Les traductions sont fournies par des outils de traduction automatique. En cas de conflit entre le contenu d'une traduction et celui de la version originale en anglais, la version anglaise prévaudra.

User-managed configuration (3LO)

Avec la configuration gérée par l'utilisateur, vous vous connectez SharePoint directement à Amazon Bedrock Managed Knowledge Base qui gère l'authentification. Les utilisateurs peuvent terminer la configuration en quelques minutes.

Comment sont stockées vos informations d'identification

Avec une configuration gérée par l'utilisateur, vous ne créez ni ne fournissez de AWS Secrets Manager secret vous-même, et vous ne fournissez pas d'identifiant de locataire. Lorsque vous vous connectez, la base de connaissances gérée Amazon Bedrock crée un secret dans votre AWS compte à l'aide d'un ARN généré par le système et y stocke un jeton d'actualisation 3LO. La base de connaissances gérée Amazon Bedrock utilise le jeton d'actualisation pour obtenir et actualiser les jetons d'accès nécessaires pour accéder à la source de données.

Lorsque vous choisissez Se connecter, vous pouvez éventuellement fournir un préfixe de nom secret. La base de connaissances gérée Amazon Bedrock inclut ce préfixe dans l'ARN secret généré. La fourniture d'un préfixe vous permet de créer une politique IAM restreinte qui n'autorise l'accès qu'aux secrets portant ce préfixe. Vous pouvez mettre cette politique en place avant la création du jeton 3LO. Si vous ne fournissez pas de préfixe, le secret créé utilise le bedrock-managedkb-oauth préfixe.

L'ARN secret généré suit le modèle suivant :

arn:aws:secretsmanager:region:account-id:secret:bedrock-managedkb-oauth/your-prefix/connector-type/uuid

Autorisations pour l'appelant (CreateDataSource) : le principal IAM qui appelle CreateDataSource a besoin des autorisations suivantes sur le secret :

{
    "Effect": "Allow",
    "Action": [
        "secretsmanager:CreateSecret",
        "secretsmanager:GetSecretValue"
    ],
    "Resource": [
        "arn:aws:secretsmanager:region:account-id:secret:bedrock-managedkb-oauth/your-prefix/*"
    ]
}

Autorisations pour le rôle d'exécution : le rôle d'exécution de la base de connaissances nécessite un accès en lecture et en écriture au secret pour l'actualisation du jeton :

{
    "Effect": "Allow",
    "Action": [
        "secretsmanager:GetSecretValue",
        "secretsmanager:PutSecretValue"
    ],
    "Resource": [
        "arn:aws:secretsmanager:region:account-id:secret:bedrock-managedkb-oauth/your-prefix/*"
    ]
}

Vous pouvez créer des secrets 3LO et terminer le processus de consentement de l'utilisateur via la console Amazon Bedrock Knowledge Bases. Vous pouvez ensuite référencer ces AWS Secrets Manager entrées lors de la création d'un connecteur de données tiers (voirConnecter une source SharePoint de données). Ces entrées ne sont associées à aucune base de connaissances et peuvent être utilisées dans des bases de connaissances distinctes selon les besoins.

Avant de commencer

Avant de commencer, assurez-vous de disposer des éléments suivants :

La plupart des utilisateurs terminent la configuration sans aucune étape supplémentaire. Toutefois, si votre client Microsoft 365 restreint l'accès à des applications tierces, il se peut qu'une erreur s'affiche lorsque vous vous connectez. Dans ce cas, un administrateur Microsoft 365 doit accorder un consentement unique pour l'application Amazon Bedrock KB. Une fois le consentement accordé, n'importe quel utilisateur de votre organisation peut se connecter.

Si vous n'êtes pas administrateur de Microsoft 365, partagez les informations suivantes avec votre administrateur :

Accorder le consentement des administrateurs à l'échelle de l'organisation

Certaines fonctionnalités d'Amazon Bedrock KB nécessitent des autorisations déléguées de la part de Microsoft Entra. Par défaut, une boîte de dialogue de consentement Microsoft s'affiche la première fois que vous utilisez cette fonctionnalité. Un administrateur Microsoft 365 peut donner son consentement préalable au nom de l'ensemble de l'organisation. Une fois le consentement accordé, la boîte de dialogue de consentement ne vous est pas invitée. Il s'agit d'une action unique par application.

Le tableau suivant décrit l'expérience utilisateur avec et sans le consentement de l'administrateur.

Octroi du consentement via la boîte de dialogue de consentement

Le moyen le plus simple d'accorder le consentement de l'administrateur consiste à utiliser la boîte de dialogue de consentement Microsoft qui apparaît pendant le flux de fonctionnalités.

Cela donne le consentement aux autorisations déléguées demandées pour tous les utilisateurs de votre client Microsoft 365.

Octroi du consentement via le centre d'administration Microsoft Entra

Les administrateurs peuvent également accorder leur consentement directement depuis le centre d'administration Microsoft Entra.

Vérification du consentement

Une fois que vous avez accordé votre consentement, la page Autorisations de l'application d'entreprise affiche toutes les autorisations déléguées avec un indicateur d'état dans la colonne Consentement de l'administrateur.

Vérification des paramètres de consentement des locataires

Pour vérifier si votre locataire restreint le consentement de l'utilisateur, procédez comme suit.

Autorisations demandées

Les autorisations déléguées suivantes sont demandées lorsqu'un utilisateur se connecte. Partagez cette liste avec votre administrateur s'il a besoin de vérifier les autorisations avant de donner son consentement.

Résolution des problèmes

Si vous rencontrez des problèmes lors de la configuration gérée par l'utilisateur, comparez le symptôme au suivant.

Étapes suivantes

Une fois que vous avez terminé la configuration gérée par l'utilisateur, créez la source de données avec authType défini sur. MANAGED_OAUTH2 Consultez Connecter une source SharePoint de données.