Le traduzioni sono generate tramite traduzione automatica. In caso di conflitto tra il contenuto di una traduzione e la versione originale in Inglese, quest'ultima prevarrà.

Configurare le credenziali del servizio

Prima di creare la knowledge base in Amazon Quick, completa i seguenti passaggi di configurazione in AWS e Microsoft Entra ID. Crei una chiave di firma KMS, generi un certificato, registri un'applicazione in Entra e concedi ad Amazon Quick l'autorizzazione all'uso della chiave.

Questa configurazione coinvolge più sistemi e potrebbe richiedere il coordinamento tra diversi amministratori dell'organizzazione. La tabella seguente riassume ogni passaggio e il ruolo necessario per completarlo.

Prerequisiti

Prima di iniziare, assicurati di disporre di:

Permissions

Le autorizzazioni assegnate dipendono da due scelte:

Scegli il tuo ambito di autorizzazione

Per impostazione predefinita, la registrazione all'app Entra utilizza Sites.Read.All orSites.FullControl.All, che consente l'accesso a tutti i SharePoint siti del tenant. Se la tua organizzazione richiede un accesso con privilegi minimi, puoi utilizzare invece. Sites.Selected ConSites.Selected, l'app può accedere solo ai siti a cui concedi esplicitamente l'autorizzazione.

Tutti i siti, solo contenuti (senza ACL)

Tutti i siti, con scansione ACL

Sites.Selected — solo contenuti (senza ACL)

Sites.Selected — con scansione ACL

Valori raccolti durante la configurazione

La tabella seguente riassume i valori che crei o raccogli durante l'installazione e dove li utilizzi.

Fase 1: Creare una chiave di firma AWS asimmetrica KMS

Amazon Quick utilizza una chiave asimmetrica AWS KMS per firmare asserzioni OAuth durante l'autenticazione con Microsoft Entra ID. La chiave privata non esce mai da KMS. Solo la chiave pubblica viene esportata e incorporata in un certificato che viene caricato nella registrazione dell'app Entra.

Crea la chiave KMS

Configura la chiave

Nella pagina Configura chiave, imposta i seguenti valori:

Aggiungere etichette

Nella pagina Aggiungi etichette, inserisci un alias per la chiave. Ad esempio: quick-sharepoint-service-auth.

Scegli Salta per rivedere, quindi scegli Fine per creare la chiave.

Registra l'ARN della chiave

Dopo aver creato la chiave, apri la pagina dei dettagli della chiave e registra l'ARN della chiave. L'ARN ha il formato seguente:

arn:aws:kms:us-west-2:123456789012:key/xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx

Questo valore è necessario nei passaggi 2, 4 e quando si crea la knowledge base in Quick.

Fase 2: Generazione di un certificato autofirmato

L'ID Microsoft Entra richiede un X.509 certificato per convalidare le asserzioni firmate. Poiché la chiave privata KMS non esce mai da AWS KMS, non è possibile utilizzarla direttamente con OpenSSL. Al contrario, si genera una coppia di key pair locale temporanea e si crea una richiesta di firma del certificato. Quindi, usa l'opzione -force_pubkey OpenSSL per iniettare la chiave pubblica KMS nel certificato finale. Il risultato è un certificato autofirmato la cui chiave pubblica corrisponde alla coppia di chiavi KMS.

Prerequisiti

Genera il certificato

Esegui i seguenti comandi in un terminale. Sostituisci i placeholder valori con i tuoi.

Verifica la versione di OpenSSL

openssl version

Conferma che l'output mostri la versione 3.0 o successiva.

Esporta la chiave pubblica KMS

aws kms get-public-key \
    --key-id KMS_KEY_ARN \
    --region REGION \
    --output text \
    --query PublicKey | base64 --decode > public_key.der

Converti la chiave pubblica in formato PEM

openssl rsa -pubin -inform DER -in public_key.der -outform PEM -out kms_public_key.pem

Genera una key pair locale temporanea

openssl genrsa -out temp_private_key.pem 2048

Crea una richiesta di firma del certificato

openssl req -new \
    -key temp_private_key.pem \
    -out cert.csr \
    -subj "/CN=QuickSharePointServiceAuth/O=YourOrganization/C=US"

Genera il certificato con la chiave pubblica KMS

openssl x509 -req \
    -in cert.csr \
    -signkey temp_private_key.pem \
    -out certificate.pem \
    -days 730 \
    -force_pubkey kms_public_key.pem

Converti in formato DER per il caricamento con Entra

openssl x509 -in certificate.pem -outform DER -out certificate.cer

Pulisci i file temporanei

rm -f temp_private_key.pem cert.csr public_key.der kms_public_key.pem certificate.pem

Calcola l'impronta digitale del certificato

Esegui il comando seguente per calcolare l'impronta digitale con codifica base64url SHA-1 del certificato:

openssl dgst -sha1 -binary certificate.cer | base64 | tr '+/' '-_' | tr -d '='

Registra questo valore. Lo inserisci quando crei la knowledge base in Quick.

Passaggio 3: registrare un'applicazione in Microsoft Entra ID

Questo passaggio è necessario indipendentemente dal fatto che si utilizzino le autorizzazioni per tutti i siti o. Sites.Selected L'unica differenza è rappresentata dalle autorizzazioni API assegnate nella sezione. Configura le autorizzazioni API

Registra l'applicazione

Registra i dettagli dell'applicazione

Nella pagina Panoramica dell'applicazione, registrate i seguenti valori:

Configura le autorizzazioni API

Aggiungi le autorizzazioni che corrispondono al tuo caso d'uso. Scegli le autorizzazioni dalle tabelle nella Permissions sezione. Basate la selezione sull'ambito delle autorizzazioni (o su tutti i siti Sites.Selected) e sull'eventuale attivazione della scansione ACL.

Solo contenuti: Microsoft Graph

Solo contenuto: SharePoint

Scansione ACL — Microsoft Graph (aggiuntivo)

Ricerca per indicizzazione ACL — SharePoint

Concedi il consenso dell'amministratore

Carica il certificato

Fase 3b: concedere le autorizzazioni a livello di sito (solo) Sites.Selected

Se hai scelto Sites.Selected come ambito di autorizzazione, devi concedere esplicitamente all'app Amazon Quick Entra l'accesso a ciascun SharePoint sito. Ciò richiede un'app di amministrazione temporanea con l'Sites.FullControl.Allautorizzazione a chiamare l'API Microsoft Graph.

Salta questo passaggio se utilizzi l'ambito di autorizzazione per tutti i siti (Sites.Read.AlloSites.FullControl.All).

Ottieni l'ID del sito per ogni sito SharePoint

È necessario l'ID del sito per ogni SharePoint sito a cui desideri concedere l'accesso. Per ottenere un Site ID:

Ripetere l'operazione per ogni sito che si desidera includere nella knowledge base.

Crea un'app di amministrazione temporanea

L'app di amministrazione viene utilizzata solo per concedere autorizzazioni a livello di sito alla tua app Amazon Quick. Puoi eliminarla dopo aver completato questo passaggio.

Ottieni un token di accesso

Usa le credenziali dell'app di amministrazione per recuperare un token OAuth da Microsoft Entra. Sostituisci i placeholder valori con l'ID client, il valore segreto e l'ID tenant dell'app di amministrazione.

macOS e Linux (bash)

curl -s --location "https://login.microsoftonline.com/TENANT_ID/oauth2/v2.0/token" \
  --header "Content-Type: application/x-www-form-urlencoded" \
  --data-urlencode "grant_type=client_credentials" \
  --data-urlencode "client_id=ADMIN_APP_CLIENT_ID" \
  --data-urlencode "client_secret=ADMIN_APP_SECRET_VALUE" \
  --data-urlencode "scope=https://graph.microsoft.com/.default"

Windows () PowerShell

$tokenResponse = Invoke-RestMethod `
  -Uri "https://login.microsoftonline.com/TENANT_ID/oauth2/v2.0/token" `
  -Method Post `
  -ContentType "application/x-www-form-urlencoded" `
  -Body @{
    grant_type    = "client_credentials"
    client_id     = "ADMIN_APP_CLIENT_ID"
    client_secret = "ADMIN_APP_SECRET_VALUE"
    scope         = "https://graph.microsoft.com/.default"
  }
$adminToken = $tokenResponse.access_token

La risposta contiene un access_token campo. Registra questo valore per il passaggio successivo.

Concedi autorizzazioni a livello di sito

Usa il token di amministrazione per concedere all'app Amazon Quick Entra fullcontrol l'accesso a ogni SharePoint sito. Sostituisci i placeholder valori con l'ID del sito, il token di amministrazione, l'ID dell'app client e il nome visualizzato dello Step 3.

macOS e Linux (bash)

curl -s --location "https://graph.microsoft.com/v1.0/sites/SITE_ID/permissions" \
  --header "Content-Type: application/json" \
  --header "Authorization: Bearer ADMIN_TOKEN" \
  --data '{
    "roles": ["fullcontrol"],
    "grantedToIdentities": [{
      "application": {
        "id": "CLIENT_APP_ID",
        "displayName": "CLIENT_APP_NAME"
      }
    }]
  }'

Windows () PowerShell

$body = @{
    roles = @("fullcontrol")
    grantedToIdentities = @(
        @{
            application = @{
                id          = "CLIENT_APP_ID"
                displayName = "CLIENT_APP_NAME"
            }
        }
    )
} | ConvertTo-Json -Depth 10

Invoke-RestMethod `
  -Uri "https://graph.microsoft.com/v1.0/sites/SITE_ID/permissions" `
  -Method Post `
  -Headers @{
    "Content-Type"  = "application/json"
    "Authorization" = "Bearer $adminToken"
  } `
  -Body $body

Una risposta corretta include "roles": ["fullcontrol"] l'ID dell'app client nel grantedToIdentities campo.

Eliminazione

Dopo aver concesso le autorizzazioni a tutti i siti richiesti, puoi eliminare l'app di amministrazione temporanea dall'interfaccia di amministrazione di Microsoft Entra. Le autorizzazioni a livello di sito concesse rimangono valide indipendentemente dall'app di amministrazione.

Fase 4: concedere ad Amazon Quick l'autorizzazione per la chiave KMS

Amazon Quick necessita dell'autorizzazione per utilizzare la chiave KMS per firmare le asserzioni OAuth. Concedi questa autorizzazione dalla console di amministrazione di Amazon Quick.

Fasi successive

Dopo aver completato la configurazione, crea la connessione alla knowledge base SharePoint online in Amazon Quick. Per istruzioni, consulta Crea la knowledge base in Amazon Quick.