本文為英文版的機器翻譯版本，如內容有任何歧義或不一致之處，概以英文版為準。

設定 OneDrive 的 Microsoft Entra App ID 身分驗證

Microsoft Entra App ID 身分驗證 (ENTRA_APP_ID) 是 OneDrive 資料來源的建議身分驗證方法。連接器會使用您應用程式的用戶端 ID 和秘密，以 OAuth 2.0 用戶端憑證 （僅限應用程式） 流程編目內容 - 不涉及使用者登入。這是唯一支援文件層級存取控制 (ACLs身分驗證方法。如需與替代OAUTH2方法的比較，請參閱 身分驗證方法。

設定步驟和角色

此程序同時涉及 Microsoft Entra ID 管理員和 AWS 管理員。視責任在組織中的分配方式而定，可能會有一個人或多人完成這些步驟。憑證步驟 （步驟 4–6 和 8) 僅適用於啟用文件層級存取控制時。使用下表來識別每個步驟所需的存取權。

許可參考

指派符合您組態的應用程式許可。所有許可都是應用程式許可 （未委派），而且每個許可都需要管理員同意。對於僅限內容爬取，連接器只會向 Microsoft Graph 進行身分驗證。啟用文件層級存取控制時，連接器還會對 SharePoint REST API 進行身分驗證，以在查詢時驗證存取權，因為 OneDrive for Business 由 SharePoint 提供支援。

選取組態的索引標籤，以查看要指派的確切許可。

Content only (no ACLs)

僅限內容

API	權限	用途
Microsoft Graph	Files.Read.All	讀取使用者磁碟機中的檔案。
Microsoft Graph	Sites.Read.All	閱讀備份使用者磁碟機的 OneDrive 網站。
Microsoft Graph	User.Read.All	列舉您爬取其磁碟機的使用者。

With ACLs

使用 ACLs

API	權限	用途
Microsoft Graph	Files.Read.All	讀取使用者磁碟機中的檔案。
Microsoft Graph	Sites.Read.All	閱讀備份使用者磁碟機的 OneDrive 網站。
Microsoft Graph	User.Read.All	針對文件層級 ACLs 列舉使用者並加以解析。
Microsoft Graph	GroupMember.Read.All	解決文件層級 ACLs群組成員資格。
SharePoint	Sites.FullControl.All	驗證每個使用者在查詢時間對文件的存取權。 Sites.Read.All 不足以進行此檢查。

您在設定期間收集的值

您在執行這些步驟時建立或收集下列值。您可以在建立資料來源時使用它們。如需詳細資訊，請參閱連接 OneDrive 資料來源。

步驟 1：在 Microsoft Entra ID 中註冊應用程式

步驟 2：新增 API 許可並授予管理員同意

從 新增組態的許可許可參考。

步驟 3：建立用戶端秘密

OneDrive 爬取會使用應用程式的用戶端 ID 和秘密，因此僅限內容和啟用 ACL 的資料來源都需要用戶端秘密。啟用文件層級存取控制時，連接器會使用用戶端秘密來取得 Microsoft Graph 字符，以解析租戶的 OneDrive 主機，並使用憑證 （來自步驟 4) 來取得用於存取檢查的 SharePoint 字符。

步驟 4 (ACLs)：產生身分驗證憑證

產生自我簽署憑證並將其封裝為 PKCS#12 (.p12) 套件。套件同時包含憑證及其私有金鑰，並受密碼保護。您可以將公有憑證上傳到 Entra （步驟 5) 和.p12套件上傳到 Amazon S3 （步驟 6)。選取作業系統的索引標籤以查看命令。

Linux or macOS (OpenSSL)

產生私有金鑰和自我簽署憑證

openssl req -x509 -newkey rsa:2048 -keyout private_key.pem -out certificate.cer \
    -days 365 -nodes \
    -subj "/CN=bedrock-onedrive-connector"

將憑證和金鑰封裝為 PKCS#12 (.p12) 套件

出現提示時，輸入強式匯出密碼。記錄步驟 7。

openssl pkcs12 -export -out certificate.p12 \
    -inkey private_key.pem -in certificate.cer

您現在有三個檔案：私有金鑰 (private_key.pem)、公有憑證 (certificate.cer) 和套件 ()certificate.p12。您可以在步驟 5 中將公有憑證上傳到 Entra，並在步驟 6 中將.p12套件上傳到 Amazon S3。

Windows (PowerShell)

產生自我簽署憑證

下列 PowerShell 命令會產生具有一年有效期間的 2048 位元 RSA 自我簽署憑證，並將其存放在目前使用者的憑證存放區中。使用強式隨機密碼取代您的密碼 — 您可以將密碼存放在秘密中，如步驟 7 certificatePassword所示。

$cert = New-SelfSignedCertificate `
    -Subject "CN=bedrock-onedrive-connector" `
    -CertStoreLocation "Cert:\CurrentUser\My" `
    -KeyAlgorithm RSA `
    -KeyLength 2048 `
    -KeyExportPolicy Exportable `
    -NotAfter (Get-Date).AddYears(1)

匯出公有憑證

Export-Certificate -Cert $cert -FilePath certificate.cer -Type CERT

匯出 PKCS#12 (.p12) 套件

$password = ConvertTo-SecureString -String "your-password" -Force -AsPlainText
Export-PfxCertificate -Cert $cert -FilePath certificate.p12 -Password $password

您現在有兩個檔案：公有憑證 (certificate.cer) 和套件 (certificate.p12)。您可以在步驟 5 中將公有憑證上傳到 Entra，並在步驟 6 中將.p12套件上傳到 Amazon S3。

步驟 5 （僅限 ACLs)：將公有憑證上傳至 Entra

步驟 6 （僅限 ACLs)：上傳憑證至 Amazon S3

從步驟 4 將.p12套件上傳至與知識庫位於相同區域中的 Amazon S3 儲存貯 AWS 體。記錄儲存貯體名稱和金鑰 - 您可以將它們用作資料來源 certificateS3Path。

aws s3api put-object \
  --bucket your-certificate-bucket \
  --key certs/certificate.p12 \
  --body certificate.p12 \
  --server-side-encryption AES256

步驟 7：建立 Secrets Manager 秘密

將登入資料存放在 AWS Secrets Manager 秘密中。對於 Microsoft Entra App ID 身分驗證，請包含下列鍵/值對：

僅限內容 （無文件層級存取控制）

{
    "clientId": "your-client-id",
    "clientSecret": "your-client-secret"
}

使用文件層級存取控制

{
    "clientId": "your-client-id",
    "clientSecret": "your-client-secret",
    "certificatePassword": "your-certificate-password"
}

使用 建立秘密 AWS Command Line Interface：

aws secretsmanager create-secret \
  --name bedrock-onedrive-creds \
  --secret-string file://secret.json

從回應記錄秘密 ARN。您可以使用它做為資料來源 secretArn。

步驟 8 （僅限 ACLs)：授予憑證的服務角色存取權

您的知識庫服務角色必須能夠從 Amazon S3 讀取憑證物件。將下列陳述式新增至角色的許可政策，將儲存貯體名稱和金鑰取代為您的值。

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "S3ListCertificateBucket",
            "Effect": "Allow",
            "Action": ["s3:ListBucket"],
            "Resource": ["arn:aws:s3:::your-certificate-bucket"],
            "Condition": {
                "StringEquals": { "aws:ResourceAccount": ["123456789012"] }
            }
        },
        {
            "Sid": "S3GetCertificate",
            "Effect": "Allow",
            "Action": ["s3:GetObject"],
            "Resource": [
                "arn:aws:s3:::your-certificate-bucket/certs/certificate.p12",
                "arn:aws:s3:::your-certificate-bucket/certs/certificate.p12.metadata.json"
            ],
            "Condition": {
                "StringEquals": { "aws:ResourceAccount": ["123456789012"] }
            }
        }
    ]
}

如果憑證物件使用 AWS KMS 金鑰加密

中的上傳命令步驟 6 （僅限 ACLs)：上傳憑證至 Amazon S3使用 Amazon S3-managed加密 (AES256)，不需要額外的許可。如果您使用客戶受管 KMS 金鑰 (SSE-KMS) 使用 Amazon S3 伺服器端加密來加密憑證物件，則服務角色也需要該金鑰的kms:Decrypt許可，而且金鑰的政策必須允許角色使用它。使用 AWS 受管aws/s3金鑰加密的物件不需要此額外授權。

{
    "Sid": "KmsDecryptCertificate",
    "Effect": "Allow",
    "Action": ["kms:Decrypt"],
    "Resource": ["arn:aws:kms:us-west-2:123456789012:key/your-key-id"]
}

如需完整的知識庫服務角色許可，請參閱 存取您的資料來源的許可。

後續步驟

您現在擁有建立資料來源所需的登入資料：秘密 ARN、租用戶 ID，以及憑證的 Amazon S3 位置 （用於文件層級存取控制）。若要使用 AWS 管理主控台 或 API 建立 OneDrive 資料來源，請參閱 連接 OneDrive 資料來源。