As traduções são geradas por tradução automática. Em caso de conflito entre o conteúdo da tradução e da versão original em inglês, a versão em inglês prevalecerá.

Configurar credenciais de serviço

Antes de criar a base de conhecimento no Amazon Quick, conclua as seguintes etapas de configuração no AWS Microsoft Entra ID. Você cria uma chave de assinatura KMS, gera um certificado, registra um aplicativo no Entra e concede permissão ao Amazon Quick para usar a chave.

Essa configuração envolve vários sistemas e pode exigir coordenação entre diferentes administradores em sua organização. A tabela a seguir resume cada etapa e a função necessária para concluí-la.

Pré-requisitos

Antes de começar, verifique se você tem o seguinte:

Permissões

As permissões que você atribui dependem de duas opções:

Escolha seu escopo de permissão

Por padrão, o registro do aplicativo Entra usa Sites.Read.All orSites.FullControl.All, que concede acesso a todos os SharePoint sites do seu locatário. Se sua organização exigir acesso com privilégios mínimos, você poderá usar em vez disso. Sites.Selected ComSites.Selected, o aplicativo só pode acessar sites aos quais você concede permissão explícita.

Todos os sites — somente conteúdo (sem ACL)

Todos os sites — com rastreamento de ACL

Sites.Selected — somente conteúdo (sem ACL)

Sites.Selected — com rastreamento de ACL

Valores coletados durante a configuração

A tabela a seguir resume os valores que você cria ou coleta durante a configuração e onde você os usa.

Etapa 1: criar uma chave de assinatura assimétrica do AWS KMS

O Amazon Quick usa uma chave assimétrica AWS KMS para assinar OAuth declarações ao se autenticar com o Microsoft Entra ID. A chave privada nunca sai do KMS. Somente a chave pública é exportada e incorporada em um certificado que é carregado no registro do seu aplicativo Entra.

Crie a chave KMS

Configurar a chave

Na página Configurar chave, defina os seguintes valores:

Adicionar rótulos

Na página Adicionar rótulos, insira um alias para a chave. Por exemplo: quick-sharepoint-service-auth.

Escolha Ignorar para revisão e, em seguida, escolha Concluir para criar a chave.

Grave o ARN da chave

Depois que a chave for criada, abra a página de detalhes da chave e registre o ARN da chave. O ARN tem o seguinte formato:

arn:aws:kms:us-west-2:123456789012:key/xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx

Você precisa desse valor nas etapas 2, 4 e ao criar a base de conhecimento no Quick.

Etapa 2: gerar um certificado autoassinado

O Microsoft Entra ID exige um certificado X.509 para validar declarações assinadas. Como a chave privada do KMS nunca sai do AWS KMS, você não pode usá-la diretamente com o OpenSSL. Em vez disso, você gera um key pair local temporário e cria uma solicitação de assinatura de certificado. Em seguida, use a opção -force_pubkey OpenSSL para injetar a chave pública KMS no certificado final. O resultado é um certificado autoassinado cuja chave pública corresponde ao par de chaves KMS.

Pré-requisitos

Gere o certificado

Execute os comandos a seguir em um terminal. Substitua placeholder os valores pelos seus.

Verifique a versão do OpenSSL

openssl version

Confirme se a saída mostra a versão 3.0 ou posterior.

Exportar a chave pública do KMS

aws kms get-public-key \
    --key-id KMS_KEY_ARN \
    --region REGION \
    --output text \
    --query PublicKey | base64 --decode > public_key.der

Converta a chave pública para o formato PEM

openssl rsa -pubin -inform DER -in public_key.der -outform PEM -out kms_public_key.pem

Gere um par de chaves local temporário

openssl genrsa -out temp_private_key.pem 2048

Crie uma solicitação de assinatura de certificado

openssl req -new \
    -key temp_private_key.pem \
    -out cert.csr \
    -subj "/CN=QuickSharePointServiceAuth/O=YourOrganization/C=US"

Gere o certificado com a chave pública KMS

openssl x509 -req \
    -in cert.csr \
    -signkey temp_private_key.pem \
    -out certificate.pem \
    -days 730 \
    -force_pubkey kms_public_key.pem

Converta para o formato DER para upload do Entra

openssl x509 -in certificate.pem -outform DER -out certificate.cer

Limpar arquivos temporários

rm -f temp_private_key.pem cert.csr public_key.der kms_public_key.pem certificate.pem

Calcule a impressão digital do certificado

Execute o comando a seguir para calcular a impressão digital SHA-1 codificada em base64url do certificado:

openssl dgst -sha1 -binary certificate.cer | base64 | tr '+/' '-_' | tr -d '='

Registre esse valor. Você o insere ao criar a base de conhecimento no Quick.

Etapa 3: registrar um aplicativo no Microsoft Entra ID

Essa etapa é necessária independentemente de você usar permissões para todos os sites ouSites.Selected. A única diferença é quais permissões de API você atribui na Configurar permissões de API seção.

Registre o aplicativo

Registre os detalhes do aplicativo

Na página Visão geral do aplicativo, registre os seguintes valores:

Configurar permissões de API

Adicione as permissões que correspondem ao seu caso de uso. Escolha as permissões nas tabelas da Permissões seção. Baseie sua seleção no escopo da permissão (todos os sites ou Sites.Selected) e se você habilita o rastreamento de ACL.

Somente conteúdo — Microsoft Graph

Somente conteúdo — SharePoint

Rastreamento de ACL — Microsoft Graph (adicional)

Rastreamento do ACL — SharePoint

Conceder consentimento do administrador

Faça o upload do certificado

Etapa 3b: Conceder permissões em nível de site (somente Sites.Selected)

Se você escolher Sites.Selected como escopo de permissão, deverá conceder explicitamente ao seu aplicativo Amazon Quick Entra acesso a cada SharePoint site. Isso requer um aplicativo de administrador temporário com Sites.FullControl.All permissão para chamar a API do Microsoft Graph.

Ignore esta etapa se você estiver usando o escopo de permissão para todos os sites (Sites.Read.AllouSites.FullControl.All).

Obtenha o ID do site para cada SharePoint site

Você precisa do ID do site para cada SharePoint site ao qual deseja conceder acesso. Para obter um ID do site:

Repita o procedimento para cada site que você deseja incluir na base de conhecimento.

Crie um aplicativo de administração temporário

O aplicativo de administração é usado somente para conceder permissões em nível de site ao seu aplicativo Amazon Quick. Você pode excluí-lo depois de concluir esta etapa.

Obtenha um token de acesso

Use as credenciais do aplicativo de administrador para recuperar um OAuth token do Microsoft Entra. Substitua placeholder os valores pelo ID do cliente, valor secreto e ID do locatário do seu aplicativo administrativo.

macOS e Linux (bash)

curl -s --location "https://login.microsoftonline.com/TENANT_ID/oauth2/v2.0/token" \
  --header "Content-Type: application/x-www-form-urlencoded" \
  --data-urlencode "grant_type=client_credentials" \
  --data-urlencode "client_id=ADMIN_APP_CLIENT_ID" \
  --data-urlencode "client_secret=ADMIN_APP_SECRET_VALUE" \
  --data-urlencode "scope=https://graph.microsoft.com/.default"

Janelas (PowerShell)

$tokenResponse = Invoke-RestMethod `
  -Uri "https://login.microsoftonline.com/TENANT_ID/oauth2/v2.0/token" `
  -Method Post `
  -ContentType "application/x-www-form-urlencoded" `
  -Body @{
    grant_type    = "client_credentials"
    client_id     = "ADMIN_APP_CLIENT_ID"
    client_secret = "ADMIN_APP_SECRET_VALUE"
    scope         = "https://graph.microsoft.com/.default"
  }
$adminToken = $tokenResponse.access_token

A resposta contém um access_token campo. Registre esse valor para a próxima etapa.

Conceda permissões em nível de site

Use o token de administrador para conceder ao seu aplicativo Amazon Quick Entra fullcontrol acesso a cada SharePoint site. Substitua placeholder os valores pelo ID do site, pelo token administrativo, pelo ID do aplicativo cliente e pelo nome de exibição da Etapa 3.

macOS e Linux (bash)

curl -s --location "https://graph.microsoft.com/v1.0/sites/SITE_ID/permissions" \
  --header "Content-Type: application/json" \
  --header "Authorization: Bearer ADMIN_TOKEN" \
  --data '{
    "roles": ["fullcontrol"],
    "grantedToIdentities": [{
      "application": {
        "id": "CLIENT_APP_ID",
        "displayName": "CLIENT_APP_NAME"
      }
    }]
  }'

Janelas (PowerShell)

$body = @{
    roles = @("fullcontrol")
    grantedToIdentities = @(
        @{
            application = @{
                id          = "CLIENT_APP_ID"
                displayName = "CLIENT_APP_NAME"
            }
        }
    )
} | ConvertTo-Json -Depth 10

Invoke-RestMethod `
  -Uri "https://graph.microsoft.com/v1.0/sites/SITE_ID/permissions" `
  -Method Post `
  -Headers @{
    "Content-Type"  = "application/json"
    "Authorization" = "Bearer $adminToken"
  } `
  -Body $body

Uma resposta bem-sucedida inclui "roles": ["fullcontrol"] o ID do aplicativo cliente no grantedToIdentities campo.

Limpeza

Depois de conceder permissões para todos os sites necessários, você pode excluir o aplicativo de administração temporário do centro de administração do Microsoft Entra. As permissões no nível do site que você concedeu permanecem em vigor independentemente do aplicativo de administração.

Etapa 4: Conceder permissão ao Amazon Quick para a chave KMS

O Amazon Quick precisa de permissão para usar a chave KMS para assinar OAuth declarações. Você concede essa permissão no console de administração do Amazon Quick.

Próximas etapas

Depois de concluir a configuração, crie a conexão da base de conhecimento SharePoint on-line no Amazon Quick. Para instruções, consulte Crie a base de conhecimento no Amazon Quick.