Le traduzioni sono generate tramite traduzione automatica. In caso di conflitto tra il contenuto di una traduzione e la versione originale in Inglese, quest'ultima prevarrà.

Configurare l'autenticazione Microsoft Entra App ID per OneDrive

L'autenticazione Microsoft Entra App ID (ENTRA_APP_ID) è il metodo di autenticazione consigliato per un'origine OneDrive dati. Il connettore esegue la scansione dei contenuti con il flusso di credenziali del client OAuth 2.0 (solo applicazione), utilizzando l'ID client e il segreto dell'applicazione: non è necessario l'accesso dell'utente. Questo è l'unico metodo di autenticazione che supporta il controllo degli accessi a livello di documento (ACL). Per un confronto con il OAUTH2 metodo alternativo, vedere. Metodi di autenticazione

Fasi e ruoli di configurazione

Questa procedura coinvolge sia un amministratore dell'ID Microsoft Entra che un AWS amministratore. A seconda della ripartizione delle responsabilità all'interno dell'organizzazione, è possibile che una o più persone completino questi passaggi. I passaggi relativi al certificato (passaggi 4—6 e 8) si applicano solo quando si abilita il controllo degli accessi a livello di documento. Utilizza la tabella seguente per identificare l'accesso richiesto da ogni passaggio.

Riferimento per le autorizzazioni

Assegna le autorizzazioni all'applicazione che corrispondono alla tua configurazione. Tutte le autorizzazioni sono autorizzazioni dell'applicazione (non delegate) e ognuna richiede il consenso dell'amministratore. Per la scansione dei soli contenuti, il connettore esegue l'autenticazione solo su Microsoft Graph. Quando è abilitato il controllo degli accessi a livello di documento, il connettore si autentica inoltre all'API SharePointREST per verificare l'accesso al momento della query, poiché for Business è supportato da. OneDrive SharePoint

Seleziona la scheda relativa alla configurazione per visualizzare le autorizzazioni esatte da assegnare.

Content only (no ACLs)

Solo contenuti

"Hello, World!"	Autorizzazione	Scopo
Microsoft Graph	Files.Read.All	Leggi i file nelle unità degli utenti.
Microsoft Graph	Sites.Read.All	Leggi i OneDrive siti che supportano i drive degli utenti.
Microsoft Graph	User.Read.All	Enumera gli utenti di cui esegui la scansione dei drive.

With ACLs

Con ACL

"Hello, World!"	Autorizzazione	Scopo
Microsoft Graph	Files.Read.All	Leggi i file nei drive degli utenti.
Microsoft Graph	Sites.Read.All	Leggi i OneDrive siti che supportano i drive degli utenti.
Microsoft Graph	User.Read.All	Enumera gli utenti e risolvili per gli ACL a livello di documento.
Microsoft Graph	GroupMember.Read.All	Risolvi l'appartenenza ai gruppi per gli ACL a livello di documento.
SharePoint	Sites.FullControl.All	Verifica l'accesso di ogni utente a un documento al momento della query. Sites.Read.Allnon è sufficiente per questo controllo.

Valori raccolti durante la configurazione

I seguenti valori vengono creati o raccolti man mano che si eseguono i passaggi. Li usi quando crei l'origine dati. Per informazioni dettagliate, vedi Connect una fonte di OneDrive dati.

Passaggio 1: registrare l'applicazione in Microsoft Entra ID

Passaggio 2: aggiungi le autorizzazioni API e concedi il consenso dell'amministratore

Aggiungi le autorizzazioni per la tua configurazione da. Riferimento per le autorizzazioni

Fase 3: Creare un segreto per il cliente

OneDrive la scansione utilizza l'ID client e il segreto dell'applicazione, quindi è necessario un segreto client sia per i soli contenuti che per le fonti di dati. ACL-enabled Quando il controllo degli accessi a livello di documento è abilitato, il connettore utilizza il segreto del client per ottenere un token Microsoft Graph che risolve l' OneDrive host del tenant e il certificato (dal passaggio 4) per ottenere il SharePoint token utilizzato per il controllo dell'accesso.

Fase 4 (solo ACL): Generazione del certificato di autenticazione

Genera un certificato autofirmato e impacchettalo come pacchetto PKCS #12 (). .p12 Il pacchetto contiene sia il certificato che la relativa chiave privata, protetta da una password. Carichi il certificato pubblico su Entra (Fase 5) e il .p12 pacchetto su Amazon S3 (Fase 6). Seleziona la scheda del tuo sistema operativo per visualizzare i comandi.

Linux or macOS (OpenSSL)

Genera una chiave privata e un certificato autofirmato

openssl req -x509 -newkey rsa:2048 -keyout private_key.pem -out certificate.cer \
    -days 365 -nodes \
    -subj "/CN=bedrock-onedrive-connector"

Package del certificato e della chiave come pacchetto PKCS #12 (.p12)

Immettete una password di esportazione sicura quando richiesto. Registrala per il passaggio 7.

openssl pkcs12 -export -out certificate.p12 \
    -inkey private_key.pem -in certificate.cer

Ora hai tre file: la chiave privata (private_key.pem), il certificato pubblico (certificate.cer) e il bundle (certificate.p12). Carichi il certificato pubblico su Entra nella fase 5 e il .p12 pacchetto su Amazon S3 nella fase 6.

Windows (PowerShell)

Genera un certificato autofirmato

I seguenti PowerShell comandi generano un certificato autofirmato RSA a 2048 bit con un periodo di validità di un anno e lo archiviano nell'archivio certificati dell'utente corrente. Sostituiscila your-password con una password sicura e casuale: la memorizzi nell'area segreta come nel passaggio 7. certificatePassword

$cert = New-SelfSignedCertificate `
    -Subject "CN=bedrock-onedrive-connector" `
    -CertStoreLocation "Cert:\CurrentUser\My" `
    -KeyAlgorithm RSA `
    -KeyLength 2048 `
    -KeyExportPolicy Exportable `
    -NotAfter (Get-Date).AddYears(1)

Esporta il certificato pubblico

Export-Certificate -Cert $cert -FilePath certificate.cer -Type CERT

Esporta il pacchetto PKCS #12 (.p12)

$password = ConvertTo-SecureString -String "your-password" -Force -AsPlainText
Export-PfxCertificate -Cert $cert -FilePath certificate.p12 -Password $password

Ora avete due file: il certificato pubblico (certificate.cer) e il bundle (). certificate.p12 Carichi il certificato pubblico su Entra nella fase 5 e il .p12 pacchetto su Amazon S3 nella fase 6.

Fase 5 (solo ACL): carica il certificato pubblico su Entra

Fase 6 (solo ACL): carica il certificato su Amazon S3

Carica il .p12 pacchetto dalla Fase 4 in un bucket Amazon S3 nella AWS stessa regione della tua knowledge base. Registra il nome e la chiave del bucket: li usi come fonte di dati. certificateS3Path

aws s3api put-object \
  --bucket your-certificate-bucket \
  --key certs/certificate.p12 \
  --body certificate.p12 \
  --server-side-encryption AES256

Passaggio 7: Creare il segreto di Secrets Manager

Memorizza le credenziali in un luogo Gestione dei segreti AWS segreto. Per l'autenticazione Microsoft Entra App ID, includi le seguenti coppie chiave-valore:

Solo contenuto (nessun controllo dell'accesso a livello di documento)

{
    "clientId": "your-client-id",
    "clientSecret": "your-client-secret"
}

Con controllo degli accessi a livello di documento

{
    "clientId": "your-client-id",
    "clientSecret": "your-client-secret",
    "certificatePassword": "your-certificate-password"
}

Crea il segreto con: AWS Command Line Interface

aws secretsmanager create-secret \
  --name bedrock-onedrive-creds \
  --secret-string file://secret.json

Registra l'ARN segreto della risposta. Lo usi come fonte secretArn di dati.

Fase 8 (solo ACL): concedere al ruolo di servizio l'accesso al certificato

Il ruolo del servizio della Knowledge Base deve essere in grado di leggere l'oggetto del certificato da Amazon S3. Aggiungi la seguente dichiarazione alla politica di autorizzazione del ruolo, sostituendo il nome e la chiave del bucket con i tuoi valori.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "S3ListCertificateBucket",
            "Effect": "Allow",
            "Action": ["s3:ListBucket"],
            "Resource": ["arn:aws:s3:::your-certificate-bucket"],
            "Condition": {
                "StringEquals": { "aws:ResourceAccount": ["123456789012"] }
            }
        },
        {
            "Sid": "S3GetCertificate",
            "Effect": "Allow",
            "Action": ["s3:GetObject"],
            "Resource": [
                "arn:aws:s3:::your-certificate-bucket/certs/certificate.p12",
                "arn:aws:s3:::your-certificate-bucket/certs/certificate.p12.metadata.json"
            ],
            "Condition": {
                "StringEquals": { "aws:ResourceAccount": ["123456789012"] }
            }
        }
    ]
}

Se l'oggetto del certificato è crittografato con una chiave AWS KMS

Il comando upload in Fase 6 (solo ACL): carica il certificato su Amazon S3 utilizza la S3-managed crittografia Amazon (AES256), che non richiede autorizzazioni aggiuntive. Se invece si crittografa l'oggetto certificato con la crittografia lato server di Amazon S3 utilizzando una chiave KMS gestita dal cliente SSE-KMS (), anche il ruolo di servizio kms:Decrypt necessita dell'autorizzazione su quella chiave e la politica della chiave deve consentire al ruolo di utilizzarla. Gli oggetti crittografati con la aws/s3 chiave AWS gestita non richiedono questa concessione aggiuntiva.

{
    "Sid": "KmsDecryptCertificate",
    "Effect": "Allow",
    "Action": ["kms:Decrypt"],
    "Resource": ["arn:aws:kms:us-west-2:123456789012:key/your-key-id"]
}

Per il set completo di autorizzazioni per i ruoli del servizio della Knowledge Base, vedereAutorizzazioni per accedere alle origini dati.

Fasi successive

Ora disponi delle credenziali necessarie per creare l'origine dati: l'ARN segreto, il tuo ID tenant e (per il controllo degli accessi a livello di documento) la posizione Amazon S3 del certificato. Per creare l'origine OneDrive dati con o l'API, consulta Console di gestione AWS . Connect una fonte di OneDrive dati