本文為英文版的機器翻譯版本，如內容有任何歧義或不一致之處，概以英文版為準。

使用者受管設定 (3LO)

透過使用者受管設定，您可以直接登入 SharePoint，Amazon Bedrock 受管知識庫會處理身分驗證。使用者可以在幾分鐘內完成設定。

儲存登入資料的方式

使用使用者受管設定時，您不會自行建立或提供 AWS Secrets Manager 秘密，也不會提供租戶 ID。當您登入時，Amazon Bedrock 受管知識庫會使用系統產生的 ARN 在您的 AWS 帳戶中建立秘密，並在帳戶中存放 3LO 重新整理權杖。Amazon Bedrock 受管知識庫會視需要使用重新整理權杖來取得和重新整理存取權杖，以存取資料來源。

當您選擇登入時，您可以選擇提供秘密名稱字首。Amazon Bedrock 受管知識庫在產生的秘密 ARN 中包含此字首。提供字首可讓您建立縮小範圍的 IAM 政策，僅將存取權授予具有該字首的秘密。您可以在建立 3LO 權杖之前，將此政策置於適當位置。如果您未提供字首，則建立的秘密會使用字bedrock-managedkb-oauth首。

產生的秘密 ARN 遵循此模式：

arn:aws:secretsmanager:region:account-id:secret:bedrock-managedkb-oauth/your-prefix/connector-type/uuid

呼叫者的許可 (CreateDataSource)：呼叫 的 IAM 主體CreateDataSource需要秘密的下列許可：

{
    "Effect": "Allow",
    "Action": [
        "secretsmanager:CreateSecret",
        "secretsmanager:GetSecretValue"
    ],
    "Resource": [
        "arn:aws:secretsmanager:region:account-id:secret:bedrock-managedkb-oauth/your-prefix/*"
    ]
}

執行角色的許可：知識庫執行角色需要秘密的讀取和寫入存取權，才能重新整理權杖：

{
    "Effect": "Allow",
    "Action": [
        "secretsmanager:GetSecretValue",
        "secretsmanager:PutSecretValue"
    ],
    "Resource": [
        "arn:aws:secretsmanager:region:account-id:secret:bedrock-managedkb-oauth/your-prefix/*"
    ]
}

您可以建立 3LO 秘密，並透過 Amazon Bedrock 知識庫主控台完成使用者同意流程。然後，您可以在建立第三方資料連接器時參考這些 AWS Secrets Manager 項目 （請參閱 連接 SharePoint 資料來源)。這些項目不會與任何知識庫相關聯，並且可以視需要用於不同的知識庫。

開始之前

開始前，請確定您具有下列項目：

大多數使用者無需任何額外步驟即可完成設定。不過，如果您的 Microsoft 365 租用戶限制第三方應用程式存取，您可能會在登入時看到錯誤。在此情況下，Microsoft 365 管理員需要授予 Amazon Bedrock KB 應用程式的一次性同意。授予同意後，組織中的任何使用者都可以連線。

如果您不是 Microsoft 365 管理員，請與您的管理員共用下列資訊：

授予整個組織的管理員同意

有些 Amazon Bedrock KB 功能需要 Microsoft Entra 的委派許可。根據預設，當您第一次使用此功能時，您會看到 Microsoft 同意對話方塊。Microsoft 365 管理員可以代表整個組織預先同意。授予同意後，不會提示您使用同意對話方塊。這是每個應用程式的一次性動作。

下表說明使用和不使用管理員同意的使用者體驗。

透過同意對話方塊授予同意

授予管理員同意的最簡單方法是透過在功能流程中顯示的 Microsoft 同意對話方塊。

這會授予 Microsoft 365 租用戶中所有使用者所請求委派許可的同意。

透過 Microsoft Entra 管理中心授予同意

管理員也可以直接從 Microsoft Entra 管理中心授予同意。

驗證同意

在您授予同意後，企業應用程式的許可頁面會在管理員同意欄下顯示具有狀態指示燈的所有委派許可。

檢查租戶同意設定

若要檢查您的租戶是否限制使用者同意，請完成下列步驟。

請求的許可

使用者登入時會請求下列委派許可。如果需要在授予同意之前檢閱許可，請與您的管理員共用此清單。

疑難排解

如果您在使用者受管設定期間遇到問題，請將症狀與下列項目配對。

後續步驟

完成使用者受管設定後，建立將 authType 設為 的資料來源MANAGED_OAUTH2。請參閱連接 SharePoint 資料來源。