View a markdown version of this page

对 OneDrive 数据源进行故障排除 - Amazon Bedrock
数据源创建和连接错误证书错误（文档级访问控制）轮换证书OAuth 2.0 身份验证错误同步错误Document-level 访问控制问题

本文属于机器翻译版本。若本译文内容与英语原文存在差异，则一律以英文原文为准。

对 OneDrive 数据源进行故障排除

使用此页可以诊断 OneDrive 身份验证、数据源创建和同步方面的常见问题。有关文档级访问控制的特定问题，请参阅中的疑难解答表。Document-level 访问控制

数据源创建和连接错误

创建和连接错误
症状 可能的原因 Fix
数据源创建失败，错误certificateS3Path不能为空。 aclEnabled是true，但未提供证书路径。 Document-level 访问控制需要证书。 添加certificateS3Path到connectionConfiguration，指向 Amazon S3 中的.p12证书。请参阅设置 Microsoft Entra 应用程序 ID 身份验证 OneDrive。
租户 ID 无效。 租户 ID 格式错误或与你的 Microsoft Entra 租户不匹配。 从 Microsoft Entra 管理中心的应用程序概述页面复制目录（租户）ID。
客户端 ID 无效或找不到应用程序。 秘密clientId中的不正确，或者应用程序注册不存在。 从应用程序概述页面复制应用程序（客户端）ID 并更新密钥。
无法连接到 OneDrive。 一个或多个凭证不正确，或者应用程序缺少所需的权限或管理员同意。 验证密钥值，确认应用程序权限，并授予管理员同意。请参阅设置 Microsoft Entra 应用程序 ID 身份验证 OneDrive。
知识库服务角色无法读取证书。 证书对象s3:GetObject上缺少服务角色，或者该对象使用角色无法使用的客户托管密钥进行加密。 授予s3:GetObject证书，如果对象使用客户托管的 KMS 密钥，则对该密钥kms:Decrypt进行授权。请参阅步骤 8（仅限 ACL）：授予服务角色对证书的访问权限。

证书错误（文档级访问控制）

证书错误
症状 可能的原因 Fix
实时访问验证期间出现证书密码或令牌铸造错误。 .p12密码与秘密certificatePassword中的不匹配。 设置certificatePassword为用于创建.p12文件的密码，或者使用已知密码重新创建分发包。
访问验证以前有效，现在所有查询都返回零结果。 证书已过期，或者管理员的同意已被撤销。 生成新证书，将公共证书上传到 Entra 应用程序注册处，替换 Amazon S3 .p12 中的证书，然后重新授予管理员同意。请参阅轮换证书。
无法将证书作为 PKCS #12 加载的错误（例如，“证书格式无效”）。 certificateS3Path指向错误对象（例如 .cer /PEM 文件）或密钥certificatePassword中的指向与捆绑包不匹配。 Document-level 访问控制需要.p12格式。 确认您的.p12捆绑包中的certificateS3Path积分并与之certificatePassword匹配。

轮换证书

如果您使用文档级访问控制，请在证书到期之前对其进行轮换。证书过期会导致实时访问验证失败关闭，因此查询返回的结果为零。要在不中断访问的情况下进行轮换，请将新证书作为单独的对象上传，然后将数据源切换到该证书，这样现有证书就会一直有效，直到您切换。

  1. 生成新证书和 PKCS #12 (.p12) 捆绑包，如中所述。设置 Microsoft Entra 应用程序 ID 身份验证 OneDrive

  2. 在您的 Entra 应用程序注册中，在 “证书和机密” 下，上传新的公共证书。保留现有证书 — 一个应用程序注册可以保存多个证书。

  3. 使用新的对象密钥将新.p12捆绑包上传到 Amazon S3（不要覆盖现有证书对象）。确认您的知识库服务角色可以读取新对象。

  4. 更新数据源，使其certificateS3Path指向新对象，然后更新 AWS Secrets Manager 密钥certificatePassword中的数据源以匹配新包。使用UpdateDataSource操作或 AWS 管理控制台。

  5. 确认通过授权用户进行检索会返回结果，这表明新证书适用于实时验证。

  6. 确认新证书有效后，从 Entra 应用程序注册中删除旧证书，并从 Amazon S3 中删除旧.p12对象。

OAuth 2.0 身份验证错误

OAuth 2.0 错误
症状 可能的原因 Fix
同步失败，并显示无法刷新 OAuth 2.0 访问令牌的消息。 密码缺少refreshToken字段，或者刷新令牌已过期或已被撤销。 确认密钥包括clientIdclientSecret、和refreshToken。如果令牌过期或被撤销，请获取新令牌并更新密钥。请参阅步骤 4：获取刷新令牌。
您想抓取与用户或 OneNote 笔记本共享的文件，但这些文件未被编入索引。 数据源使用 Microsoft Entra 应用程序 ID（仅限应用程序）身份验证，该身份验证无法访问共享文件或笔记本。 OneNote 使用OAUTH2身份验证并启用相应的同步范围。请参阅为 OAuth 2.0 身份验证设置 OneDrive。

同步错误

同步错误
症状 可能的原因 Fix
同步已完成，但没有为任何文档编制索引。 应用程序无法访问已配置用户的驱动器，或者 “包含” 或 “排除” 过滤器会排除所有内容。 验证应用程序权限和管理员同意，并查看您的用户电子邮件和云端硬盘内容过滤器。
特定用户的内容不会被抓取。 筛选器将用户排除在外，或者该用户没有可访问的内容。 检查inclusionUserEmailAddresses和exclusionUserEmailAddresses过滤器并确认用户的云端硬盘中有内容。

Document-level 访问控制问题

ACL 配置错误不会在检索过程中产生明显的错误。相反，查询返回的结果较少或为零。有关 ACL-specific 症状、验证步骤和修复方法，请参阅Document-level 访问控制。