Terjemahan disediakan oleh mesin penerjemah. Jika konten terjemahan yang diberikan bertentangan dengan versi bahasa Inggris aslinya, utamakan versi bahasa Inggris.

Mengatur otentikasi Microsoft Entra App ID untuk OneDrive

Microsoft Entra App ID authentication (ENTRA_APP_ID) adalah metode otentikasi yang disarankan untuk sumber data. OneDrive Konektor meng-crawl konten dengan alur kredensial-klien OAuth 2.0 (khusus aplikasi), menggunakan ID klien dan rahasia aplikasi Anda — tidak ada login pengguna yang terlibat. Ini adalah satu-satunya metode otentikasi yang mendukung kontrol akses tingkat dokumen (ACL). Untuk perbandingan dengan OAUTH2 metode alternatif, lihatMetode autentikasi.

Langkah dan peran pengaturan

Prosedur ini melibatkan administrator Microsoft Entra ID dan AWS administrator. Bergantung pada bagaimana tanggung jawab dibagi dalam organisasi Anda, satu orang atau beberapa orang mungkin menyelesaikan langkah-langkah ini. Langkah-langkah sertifikat (Langkah 4—6 dan 8) hanya berlaku jika Anda mengaktifkan kontrol akses tingkat dokumen. Gunakan tabel berikut untuk mengidentifikasi akses yang dibutuhkan setiap langkah.

Referensi izin

Tetapkan izin aplikasi yang sesuai dengan konfigurasi Anda. Semua izin adalah izin aplikasi (tidak didelegasikan), dan setiap izin memerlukan persetujuan admin. Untuk crawling khusus konten, konektor hanya mengautentikasi ke Microsoft Graph. Ketika kontrol akses tingkat dokumen diaktifkan, konektor juga mengautentikasi ke SharePointREST API untuk memverifikasi akses pada waktu kueri, karena OneDrive for Business didukung oleh. SharePoint

Pilih tab untuk konfigurasi Anda untuk melihat izin yang tepat untuk ditetapkan.

Content only (no ACLs)

Konten saja

API	Izin	Tujuan
Grafik Microsoft	Files.Read.All	Baca file di drive pengguna.
Grafik Microsoft	Sites.Read.All	Baca OneDrive situs yang mendukung drive pengguna.
Grafik Microsoft	User.Read.All	Hitung pengguna yang drive-nya Anda jelajahi.

With ACLs

Dengan ACL

API	Izin	Tujuan
Grafik Microsoft	Files.Read.All	Baca file di drive pengguna.
Grafik Microsoft	Sites.Read.All	Baca OneDrive situs yang mendukung drive pengguna.
Grafik Microsoft	User.Read.All	Hitung pengguna dan selesaikan mereka untuk ACL tingkat dokumen.
Grafik Microsoft	GroupMember.Read.All	Selesaikan keanggotaan grup untuk ACL tingkat dokumen.
SharePoint	Sites.FullControl.All	Verifikasi akses setiap pengguna ke dokumen pada waktu kueri. Sites.Read.AllTidak cukup untuk pemeriksaan ini.

Nilai yang Anda kumpulkan selama penyiapan

Anda membuat atau mengumpulkan nilai-nilai berikut saat Anda mengerjakan langkah-langkahnya. Anda menggunakannya saat Anda membuat sumber data. Lihat perinciannya di Connect sumber OneDrive data.

Langkah 1: Daftarkan aplikasi di Microsoft Entra ID

Langkah 2: Tambahkan izin API dan berikan persetujuan admin

Tambahkan izin untuk konfigurasi Anda dariReferensi izin.

Langkah 3: Buat rahasia klien

OneDrive crawling menggunakan ID klien dan rahasia aplikasi, sehingga rahasia klien diperlukan untuk konten saja dan ACL-enabled sumber data. Ketika kontrol akses tingkat dokumen diaktifkan, konektor menggunakan rahasia klien untuk mendapatkan token Microsoft Graph yang menyelesaikan OneDrive host penyewa Anda, dan sertifikat (dari Langkah 4) untuk mendapatkan SharePoint token yang digunakan untuk pemeriksaan akses.

Langkah 4 (hanya ACL): Hasilkan sertifikat otentikasi

Buat sertifikat yang ditandatangani sendiri dan paketkan sebagai bundel PKCS #12 ().p12. Bundel berisi sertifikat dan kunci pribadinya, dilindungi oleh kata sandi. Anda mengunggah sertifikat publik ke Entra (Langkah 5) dan .p12 bundel ke Amazon S3 (Langkah 6). Pilih tab untuk sistem operasi Anda untuk melihat perintah.

Linux or macOS (OpenSSL)

Buat kunci pribadi dan sertifikat yang ditandatangani sendiri

openssl req -x509 -newkey rsa:2048 -keyout private_key.pem -out certificate.cer \
    -days 365 -nodes \
    -subj "/CN=bedrock-onedrive-connector"

Package sertifikat dan kunci sebagai bundel PKCS #12 () .p12

Masukkan kata sandi ekspor yang kuat saat diminta. Rekam untuk Langkah 7.

openssl pkcs12 -export -out certificate.p12 \
    -inkey private_key.pem -in certificate.cer

Anda sekarang memiliki tiga file: kunci pribadi (private_key.pem), sertifikat publik (certificate.cer), dan bundel (certificate.p12). Anda mengunggah sertifikat publik ke Entra di Langkah 5 dan .p12 bundel ke Amazon S3 di Langkah 6.

Windows (PowerShell)

Menghasilkan sertifikat yang ditandatangani sendiri

PowerShell Perintah berikut menghasilkan sertifikat yang ditandatangani sendiri RSA 2048-bit dengan masa berlaku satu tahun dan menyimpannya di toko sertifikat pengguna saat ini. Ganti your-password dengan kata sandi acak yang kuat - Anda menyimpannya dalam rahasia seperti certificatePassword pada Langkah 7.

$cert = New-SelfSignedCertificate `
    -Subject "CN=bedrock-onedrive-connector" `
    -CertStoreLocation "Cert:\CurrentUser\My" `
    -KeyAlgorithm RSA `
    -KeyLength 2048 `
    -KeyExportPolicy Exportable `
    -NotAfter (Get-Date).AddYears(1)

Ekspor sertifikat publik

Export-Certificate -Cert $cert -FilePath certificate.cer -Type CERT

Ekspor bundel PKCS #12 () .p12

$password = ConvertTo-SecureString -String "your-password" -Force -AsPlainText
Export-PfxCertificate -Cert $cert -FilePath certificate.p12 -Password $password

Anda sekarang memiliki dua file: sertifikat publik (certificate.cer) dan bundel (certificate.p12). Anda mengunggah sertifikat publik ke Entra di Langkah 5 dan .p12 bundel ke Amazon S3 di Langkah 6.

Langkah 5 (hanya ACL): Unggah sertifikat publik ke Entra

Langkah 6 (hanya ACL): Unggah sertifikat ke Amazon S3

Unggah .p12 bundel dari Langkah 4 ke bucket Amazon S3 di AWS Wilayah yang sama dengan basis pengetahuan Anda. Rekam nama dan kunci bucket — Anda menggunakannya sebagai sumber datacertificateS3Path.

aws s3api put-object \
  --bucket your-certificate-bucket \
  --key certs/certificate.p12 \
  --body certificate.p12 \
  --server-side-encryption AES256

Langkah 7: Buat rahasia Secrets Manager

Simpan kredensialnya secara rahasia. AWS Secrets Manager Untuk otentikasi ID Aplikasi Microsoft Entra, sertakan pasangan nilai kunci berikut:

Hanya konten (tidak ada kontrol akses tingkat dokumen)

{
    "clientId": "your-client-id",
    "clientSecret": "your-client-secret"
}

Dengan kontrol akses tingkat dokumen

{
    "clientId": "your-client-id",
    "clientSecret": "your-client-secret",
    "certificatePassword": "your-certificate-password"
}

Buat rahasia dengan AWS Command Line Interface:

aws secretsmanager create-secret \
  --name bedrock-onedrive-creds \
  --secret-string file://secret.json

Rekam rahasia ARN dari tanggapannya. Anda menggunakannya sebagai sumber datasecretArn.

Langkah 8 (hanya ACL): Berikan akses peran layanan ke sertifikat

Peran layanan basis pengetahuan Anda harus dapat membaca objek sertifikat dari Amazon S3. Tambahkan pernyataan berikut ke kebijakan izin peran, ganti nama dan kunci bucket dengan nilai Anda.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "S3ListCertificateBucket",
            "Effect": "Allow",
            "Action": ["s3:ListBucket"],
            "Resource": ["arn:aws:s3:::your-certificate-bucket"],
            "Condition": {
                "StringEquals": { "aws:ResourceAccount": ["123456789012"] }
            }
        },
        {
            "Sid": "S3GetCertificate",
            "Effect": "Allow",
            "Action": ["s3:GetObject"],
            "Resource": [
                "arn:aws:s3:::your-certificate-bucket/certs/certificate.p12",
                "arn:aws:s3:::your-certificate-bucket/certs/certificate.p12.metadata.json"
            ],
            "Condition": {
                "StringEquals": { "aws:ResourceAccount": ["123456789012"] }
            }
        }
    ]
}

Jika objek sertifikat dienkripsi dengan kunci KMS AWS

Perintah upload Langkah 6 (hanya ACL): Unggah sertifikat ke Amazon S3 menggunakan S3-managed enkripsi Amazon (AES256), yang tidak memerlukan izin tambahan. Jika Anda mengenkripsi objek sertifikat dengan enkripsi sisi server Amazon S3 menggunakan kunci KMS yang dikelola pelanggan SSE-KMS (), peran layanan juga kms:Decrypt memerlukan izin pada kunci tersebut, dan kebijakan kunci harus mengizinkan peran untuk menggunakannya. Objek yang dienkripsi dengan aws/s3 kunci AWS terkelola tidak memerlukan hibah tambahan ini.

{
    "Sid": "KmsDecryptCertificate",
    "Effect": "Allow",
    "Action": ["kms:Decrypt"],
    "Resource": ["arn:aws:kms:us-west-2:123456789012:key/your-key-id"]
}

Untuk set lengkap izin peran layanan basis pengetahuan, lihatIzin untuk mengakses sumber data Anda.

Langkah selanjutnya

Anda sekarang memiliki kredensyal yang Anda butuhkan untuk membuat sumber data: ARN rahasia, ID penyewa Anda, dan (untuk kontrol akses tingkat dokumen) lokasi Amazon S3 sertifikat. Untuk membuat sumber OneDrive data dengan Konsol Manajemen AWS atau API, lihatConnect sumber OneDrive data.