 8：向服务角色授予证书访问权限

您的知识库服务角色必须能够从 Amazon S3 读取证书对象。将以下语句添加到角色的权限策略中，将存储桶名称和密钥替换为您的值。

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "S3ListCertificateBucket",
            "Effect": "Allow",
            "Action": ["s3:ListBucket"],
            "Resource": ["arn:aws:s3:::your-certificate-bucket"],
            "Condition": {
                "StringEquals": { "aws:ResourceAccount": ["123456789012"] }
            }
        },
        {
            "Sid": "S3GetCertificate",
            "Effect": "Allow",
            "Action": ["s3:GetObject"],
            "Resource": [
                "arn:aws:s3:::your-certificate-bucket/certs/certificate.p12",
                "arn:aws:s3:::your-certificate-bucket/certs/certificate.p12.metadata.json"
            ],
            "Condition": {
                "StringEquals": { "aws:ResourceAccount": ["123456789012"] }
            }
        }
    ]
}

如果证书对象使用 AWS KMS 密钥加密

中的上传命令第 6 步：将证书上传到 Amazon S3使用 Amazon S3-managed 加密 (AES256)，无需额外权限。相反，如果您使用客户托管的 KMS 密钥 (SSE-KMS) 使用 Amazon S3 服务器端加密对证书对象进行加密，则服务角色还需要对该密钥的kms:Decrypt权限，并且密钥的策略必须允许该角色使用该密钥。使用 AWS 托管aws/s3密钥加密的对象不需要此额外授权。

{
    "Sid": "KmsDecryptCertificate",
    "Effect": "Allow",
    "Action": ["kms:Decrypt"],
    "Resource": ["arn:aws:kms:us-west-2:123456789012:key/your-key-id"]
}

只需要读取权限kms:Decrypt。有关更多信息，请参阅对 AWS KMS 密钥使用服务器端加密 (SSE-KMS)。

有关知识库服务角色权限的完整集合，请参阅访问数据来源的权限。

后续步骤

现在，您拥有了创建数据源所需的一切：秘密 ARN、您的租户 ID 以及证书的 Amazon S3 位置。要使用 AWS 管理控制台 或 API 创建 SharePoint 数据源，请参阅Connect SharePoint 数据源。