Amazon Quick Microsoft Word 扩展（旧版）

1. 订阅Microsoft 365企业版并成为全球管理员或拥有管理权限（特别是AppCatalog.ReadWrite.All）。

2. 有一个 Amazon Quick 实例。

3. 您的Microsoft 365租户 ID。你可以通过访问Azure门户 > Azure 活动目录 > 属性来找到它，或者使用PowerShell。有关详细步骤，请参阅如何在门户Microsoft Entra中查找租Microsoft Learn户 ID。

1. 确保您的AWS账户启用了 IAM 身份中心实例。

2. 如果您要将外部 IAM 提供商连接到 IAM Identity Center，请确保您的 IAM 提供商配置下的每个用户都有与他们关联的电子邮件。

3. 如果您使用的是 Entra ID，请在Microsoft Entra ID实例和 IAM 身份中心之间设置 SCIM 身份传播。有关详细步骤，请参阅使用 Microsoft Entra ID 和 IAM 身份中心配置 SAML 和 SCIM。

设置 Azure 租户

1. 在 Azure 帐户中，创建新的应用程序注册。

   1. 前往应用程序注册。

   2. 在应用程序注册屏幕中，选择新注册。在 “支持的帐户类型” 选项下，选择 “仅限此组织目录中的帐户（仅限个人使用-单租户）”。完成后，选择 “注册”。

   3. 记下客户端 ID。您稍后会需要此信息。

   4. 为应用程序注册创建客户端密钥并记下来。您稍后会需要此信息。

2. 为要安装您的 Word 扩展程序的每个区域添加回传网址。

   1. 导航到应用程序注册的 “身份验证” 选项卡。

   2. 选择平台配置，添加平台。

   3. 选择网页。

   4. 使用以下格式撰写回传 URL，替换your-region为您的 Amazon Quick 实例区域。Word 扩展支持以下区域：ap-southeast-2eu-west-1、us-west-2、和us-east-1。

      qbs-cell001.dp.appintegrations.your-region.prod.plato.ai.aws.dev/auth/idc-tti/callback

   5. 插入回调 URL 作为重定向 URI，完成后选择配置。

配置可信令牌发行者

1. 转到您的AWS账户并导航到您的 IAM 身份中心实例。

2. 导航到 “设置”、“身份验证”。

3. 选择创建可信令牌发布者。

4. 添加颁发者网址，该网址应遵循此模板，其中Tenant ID指的是您的 Entra 租户 ID：

   login.microsoftonline.com/Tenant ID/v2.0

   注意

   颁发者 URL 应是您的身份的 OIDC 发现端点，不包含众所周知的文档 URI 路径。如果您包含众所周知的文档 URI 路径，这将不起作用。请参阅可信令牌发行者配置设置。

5. 选择电子邮件作为身份提供商属性和 IAM 身份中心属性。

6. 请注意可信令牌发行者 ARN。稍后您将需要这个。

设置 Okta 应用程序

1. 在你的 Okta 账户中，创建一个新的 Okta 应用程序集成。

   1. 在您的 Okta 管理控制台中，导航到应用程序 > 应用程序。

   2. 点击创建应用程序集成。

   3. 对于该 Sign-in 方法，选择 OIDC-OpenID Connect。

   4. 对于应用程序类型，请选择 Web 应用程序。

   5. 单击 “下一步”。

   6. 提供应用程序集成名称。

   7. 在 “授权类型” > “核心授权” 下，确保选中 “授权码” 和 “刷新令牌”。

   8. 在 “授权类型” > “高级” > “其他授权” 下，确保选择 “隐式（混合）”。

2. 为要安装您的 Word 扩展程序的每个区域添加回调 URI

   1. 使用以下格式撰写回传 URI，将您要配置扩展程序的每个区域your-region替换为您的 Amazon Quick 实例区域。Word 扩展支持以下区域：ap-southeast-2eu-west-1、us-west-2、和us-east-1。

      qbs-cell001.dp.appintegrations.your-region.prod.plato.ai.aws.dev/auth/idc-tti/callback

   2. 在 “Sign-in 重定向 UR I” 下，单击 “添加 URI”，然后粘贴您在上一步中生成的每个 URI。

3. 向您的组织提供该应用程序的访问权限：

   1. 在 “分配” > “受控访问权限” 下，选择组织中需要访问权限的群组。

   2. 在 “分配” > “启用即时访问” 下，选择 “使用联合代理模式启用即时访问”。

   3. 点击保存。

4. 记下您刚刚创建的应用程序集成的客户端 ID 和客户端密钥。在接下来的步骤中，您将需要这个。

配置可信令牌发行者

1. 转到您的AWS账户并导航到您的 IAM 身份中心实例。

2. 导航到设置 > 身份验证。

3. 选择创建可信令牌发布者。

4. 添加发卡机构网址，该网址应遵循此模板，其中yourOktaDomain指贵组织的 okta 网址，可能如下your-organization.okta.com所示：

   https://{yourOktaDomain}/oauth2/default

   注意

   颁发者 URL 应是您的身份的 OIDC 发现端点，不包含众所周知的文档 URI 路径。如果您包含众所周知的文档 URI 路径，这将不起作用。请参阅可信令牌发行者配置设置。

5. 选择电子邮件作为身份提供商属性和 IAM 身份中心属性。

6. 请注意可信令牌发行者 ARN。稍后您将需要这个。

设置 权限

1. 在AWS主机上导航到 Secrets Manager。

2. 选择存储新密钥。

3. 选择 “其他密钥类型”，然后选择 “纯文本” 选项卡。

4. 您的密钥应采用以下格式，并使用您在前面步骤中保存的应用程序注册客户端 ID 和应用程序注册客户端密钥：

   
   {
   "client_id":"Your app registration client ID",
   "client_secret":"Your app registration client secret"
   }

5. 导航到您刚刚创建的密钥并保存 ARN 以备后用。

6. 现在在AWS控制台上导航到 IAM。

7. 在左侧导航栏中选择 “访问管理”、“角色”。

8. 选择创建角色。

9. 选择自定义信任策略。

10. 通过添加以下语句来替换您在创建身份提供商应用程序集成时选择的区域，将该角色配置为信任我们在配置身份your-region提供商应用程序集成时选择的相关区域的服务主体：

    
    {
    "Version": "2012-10-17", 
    "Statement": [
    {
        "Effect": "Allow",
        "Principal": {
            "Service": "your-region.prod.appintegrations.plato.aws.internal"
        },
        "Action": "sts:AssumeRole",
        "Condition": {}
    }
    ]
    }

11. 选择下一步。

12. 提供名称和描述，然后选择创建角色。

13. 导航到您刚刚创建的角色并将其选中。

14. 选择添加权限，创建内联策略。

15. 选择 JSON。

16. sso:DescribeTrustedTokenIssuer通过添加以下语句，为该角色配置从 Secrets Manager 读取密钥的权限和调用的权限：

    
    {
    "Version": "2012-10-17", 
    "Statement": [
    {
        "Sid": "BasePermissions",
        "Effect": "Allow",
        "Action": [
            "secretsmanager:GetSecretValue",
            "sso:DescribeTrustedTokenIssuer"
        ],
        "Resource": "*"
    }
    ]
    }

17. 提供策略名称并选择创建策略。

18. 复制并保存您创建的 IAM 角色的 ARN 以备日后使用。您在后续步骤中需要使用此值。

创建扩展访问配置

1. 登录 Amazon Quick 控制台。

2. 在右上角，选择个人资料图片图标。

3. 从下拉菜单中选择管理账户。

4. 在 “权限” 下，选择 “扩展访问权限”。

5. 在右上角，选择新的分机访问权限。

6. 如果这是您首次设置扩展访问权限，则系统会提示您完成可信令牌发行者设置。配置以下字段，然后选择 “下一步”：

   • 可信令牌发行者 ARN — 输入您在前面步骤中记下的可信令牌发行者 ARN。

   • Aud 索赔 — 输入您在之前步骤中保存的应用程序注册（Entra ID）或应用程序集成（Okta）中的客户端 ID。

   注意

   这是一次性设置，可为所有扩展程序建立可信身份源。完成后，您无需再次执行此操作即可访问其他扩展程序。

7. 选择微软 Word。然后选择下一步。

8. 配置以下字段：

   • 名称-您的分机名称已预先填好。您可以对其进行编辑并输入 Word 扩展名的描述性名称（最多 512 个字母数字字符，允许使用连字符但不允许使用空格）。

   • 描述（可选）-已为您预先填写了扩展程序的描述。您可以对其进行编辑并输入新的描述，以提供有关此扩展配置的其他背景信息（最多 1000 个字符）。

   • M365 租户 ID-输入你的微软 365 租户标识符（必须为 36 个字符）。

   • 机密角色 ARN-粘贴您在之前的步骤中创建的 IAM 角色的 ARN。

   • S@@ ecrets ARN-粘贴你在之前的步骤中创建的 Secrets Manager 密钥的 ARN。

9. 选择添加以保存新的访问配置。

   屏幕右上角将显示一条成功消息。

10. 在成功消息中，选择 “查看扩展” 以完成扩展程序的安装。

    注意

    您也可以从 Amazon 快捷菜单的 “连接” > “扩展” 导航到安装屏幕。

1. 登录 Amazon Quick 控制台。

2. 在右上角，选择个人资料图片图标。

3. 从下拉菜单中选择 “管理账户”。

4. 在 “权限” 下，选择 “扩展访问权限”。

5. 在右上角，选择 “新建分机访问权限”。

6. 选择微软 Word。然后选择下一步。

7. 配置以下字段：

   • 名称-您的分机名称已预先填好。您可以对其进行编辑并输入Word扩展名的描述性名称（最多 512 个字母数字字符，允许使用连字符但不允许使用空格）。

   • 描述（可选）-已为您预先填写了扩展程序的描述。您可以对其进行编辑并输入新的描述，以提供有关此扩展配置的其他背景信息（最多 1000 个字符）。

   • M365 租户 ID-输入您的Microsoft 365租户标识符（必须为 36 个字符）。

8. 选择 “添加” 以保存新的访问配置。

   屏幕右上角将显示一条成功消息。

9. 在成功消息中，选择 “查看扩展” 以完成扩展程序的安装。

   注意

   您也可以从 Amazon 快捷菜单的 “连接” > “扩展” 导航到安装屏幕。

1. 登录 Amazon Quick 控制台。

2. 在右上角，选择个人资料图片图标。

3. 从下拉菜单中选择 “管理账户”。

4. 在 “权限” 下，选择 “扩展访问权限”。

5. 为你需要编辑的 Microsoft Word 扩展程序选择三点菜单图标。

6. 选择编辑。

7. 根据需要编辑配置，然后选择保存以确认更改。

1. 登录 Amazon Quick 控制台。

2. 在右上角，选择个人资料图片图标。

3. 从下拉菜单中选择 “管理账户”。

4. 在 “权限” 下，选择 “扩展访问权限”。

5. 为需要删除的Microsoft Word扩展程序选择三点菜单图标。

6. 选择删除。

7. 输入 “确认” 一词，然后选择 “删除”。