Die vorliegende Übersetzung wurde maschinell erstellt. Im Falle eines Konflikts oder eines Widerspruchs zwischen dieser übersetzten Fassung und der englischen Fassung (einschließlich infolge von Verzögerungen bei der Übersetzung) ist die englische Fassung maßgeblich.

Dienstanmeldedaten einrichten

Bevor Sie die Wissensdatenbank in Amazon Quick erstellen, führen Sie die folgenden Konfigurationsschritte in AWS und Microsoft Entra ID durch. Sie erstellen einen KMS-Signaturschlüssel, generieren ein Zertifikat, registrieren eine Anwendung in Entra und erteilen Amazon Quick die Erlaubnis, den Schlüssel zu verwenden.

Dieses Setup umfasst mehrere Systeme und erfordert möglicherweise die Koordination zwischen verschiedenen Administratoren in Ihrer Organisation. In der folgenden Tabelle sind die einzelnen Schritte und die Rollen, die zu ihrer Ausführung erforderlich sind, zusammengefasst.

Voraussetzungen

Stellen Sie vor dem Beginn sicher, dass Sie über Folgendes verfügen:

Berechtigungen

Die von Ihnen zugewiesenen Berechtigungen hängen von zwei Optionen ab:

Wählen Sie Ihren Berechtigungsbereich

Standardmäßig verwendet die Registrierung der Entra-App Sites.Read.All oderSites.FullControl.All, wodurch Zugriff auf alle SharePoint Websites in Ihrem Mandanten gewährt wird. Wenn Ihre Organisation Zugriff mit den geringsten Rechten benötigt, können Sie stattdessen verwenden. Sites.Selected Mit kann Sites.Selected die App nur auf Websites zugreifen, denen Sie ausdrücklich die Erlaubnis erteilen.

Alle Websites — nur Inhalt (keine ACL)

Alle Websites — mit ACL-Crawling

Sites.Selected — Nur Inhalt (keine ACL)

Sites.Selected — mit ACL-Crawling

Während der Einrichtung erhobene Werte

In der folgenden Tabelle sind die Werte zusammengefasst, die Sie während der Installation erstellen oder sammeln, und wo Sie sie verwenden.

Schritt 1: Erstellen Sie einen asymmetrischen AWS KMS-Signaturschlüssel

Amazon Quick verwendet einen asymmetrischen AWS KMS-Schlüssel, um OAuth-Assertionen bei der Authentifizierung mit Microsoft Entra ID zu signieren. Der private Schlüssel verlässt KMS niemals. Nur der öffentliche Schlüssel wird exportiert und in ein Zertifikat eingebettet, das in Ihre Entra-App-Registrierung hochgeladen wird.

Erstellen Sie den KMS-Schlüssel

Konfigurieren Sie den Schlüssel

Legen Sie auf der Seite Schlüssel konfigurieren die folgenden Werte fest:

Beschriftungen hinzufügen

Geben Sie auf der Seite Labels hinzufügen einen Alias für den Schlüssel ein. Beispiel: quick-sharepoint-service-auth.

Wählen Sie „Zur Überprüfung überspringen“ und anschließend „Fertig stellen“, um den Schlüssel zu erstellen.

Notieren Sie den Schlüssel-ARN

Öffnen Sie nach der Erstellung des Schlüssels die Schlüsseldetailseite und notieren Sie den Schlüssel-ARN. Der ARN hat das folgende Format:

arn:aws:kms:us-west-2:123456789012:key/xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx

Sie benötigen diesen Wert in den Schritten 2, 4 und beim Erstellen der Wissensdatenbank in Quick.

Schritt 2: Generieren Sie ein selbstsigniertes Zertifikat

Microsoft Entra ID benötigt ein X.509 Zertifikat, um signierte Assertionen zu validieren. Da der private KMS-Schlüssel AWS KMS niemals verlässt, können Sie ihn nicht direkt mit OpenSSL verwenden. Stattdessen generieren Sie ein temporäres lokales key pair und erstellen eine Zertifikatsignieranforderung. Verwenden Sie dann die -force_pubkey OpenSSL-Option, um den öffentlichen KMS-Schlüssel in das endgültige Zertifikat einzufügen. Das Ergebnis ist ein selbstsigniertes Zertifikat, dessen öffentlicher Schlüssel mit dem KMS-Schlüsselpaar übereinstimmt.

Voraussetzungen

Generieren Sie das Zertifikat

Führen Sie die folgenden Befehle in einem Terminal aus. Ersetzen Sie die placeholder Werte durch Ihre eigenen.

Überprüfen Sie die OpenSSL-Version

openssl version

Vergewissern Sie sich, dass die Ausgabe Version 3.0 oder höher anzeigt.

Exportieren Sie den öffentlichen KMS-Schlüssel

aws kms get-public-key \
    --key-id KMS_KEY_ARN \
    --region REGION \
    --output text \
    --query PublicKey | base64 --decode > public_key.der

Konvertiert den öffentlichen Schlüssel in das PEM-Format

openssl rsa -pubin -inform DER -in public_key.der -outform PEM -out kms_public_key.pem

Generieren Sie ein temporäres lokales key pair

openssl genrsa -out temp_private_key.pem 2048

Erstellen Sie eine Anforderung zum Signieren eines Zertifikats

openssl req -new \
    -key temp_private_key.pem \
    -out cert.csr \
    -subj "/CN=QuickSharePointServiceAuth/O=YourOrganization/C=US"

Generieren Sie das Zertifikat mit dem öffentlichen KMS-Schlüssel

openssl x509 -req \
    -in cert.csr \
    -signkey temp_private_key.pem \
    -out certificate.pem \
    -days 730 \
    -force_pubkey kms_public_key.pem

Für den Entra-Upload in das DER-Format konvertieren

openssl x509 -in certificate.pem -outform DER -out certificate.cer

Temporäre Dateien bereinigen

rm -f temp_private_key.pem cert.csr public_key.der kms_public_key.pem certificate.pem

Berechnen Sie den Fingerabdruck des Zertifikats

Führen Sie den folgenden Befehl aus, um den Base64-URL-codierten Fingerabdruck SHA-1 des Zertifikats zu berechnen:

openssl dgst -sha1 -binary certificate.cer | base64 | tr '+/' '-_' | tr -d '='

Notieren Sie diesen Wert. Sie geben ihn ein, wenn Sie die Wissensdatenbank in Quick erstellen.

Schritt 3: Registrieren Sie eine Anwendung in Microsoft Entra ID

Dieser Schritt ist unabhängig davon erforderlich, ob Sie Berechtigungen für alle Websites verwenden oder. Sites.Selected Der einzige Unterschied besteht darin, welche API-Berechtigungen Sie in API-Berechtigungen konfigurieren diesem Abschnitt zuweisen.

Registrieren Sie die Anwendung

Notieren Sie die Anwendungsdetails

Notieren Sie auf der Seite mit der Anwendungsübersicht die folgenden Werte:

API-Berechtigungen konfigurieren

Fügen Sie die Berechtigungen hinzu, die Ihrem Anwendungsfall entsprechen. Wählen Sie die Berechtigungen aus den Tabellen im Berechtigungen Abschnitt aus. Basieren Sie Ihre Auswahl auf Ihrem Berechtigungsbereich (alle Websites oder Sites.Selected) und darauf, ob Sie ACL-Crawling aktivieren.

Nur Inhalt — Microsoft Graph

Nur Inhalt — SharePoint

ACL-Crawling — Microsoft Graph (zusätzlich)

ACL-Crawling — SharePoint

Erteilen Sie dem Administrator die Zustimmung

Laden Sie das Zertifikat hoch

Schritt 3b: Erteilen Sie Berechtigungen auf Site-Ebene (nur) Sites.Selected

Wenn Sie Sites.Selected als Berechtigungsbereich ausgewählt haben, müssen Sie Ihrer Amazon Quick Entra-App ausdrücklich Zugriff auf jede SharePoint Website gewähren. Dies erfordert eine temporäre Admin-App mit der Sites.FullControl.All Berechtigung, die Microsoft Graph-API aufzurufen.

Überspringen Sie diesen Schritt, wenn Sie den Berechtigungsbereich für alle Websites verwenden (Sites.Read.AlloderSites.FullControl.All).

Rufen Sie die Site-ID für jede SharePoint Site ab

Sie benötigen die Site-ID für jede SharePoint Site, auf die Sie Zugriff gewähren möchten. Um eine Site-ID zu erhalten:

Wiederholen Sie den Vorgang für jede Site, die Sie in die Wissensdatenbank aufnehmen möchten.

Erstellen Sie eine temporäre Admin-App

Die Admin-App wird nur verwendet, um Ihrer Amazon Quick-App Berechtigungen auf Site-Ebene zu gewähren. Sie können sie löschen, nachdem Sie diesen Schritt abgeschlossen haben.

Holen Sie sich ein Zugriffstoken

Verwenden Sie die Anmeldeinformationen der Admin-App, um ein OAuth-Token von Microsoft Entra abzurufen. Ersetzen Sie die placeholder Werte durch die Client-ID, den geheimen Wert und die Mandanten-ID Ihrer Admin-App.

macOS und Linux (bash)

curl -s --location "https://login.microsoftonline.com/TENANT_ID/oauth2/v2.0/token" \
  --header "Content-Type: application/x-www-form-urlencoded" \
  --data-urlencode "grant_type=client_credentials" \
  --data-urlencode "client_id=ADMIN_APP_CLIENT_ID" \
  --data-urlencode "client_secret=ADMIN_APP_SECRET_VALUE" \
  --data-urlencode "scope=https://graph.microsoft.com/.default"

Windows () PowerShell

$tokenResponse = Invoke-RestMethod `
  -Uri "https://login.microsoftonline.com/TENANT_ID/oauth2/v2.0/token" `
  -Method Post `
  -ContentType "application/x-www-form-urlencoded" `
  -Body @{
    grant_type    = "client_credentials"
    client_id     = "ADMIN_APP_CLIENT_ID"
    client_secret = "ADMIN_APP_SECRET_VALUE"
    scope         = "https://graph.microsoft.com/.default"
  }
$adminToken = $tokenResponse.access_token

Die Antwort enthält ein access_token Feld. Notieren Sie sich diesen Wert für den nächsten Schritt.

Erteilen Sie Berechtigungen auf Site-Ebene

Verwenden Sie das Admin-Token, um Ihrer Amazon Quick Entra-App fullcontrol Zugriff auf jede SharePoint Site zu gewähren. Ersetzen Sie die placeholder Werte durch Ihre Site-ID, Ihr Admin-Token und die Client-Anwendungs-ID und den Anzeigenamen aus Schritt 3.

macOS und Linux (bash)

curl -s --location "https://graph.microsoft.com/v1.0/sites/SITE_ID/permissions" \
  --header "Content-Type: application/json" \
  --header "Authorization: Bearer ADMIN_TOKEN" \
  --data '{
    "roles": ["fullcontrol"],
    "grantedToIdentities": [{
      "application": {
        "id": "CLIENT_APP_ID",
        "displayName": "CLIENT_APP_NAME"
      }
    }]
  }'

Windows () PowerShell

$body = @{
    roles = @("fullcontrol")
    grantedToIdentities = @(
        @{
            application = @{
                id          = "CLIENT_APP_ID"
                displayName = "CLIENT_APP_NAME"
            }
        }
    )
} | ConvertTo-Json -Depth 10

Invoke-RestMethod `
  -Uri "https://graph.microsoft.com/v1.0/sites/SITE_ID/permissions" `
  -Method Post `
  -Headers @{
    "Content-Type"  = "application/json"
    "Authorization" = "Bearer $adminToken"
  } `
  -Body $body

Zu einer erfolgreichen Antwort gehört "roles": ["fullcontrol"] auch die ID der Client-App im grantedToIdentities Feld.

Bereinigen

Nachdem Sie allen erforderlichen Websites Berechtigungen erteilt haben, können Sie die temporäre Admin-App aus dem Microsoft Entra Admin Center löschen. Die von Ihnen erteilten Berechtigungen auf Site-Ebene bleiben unabhängig von der Admin-App in Kraft.

Schritt 4: Erteilen Sie Amazon Quick die Erlaubnis für den KMS-Schlüssel

Amazon Quick benötigt die Erlaubnis, den KMS-Schlüssel zum Signieren von OAuth-Assertionen zu verwenden. Sie erteilen diese Berechtigung über die Amazon Quick Admin-Konsole.

Nächste Schritte

Nachdem Sie die Einrichtung abgeschlossen haben, stellen Sie die SharePoint Online-Wissensdatenbank-Verbindung in Amazon Quick her. Detaillierte Anweisungen finden Sie unter Erstellen Sie die Wissensdatenbank in Amazon Quick.