Les traductions sont fournies par des outils de traduction automatique. En cas de conflit entre le contenu d'une traduction et celui de la version originale en anglais, la version anglaise prévaudra.

Configurer les informations d'identification du service

Avant de créer la base de connaissances dans Amazon Quick, effectuez les étapes de configuration suivantes dans AWS un identifiant Microsoft Entra. Vous créez une clé de signature KMS, générez un certificat, enregistrez une application dans Entra et autorisez Amazon Quick à utiliser la clé.

Cette configuration implique plusieurs systèmes et peut nécessiter une coordination entre les différents administrateurs de votre organisation. Le tableau suivant récapitule chaque étape et le rôle requis pour la réaliser.

Conditions préalables

Avant de commencer, assurez-vous de disposer des éléments suivants :

Permissions

Les autorisations que vous attribuez dépendent de deux choix :

Choisissez le champ d'application de votre autorisation

Par défaut, l'enregistrement de l'application Entra utilise Sites.Read.All ouSites.FullControl.All, qui donne accès à tous les SharePoint sites de votre locataire. Si votre organisation a besoin d'un accès avec le moindre privilège, vous pouvez l'utiliser Sites.Selected à la place. AvecSites.Selected, l'application ne peut accéder qu'aux sites auxquels vous accordez explicitement l'autorisation.

Tous les sites — contenu uniquement (pas d'ACL)

Tous les sites, avec exploration ACL

Sites.Selected — contenu uniquement (pas d'ACL)

Sites.Selected — avec exploration ACL

Valeurs collectées lors de la configuration

Le tableau suivant récapitule les valeurs que vous créez ou collectez lors de la configuration et indique où vous les utilisez.

Étape 1 : Création d'une clé de signature asymétrique AWS KMS

Amazon Quick utilise une clé asymétrique AWS KMS pour signer les assertions OAuth lors de l'authentification avec l'identifiant Microsoft Entra. La clé privée ne quitte jamais KMS. Seule la clé publique est exportée et intégrée dans un certificat qui est téléchargé lors de l'enregistrement de votre application Entra.

Création de la clé KMS

Configuration de la clé

Sur la page Configurer la clé, définissez les valeurs suivantes :

Ajouter des étiquettes

Sur la page Ajouter des étiquettes, entrez un alias pour la clé. Par exemple : quick-sharepoint-service-auth.

Choisissez Ignorer pour passer en revue, puis Terminer pour créer la clé.

Enregistrez l'ARN de la clé

Une fois la clé créée, ouvrez la page détaillée de la clé et enregistrez l'ARN de la clé. L'ARN a le format suivant :

arn:aws:kms:us-west-2:123456789012:key/xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx

Vous avez besoin de cette valeur aux étapes 2, 4 et lorsque vous créez la base de connaissances dans Quick.

Étape 2 : générer un certificat auto-signé

L'identifiant Microsoft Entra nécessite un X.509 certificat pour valider les assertions signées. Comme la clé privée KMS ne quitte jamais AWS KMS, vous ne pouvez pas l'utiliser directement avec OpenSSL. Au lieu de cela, vous générez une paire de clés locales temporaire et créez une demande de signature de certificat. Utilisez ensuite l'option -force_pubkey OpenSSL pour injecter la clé publique KMS dans le certificat final. Le résultat est un certificat auto-signé dont la clé publique correspond à la paire de clés KMS.

Conditions préalables

Générez le certificat

Exécutez les commandes suivantes dans un terminal. Remplacez les placeholder valeurs par les vôtres.

Vérifiez la version d'OpenSSL

openssl version

Vérifiez que la sortie indique la version 3.0 ou ultérieure.

Exporter la clé publique KMS

aws kms get-public-key \
    --key-id KMS_KEY_ARN \
    --region REGION \
    --output text \
    --query PublicKey | base64 --decode > public_key.der

Convertir la clé publique au format PEM

openssl rsa -pubin -inform DER -in public_key.der -outform PEM -out kms_public_key.pem

Génération d'une paire de clés locales temporaire

openssl genrsa -out temp_private_key.pem 2048

Création d'une demande de signature de certificat

openssl req -new \
    -key temp_private_key.pem \
    -out cert.csr \
    -subj "/CN=QuickSharePointServiceAuth/O=YourOrganization/C=US"

Générez le certificat avec la clé publique KMS

openssl x509 -req \
    -in cert.csr \
    -signkey temp_private_key.pem \
    -out certificate.pem \
    -days 730 \
    -force_pubkey kms_public_key.pem

Convertir au format DER pour le téléchargement d'Entra

openssl x509 -in certificate.pem -outform DER -out certificate.cer

Nettoyer les fichiers temporaires

rm -f temp_private_key.pem cert.csr public_key.der kms_public_key.pem certificate.pem

Calculer l'empreinte numérique du certificat

Exécutez la commande suivante pour calculer l'empreinte numérique codée en base64url SHA-1 du certificat :

openssl dgst -sha1 -binary certificate.cer | base64 | tr '+/' '-_' | tr -d '='

Enregistrez cette valeur. Vous le saisissez lorsque vous créez la base de connaissances dans Quick.

Étape 3 : enregistrer une application dans Microsoft Entra ID

Cette étape est obligatoire, que vous utilisiez les autorisations de tous les sites ouSites.Selected. La seule différence réside dans les autorisations d'API que vous attribuez dans la Configurer les autorisations d'API section.

Enregistrez l'application

Enregistrer les détails de la demande

Sur la page de présentation de l'application, enregistrez les valeurs suivantes :

Configurer les autorisations d'API

Ajoutez les autorisations correspondant à votre cas d'utilisation. Choisissez les autorisations dans les tableaux de la Permissions section. Basez votre sélection sur l'étendue de vos autorisations (tous les sites ou Sites.Selected) et sur l'activation ou non de l'exploration des ACL.

Contenu uniquement — Microsoft Graph

Contenu uniquement — SharePoint

Exploration des ACL — Microsoft Graph (supplémentaire)

Exploration des ACL — SharePoint

Donner le consentement de l'administrateur

Téléchargez le certificat

Étape 3b : accorder des autorisations au niveau du site (uniquement) Sites.Selected

Si vous avez Sites.Selected défini l'étendue de votre autorisation, vous devez explicitement accorder à votre application Amazon Quick Entra l'accès à chaque SharePoint site. Cela nécessite une application d'administration temporaire Sites.FullControl.All autorisée à appeler l'API Microsoft Graph.

Ignorez cette étape si vous utilisez le champ d'autorisation pour tous les sites (Sites.Read.AllouSites.FullControl.All).

Obtenez l'ID de site pour chaque SharePoint site

Vous avez besoin de l'ID de site pour chaque SharePoint site auquel vous souhaitez accorder l'accès. Pour obtenir un identifiant de site :

Répétez cette procédure pour chaque site que vous souhaitez inclure dans la base de connaissances.

Création d'une application d'administration temporaire

L'application d'administration est uniquement utilisée pour accorder des autorisations au niveau du site à votre application Amazon Quick. Vous pouvez le supprimer après avoir effectué cette étape.

Obtenez un jeton d'accès

Utilisez les informations d'identification de l'application d'administration pour récupérer un jeton OAuth auprès de Microsoft Entra. Remplacez les placeholder valeurs par l'ID client, la valeur secrète et l'ID du locataire de votre application d'administration.

macOS et Linux (bash)

curl -s --location "https://login.microsoftonline.com/TENANT_ID/oauth2/v2.0/token" \
  --header "Content-Type: application/x-www-form-urlencoded" \
  --data-urlencode "grant_type=client_credentials" \
  --data-urlencode "client_id=ADMIN_APP_CLIENT_ID" \
  --data-urlencode "client_secret=ADMIN_APP_SECRET_VALUE" \
  --data-urlencode "scope=https://graph.microsoft.com/.default"

Fenêtres (PowerShell)

$tokenResponse = Invoke-RestMethod `
  -Uri "https://login.microsoftonline.com/TENANT_ID/oauth2/v2.0/token" `
  -Method Post `
  -ContentType "application/x-www-form-urlencoded" `
  -Body @{
    grant_type    = "client_credentials"
    client_id     = "ADMIN_APP_CLIENT_ID"
    client_secret = "ADMIN_APP_SECRET_VALUE"
    scope         = "https://graph.microsoft.com/.default"
  }
$adminToken = $tokenResponse.access_token

La réponse contient un access_token champ. Enregistrez cette valeur pour l'étape suivante.

Accorder des autorisations au niveau du site

Utilisez le jeton d'administration pour autoriser votre application Amazon Quick Entra à fullcontrol accéder à chaque SharePoint site. Remplacez les placeholder valeurs par votre identifiant de site, votre jeton d'administration, ainsi que l'identifiant et le nom d'affichage de l'application cliente indiqués à l'étape 3.

macOS et Linux (bash)

curl -s --location "https://graph.microsoft.com/v1.0/sites/SITE_ID/permissions" \
  --header "Content-Type: application/json" \
  --header "Authorization: Bearer ADMIN_TOKEN" \
  --data '{
    "roles": ["fullcontrol"],
    "grantedToIdentities": [{
      "application": {
        "id": "CLIENT_APP_ID",
        "displayName": "CLIENT_APP_NAME"
      }
    }]
  }'

Fenêtres (PowerShell)

$body = @{
    roles = @("fullcontrol")
    grantedToIdentities = @(
        @{
            application = @{
                id          = "CLIENT_APP_ID"
                displayName = "CLIENT_APP_NAME"
            }
        }
    )
} | ConvertTo-Json -Depth 10

Invoke-RestMethod `
  -Uri "https://graph.microsoft.com/v1.0/sites/SITE_ID/permissions" `
  -Method Post `
  -Headers @{
    "Content-Type"  = "application/json"
    "Authorization" = "Bearer $adminToken"
  } `
  -Body $body

Une réponse réussie inclut "roles": ["fullcontrol"] l'ID de l'application cliente dans le grantedToIdentities champ.

Nettoyage

Après avoir accordé les autorisations à tous les sites requis, vous pouvez supprimer l'application d'administration temporaire du centre d'administration Microsoft Entra. Les autorisations que vous avez accordées au niveau du site restent en vigueur indépendamment de l'application d'administration.

Étape 4 : accorder à Amazon Quick l'autorisation d'accéder à la clé KMS

Amazon Quick a besoin d'une autorisation pour utiliser la clé KMS pour signer des assertions OAuth. Vous accordez cette autorisation depuis la console d'administration Amazon Quick.

Étapes suivantes

Une fois la configuration terminée, créez la connexion à la base de connaissances SharePoint en ligne dans Amazon Quick. Pour obtenir des instructions, veuillez consulter Création de la base de connaissances dans Amazon Quick.