Las traducciones son generadas a través de traducción automática. En caso de conflicto entre la traducción y la version original de inglés, prevalecerá la version en inglés.

Configurar credenciales de servicio

Antes de crear la base de conocimientos en Amazon Quick, complete los siguientes pasos de configuración en AWS un ID de Microsoft Entra. Debe crear una clave de firma de KMS, generar un certificado, registrar una aplicación en Entra y conceder permiso a Amazon Quick para usar la clave.

Esta configuración implica varios sistemas y puede requerir la coordinación entre los distintos administradores de la organización. En la siguiente tabla se resume cada paso y la función necesaria para completarlo.

Requisitos previos

Antes de comenzar, asegúrese de que dispone de lo siguiente:

Permisos

Los permisos que asigne dependen de dos opciones:

Elige el alcance de tus permisos

De forma predeterminada, el registro de la aplicación Entra utiliza Sites.Read.All oSites.FullControl.All, que permite el acceso a todos los SharePoint sitios de tu inquilino. Si su organización requiere un acceso con privilegios mínimos, puede usarlo en su lugar. Sites.Selected ConSites.Selected, la aplicación solo puede acceder a los sitios a los que concedas permiso de forma explícita.

Todos los sitios: solo contenido (sin ACL)

Todos los sitios: con rastreo de ACL

Sitios seleccionados: solo contenido (sin ACL)

Sites.Selected: con rastreo de ACL

Valores recopilados durante la configuración

En la siguiente tabla se resumen los valores que se crean o recopilan durante la configuración y dónde se utilizan.

Paso 1: Cree una clave de firma asimétrica de AWS KMS

Amazon Quick utiliza una clave asimétrica de AWS KMS para firmar OAuth las afirmaciones al autenticarse con Microsoft Entra ID. La clave privada nunca sale de KMS. Solo la clave pública se exporta y se incrusta en un certificado que se carga en el registro de la aplicación Entra.

Crea la clave KMS

Configure la clave

En la página Configurar clave, defina los siguientes valores:

Añadir etiquetas

En la página Añadir etiquetas, introduce un alias para la clave. Por ejemplo: quick-sharepoint-service-auth.

Selecciona Omitir para revisar y, a continuación, selecciona Finalizar para crear la clave.

Registre el ARN clave

Una vez creada la clave, abra la página de detalles de la clave y registre el ARN de la clave. El ARN tiene el siguiente formato:

arn:aws:kms:us-west-2:123456789012:key/xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx

Necesitará este valor en los pasos 2 y 4 y al crear la base de conocimientos en Quick.

Paso 2: generar un certificado autofirmado

El Microsoft Entra ID requiere un certificado X.509 para validar las afirmaciones firmadas. Como la clave privada de KMS nunca sale de AWS KMS, no puede usarla directamente con OpenSSL. En su lugar, se genera un key pair local temporal y se crea una solicitud de firma de certificado. A continuación, utilice la opción -force_pubkey OpenSSL para inyectar la clave pública de KMS en el certificado final. El resultado es un certificado autofirmado cuya clave pública coincide con el par de claves KMS.

Requisitos previos

Genere el certificado

Ejecute los siguientes comandos en una terminal. Sustituya los placeholder valores por los suyos.

Verificar la versión de OpenSSL

openssl version

Confirme que el resultado muestre la versión 3.0 o posterior.

Exporte la clave pública de KMS

aws kms get-public-key \
    --key-id KMS_KEY_ARN \
    --region REGION \
    --output text \
    --query PublicKey | base64 --decode > public_key.der

Convierte la clave pública al formato PEM

openssl rsa -pubin -inform DER -in public_key.der -outform PEM -out kms_public_key.pem

Generar un key pair local temporal

openssl genrsa -out temp_private_key.pem 2048

Cree una solicitud de firma de certificado

openssl req -new \
    -key temp_private_key.pem \
    -out cert.csr \
    -subj "/CN=QuickSharePointServiceAuth/O=YourOrganization/C=US"

Genere el certificado con la clave pública de KMS

openssl x509 -req \
    -in cert.csr \
    -signkey temp_private_key.pem \
    -out certificate.pem \
    -days 730 \
    -force_pubkey kms_public_key.pem

Conviértelo al formato DER para cargar Entra

openssl x509 -in certificate.pem -outform DER -out certificate.cer

Limpia los archivos temporales

rm -f temp_private_key.pem cert.csr public_key.der kms_public_key.pem certificate.pem

Calcule la huella digital del certificado

Ejecute el siguiente comando para calcular la huella digital SHA-1 del certificado codificada en la URL base64:

openssl dgst -sha1 -binary certificate.cer | base64 | tr '+/' '-_' | tr -d '='

Registre este valor. Se introduce al crear la base de conocimientos en Quick.

Paso 3: Registrar una aplicación en Microsoft Entra ID

Este paso es obligatorio independientemente de si utiliza permisos para todos los sitios oSites.Selected. La única diferencia son los permisos de API que asignas en la Configure los permisos de la API sección.

Registra la aplicación

Registre los detalles de la aplicación

En la página de descripción general de la aplicación, registre los siguientes valores:

Configure los permisos de la API

Añada los permisos que coincidan con su caso de uso. Elija los permisos de las tablas de la Permisos sección. Base su selección en el ámbito de sus permisos (todos los sitios o Sites.Selected) y en si habilita el rastreo de ACL.

Solo contenido: Microsoft Graph

Solo contenido: SharePoint

Rastreo de ACL: Microsoft Graph (adicional)

Rastreo de ACL: SharePoint

Otorgue el consentimiento del administrador

Cargue el certificado

Paso 3b: Otorgar permisos a nivel de sitio (solo Sites. Selected)

Si has elegido Sites.Selected el ámbito de tu permiso, debes conceder de forma explícita a tu aplicación Amazon Quick Entra acceso a cada SharePoint sitio. Esto requiere una aplicación de administración temporal con Sites.FullControl.All permiso para llamar a la API de Microsoft Graph.

Omita este paso si está utilizando el ámbito de permisos para todos los sitios (Sites.Read.AlloSites.FullControl.All).

Obtenga el ID de sitio de cada SharePoint sitio

Necesitas el ID de sitio de cada SharePoint sitio al que quieras conceder acceso. Para obtener un ID de sitio:

Repita el procedimiento para cada sitio que desee incluir en la base de conocimientos.

Crea una aplicación de administración temporal

La aplicación de administración solo se usa para conceder permisos a nivel de sitio a tu aplicación Amazon Quick. Puedes eliminarla después de completar este paso.

Obtenga un token de acceso

Usa las credenciales de la aplicación de administración para recuperar un OAuth token de Microsoft Entra. Sustituya los placeholder valores por el ID de cliente, el valor secreto y el ID de inquilino de la aplicación de administración.

macOS y Linux (bash)

curl -s --location "https://login.microsoftonline.com/TENANT_ID/oauth2/v2.0/token" \
  --header "Content-Type: application/x-www-form-urlencoded" \
  --data-urlencode "grant_type=client_credentials" \
  --data-urlencode "client_id=ADMIN_APP_CLIENT_ID" \
  --data-urlencode "client_secret=ADMIN_APP_SECRET_VALUE" \
  --data-urlencode "scope=https://graph.microsoft.com/.default"

Windows () PowerShell

$tokenResponse = Invoke-RestMethod `
  -Uri "https://login.microsoftonline.com/TENANT_ID/oauth2/v2.0/token" `
  -Method Post `
  -ContentType "application/x-www-form-urlencoded" `
  -Body @{
    grant_type    = "client_credentials"
    client_id     = "ADMIN_APP_CLIENT_ID"
    client_secret = "ADMIN_APP_SECRET_VALUE"
    scope         = "https://graph.microsoft.com/.default"
  }
$adminToken = $tokenResponse.access_token

La respuesta contiene un access_token campo. Registre este valor para el siguiente paso.

Otorgue permisos a nivel de sitio

Usa el token de administrador para conceder a tu aplicación Amazon Quick Entra fullcontrol acceso a cada SharePoint sitio. Sustituya los placeholder valores por el ID del sitio, el token de administrador y el ID y el nombre para mostrar de la aplicación cliente del paso 3.

macOS y Linux (bash)

curl -s --location "https://graph.microsoft.com/v1.0/sites/SITE_ID/permissions" \
  --header "Content-Type: application/json" \
  --header "Authorization: Bearer ADMIN_TOKEN" \
  --data '{
    "roles": ["fullcontrol"],
    "grantedToIdentities": [{
      "application": {
        "id": "CLIENT_APP_ID",
        "displayName": "CLIENT_APP_NAME"
      }
    }]
  }'

Windows () PowerShell

$body = @{
    roles = @("fullcontrol")
    grantedToIdentities = @(
        @{
            application = @{
                id          = "CLIENT_APP_ID"
                displayName = "CLIENT_APP_NAME"
            }
        }
    )
} | ConvertTo-Json -Depth 10

Invoke-RestMethod `
  -Uri "https://graph.microsoft.com/v1.0/sites/SITE_ID/permissions" `
  -Method Post `
  -Headers @{
    "Content-Type"  = "application/json"
    "Authorization" = "Bearer $adminToken"
  } `
  -Body $body

Una respuesta correcta incluye "roles": ["fullcontrol"] el ID de la aplicación cliente en el grantedToIdentities campo.

Limpieza

Una vez que hayas concedido los permisos a todos los sitios necesarios, puedes eliminar la aplicación de administración temporal del centro de administración de Microsoft Entra. Los permisos a nivel de sitio que has concedido permanecen en vigor independientemente de la aplicación de administración.

Paso 4: Conceder permiso a Amazon Quick para la clave KMS

Amazon Quick necesita permiso para usar la clave KMS para firmar OAuth las afirmaciones. Concedes este permiso desde la consola de administración de Amazon Quick.

Siguientes pasos

Tras completar la configuración, cree la conexión a la base de conocimientos SharePoint online en Amazon Quick. Para obtener instrucciones, consulte Cree la base de conocimientos en Amazon Quick.