View a markdown version of this page

ユーザー管理のセットアップ (3LO) - Amazon Bedrock
認証情報の保存方法[開始する前に]組織全体の管理者の同意を付与するリクエストされたアクセス許可トラブルシューティング次の手順

翻訳は機械翻訳により提供されています。提供された翻訳内容と英語版の間で齟齬、不一致または矛盾がある場合、英語版が優先します。

ユーザー管理のセットアップ (3LO)

ユーザー管理の設定では、SharePoint に直接サインインし、Amazon Bedrock Managed Knowledge Base が認証を処理します。ユーザーは数分でセットアップを完了できます。

重要

ユーザー管理の設定では、ドキュメントレベルのアクセスコントロール (ACL) はサポートされていません。インデックス付きコンテンツはすべて、ナレッジベースのクエリにアクセスできるすべてのユーザーがアクセスできます。SharePoint の個々のアクセス許可は強制されません。ナレッジベースを作成するときは、含めるコンテンツを慎重に確認してください。ドキュメントレベルのアクセスコントロールが必要な場合は、代わりに Microsoft Entra ID App-Only 認証を使用します。「SharePoint の Microsoft Entra ID アプリ専用認証を設定する」を参照してください。ドキュメントレベルのアクセスコントロールの詳細については、「」を参照してくださいアクセスコントロールリストの意識向上の有効化。

認証情報の保存方法

ユーザー管理の設定では、自分で AWS Secrets Manager シークレットを作成または提供したり、テナント ID を指定したりすることはありません。サインインすると、Amazon Bedrock Managed Knowledge Base はシステム生成 ARN を使用して AWS アカウントにシークレットを作成し、3LO 更新トークンを保存します。Amazon Bedrock Managed Knowledge Base は、更新トークンを使用して、データソースにアクセスするために必要に応じてアクセストークンを取得および更新します。

サインインを選択すると、オプションでシークレット名のプレフィックスを指定できます。Amazon Bedrock マネージドナレッジベースには、生成されたシークレット ARN にこのプレフィックスが含まれています。プレフィックスを指定すると、そのプレフィックスを持つシークレットにのみアクセスを許可するスコープダウン IAM ポリシーを作成できます。3LO トークンを作成する前に、このポリシーを設定することができます。プレフィックスを指定しない場合、作成されたシークレットは bedrock-managedkb-oauth プレフィックスを使用します。

生成されたシークレット ARN は次のパターンに従います。

arn:aws:secretsmanager:region:account-id:secret:bedrock-managedkb-oauth/your-prefix/connector-type/uuid

呼び出し元のアクセス許可 (CreateDataSource): を呼び出す IAM プリンシパルには、シークレットに対する次のアクセス許可CreateDataSourceが必要です。

{
    "Effect": "Allow",
    "Action": [
        "secretsmanager:CreateSecret",
        "secretsmanager:GetSecretValue"
    ],
    "Resource": [
        "arn:aws:secretsmanager:region:account-id:secret:bedrock-managedkb-oauth/your-prefix/*"
    ]
}

実行ロールのアクセス許可: ナレッジベースの実行ロールには、トークンの更新のためにシークレットへの読み取りおよび書き込みアクセスが必要です。

{
    "Effect": "Allow",
    "Action": [
        "secretsmanager:GetSecretValue",
        "secretsmanager:PutSecretValue"
    ],
    "Resource": [
        "arn:aws:secretsmanager:region:account-id:secret:bedrock-managedkb-oauth/your-prefix/*"
    ]
}

Amazon Bedrock ナレッジベースコンソールを使用して、3LO シークレットを作成し、ユーザー同意フローを完了できます。その後、サードパーティーのデータコネクタを作成するときにこれらの AWS Secrets Manager エントリを参照できます (「」を参照SharePoint データソースを接続する)。これらのエントリはナレッジベースに関連付けられておらず、必要に応じて個別のナレッジベースで使用できます。

[開始する前に]

作業を開始する前に、次の項目があることを確認します。

  • インデックスを作成する SharePoint サイトにアクセスできる Microsoft 365 アカウント。

  • ナレッジベースを作成するアクセス許可を持つ Amazon Bedrock へのアクセス。

  • Amazon Bedrock ナレッジベースコンソールドメインからのポップアップを許可するブラウザ。

ほとんどのユーザーは、追加の手順なしでセットアップを完了します。ただし、Microsoft 365 テナントがサードパーティーアプリへのアクセスを制限している場合、サインイン時にエラーが表示されることがあります。この場合、Microsoft 365 管理者は Amazon Bedrock KB アプリケーションに対して 1 回限りの同意を付与する必要があります。同意が付与されると、組織内のすべてのユーザーが接続できます。

Microsoft 365 管理者でない場合は、次の情報を管理者と共有します。

  • 対処方法: Amazon Bedrock KB SharePoint アプリケーションに対する管理者の同意を付与します。

  • 理由: Amazon Bedrock KB では、ナレッジベースのコンテンツのインデックスを作成するために、SharePoint サイトとファイルへの委任読み取りアクセスが必要です。

一部の Amazon Bedrock KB 機能には、Microsoft Entra からの委任されたアクセス許可が必要です。デフォルトでは、この機能を初めて使用すると Microsoft の同意ダイアログが表示されます。Microsoft 365 管理者は、組織全体に代わって事前同意できます。同意が付与されると、同意ダイアログは表示されません。これはアプリケーションごとに 1 回限りのアクションです。

注記

Microsoft 365 テナントがサードパーティーアプリケーションのユーザーの同意を制限するように設定されている場合、管理者の同意はオプションではなく必須です。これがないと、ユーザーがこの機能を使用しようとするとエラーが表示されます。

次の表は、管理者の同意の有無にかかわらず、ユーザーエクスペリエンスを示しています。

管理者の同意シナリオ
シナリオ ユーザーエクスペリエンス
管理者の同意が付与されていない 各ユーザーには、初回使用時に Microsoft アクセス許可の同意ダイアログが表示されます。テナントがサードパーティーアプリに対するユーザーの同意を制限している場合、ユーザーはブロックされる可能性があります。
管理者の同意の付与 ユーザーは同意を求められません。この機能は、組織内のすべてのユーザーに対してすぐに機能します。

管理者の同意を付与する最も簡単な方法は、機能フロー中に表示される Microsoft の同意ダイアログを使用することです。

同意ダイアログを使用して同意を付与するには

  1. グローバル管理者または特権ロール管理者に、同意ダイアログをトリガーする機能フローを開始してもらいます。

  2. Microsoft サインインダイアログで、組織に代わって同意チェックボックスをオンにします。

  3. [Accept (承諾)] を選択します。

これにより、Microsoft 365 テナントのすべてのユーザーに、リクエストされた委任されたアクセス許可に対する同意が付与されます。

管理者は、Microsoft Entra 管理センターから直接同意を付与することもできます。

Microsoft Entra 管理センターを通じて同意を付与するには

  1. Microsoft ウェブサイトの Microsoft Entra 管理センターにサインインします。

  2. 左側のナビゲーションペインで、Entra ID を展開し、エンタープライズアプリケーションを選択します。

  3. Amazon Bedrock KB 機能のエンタープライズアプリケーションを見つけます。

    注記

    アプリケーション名は、ユーザーがこの機能を初めて使用する場合に表示される同意ダイアログに表示されます。

  4. 左側のナビゲーションペインで、を選択します。

  5. 組織の管理者同意を付与を選択します。

  6. 同意を確認します。

同意を付与すると、エンタープライズアプリケーションのアクセス許可ページには、委任されたアクセス許可がすべて表示され、管理者の同意列にステータスインジケータが表示されます。

注記

管理者が組織の同意を付与すると、Microsoft Entra はテナントにエンタープライズアプリケーション (サービスプリンシパル) を自動的に作成します。アクセスを取り消すには、Microsoft Entra 管理センターのエンタープライズアプリケーションからこのサービスプリンシパルを無効化または削除します。

テナントの同意設定の確認

テナントがユーザーの同意を制限するかどうかを確認するには、次の手順を実行します。

テナントの同意設定を確認するには

  1. Microsoft Entra 管理センターで、Entra ID、エンタープライズアプリケーション、同意とアクセス許可、ユーザー同意設定を選択します。

  2. 設定が ユーザーの同意を許可しない場合、管理者はユーザーがこの機能を使用する前に同意を付与する必要があります。

リクエストされたアクセス許可

ユーザーがサインインすると、次の委任されたアクセス許可がリクエストされます。同意する前にアクセス許可を確認する必要がある場合は、このリストを管理者と共有します。

ユーザー管理のセットアップ — アクセス許可
アクセス許可 API 型 説明
Sites.Read.All Microsoft Graph 委任済み すべてのサイトコレクションのドキュメントを読み取り、項目を一覧表示します。
User.Read Microsoft Graph 委任済み サインインしてユーザーのプロファイルを読みます。
offline_access Microsoft Graph 委任済み 更新トークンを使用してアクセスを維持します。
AllSites.Read Office 365 SharePoint Online 委任済み すべてのサイトコレクションの項目を読み込みます。

トラブルシューティング

ユーザー管理の設定中に問題が発生した場合は、症状を以下と照合します。

ユーザー管理のセットアップの問題
問題 原因と解決方法
管理者によってブロックされたアプリ Microsoft 365 テナントは、サードパーティーアプリへのアクセスを制限します。Microsoft 365 管理者に管理者の同意を求める。詳細については、「組織全体の管理者の同意を付与する」を参照してください。
サインインウィンドウは完了せずに閉じます ブラウザが Amazon Bedrock KB コンソールドメインからのポップアップを許可し、サードパーティー Cookie が有効になっていることを確認します。
欠落しているコンテンツ 認証に使用したアカウントが、選択したファイルとフォルダにアクセスできることを確認します。最初の同期後に共有されたコンテンツには、インデックスの再同期が必要です。

次の手順

ユーザー管理のセットアップが完了したら、 を authTypeに設定してデータソースを作成しますMANAGED_OAUTH2。「SharePoint データソースを接続する」を参照してください。