設定 SharePoint 的 Microsoft Entra ID 僅限應用程式身分驗證

Microsoft Entra ID 僅限應用程式身分驗證 (ENTRA_ID_APP_ONLY) 是 SharePoint 資料來源的建議身分驗證方法。它使用 OAuth 2.0 client-credentials （僅限應用程式） 流程：Microsoft Entra 應用程式使用憑證進行驗證，因此在網路爬取時間或查詢時間不會涉及使用者登入。這是唯一支援文件層級存取控制 (ACLs身分驗證方法。如需與替代OAUTH2_APP方法的比較，請參閱 身分驗證方法。

此設定跨越兩個系統：Microsoft Entra ID 和 AWS 您的帳戶，而憑證是將這些系統連結在一起的憑證。連接器會將憑證 （包含私有金鑰） 儲存為 Amazon S3 中的 PKCS#12 (.p12) 檔案，並使用它來簽署身分驗證聲明給 Microsoft；相符的公有憑證會上傳至 Entra 應用程式註冊，以便 Microsoft 驗證這些聲明。

設定步驟和角色

此程序同時涉及 Microsoft Entra ID 管理員和 AWS 管理員。視責任在組織中的分配方式而定，可能會有一個人或多人完成這些步驟。使用下表來識別每個步驟所需的存取權。

選擇您的組態

開始之前，請做出兩個決策。它們決定您在步驟 2 中指派的許可，以及如何授予網站存取權。

這兩個選項的組合會在下一節中選取其中一個許可集。

許可參考

指派符合您組態的應用程式許可。所有許可都是應用程式許可 （未委派），而且每個許可都需要管理員同意。連接器會驗證兩個 Microsoft 資源：Microsoft Graph （列舉網站，以及針對 ACLs 解析使用者和群組） 和 SharePoint REST API （讀取網站內容，以及針對 ACLs 的項目層級許可）。

選取組態的索引標籤，以查看要指派的確切 Microsoft Graph 和 SharePoint 許可。

您在設定期間收集的值

您在執行這些步驟時建立或收集下列值。您可以在建立資料來源時使用它們。如需詳細資訊，請參閱連接 SharePoint 資料來源。

步驟 1：在 Microsoft Entra ID 中註冊應用程式

步驟 2：新增 API 許可並授予管理員同意

從 新增組態的許可許可參考。

步驟 3：產生身分驗證憑證

產生自我簽署憑證並將其封裝為 PKCS#12 (.p12) 套件。套件同時包含憑證及其私有金鑰，並受密碼保護。您可以將公有憑證上傳到 Entra （步驟 4)，並將.p12套件上傳到 Amazon S3 （步驟 6)。選取作業系統的索引標籤以查看命令。

步驟 4：將公有憑證上傳至 Entra

步驟 5 （僅限 Sites.Selected)：授予每個站台的存取權

使用 Sites.Selected，您可以透過 Microsoft Graph API 個別授予連接器應用程式存取每個 SharePoint 網站的權限。這需要一個單獨的臨時應用程式，該應用程式保留 Sites.FullControl.All並僅用於執行授予。Amazon Bedrock 永遠不會看到此暫時應用程式或其登入資料。

步驟 6：將憑證上傳至 Amazon S3

從步驟 3 上傳.p12套件到與知識庫位於相同區域中的 Amazon S3 儲存貯 AWS 體。記錄儲存貯體名稱和金鑰 — 您可以使用它們做為資料來源 certificateS3Path。

aws s3api put-object \
  --bucket your-certificate-bucket \
  --key certs/certificate.p12 \
  --body certificate.p12 \
  --server-side-encryption AES256

步驟 7：建立 Secrets Manager 秘密

將登入資料存放在 AWS Secrets Manager 秘密中。對於 Entra ID 僅限應用程式身分驗證，請包含下列鍵值對：

{
    "clientId": "your-client-id",
    "certificatePassword": "your-certificate-password"
}

使用 建立秘密 AWS Command Line Interface：

aws secretsmanager create-secret \
  --name bedrock-sharepoint-creds \
  --secret-string file://secret.json

從回應記錄秘密 ARN。您可以使用它做為資料來源 secretArn。

{
    "clientId": "your-client-id",
    "privateKey": "your-base64-pkcs8-private-key"
}

步驟 8：授予服務角色對憑證的存取權

您的知識庫服務角色必須能夠從 Amazon S3 讀取憑證物件。將下列陳述式新增至角色的許可政策，將儲存貯體名稱和金鑰取代為您的值。

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "S3ListCertificateBucket",
            "Effect": "Allow",
            "Action": ["s3:ListBucket"],
            "Resource": ["arn:aws:s3:::your-certificate-bucket"],
            "Condition": {
                "StringEquals": { "aws:ResourceAccount": ["123456789012"] }
            }
        },
        {
            "Sid": "S3GetCertificate",
            "Effect": "Allow",
            "Action": ["s3:GetObject"],
            "Resource": [
                "arn:aws:s3:::your-certificate-bucket/certs/certificate.p12",
                "arn:aws:s3:::your-certificate-bucket/certs/certificate.p12.metadata.json"
            ],
            "Condition": {
                "StringEquals": { "aws:ResourceAccount": ["123456789012"] }
            }
        }
    ]
}

如果憑證物件使用 AWS KMS 金鑰加密

中的上傳命令步驟 6：將憑證上傳至 Amazon S3使用 Amazon S3-managed加密 (AES256)，不需要額外的許可。如果您使用客戶受管 KMS 金鑰 (SSE-KMS) 使用 Amazon S3 伺服器端加密來加密憑證物件，則服務角色也需要該金鑰的kms:Decrypt許可，而且金鑰的政策必須允許該角色使用它。使用 AWS 受管aws/s3金鑰加密的物件不需要此額外授權。

{
    "Sid": "KmsDecryptCertificate",
    "Effect": "Allow",
    "Action": ["kms:Decrypt"],
    "Resource": ["arn:aws:kms:us-west-2:123456789012:key/your-key-id"]
}

讀取存取只需要 kms:Decrypt。如需詳細資訊，請參閱搭配使用伺服器端加密與 AWS KMS 金鑰 (SSE-KMS)。

如需完整的知識庫服務角色許可，請參閱 存取您的資料來源的許可。

後續步驟

您現在擁有建立資料來源所需的一切：秘密 ARN、租用戶 ID 和憑證的 Amazon S3 位置。若要使用 AWS 管理主控台 或 API 建立 SharePoint 資料來源，請參閱 連接 SharePoint 資料來源。