翻訳は機械翻訳により提供されています。提供された翻訳内容と英語版の間で齟齬、不一致または矛盾がある場合、英語版が優先します。

サービス認証情報の設定

Amazon Quick でナレッジベースを作成する前に、 AWS および Microsoft Entra ID で以下の設定ステップを完了します。KMS 署名キーを作成し、証明書を生成して Entra にアプリケーションを登録し、そのキーを使用するためのアクセス許可を Amazon Quick に付与します。

この設定には複数のシステムが含まれており、組織内の異なる管理者間の調整が必要になる場合があります。次の表は、各ステップとその完了に必要なロールをまとめたものです。

前提条件

作業を開始する前に、以下の準備が整っていることを確認します。

アクセス許可

割り当てるアクセス許可は、次の 2 つの選択肢によって異なります。

アクセス許可の範囲を選択する

デフォルトでは、Entra アプリ登録は Sites.Read.Allまたは を使用してSites.FullControl.All、テナント内のすべての SharePoint サイトへのアクセスを許可します。組織で最小特権アクセスが必要な場合は、Sites.Selected代わりに を使用できます。ではSites.Selected、アプリは明示的にアクセス許可を付与したサイトにのみアクセスできます。

すべてのサイト – コンテンツのみ (ACL なし)

すべてのサイト – ACL クローリングあり

Sites.Selected – コンテンツのみ (ACL なし)

Sites.Selected – ACL クローリングを使用

セットアップ中に収集された値

次の表は、セットアップ中に作成または収集する値とその使用場所をまとめたものです。

ステップ 1: KMS AWS 非対称署名キーを作成する

Amazon Quick AWS は、Microsoft Entra ID で認証するときに KMS 非対称キーを使用して OAuth アサーションに署名します。プライベートキーが KMS から出ることはありません。パブリックキーのみがエクスポートされ、Entra アプリ登録にアップロードされる証明書に埋め込まれます。

KMS キーを作成する

キーを設定する

キーの設定ページで、次の値を設定します。

ラベルを追加する

ラベルの追加ページで、キーのエイリアスを入力します。例: quick-sharepoint-service-auth。

「スキップして確認」を選択し、「完了」を選択してキーを作成します。

キー ARN を記録する

キーを作成したら、キーの詳細ページを開き、キー ARN を記録します。ARN の形式は以下のようになっています。

arn:aws:kms:us-west-2:123456789012:key/xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx

この値は、ステップ 2、4、および Quick でナレッジベースを作成するときに必要です。

ステップ 2: 自己署名証明書を生成する

Microsoft Entra ID では、署名付きアサーションを検証するために X.509 証明書が必要です。KMS プライベートキーは KMS AWS を離れないため、OpenSSL で直接使用することはできません。代わりに、一時的なローカルキーペアを生成し、証明書署名リクエストを作成します。次に、OpenSSL -force_pubkeyオプションを使用して、KMS パブリックキーを最終証明書に挿入します。その結果、パブリックキーが KMS キーペアと一致する自己署名証明書が作成されます。

前提条件

証明書を生成する

ターミナルで次のコマンドを実行します。プレースホルダーの値を独自の値に置き換えます。

OpenSSL バージョンの確認

openssl version

出力にバージョン 3.0 以降が表示されていることを確認します。

KMS パブリックキーをエクスポートする

aws kms get-public-key \
    --key-id KMS_KEY_ARN \
    --region REGION \
    --output text \
    --query PublicKey | base64 --decode > public_key.der

パブリックキーを PEM 形式に変換する

openssl rsa -pubin -inform DER -in public_key.der -outform PEM -out kms_public_key.pem

一時的なローカルキーペアを生成する

openssl genrsa -out temp_private_key.pem 2048

証明書署名リクエストを作成する

openssl req -new \
    -key temp_private_key.pem \
    -out cert.csr \
    -subj "/CN=QuickSharePointServiceAuth/O=YourOrganization/C=US"

KMS パブリックキーを使用して証明書を生成する

openssl x509 -req \
    -in cert.csr \
    -signkey temp_private_key.pem \
    -out certificate.pem \
    -days 730 \
    -force_pubkey kms_public_key.pem

Entra アップロードの DER 形式に変換する

openssl x509 -in certificate.pem -outform DER -out certificate.cer

一時ファイルをクリーンアップする

rm -f temp_private_key.pem cert.csr public_key.der kms_public_key.pem certificate.pem

証明書のサムプリントを計算する

次のコマンドを実行して、証明書の base64url エンコードされた SHA-1 サムプリントを計算します。

openssl dgst -sha1 -binary certificate.cer | base64 | tr '+/' '-_' | tr -d '='

この値を記録します。Quick でナレッジベースを作成するときに入力します。

ステップ 3: Microsoft Entra ID にアプリケーションを登録する

このステップは、全サイトアクセス許可を使用するか を使用するかにかかわらず必要ですSites.Selected。唯一の違いは、 API アクセス許可を設定するセクションで割り当てる API アクセス許可です。

アプリケーションを登録する

アプリケーションの詳細を記録する

アプリケーションの概要ページで、次の値を記録します。

API アクセス許可を設定する

ユースケースに一致するアクセス許可を追加します。アクセス許可 セクションのテーブルからアクセス許可を選択します。選択は、アクセス許可の範囲 (すべてのサイトまたは Site.Selected) と、ACL クローリングを有効にするかどうかに基づいて行います。

コンテンツのみ – Microsoft Graph

コンテンツのみ – SharePoint

ACL クローリング – Microsoft Graph (追加)

ACL クローリング – SharePoint

管理者の同意を付与する

証明書をアップロードする

ステップ 3b: サイトレベルのアクセス許可を付与する (Sites.Selected のみ)

アクセス許可の範囲Sites.Selectedとして を選択した場合は、Amazon Quick Entra アプリに各 SharePoint サイトへのアクセス権を明示的に付与する必要があります。これには、Microsoft Graph API を呼び出すSites.FullControl.Allアクセス許可を持つ一時的な管理者アプリが必要です。

全サイトアクセス許可スコープ (Sites.Read.All または ) を使用している場合は、このステップをスキップしますSites.FullControl.All。

各 SharePoint サイトのサイト ID を取得する

アクセスを許可する SharePoint サイトごとにサイト ID が必要です。サイト ID を取得するには:

ナレッジベースに含めるサイトごとに繰り返します。

一時的な管理者アプリを作成する

管理アプリは、Amazon Quick アプリにサイトレベルのアクセス許可を付与する目的でのみ使用されます。このステップの完了後に削除できます。

アクセストークンを取得する

管理者アプリの認証情報を使用して、Microsoft Entra から OAuth トークンを取得します。プレースホルダー値を、管理者アプリケーションのクライアント ID、シークレット値、テナント ID に置き換えます。

macOS と Linux (bash)

curl -s --location "https://login.microsoftonline.com/TENANT_ID/oauth2/v2.0/token" \
  --header "Content-Type: application/x-www-form-urlencoded" \
  --data-urlencode "grant_type=client_credentials" \
  --data-urlencode "client_id=ADMIN_APP_CLIENT_ID" \
  --data-urlencode "client_secret=ADMIN_APP_SECRET_VALUE" \
  --data-urlencode "scope=https://graph.microsoft.com/.default"

Windows (PowerShell)

$tokenResponse = Invoke-RestMethod `
  -Uri "https://login.microsoftonline.com/TENANT_ID/oauth2/v2.0/token" `
  -Method Post `
  -ContentType "application/x-www-form-urlencoded" `
  -Body @{
    grant_type    = "client_credentials"
    client_id     = "ADMIN_APP_CLIENT_ID"
    client_secret = "ADMIN_APP_SECRET_VALUE"
    scope         = "https://graph.microsoft.com/.default"
  }
$adminToken = $tokenResponse.access_token

レスポンスには access_tokenフィールドが含まれます。次のステップでこの値を記録します。

サイトレベルのアクセス許可を付与する

管理者トークンを使用して、Amazon Quick Entra アプリに各 SharePoint サイトfullcontrolへのアクセスを許可します。プレースホルダーの値を、ステップ 3 のサイト ID、管理者トークン、クライアントアプリ ID と表示名に置き換えます。

macOS と Linux (bash)

curl -s --location "https://graph.microsoft.com/v1.0/sites/SITE_ID/permissions" \
  --header "Content-Type: application/json" \
  --header "Authorization: Bearer ADMIN_TOKEN" \
  --data '{
    "roles": ["fullcontrol"],
    "grantedToIdentities": [{
      "application": {
        "id": "CLIENT_APP_ID",
        "displayName": "CLIENT_APP_NAME"
      }
    }]
  }'

Windows (PowerShell)

$body = @{
    roles = @("fullcontrol")
    grantedToIdentities = @(
        @{
            application = @{
                id          = "CLIENT_APP_ID"
                displayName = "CLIENT_APP_NAME"
            }
        }
    )
} | ConvertTo-Json -Depth 10

Invoke-RestMethod `
  -Uri "https://graph.microsoft.com/v1.0/sites/SITE_ID/permissions" `
  -Method Post `
  -Headers @{
    "Content-Type"  = "application/json"
    "Authorization" = "Bearer $adminToken"
  } `
  -Body $body

正常なレスポンスには、 grantedToIdentities フィールドの "roles": ["fullcontrol"]とクライアントアプリ ID が含まれます。

クリーンアップ

必要なすべてのサイトにアクセス許可を付与したら、Microsoft Entra 管理センターから一時管理アプリを削除できます。付与したサイトレベルのアクセス許可は、管理者アプリとは無関係に有効です。

ステップ 4: KMS キーに Amazon Quick アクセス許可を付与する

Amazon Quick には、OAuth アサーションの署名に KMS キーを使用するためのアクセス許可が必要です。このアクセス許可は、Amazon Quick 管理コンソールから付与します。

次の手順

セットアップが完了したら、Amazon Quick で SharePoint Online ナレッジベース接続を作成します。手順については、「Amazon Quick でナレッジベースを作成する」を参照してください。