As traduções são geradas por tradução automática. Em caso de conflito entre o conteúdo da tradução e da versão original em inglês, a versão em inglês prevalecerá.

User-managed configuração (3LO)

Com a configuração gerenciada pelo usuário, você faz login SharePoint diretamente e a Base de Conhecimento Gerenciada Amazon Bedrock lida com a autenticação. Os usuários podem concluir a configuração em alguns minutos.

Como suas credenciais são armazenadas

Com a configuração gerenciada pelo usuário, você não cria nem fornece um AWS Secrets Manager segredo sozinho e não fornece uma ID de inquilino. Quando você faz login, a Base de Conhecimento Gerenciada da Amazon Bedrock cria um segredo em sua AWS conta com um ARN gerado pelo sistema e armazena um token de atualização 3LO nela. A base de conhecimento gerenciada da Amazon Bedrock usa o token de atualização para obter e atualizar os tokens de acesso conforme necessário para acessar a fonte de dados.

Ao escolher Entrar, você pode, opcionalmente, fornecer um prefixo de nome secreto. A base de conhecimento gerenciada da Amazon Bedrock inclui esse prefixo no ARN secreto gerado. Fornecer um prefixo permite criar uma política de IAM com escopo reduzido que concede acesso somente aos segredos com esse prefixo. Você pode implementar essa política antes da criação do token 3LO. Se você não fornecer um prefixo, o segredo criado usará o bedrock-managedkb-oauth prefixo.

O ARN secreto gerado segue esse padrão:

arn:aws:secretsmanager:region:account-id:secret:bedrock-managedkb-oauth/your-prefix/connector-type/uuid

Permissões para o chamador (CreateDataSource): o principal do IAM que liga CreateDataSource precisa das seguintes permissões no segredo:

{
    "Effect": "Allow",
    "Action": [
        "secretsmanager:CreateSecret",
        "secretsmanager:GetSecretValue"
    ],
    "Resource": [
        "arn:aws:secretsmanager:region:account-id:secret:bedrock-managedkb-oauth/your-prefix/*"
    ]
}

Permissões para a função de execução: A função de execução da base de conhecimento precisa de acesso de leitura e gravação ao segredo para atualização do token:

{
    "Effect": "Allow",
    "Action": [
        "secretsmanager:GetSecretValue",
        "secretsmanager:PutSecretValue"
    ],
    "Resource": [
        "arn:aws:secretsmanager:region:account-id:secret:bedrock-managedkb-oauth/your-prefix/*"
    ]
}

Você pode criar segredos 3LO e concluir o fluxo de consentimento do usuário por meio do console do Amazon Bedrock Knowledge Bases. Em seguida, você pode referenciar essas AWS Secrets Manager entradas ao criar um conector de dados de terceiros (consulteConectar uma fonte SharePoint de dados). Essas entradas não estão associadas a nenhuma base de conhecimento e podem ser usadas em bases de conhecimento separadas, conforme necessário.

Antes de começar

Antes de começar, você deve ter o seguinte:

A maioria dos usuários conclui a configuração sem nenhuma etapa extra. No entanto, se o locatário do Microsoft 365 restringir o acesso a aplicativos de terceiros, você poderá ver um erro ao entrar. Nesse caso, um administrador do Microsoft 365 precisa conceder um consentimento único para o aplicativo Amazon Bedrock KB. Depois que o consentimento for concedido, qualquer usuário da sua organização poderá se conectar.

Se você não for administrador do Microsoft 365, compartilhe as seguintes informações com seu administrador:

Conceder consentimento administrativo para toda a organização

Alguns recursos do Amazon Bedrock KB exigem permissões delegadas do Microsoft Entra. Por padrão, você vê uma caixa de diálogo de consentimento da Microsoft na primeira vez que usa o recurso. Um administrador do Microsoft 365 pode pré-consentir em nome de toda a organização. Depois que o consentimento for concedido, a caixa de diálogo de consentimento não será exibida. Essa é uma ação única por aplicativo.

A tabela a seguir descreve a experiência do usuário com e sem o consentimento do administrador.

Conceder consentimento por meio da caixa de diálogo de consentimento

A maneira mais simples de conceder o consentimento do administrador é por meio da caixa de diálogo de consentimento da Microsoft que aparece durante o fluxo do recurso.

Isso concede consentimento para as permissões delegadas solicitadas para todos os usuários em seu locatário do Microsoft 365.

Concessão de consentimento por meio do centro de administração do Microsoft Entra

Os administradores também podem conceder consentimento diretamente do centro de administração do Microsoft Entra.

Verificando o consentimento

Depois de conceder o consentimento, a página Permissões do aplicativo corporativo mostra todas as permissões delegadas com um indicador de status na coluna de consentimento do administrador.

Verificando as configurações de consentimento do inquilino

Para verificar se seu inquilino restringe o consentimento do usuário, conclua as etapas a seguir.

Permissões solicitadas

As seguintes permissões delegadas são solicitadas quando um usuário faz login. Compartilhe essa lista com seu administrador se ele precisar revisar as permissões antes de conceder o consentimento.

Solução de problemas

Se você tiver problemas durante a configuração gerenciada pelo usuário, compare o sintoma com o seguinte.

Próximas etapas

Depois de concluir a configuração gerenciada pelo usuário, crie a fonte de dados com authType set toMANAGED_OAUTH2. Consulte Conectar uma fonte SharePoint de dados.