Le traduzioni sono generate tramite traduzione automatica. In caso di conflitto tra il contenuto di una traduzione e la versione originale in Inglese, quest'ultima prevarrà.

User-managed configurazione (3LO)

Con la configurazione gestita dall'utente, accedi SharePoint direttamente e Amazon Bedrock Managed Knowledge Base gestisce l'autenticazione. Gli utenti possono completare la configurazione in pochi minuti.

Come vengono archiviate le credenziali

Con la configurazione gestita dall'utente, non crei o fornisci tu stesso un AWS Secrets Manager segreto e non fornisci un ID tenant. Quando effettui l'accesso, Amazon Bedrock Managed Knowledge Base crea un segreto nel tuo AWS account con un ARN generato dal sistema e vi memorizza un token di aggiornamento 3LO. Amazon Bedrock Managed Knowledge Base utilizza il token di aggiornamento per ottenere e aggiornare i token di accesso secondo necessità per accedere all'origine dati.

Quando scegli Accedi, puoi opzionalmente fornire un prefisso di nome segreto. Amazon Bedrock Managed Knowledge Base include questo prefisso nell'ARN segreto generato. Fornire un prefisso consente di creare una policy IAM ridotta che concede l'accesso solo ai segreti con quel prefisso. Puoi mettere in atto questa policy prima della creazione del token 3LO. Se non fornisci un prefisso, il segreto creato utilizza il bedrock-managedkb-oauth prefisso.

L'ARN segreto generato segue questo schema:

arn:aws:secretsmanager:region:account-id:secret:bedrock-managedkb-oauth/your-prefix/connector-type/uuid

Autorizzazioni per il chiamante (CreateDataSource): il principale IAM che chiama CreateDataSource necessita delle seguenti autorizzazioni sul segreto:

{
    "Effect": "Allow",
    "Action": [
        "secretsmanager:CreateSecret",
        "secretsmanager:GetSecretValue"
    ],
    "Resource": [
        "arn:aws:secretsmanager:region:account-id:secret:bedrock-managedkb-oauth/your-prefix/*"
    ]
}

Autorizzazioni per il ruolo di esecuzione: il ruolo di esecuzione della knowledge base richiede l'accesso in lettura e scrittura al segreto per l'aggiornamento del token:

{
    "Effect": "Allow",
    "Action": [
        "secretsmanager:GetSecretValue",
        "secretsmanager:PutSecretValue"
    ],
    "Resource": [
        "arn:aws:secretsmanager:region:account-id:secret:bedrock-managedkb-oauth/your-prefix/*"
    ]
}

Puoi creare segreti 3LO e completare il flusso di consenso dell'utente tramite la console Amazon Bedrock Knowledge Bases. Puoi quindi fare riferimento a queste AWS Secrets Manager voci quando crei un connettore dati di terze parti (vediConnetti una fonte di SharePoint dati). Queste voci non sono associate ad alcuna knowledge base e possono essere utilizzate in diverse knowledge base, se necessario.

Prima di iniziare

Prima di iniziare, assicurati di disporre di:

La maggior parte degli utenti completa la configurazione senza passaggi aggiuntivi. Tuttavia, se il tenant di Microsoft 365 limita l'accesso alle app di terze parti, potresti visualizzare un errore al momento dell'accesso. In questo caso, un amministratore di Microsoft 365 deve concedere il consenso una tantum per l'applicazione Amazon Bedrock KB. Una volta concesso il consenso, qualsiasi utente della tua organizzazione può connettersi.

Se non sei un amministratore di Microsoft 365, condividi le seguenti informazioni con il tuo amministratore:

Concedi il consenso dell'amministratore a livello di organizzazione

Alcune funzionalità di Amazon Bedrock KB richiedono autorizzazioni delegate da Microsoft Entra. Per impostazione predefinita, viene visualizzata una finestra di dialogo di consenso Microsoft la prima volta che si utilizza la funzionalità. Un amministratore di Microsoft 365 può fornire il consenso preliminare per conto dell'intera organizzazione. Dopo la concessione del consenso, non viene visualizzata la finestra di dialogo del consenso. Si tratta di un'azione una tantum per applicazione.

La tabella seguente descrive l'esperienza utente con e senza il consenso dell'amministratore.

Concessione del consenso tramite la finestra di dialogo del consenso

Il modo più semplice per concedere il consenso dell'amministratore è tramite la finestra di dialogo di consenso Microsoft visualizzata durante il flusso delle funzionalità.

Ciò garantisce il consenso per le autorizzazioni delegate richieste per tutti gli utenti del tenant di Microsoft 365.

Concessione del consenso tramite l'interfaccia di amministrazione di Microsoft Entra

Gli amministratori possono anche concedere il consenso direttamente dall'interfaccia di amministrazione di Microsoft Entra.

Verifica del consenso

Dopo aver concesso il consenso, la pagina Autorizzazioni dell'applicazione aziendale mostra tutte le autorizzazioni delegate con un indicatore di stato nella colonna Consenso dell'amministratore.

Verifica delle impostazioni di consenso degli inquilini

Per verificare se il tuo tenant limita il consenso dell'utente, completa i passaggi seguenti.

Autorizzazioni richieste

Le seguenti autorizzazioni delegate vengono richieste quando un utente accede. Condividi questo elenco con il tuo amministratore se ha bisogno di rivedere le autorizzazioni prima di concedere il consenso.

Risoluzione dei problemi

Se riscontri problemi durante la configurazione gestita dall'utente, confronta il sintomo con quanto segue.

Fasi successive

Dopo aver completato la configurazione gestita dall'utente, crea l'origine dati impostando su. authType MANAGED_OAUTH2 Per informazioni, consulta Connetti una fonte di SharePoint dati.