翻訳は機械翻訳により提供されています。提供された翻訳内容と英語版の間で齟齬、不一致または矛盾がある場合、英語版が優先します。

# ユーザー管理のセットアップ (3LO)
<a name="kb-managed-confluence-3lo-setup"></a>

ユーザー管理の設定では、Confluence Cloud に直接サインインして接続を承認し、Amazon Bedrock Managed Knowledge Base が認証を処理します。ユーザーは数分でセットアップを完了できます。接続を承認したら、 を `authType`に設定してデータソースを作成します`MANAGED_OAUTH2`。「[Confluence データソースを接続する](kb-managed-ds-confluence-connect.md)」を参照してください。

**重要**  
ユーザー管理の設定では、ドキュメントレベルのアクセスコントロール (ACL) はサポートされていません。インデックス付きコンテンツはすべて、ナレッジベースのクエリにアクセスできるすべてのユーザーがアクセスできます。Confluence の個々のアクセス許可は強制されません。ナレッジベースを作成するときは、含めるコンテンツを慎重に確認してください。ドキュメントレベルのアクセスコントロールが必要な場合は、代わりに基本認証を使用します。「[Confluence の基本認証を設定する](kb-managed-confluence-basic-setup.md)」を参照してください。ドキュメントレベルのアクセスコントロールの詳細については、「」を参照してください[アクセスコントロールリストの意識向上の有効化](kb-managed-acl.md)。

## 認証情報の保存方法
<a name="kb-managed-confluence-3lo-secret"></a>

ユーザー管理の設定では、自分で AWS Secrets Manager シークレットを作成または提供することはありません。サインインすると、Amazon Bedrock Managed Knowledge Base はシステム生成 ARN を使用して AWS アカウントにシークレットを作成し、3LO 更新トークンを保存します。Amazon Bedrock Managed Knowledge Base は、更新トークンを使用して、データソースにアクセスするために必要に応じてアクセストークンを取得および更新します。

**サインイン**を選択すると、オプションで**シークレット名のプレフィックス**を指定できます。Amazon Bedrock マネージドナレッジベースには、生成されたシークレット ARN にこのプレフィックスが含まれています。プレフィックスを指定すると、そのプレフィックスを持つシークレットにのみアクセスを許可するスコープダウン IAM ポリシーを作成できます。3LO トークンを作成する前に、このポリシーを設定することができます。プレフィックスを指定しない場合、作成されたシークレットは `bedrock-managedkb-oauth` プレフィックスを使用します。

生成されたシークレット ARN は次のパターンに従います。

```
arn:aws:secretsmanager:{{region}}:{{account-id}}:secret:bedrock-managedkb-oauth/{{your-prefix}}/{{connector-type}}/{{uuid}}
```

**呼び出し元のアクセス許可 (CreateDataSource):** を呼び出す IAM プリンシパルには、シークレットに対する次のアクセス許可`CreateDataSource`が必要です。

```
{
    "Effect": "Allow",
    "Action": [
        "secretsmanager:CreateSecret",
        "secretsmanager:GetSecretValue"
    ],
    "Resource": [
        "arn:aws:secretsmanager:{{region}}:{{account-id}}:secret:bedrock-managedkb-oauth/{{your-prefix}}/*"
    ]
}
```

**実行ロールのアクセス許可:** ナレッジベースの実行ロールには、トークンの更新のためにシークレットへの読み取りおよび書き込みアクセスが必要です。

```
{
    "Effect": "Allow",
    "Action": [
        "secretsmanager:GetSecretValue",
        "secretsmanager:PutSecretValue"
    ],
    "Resource": [
        "arn:aws:secretsmanager:{{region}}:{{account-id}}:secret:bedrock-managedkb-oauth/{{your-prefix}}/*"
    ]
}
```

Amazon Bedrock ナレッジベースコンソールを使用して、3LO シークレットを作成し、ユーザー同意フローを完了できます。その後、サードパーティーのデータコネクタを作成するときにこれらの AWS Secrets Manager エントリを参照できます (「」を参照[Confluence データソースを接続する](kb-managed-ds-confluence-connect.md))。これらのエントリはナレッジベースに関連付けられておらず、必要に応じて個別のナレッジベースで使用できます。

ユーザー管理のセットアップ中に問題が発生した場合は、次のガイダンスを使用します。

## ブロックされた OAuth アプリ認可
<a name="kb-managed-confluence-3lo-blocked-app"></a>

**症状:**
+ エラーメッセージ：「アプリがアカウントにアクセスする前に、サイト管理者がサイト {{instance-name}}.atlassian.net に対してこのアプリを承認する必要があります。」
+ 同意ダイアログで**承諾**を選択しても効果はありません。

**原因**:

Atlassian サイト管理者が、ユーザーがインストールした OAuth アプリをブロックしました。この設定を有効にすると、サイトまたは組織の管理者のみが新しいサードパーティーアプリを承認できます。

**解決の手順:**

この問題を解決するには、次のいずれかのオプションを使用します。

**推奨される解決策: 管理者がアプリを直接承認する**

1. Atlassian サイト管理者は Amazon Bedrock KB に移動し、Confluence Cloud で新しいナレッジベースのセットアップを開始します。

1. 管理者にはサイトレベルのアクセス許可があるため、クリーンな同意画面がエラーなしで表示されます。

1. 管理者は **Accept** を選択してアプリをインストールします。

1. 管理者がアプリを承認すると、サイト上の他のすべてのユーザーが問題なく接続できます。

**代替 (非推奨): ユーザーインストールアプリを一時的に許可**する — 管理者は に移動し`admin.atlassian.com`、**アプリ**、**アトラシアンアプリ**に移動し、サードパーティーアプリと Marketplace アプリのリンクを選択します。**設定**で、**ユーザーインストールアプリを検索**し、ユーザーアプリを許可するように切り替えます。ユーザーが Amazon Bedrock KB を承認したら、設定を再び切り替えてユーザーアプリケーションをブロックします。

**警告**  
このアプローチにより、サイト全体のアプリ認可コントロールが一時的に無効になります。ブロック解除されている間、どのユーザーもサードパーティーの OAuth アプリを承認できます。可能な限り、推奨されるソリューション (管理者が直接認可) を使用します。

**重要**  
管理者認可は、組織ごとではなく、アトラシアンサイトごとに適用されます。会社に複数のサイト ( `team-a.atlassian.net`や など`team-b.atlassian.net`) がある場合は、サイトごとに個別の認可が必要です。

## 認証ポップアップが失敗する
<a name="kb-managed-confluence-3lo-popup-fails"></a>

**症状:**
+ 認証ポップアップはすぐには表示または閉じません。
+ ポップアップが表示されますが、OAuth フローを完了できません。

**解決の手順:**

1. ブラウザで Amazon Bedrock KB コンソールドメインからのポップアップが許可されていることを確認します。

1. Confluence Cloud インスタンスがネットワークからアクセス可能であることを確認します。

1. 別のブラウザを使用するか、ブラウザキャッシュをクリアしてみてください。