翻訳は機械翻訳により提供されています。提供された翻訳内容と英語版の間で齟齬、不一致または矛盾がある場合、英語版が優先します。

# サービス認証情報の設定
<a name="onedrive-kb-admin-config"></a>

Amazon Quick でナレッジベースを作成する前に、AWSおよび Microsoft Entra ID で以下の設定ステップを完了します。KMS 署名キーを作成し、証明書を生成して Entra にアプリケーションを登録し、そのキーを使用するためのアクセス許可を Amazon Quick に付与します。

この設定には複数のシステムが含まれており、組織内の異なる管理者間の調整が必要になる場合があります。次の表は、各ステップとその完了に必要なロールをまとめたものです。


**セットアップステップとロール**  

| Step | 行うこと | 必要なロール | 
| --- | --- | --- | 
| 1. KMS キー | KMS AWSで非対称署名キーを作成します。 | AWS管理者 (KMS および IAM コンソールアクセス) | 
| 2. 証明書 | KMS パブリックキーを使用して自己署名証明書を生成します。 | ステップ 1 と同じ (AWS CLI および OpenSSL が必要) | 
| 3. Entra アプリ | Microsoft Entra にアプリケーションを登録し、API アクセス許可を割り当て、証明書をアップロードします。 | Microsoft 365 グローバル管理者または特権ロール管理者 | 
| 4. KMS キーアクセス | 署名に KMS キーを使用するためのアクセス許可を Amazon Quick に付与します。 | Amazon Quick Administrator (Admin Pro) | 
| 5. KB の作成 | 前のステップの認証情報を使用して、Amazon Quick でナレッジベースを作成します。 | Amazon Quick ユーザー (Author Pro または Admin Pro) | 

**ヒント**  
多くの組織では、AWSと Microsoft 365 管理者アクセスの両方を持つ 1 人のユーザーがすべてのステップを完了できます。責任がチーム間で分担されている場合は、このテーブルを共有してセットアップを調整します。

## 前提条件
<a name="onedrive-kb-admin-config-prerequisites"></a>

作業を開始する前に、以下の準備が整っていることを確認します。
+ アクティブな Amazon Quick インスタンスを持つAWSアカウント。
+ KMS AWSコンソールへのアクセス (署名キーの作成用）。
+ KMS キーアクセス許可を付与するための Amazon Quick Administrator アクセス (Admin Pro ロール）。
+ OneDrive を使用する Microsoft 365 テナント。
+ Microsoft Entra ID のグローバル管理者または特権ロール管理者アクセス。
+ OpenSSL 3.0 以降と CLI AWSがローカルにインストールされている。
+ AWSアカウントと Amazon Quick インスタンスは同じリージョンに存在する必要があります。

## アクセス許可
<a name="onedrive-kb-admin-config-permissions"></a>

管理者管理のセットアップは、組織内のすべてのユーザーの OneDrive コンテンツをクロールし、常にドキュメントレベルのアクセスコントロールを適用します。Entra アプリの登録には、次の Microsoft Graph アプリケーションのアクセス許可が必要です。


**管理者管理のセットアップ許可**  

| アクセス許可 | タイプ | 目的 | 
| --- | --- | --- | 
| Files.Read.All | アプリケーション | すべてのユーザーの OneDrive コンテンツのファイルを読み取ります。 | 
| Sites.Read.All | アプリケーション | テナント全体の OneDrive ドライブを列挙して読み取ります。OneDrive for Business は SharePoint でホストされているため、このアクセス許可は各ユーザーのドライブにアクセスするために必要です。 | 
| User.Read.All | アプリケーション | ユーザープロファイルを読み取り、ドキュメントレベルのアクセスコントロールを解決します。 | 
| Group.Read.All | アプリケーション | グループオブジェクトを読み取り、グループベースのアクセスコントロールを解決します。 | 
| GroupMember.Read.All | アプリケーション | グループメンバーシップを読み取り、ドキュメントレベルのアクセスコントロールを解決します。 | 

**重要**  
Entra でこれらの**アクセス許可を割り当てるときは、委任されたアクセス許可ではなく、アプリケーションの**アクセス許可タブを選択します。 ****管理者管理のセットアップでは、アプリケーションのアクセス許可を必要とするクライアント認証情報フローを使用します。

**注記**  
OneNote クローリング (`Notes.Read.All`) は、管理者管理のセットアップではサポートされていません。Microsoft は、2025 年 3 月 31 日に OneNote APIs のアプリケーション専用トークンを廃止しました。OneNote コンテンツ[ユーザー管理のセットアップ](onedrive-kb-user-managed.md)に を使用します。

## セットアップ中に収集された値
<a name="onedrive-kb-admin-config-values"></a>

次の表は、セットアップ中に作成または収集する値とその使用場所をまとめたものです。


**値リファレンス**  

| 値 | ステップで作成 | ステップで使用する | 
| --- | --- | --- | 
| KMS キー ARN | 1 (KMS) | 2 (証明書）、4 (IAM)、クイックセットアップ | 
| 証明書ファイル (certificate.cer) | 2 (証明書) | 3 (Entra アップロード) | 
| 証明書サムプリント (base64url) | 2 (証明書) | Quick Setup | 
| アプリケーション (クライアント) ID | 3 (Entra) | Quick Setup | 
| ディレクトリ (テナント) ID | 3 (Entra) | Quick Setup | 

## ステップ 1: KMS AWS非対称署名キーを作成する
<a name="onedrive-kb-admin-step1-kms"></a>

Amazon Quick AWSは、Microsoft Entra ID で認証するときに KMS 非対称キーを使用して OAuth アサーションに署名します。プライベートキーが KMS から出ることはありません。パブリックキーのみがエクスポートされ、Entra アプリ登録にアップロードされる証明書に埋め込まれます。

### KMS キーを作成する
<a name="onedrive-kb-admin-kms-create"></a>

1. [AWS KMS コンソール](https://console.aws.amazon.com/kms)を開きます。

1. 左のナビゲーションで、**[カスタマーマネージドキー]** を選択します。

1. **[Create key]** (キーの作成) を選択します。

### キーを設定する
<a name="onedrive-kb-admin-kms-configure"></a>

**キーの設定**ページで、次の値を設定します。


**KMS キー設定**  

| 設定 | 値 | 
| --- | --- | 
| キーのタイプ | 非対称 | 
|  キーの用途 | 署名と検証 | 
|  キー仕様 | RSA\_2048 | 
|  キーマテリアルのオリジン | KMS (推奨) | 
| リージョナリティー | シングルリージョンキー (デフォルト）。マルチリージョンキーはサポートされていません。 | 

### ラベルを追加する
<a name="onedrive-kb-admin-kms-labels"></a>

**ラベルの追加**ページで、キーのエイリアスを入力します。例: `quick-onedrive-service-auth`。

**注記**  
以下のページのキー管理者およびキー使用権限はオプションです。この設定にはデフォルトで十分です。ステップ 4 では、キーへの Amazon Quick アクセスを個別に付与します。

**「スキップして確認**」を選択し、**「完了**」を選択してキーを作成します。

### キー ARN を記録する
<a name="onedrive-kb-admin-kms-arn"></a>

キーを作成したら、キーの詳細ページを開き、**キー ARN** を記録します。ARN の形式は以下のようになっています。

```
arn:aws:kms:us-west-2:123456789012:key/xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx
```

この値は、ステップ 2、4、および Quick でナレッジベースを作成するときに必要になります。

## ステップ 2: 自己署名証明書を生成する
<a name="onedrive-kb-admin-step2-certificate"></a>

Microsoft Entra ID では、署名付きアサーションを検証するために X.509 証明書が必要です。KMS プライベートキーは KMS AWSを離れることがないため、OpenSSL で直接使用することはできません。代わりに、一時的なローカルキーペアを生成し、証明書署名リクエストを作成します。次に、OpenSSL `-force_pubkey`オプションを使用して、KMS パブリックキーを最終的な証明書に挿入します。その結果、パブリックキーが KMS キーペアと一致する自己署名証明書が作成されます。

### 前提条件
<a name="onedrive-kb-admin-cert-prereqs"></a>
+ AWS CLI がインストールされ、設定されています。
+ OpenSSL 3.0 以降。
+ ステップ 1 の KMS キー ARN。

### 証明書を生成する
<a name="onedrive-kb-admin-cert-generate"></a>

ターミナルで次のコマンドを実行します。{{プレースホルダー}}の値を独自の値に置き換えます。

**OpenSSL バージョンの確認**

```
openssl version
```

出力にバージョン 3.0 以降が表示されていることを確認します。

**KMS パブリックキーをエクスポートする**

```
aws kms get-public-key \
    --key-id {{KMS_KEY_ARN}} \
    --region {{REGION}} \
    --output text \
    --query PublicKey | base64 --decode > public_key.der
```

**注記**  
macOS では、シェル環境`base64 -D`に応じて `base64 --decode`または を使用します。

**パブリックキーを PEM 形式に変換する**

```
openssl rsa -pubin -inform DER -in public_key.der -outform PEM -out kms_public_key.pem
```

**一時的なローカルキーペアを生成する**

```
openssl genrsa -out temp_private_key.pem 2048
```

**証明書署名リクエストを作成する**

```
openssl req -new \
    -key temp_private_key.pem \
    -out cert.csr \
    -subj "/CN=QuickOneDriveServiceAuth/O={{YourOrganization}}/C={{US}}"
```

**KMS パブリックキーを使用して証明書を生成する**

```
openssl x509 -req \
    -in cert.csr \
    -signkey temp_private_key.pem \
    -out certificate.pem \
    -days 730 \
    -force_pubkey kms_public_key.pem
```

**注記**  
OpenSSL は警告 を表示します`Signature key and public key of cert do not match`。これは、証明書が一時的なローカルキーで署名されているが、KMS パブリックキーが含まれているためです。証明書は有効であり、Microsoft Entra で正しく動作します。

**Entra アップロードの DER 形式に変換する**

```
openssl x509 -in certificate.pem -outform DER -out certificate.cer
```

**一時ファイルをクリーンアップする**

```
rm -f temp_private_key.pem cert.csr public_key.der kms_public_key.pem certificate.pem
```

**重要**  
`certificate.cer` ファイルを保持します。ステップ 3 で Microsoft Entra ID にアップロードします。

### 証明書のサムプリントを計算する
<a name="onedrive-kb-admin-cert-thumbprint"></a>

次のコマンドを実行して、証明書の base64url エンコードされた SHA-1 サムプリントを計算します。

```
openssl dgst -sha1 -binary certificate.cer | base64 | tr '+/' '-_' | tr -d '='
```

この値を記録します。Quick でナレッジベースを作成するときに入力します。

**注記**  
base64url でエンコードされたサムプリントは、Microsoft Entra ポータルに表示される 16 進数のサムプリントとは異なります。Quick には base64url 形式が必要です。

## ステップ 3: Microsoft Entra ID にアプリケーションを登録する
<a name="onedrive-kb-admin-step3-entra"></a>

### アプリケーションを登録する
<a name="onedrive-kb-admin-entra-register"></a>

1. Microsoft ウェブサイトの [Microsoft Entra 管理センター](https://entra.microsoft.com/)にサインインします。

1. 左側のナビゲーションで、**Entra ID** を展開し、**アプリ登録**を選択します。

1. **[New registration]** (新規登録) を選択します。

1. [**名前**] に`QuickOneDriveServiceAuth`と入力してください。

1. **サポートされるアカウントタイプ**では、**この組織ディレクトリのアカウントのみ (単一テナント)** を選択します。

1. **リダイレクト URI **は空白のままにします。アプリケーションはインタラクティブサインインフローではなくクライアント認証情報フローを使用するため、リダイレクト URI は必要ありません。

1. [**登録**] を選択します。

### アプリケーションの詳細を記録する
<a name="onedrive-kb-admin-entra-record"></a>

アプリケーション**の概要**ページで、次の値を記録します。


**アプリケーションの詳細**  

| 値 | ロケーション | 
| --- | --- | 
| アプリケーション (クライアント) ID | 「Essentials」の「概要」ページに表示されます。 | 
| ディレクトリ (テナント) ID | 「Essentials」の「概要」ページに表示されます。 | 

### API アクセス許可を設定する
<a name="onedrive-kb-admin-entra-permissions"></a>

[アクセス許可](#onedrive-kb-admin-config-permissions) セクションにリストされている Microsoft Graph アプリケーションのアクセス許可を追加します。

1. アプリ登録の左側のナビゲーションで、**API アクセス許可**を選択します。

1. **[アクセス許可の追加]** を選択します。

1. **Microsoft Graph **を選択します。

1. **アプリケーションのアクセス許可**を選択します。

1. 、`Files.Read.All`、`Sites.Read.All`、`User.Read.All`、`Group.Read.All`および を検索して選択し`GroupMember.Read.All`、アクセス**許可の追加**を選択します。

**重要**  
委任された**アクセス許可ではなく、アプリケーションの**アクセス許可タブを選択します。 ****管理者管理のセットアップでは、アプリケーションのアクセス許可を必要とするクライアント認証情報フローを使用します。

### 管理者の同意を付与する
<a name="onedrive-kb-admin-entra-consent"></a>

1. **API アクセス許可**ページで、**[組織] の管理者同意を付与**を選択します。

1. プロンプトが表示されたら、同意を確認します。

**重要**  
アプリケーションのアクセス許可には管理者の同意が必要です。これがないと、アプリケーションは OneDrive データにアクセスできません。

### 証明書をアップロードする
<a name="onedrive-kb-admin-entra-cert-upload"></a>

1. アプリ登録の左側のナビゲーションで、**証明書とシークレット**を選択します。

1. [**証明書**] タブを選択します。

1. **証明書のアップロード** を選択します。

1. ステップ 2 で生成した`certificate.cer`ファイルを選択します。

1. **[Add]** (追加) を選択します。

**注記**  
Entra ポータルには、証明書のサムプリントが 16 進形式で表示されます。これは、ステップ 2 で計算した base64url でエンコードされたサムプリントとは異なります。Quick でナレッジベースを設定するときは、base64url 値を使用します。

## ステップ 4: KMS キーに Amazon Quick アクセス許可を付与する
<a name="onedrive-kb-admin-step4-iam"></a>

Amazon Quick には、OAuth アサーションの署名に KMS キーを使用するためのアクセス許可が必要です。このアクセス許可は、Amazon Quick 管理コンソールから付与します。

**注記**  
このステップでは、Amazon Quick 管理者アクセス (Admin Pro ロール) が必要です。管理者でない場合は、ステップ 1 の KMS キー ARN を使用してこのステップを完了するように Amazon Quick 管理者に依頼してください。

**重要**  
組織が独自の Amazon Quick IAM サービスロールを管理している場合、以下のコンソールステップが適用されない場合があります。代わりに、ロールにステップ 1 の KMS キー ARN に対する`kms:Sign`アクセス許可があることを確認します。

1. Amazon Quick で、左側のナビゲーションペインから**アカウントの管理**を選択します。

1. アクセス**許可で**、**AWSリソース**を選択します。

1. AWSリソースページで、**AWS Key Management Service** までスクロールし、チェックボックスをオンにします。

1. Select **keys **を選択します。

1. **KMS キーの選択**ダイアログで、ステップ 1 で記録した KMS キー ARN を入力し、**追加**を選択します。

1. キー ARN がリストに表示されます。[**Finish**] を選択してください。

1. リソースページの下部にある**保存** を選択しますAWS。

## 次の手順
<a name="onedrive-kb-admin-config-next-steps"></a>

セットアップが完了したら、Amazon Quick で OneDrive ナレッジベース接続を作成します。手順については、「[Amazon Quick でナレッジベースを作成する](onedrive-kb-admin-connection.md)」を参照してください。