本文属于机器翻译版本。若本译文内容与英语原文存在差异，则一律以英文原文为准。

设置服务凭证

在 Amazon Quick 中创建知识库之前，请在 Microsoft Entra ID 中 AWS 完成以下配置步骤。您可以创建 KMS 签名密钥、生成证书、在 Entra 中注册应用程序，然后授予 Amazon Quick 使用该密钥的权限。

此设置涉及多个系统，可能需要组织中不同管理员之间的协调。下表汇总了每个步骤以及完成该步骤所需的角色。

先决条件

开始之前，请确保您拥有：

Permissions

您分配的权限取决于两个选择：

选择您的权限范围

默认情况下，Entra 应用程序注册使用Sites.Read.All或Sites.FullControl.All，后者授予对租户中所有 SharePoint 网站的访问权限。如果您的组织需要最低权限访问权限，则可以改用Sites.Selected。使用后Sites.Selected，该应用程序只能访问您明确授予权限的网站。

所有网站 — 仅限内容（没有 ACL）

所有站点-具有 ACL 爬行功能

Sites.Selected — 仅限内容（没有 ACL）

Sites.Selected — 使用 ACL 爬行

设置期间收集的值

下表汇总了您在设置过程中创建或收集的值以及使用这些值的位置。

步骤 1：创建 AWS KMS 非对称签名密钥

使用微软 Entra ID 进行身份验证时，Amazon Quick 使用 AWS KMS 非对称密钥签署 OAuth 断言。私钥永远不会离开 KMS。只有公钥会被导出并嵌入到上传到您的 Entra 应用程序注册的证书中。

创建 KMS 密钥

配置密钥

在配置密钥页面上，设置以下值：

添加标签

在添加标签页面上，输入密钥的别名。例如：quick-sharepoint-service-auth。

选择 “跳过查看”，然后选择 “完成” 创建密钥。

记录密钥 ARN

创建密钥后，打开密钥详情页面并记录密钥 ARN。ARN 有以下格式：

arn:aws:kms:us-west-2:123456789012:key/xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx

在步骤 2、4 以及在 Quick 中创建知识库时，你需要这个值。

步骤 2：生成自签名证书

Microsoft Entra ID 需要 X.509 证书才能验证签名的断言。由于 KMS 私钥永远不会离开 AWS KMS，因此您不能将其直接与 OpenSSL 一起使用。相反，您可以生成临时的本地 key pair 并创建证书签名请求。然后，使用 OpenSSL -force_pubkey 选项将 KMS 公钥注入到最终证书中。结果是一个自签名证书，其公钥与 KMS key pair 匹配。

先决条件

生成证书

在终端中运行以下命令。用您自己的placeholder值替换这些值。

验证 OpenSSL 版本

openssl version

确认输出显示版本 3.0 或更高版本。

导出 KMS 公钥

aws kms get-public-key \
    --key-id KMS_KEY_ARN \
    --region REGION \
    --output text \
    --query PublicKey | base64 --decode > public_key.der

将公钥转换为 PEM 格式

openssl rsa -pubin -inform DER -in public_key.der -outform PEM -out kms_public_key.pem

生成临时本地密钥对

openssl genrsa -out temp_private_key.pem 2048

创建证书签名请求

openssl req -new \
    -key temp_private_key.pem \
    -out cert.csr \
    -subj "/CN=QuickSharePointServiceAuth/O=YourOrganization/C=US"

使用 KMS 公钥生成证书

openssl x509 -req \
    -in cert.csr \
    -signkey temp_private_key.pem \
    -out certificate.pem \
    -days 730 \
    -force_pubkey kms_public_key.pem

转换为 DER 格式以便上传 Entra

openssl x509 -in certificate.pem -outform DER -out certificate.cer

清理临时文件

rm -f temp_private_key.pem cert.csr public_key.der kms_public_key.pem certificate.pem

计算证书指纹

运行以下命令计算证书的 base64url 编码 SHA-1指纹：

openssl dgst -sha1 -binary certificate.cer | base64 | tr '+/' '-_' | tr -d '='

记录这个值。在 Quick 中创建知识库时可以输入它。

第 3 步：在 Microsoft Entra ID 中注册应用程序

无论您使用的是所有站点权限还是，都需要执行此步骤。Sites.Selected唯一的区别是您在配置 API 权限本节中分配了哪些 API 权限。

注册应用程序

记录申请详情

在应用程序概述页面上，记录以下值：

配置 API 权限

添加与您的用例相匹配的权限。从该Permissions部分的表格中选择权限。根据您的权限范围（所有网站或 Sites.Selected）以及是否启用 ACL 抓取进行选择。

仅限内容 — 微软 Graph

仅限内容 — SharePoint

ACL 爬行 — Microsoft Graph（附加）

ACL 爬行 — SharePoint

授予管理员同意

上传证书

步骤 3b：授予站点级权限（仅限）Sites.Selected

如果您选择Sites.Selected作为权限范围，则必须明确授予您的 Amazon Quick Entra 应用程序访问每个 SharePoint网站的权限。这需要一个具有调用 Microsoft Graph API Sites.FullControl.All 权限的临时管理员应用程序。

如果您使用的是所有站点权限范围（Sites.Read.All或Sites.FullControl.All），请跳过此步骤。

获取每个 SharePoint 网站的站点 ID

您需要为要授予访问权限的每个 SharePoint 网站提供站点 ID。要获取站点 ID，请执行以下操作：

对要包含在知识库中的每个站点重复此操作。

创建临时管理员应用程序

管理应用程序仅用于向您的 Amazon Quick 应用程序授予网站级权限。完成此步骤后，您可以将其删除。

获取访问令牌

使用管理应用程序凭据从 Microsoft Entra 检索 OAuth 令牌。将这些placeholder值替换为管理应用程序的客户端 ID、密钥值和租户 ID。

macOS 和 Linux (bash)

curl -s --location "https://login.microsoftonline.com/TENANT_ID/oauth2/v2.0/token" \
  --header "Content-Type: application/x-www-form-urlencoded" \
  --data-urlencode "grant_type=client_credentials" \
  --data-urlencode "client_id=ADMIN_APP_CLIENT_ID" \
  --data-urlencode "client_secret=ADMIN_APP_SECRET_VALUE" \
  --data-urlencode "scope=https://graph.microsoft.com/.default"

Windows (PowerShell)

$tokenResponse = Invoke-RestMethod `
  -Uri "https://login.microsoftonline.com/TENANT_ID/oauth2/v2.0/token" `
  -Method Post `
  -ContentType "application/x-www-form-urlencoded" `
  -Body @{
    grant_type    = "client_credentials"
    client_id     = "ADMIN_APP_CLIENT_ID"
    client_secret = "ADMIN_APP_SECRET_VALUE"
    scope         = "https://graph.microsoft.com/.default"
  }
$adminToken = $tokenResponse.access_token

响应中包含一个access_token字段。记录此值以供下一步使用。

授予站点级权限

使用管理员令牌授予您的 Amazon Quick Entra 应用程序fullcontrol访问每个 SharePoint 网站的权限。将这些placeholder值替换为步骤 3 中的站点 ID、管理员令牌以及客户端应用程序 ID 和显示名称。

macOS 和 Linux (bash)

curl -s --location "https://graph.microsoft.com/v1.0/sites/SITE_ID/permissions" \
  --header "Content-Type: application/json" \
  --header "Authorization: Bearer ADMIN_TOKEN" \
  --data '{
    "roles": ["fullcontrol"],
    "grantedToIdentities": [{
      "application": {
        "id": "CLIENT_APP_ID",
        "displayName": "CLIENT_APP_NAME"
      }
    }]
  }'

Windows (PowerShell)

$body = @{
    roles = @("fullcontrol")
    grantedToIdentities = @(
        @{
            application = @{
                id          = "CLIENT_APP_ID"
                displayName = "CLIENT_APP_NAME"
            }
        }
    )
} | ConvertTo-Json -Depth 10

Invoke-RestMethod `
  -Uri "https://graph.microsoft.com/v1.0/sites/SITE_ID/permissions" `
  -Method Post `
  -Headers @{
    "Content-Type"  = "application/json"
    "Authorization" = "Bearer $adminToken"
  } `
  -Body $body

成功的响应包括"roles": ["fullcontrol"]grantedToIdentities字段中的客户端应用程序 ID。

清理

在你授予所有必需站点的权限后，你可以从 Microsoft Entra 管理中心删除临时管理应用程序。您授予的站点级权限独立于管理员应用程序仍然有效。

第 4 步：向 Amazon Quick 授予 KMS 密钥的权限

Amazon Quick 需要获得使用 KMS 密钥签署 OAuth 断言的权限。您可以通过 Amazon Quick 管理控制台授予此权限。

后续步骤

完成设置后，在 Amazon Quick 中创建 SharePoint 在线知识库连接。有关说明，请参阅在 Amazon Quick 中创建知识库。