기계 번역으로 제공되는 번역입니다. 제공된 번역과 원본 영어의 내용이 상충하는 경우에는 영어 버전이 우선합니다.

서비스 자격 증명 설정

Amazon Quick에서 지식 기반을 생성하기 전에 AWS 및 Microsoft Entra ID에서 다음 구성 단계를 완료합니다. KMS 서명 키를 생성하고, 인증서를 생성하고, Entra에 애플리케이션을 등록하고, Amazon Quick에 키를 사용할 수 있는 권한을 부여합니다.

이 설정은 여러 시스템을 포함하며 조직의 여러 관리자 간의 조정이 필요할 수 있습니다. 다음 표에는 각 단계와 이를 완료하는 데 필요한 역할이 요약되어 있습니다.

사전 조건

시작하기 전에 다음 사항을 갖췄는지 확인하세요.

권한

할당하는 권한은 다음 두 가지 선택에 따라 달라집니다.

권한 범위 선택

기본적으로 Entra 앱 등록은 테넌트의 모든 SharePoint 사이트에 대한 액세스 권한을 Sites.FullControl.All부여하는 Sites.Read.All 또는를 사용합니다. 조직에 최소 권한 액세스가 필요한 경우 Sites.Selected를 대신 사용할 수 있습니다. Sites.Selected를 사용하면 앱은 사용자가 명시적으로 권한을 부여하는 사이트에만 액세스할 수 있습니다.

모든 사이트 - 콘텐츠만(ACL 없음)

모든 사이트 - ACL 크롤링 포함

Sites.Selected - 콘텐츠만 해당(ACL 없음)

Sites.Selected - ACL 크롤링 포함

설정 중에 수집된 값

다음 표에는 설정 중에 생성하거나 수집하는 값과 이를 사용하는 위치가 요약되어 있습니다.

1단계: AWS KMS 비대칭 서명 키 생성

Amazon Quick은 AWS KMS 비대칭 키를 사용하여 Microsoft Entra ID로 인증할 때 OAuth 어설션에 서명합니다. 프라이빗 키는 KMS를 벗어나지 않습니다. Entra 앱 등록에 업로드되는 인증서에는 퍼블릭 키만 내보내지고 포함됩니다.

KMS 키 생성

키 구성

키 구성 페이지에서 다음 값을 설정합니다.

레이블 추가

레이블 추가 페이지에서 키의 별칭을 입력합니다. 예를 들어 quick-sharepoint-service-auth입니다.

검토로 건너뛰기를 선택한 다음 완료를 선택하여 키를 생성합니다.

키 ARN 기록

키가 생성되면 키 세부 정보 페이지를 열고 키 ARN을 기록합니다. ARN의 형식은 다음과 같습니다.

arn:aws:kms:us-west-2:123456789012:key/xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx

Quick에서 지식 기반을 생성할 때 2, 4단계 및에서이 값이 필요합니다.

2단계: 자체 서명된 인증서 생성

Microsoft Entra ID는 서명된 어설션을 검증하기 위해 X.509 인증서가 필요합니다. KMS 프라이빗 키는 AWS KMS를 벗어나지 않으므로 OpenSSL에서 직접 사용할 수 없습니다. 대신 임시 로컬 키 페어를 생성하고 인증서 서명 요청을 생성합니다. 그런 다음 OpenSSL -force_pubkey 옵션을 사용하여 KMS 퍼블릭 키를 최종 인증서에 주입합니다. 그 결과 퍼블릭 키가 KMS 키 페어와 일치하는 자체 서명된 인증서가 생성됩니다.

사전 조건

인증서 생성

터미널에서 다음 명령을 실행합니다. 자리 표시자 값을 자신의 값으로 바꿉니다.

OpenSSL 버전 확인

openssl version

출력에 버전 3.0 이상이 표시되는지 확인합니다.

KMS 퍼블릭 키 내보내기

aws kms get-public-key \
    --key-id KMS_KEY_ARN \
    --region REGION \
    --output text \
    --query PublicKey | base64 --decode > public_key.der

퍼블릭 키를 PEM 형식으로 변환

openssl rsa -pubin -inform DER -in public_key.der -outform PEM -out kms_public_key.pem

임시 로컬 키 페어 생성

openssl genrsa -out temp_private_key.pem 2048

인증서 서명 요청 생성

openssl req -new \
    -key temp_private_key.pem \
    -out cert.csr \
    -subj "/CN=QuickSharePointServiceAuth/O=YourOrganization/C=US"

KMS 퍼블릭 키를 사용하여 인증서 생성

openssl x509 -req \
    -in cert.csr \
    -signkey temp_private_key.pem \
    -out certificate.pem \
    -days 730 \
    -force_pubkey kms_public_key.pem

Entra 업로드를 위해 DER 형식으로 변환

openssl x509 -in certificate.pem -outform DER -out certificate.cer

임시 파일 정리

rm -f temp_private_key.pem cert.csr public_key.der kms_public_key.pem certificate.pem

인증서 지문 계산

다음 명령을 실행하여 인증서의 base64url 인코딩 SHA-1 지문을 계산합니다.

openssl dgst -sha1 -binary certificate.cer | base64 | tr '+/' '-_' | tr -d '='

이 값을 기록합니다. Quick에서 지식 기반을 생성할 때 입력합니다.

3단계: Microsoft Entra ID에 애플리케이션 등록

이 단계는 모든 사이트 권한을 사용하는지 또는를 사용하는지에 관계없이 필요합니다Sites.Selected. 유일한 차이점은 API 권한 구성 섹션에서 할당하는 API 권한입니다.

애플리케이션 등록

애플리케이션 세부 정보 기록

애플리케이션 개요 페이지에서 다음 값을 기록합니다.

API 권한 구성

사용 사례와 일치하는 권한을 추가합니다. 권한 섹션의 테이블에서 권한을 선택합니다. 권한 범위(모든 사이트 또는 Sites.Selected)와 ACL 크롤링을 활성화할지 여부를 기준으로 선택합니다.

콘텐츠 전용 - Microsoft Graph

콘텐츠 전용 - SharePoint

ACL 크롤링 - Microsoft 그래프(추가)

ACL 크롤링 – SharePoint

관리자 동의 부여

인증서 업로드

3b단계: 사이트 수준 권한 부여(Sites.Selected만 해당)

권한 범위Sites.Selected로를 선택한 경우 Amazon Quick Entra 앱에 각 SharePoint 사이트에 대한 액세스 권한을 명시적으로 부여해야 합니다. 이렇게 하려면 Microsoft Graph API를 호출할 Sites.FullControl.All 권한이 있는 임시 관리자 앱이 필요합니다.

모든 사이트 권한 범위(Sites.Read.All 또는 )를 사용하는 경우이 단계를 건너뜁니다Sites.FullControl.All.

각 SharePoint 사이트의 사이트 ID 가져오기

액세스 권한을 부여하려는 각 SharePoint 사이트에 대한 사이트 ID가 필요합니다. 사이트 ID를 가져오려면:

지식 기반에 포함하려는 각 사이트에 대해 반복합니다.

임시 관리자 앱 생성

관리자 앱은 Amazon Quick 앱에 사이트 수준 권한을 부여하는 데만 사용됩니다. 이 단계를 완료한 후 삭제할 수 있습니다.

액세스 토큰 가져오기

관리자 앱 자격 증명을 사용하여 Microsoft Entra에서 OAuth 토큰을 검색합니다. 자리 표시자 값을 관리자 앱의 클라이언트 ID, 보안 암호 값 및 테넌트 ID로 바꿉니다.

macOS 및 Linux(bash)

curl -s --location "https://login.microsoftonline.com/TENANT_ID/oauth2/v2.0/token" \
  --header "Content-Type: application/x-www-form-urlencoded" \
  --data-urlencode "grant_type=client_credentials" \
  --data-urlencode "client_id=ADMIN_APP_CLIENT_ID" \
  --data-urlencode "client_secret=ADMIN_APP_SECRET_VALUE" \
  --data-urlencode "scope=https://graph.microsoft.com/.default"

Windows(PowerShell)

$tokenResponse = Invoke-RestMethod `
  -Uri "https://login.microsoftonline.com/TENANT_ID/oauth2/v2.0/token" `
  -Method Post `
  -ContentType "application/x-www-form-urlencoded" `
  -Body @{
    grant_type    = "client_credentials"
    client_id     = "ADMIN_APP_CLIENT_ID"
    client_secret = "ADMIN_APP_SECRET_VALUE"
    scope         = "https://graph.microsoft.com/.default"
  }
$adminToken = $tokenResponse.access_token

응답에는 access_token 필드가 포함됩니다. 다음 단계에 대해이 값을 기록합니다.

사이트 수준 권한 부여

관리자 토큰을 사용하여 Amazon Quick Entra 앱에 각 SharePoint 사이트에 대한 fullcontrol 액세스 권한을 부여합니다. 자리 표시자 값을 3단계의 사이트 ID, 관리자 토큰, 클라이언트 앱 ID 및 표시 이름으로 바꿉니다.

macOS 및 Linux(bash)

curl -s --location "https://graph.microsoft.com/v1.0/sites/SITE_ID/permissions" \
  --header "Content-Type: application/json" \
  --header "Authorization: Bearer ADMIN_TOKEN" \
  --data '{
    "roles": ["fullcontrol"],
    "grantedToIdentities": [{
      "application": {
        "id": "CLIENT_APP_ID",
        "displayName": "CLIENT_APP_NAME"
      }
    }]
  }'

Windows(PowerShell)

$body = @{
    roles = @("fullcontrol")
    grantedToIdentities = @(
        @{
            application = @{
                id          = "CLIENT_APP_ID"
                displayName = "CLIENT_APP_NAME"
            }
        }
    )
} | ConvertTo-Json -Depth 10

Invoke-RestMethod `
  -Uri "https://graph.microsoft.com/v1.0/sites/SITE_ID/permissions" `
  -Method Post `
  -Headers @{
    "Content-Type"  = "application/json"
    "Authorization" = "Bearer $adminToken"
  } `
  -Body $body

성공적인 응답에는 grantedToIdentities 필드에 "roles": ["fullcontrol"] 및 클라이언트 앱 ID가 포함됩니다.

정리

필요한 모든 사이트에 권한을 부여한 후 Microsoft Entra 관리자 센터에서 임시 관리자 앱을 삭제할 수 있습니다. 부여한 사이트 수준 권한은 관리자 앱과 독립적으로 적용됩니다.

4단계: KMS 키에 Amazon Quick 권한 부여

Amazon Quick에는 OAuth 어설션에 서명하기 위해 KMS 키를 사용할 수 있는 권한이 필요합니다. Amazon Quick Admin 콘솔에서이 권한을 부여합니다.

다음 단계

설정을 완료한 후 Amazon Quick에서 SharePoint Online 지식 기반 연결을 생성합니다. 지침은 Amazon Quick에서 지식 기반 생성 단원을 참조하세요.