Die vorliegende Übersetzung wurde maschinell erstellt. Im Falle eines Konflikts oder eines Widerspruchs zwischen dieser übersetzten Fassung und der englischen Fassung (einschließlich infolge von Verzögerungen bei der Übersetzung) ist die englische Fassung maßgeblich.

Richten Sie die Microsoft Entra App ID-Authentifizierung ein für OneDrive

Die Microsoft Entra App ID-Authentifizierung (ENTRA_APP_ID) ist die empfohlene Authentifizierungsmethode für eine OneDrive Datenquelle. Der Connector durchforstet Inhalte mit den OAuth 2.0-Client-Anmeldeinformationen (nur für Anwendungen) und verwendet dabei die Client-ID und den geheimen Schlüssel Ihrer Anwendung — es ist keine Benutzeranmeldung erforderlich. Dies ist die einzige Authentifizierungsmethode, die die Zugriffskontrolle auf Dokumentebene (ACLs) unterstützt. Einen Vergleich mit der alternativen OAUTH2 Methode finden Sie unter. Authentifizierungsmethoden

Einrichtungsschritte und Rollen

An diesem Verfahren sind sowohl ein Microsoft Entra ID-Administrator als auch ein AWS Administrator beteiligt. Je nachdem, wie die Zuständigkeiten in Ihrer Organisation aufgeteilt sind, können eine oder mehrere Personen diese Schritte ausführen. Die Schritte für das Zertifikat (Schritte 4—6 und 8) gelten nur, wenn Sie die Zugriffskontrolle auf Dokumentebene aktivieren. Identifizieren Sie anhand der folgenden Tabelle, welcher Zugriff für jeden Schritt erforderlich ist.

Berechtigungsreferenz

Weisen Sie die Anwendungsberechtigungen zu, die Ihrer Konfiguration entsprechen. Bei allen Berechtigungen handelt es sich um Anwendungsberechtigungen (nicht delegiert), und für jede Genehmigung ist die Zustimmung des Administrators erforderlich. Beim reinen Inhalts-Crawling authentifiziert sich der Connector nur bei Microsoft Graph. Wenn die Zugriffskontrolle auf Dokumentebene aktiviert ist, authentifiziert sich der Connector zusätzlich bei der SharePointREST-API, um den Zugriff bei der Abfrage zu überprüfen, da for Business von unterstützt wird. OneDrive SharePoint

Wählen Sie die Registerkarte für Ihre Konfiguration aus, um die genauen Berechtigungen zu sehen, die zugewiesen werden müssen.

Content only (no ACLs)

Nur Inhalt

API	Berechtigung	Zweck
Microsoft Graph	Files.Read.All	Lesen Sie die Dateien auf den Laufwerken der Benutzer.
Microsoft Graph	Sites.Read.All	Lesen Sie die OneDrive Websites, auf denen die Laufwerke der Benutzer gespeichert sind.
Microsoft Graph	User.Read.All	Zählen Sie die Benutzer auf, deren Laufwerke Sie crawlen.

With ACLs

Mit ACLs

API	Berechtigung	Zweck
Microsoft Graph	Files.Read.All	Lesen Sie die Dateien auf den Laufwerken der Benutzer.
Microsoft Graph	Sites.Read.All	Lesen Sie die OneDrive Websites, auf denen die Laufwerke der Benutzer gespeichert sind.
Microsoft Graph	User.Read.All	Zählen Sie Benutzer auf und lösen Sie sie nach ACLs auf Dokumentebene auf.
Microsoft Graph	GroupMember.Read.All	Löst die Gruppenmitgliedschaft für ACLs auf Dokumentebene auf.
SharePoint	Sites.FullControl.All	Überprüfen Sie den Zugriff jedes Benutzers auf ein Dokument zum Zeitpunkt der Abfrage. Sites.Read.Allist für diese Prüfung nicht ausreichend.

Werte, die Sie während der Installation sammeln

Sie erstellen oder sammeln die folgenden Werte, während Sie die Schritte durcharbeiten. Sie verwenden sie, wenn Sie die Datenquelle erstellen. Details hierzu finden Sie unter Eine OneDrive Datenquelle Connect.

Schritt 1: Registrieren Sie die Anwendung in Microsoft Entra ID

Schritt 2: Fügen Sie API-Berechtigungen hinzu und erteilen Sie die Zustimmung des Administrators

Fügen Sie die Berechtigungen für Ihre Konfiguration von hinzuBerechtigungsreferenz.

Schritt 3: Erstellen Sie einen geheimen Clientschlüssel

OneDrive Beim Crawlen werden die Client-ID und der geheime Schlüssel der Anwendung verwendet, sodass ein geheimer Clientschlüssel sowohl für reine Inhalte als auch für Datenquellen erforderlich ist. ACL-enabled Wenn die Zugriffskontrolle auf Dokumentebene aktiviert ist, verwendet der Connector den geheimen Clientschlüssel, um ein Microsoft Graph-Token abzurufen, das den OneDrive Host Ihres Mandanten auflöst, und das Zertifikat (aus Schritt 4), um das für die Zugriffsprüfung verwendete SharePoint Token abzurufen.

Schritt 4 (nur ACLs): Generieren Sie das Authentifizierungszertifikat

Generieren Sie ein selbstsigniertes Zertifikat und verpacken Sie es als PKCS #12 () -Paket. .p12 Das Paket enthält sowohl das Zertifikat als auch seinen privaten Schlüssel, die durch ein Passwort geschützt sind. Sie laden das öffentliche Zertifikat auf Entra (Schritt 5) und das .p12 Paket auf Amazon S3 (Schritt 6) hoch. Wählen Sie die Registerkarte für Ihr Betriebssystem aus, um die Befehle zu sehen.

Linux or macOS (OpenSSL)

Generieren Sie einen privaten Schlüssel und ein selbstsigniertes Zertifikat

openssl req -x509 -newkey rsa:2048 -keyout private_key.pem -out certificate.cer \
    -days 365 -nodes \
    -subj "/CN=bedrock-onedrive-connector"

Package Sie das Zertifikat und den Schlüssel als PKCS #12 (.p12) -Paket

Geben Sie ein sicheres Exportkennwort ein, wenn Sie dazu aufgefordert werden. Notieren Sie es für Schritt 7.

openssl pkcs12 -export -out certificate.p12 \
    -inkey private_key.pem -in certificate.cer

Sie haben jetzt drei Dateien: den privaten Schlüssel (private_key.pem), das öffentliche Zertifikat (certificate.cer) und das Paket (certificate.p12). Sie laden das öffentliche Zertifikat in Schritt 5 auf Entra und das .p12 Paket in Schritt 6 auf Amazon S3 hoch.

Windows (PowerShell)

Generieren Sie ein selbstsigniertes Zertifikat

Die folgenden PowerShell Befehle generieren ein selbstsigniertes 2048-Bit-RSA-Zertifikat mit einer Gültigkeitsdauer von einem Jahr und speichern es im Zertifikatsspeicher des aktuellen Benutzers. your-passwordErsetzen Sie es durch ein sicheres, zufälliges Passwort — Sie speichern es wie in Schritt 7 geheim. certificatePassword

$cert = New-SelfSignedCertificate `
    -Subject "CN=bedrock-onedrive-connector" `
    -CertStoreLocation "Cert:\CurrentUser\My" `
    -KeyAlgorithm RSA `
    -KeyLength 2048 `
    -KeyExportPolicy Exportable `
    -NotAfter (Get-Date).AddYears(1)

Exportieren Sie das öffentliche Zertifikat

Export-Certificate -Cert $cert -FilePath certificate.cer -Type CERT

Exportieren Sie das PKCS #12 (.p12) -Paket

$password = ConvertTo-SecureString -String "your-password" -Force -AsPlainText
Export-PfxCertificate -Cert $cert -FilePath certificate.p12 -Password $password

Sie haben jetzt zwei Dateien: das öffentliche Zertifikat (certificate.cer) und das Bundle (certificate.p12). Sie laden das öffentliche Zertifikat in Schritt 5 auf Entra und das .p12 Paket in Schritt 6 auf Amazon S3 hoch.

Schritt 5 (nur ACLs): Laden Sie das öffentliche Zertifikat auf Entra hoch

Schritt 6 (nur ACLs): Laden Sie das Zertifikat auf Amazon S3 hoch

Laden Sie das .p12 Paket aus Schritt 4 in einen Amazon S3 S3-Bucket in derselben AWS Region wie Ihre Wissensdatenbank hoch. Notieren Sie sich den Bucket-Namen und den Schlüssel — Sie verwenden sie als DatenquellecertificateS3Path.

aws s3api put-object \
  --bucket your-certificate-bucket \
  --key certs/certificate.p12 \
  --body certificate.p12 \
  --server-side-encryption AES256

Schritt 7: Erstellen Sie das Secrets Manager Manager-Geheimnis

Speichern Sie die Anmeldeinformationen AWS Secrets Manager geheim. Schließen Sie für die Microsoft Entra App ID-Authentifizierung die folgenden Schlüssel-Wert-Paare ein:

Nur Inhalt (keine Zugriffskontrolle auf Dokumentebene)

{
    "clientId": "your-client-id",
    "clientSecret": "your-client-secret"
}

Mit Zugriffskontrolle auf Dokumentenebene

{
    "clientId": "your-client-id",
    "clientSecret": "your-client-secret",
    "certificatePassword": "your-certificate-password"
}

Erstellen Sie das Geheimnis mit: AWS Command Line Interface

aws secretsmanager create-secret \
  --name bedrock-onedrive-creds \
  --secret-string file://secret.json

Notieren Sie den geheimen ARN aus der Antwort. Sie verwenden es als DatenquellesecretArn.

Schritt 8 (nur ACLs): Gewähren Sie der Servicerolle Zugriff auf das Zertifikat

Ihre Wissensdatenbank-Servicerolle muss in der Lage sein, das Zertifikatsobjekt aus Amazon S3 zu lesen. Fügen Sie der Berechtigungsrichtlinie der Rolle die folgende Anweisung hinzu und ersetzen Sie den Bucket-Namen und den Schlüssel durch Ihre Werte.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "S3ListCertificateBucket",
            "Effect": "Allow",
            "Action": ["s3:ListBucket"],
            "Resource": ["arn:aws:s3:::your-certificate-bucket"],
            "Condition": {
                "StringEquals": { "aws:ResourceAccount": ["123456789012"] }
            }
        },
        {
            "Sid": "S3GetCertificate",
            "Effect": "Allow",
            "Action": ["s3:GetObject"],
            "Resource": [
                "arn:aws:s3:::your-certificate-bucket/certs/certificate.p12",
                "arn:aws:s3:::your-certificate-bucket/certs/certificate.p12.metadata.json"
            ],
            "Condition": {
                "StringEquals": { "aws:ResourceAccount": ["123456789012"] }
            }
        }
    ]
}

Wenn das Zertifikatsobjekt mit einem AWS KMS-Schlüssel verschlüsselt ist

Der Upload-Befehl in Schritt 6 (nur ACLs): Laden Sie das Zertifikat auf Amazon S3 hoch verwendet S3-managed Amazon-Verschlüsselung (AES256), für die keine zusätzlichen Berechtigungen erforderlich sind. Wenn Sie stattdessen das Zertifikatsobjekt mit serverseitiger Amazon S3 S3-Verschlüsselung unter Verwendung eines vom Kunden verwalteten KMS-Schlüssels (SSE-KMS) verschlüsseln, benötigt die Servicerolle auch eine kms:Decrypt Genehmigung für diesen Schlüssel, und die Richtlinie des Schlüssels muss es der Rolle ermöglichen, ihn zu verwenden. Für Objekte, die mit dem AWS verwalteten aws/s3 Schlüssel verschlüsselt wurden, ist diese zusätzliche Genehmigung nicht erforderlich.

{
    "Sid": "KmsDecryptCertificate",
    "Effect": "Allow",
    "Action": ["kms:Decrypt"],
    "Resource": ["arn:aws:kms:us-west-2:123456789012:key/your-key-id"]
}

Den vollständigen Satz der Berechtigungen für Knowledge Base-Servicerollen finden Sie unterBerechtigungen für den Zugriff auf Ihre Datenquellen.

Nächste Schritte

Sie haben jetzt die Anmeldeinformationen, die Sie zum Erstellen der Datenquelle benötigen: den geheimen ARN, Ihre Mandanten-ID und (für die Zugriffskontrolle auf Dokumentebene) den Amazon S3 S3-Speicherort des Zertifikats. Informationen zum Erstellen der OneDrive Datenquelle mit der AWS-Managementkonsole oder der API finden Sie unter. Eine OneDrive Datenquelle Connect