本文属于机器翻译版本。若本译文内容与英语原文存在差异，则一律以英文原文为准。

User-managed 设置 (3LO)

使用用户管理的设置，您可以直接登录 Confluence Cloud 来授权连接，亚马逊基岩管理知识库负责身份验证。用户可以在几分钟内完成设置。授权连接后，使用authType设置为创建数据源MANAGED_OAUTH2。请参阅连接 Confluence 数据源。

您的凭证是如何存储的

使用用户管理的设置，您无需自己创建或提供 AWS Secrets Manager 密钥。当您登录时，Amazon Bedrock 托管知识库使用系统生成的 ARN 在您的 AWS 账户中创建一个密钥，并在其中存储一个 3LO 刷新令牌。Amazon Bedrock 管理知识库使用刷新令牌根据访问数据源的需要获取和刷新访问令牌。

选择 “登录” 时，可以选择提供密钥名称前缀。亚马逊 Bedrock 管理知识库在生成的密钥 ARN 中包含此前缀。通过提供前缀，您可以创建范围缩小的 IAM 策略，仅授予对带有该前缀的机密的访问权限。您可以在创建 3LO 代币之前制定此政策。如果您不提供前缀，则创建的密钥将使用该bedrock-managedkb-oauth前缀。

生成的密钥 ARN 遵循以下模式：

arn:aws:secretsmanager:region:account-id:secret:bedrock-managedkb-oauth/your-prefix/connector-type/uuid

调用者的权限 (CreateDataSource)：调用的 IAM 委托人CreateDataSource需要对密钥具有以下权限：

{
    "Effect": "Allow",
    "Action": [
        "secretsmanager:CreateSecret",
        "secretsmanager:GetSecretValue"
    ],
    "Resource": [
        "arn:aws:secretsmanager:region:account-id:secret:bedrock-managedkb-oauth/your-prefix/*"
    ]
}

执行角色的权限：知识库执行角色需要对密钥的读写访问权限才能刷新令牌：

{
    "Effect": "Allow",
    "Action": [
        "secretsmanager:GetSecretValue",
        "secretsmanager:PutSecretValue"
    ],
    "Resource": [
        "arn:aws:secretsmanager:region:account-id:secret:bedrock-managedkb-oauth/your-prefix/*"
    ]
}

您可以通过亚马逊 Bedrock 知识库控制台创建 3LO 密钥并完成用户同意流程。然后，您可以在创建第三方数据连接器时引用这些 AWS Secrets Manager 条目（参见连接 Confluence 数据源）。这些条目与任何知识库都不关联，可以根据需要在不同的知识库中使用。

如果您在用户管理的设置过程中遇到问题，请使用以下指南。

已屏蔽 OAuth 应用程序授权

症状：

原因：

您的 Atlassian 站点管理员已屏蔽用户安装的 OAuth 应用程序。启用此设置后，只有站点或组织管理员才能授权新的第三方应用程序。

解决步骤：

使用以下选项之一来解决此问题。

推荐的解决方案：管理员直接授权应用程序

替代方案（不推荐）：暂时允许用户安装的应用程序 — 管理员前往admin.atlassian.com，导航到应用程序、 Atlassian 应用程序，然后选择第三方和商城应用程序的链接。在 “设置” 下，找到 “用户安装的应用程序”，然后切换为允许用户应用程序。用户授权 Amazon Bedrock KB 后，将设置切换回封锁用户应用程序。

身份验证弹出窗口失败

症状：

解决步骤：