本文為英文版的機器翻譯版本，如內容有任何歧義或不一致之處，概以英文版為準。

設定服務登入資料

在 Amazon Quick 中建立知識庫之前，請先完成 AWS 和 Microsoft Entra ID 中的下列組態步驟。您可以建立 KMS 簽署金鑰、產生憑證、在 Entra 中註冊應用程式，以及授予 Amazon Quick 使用該金鑰的許可。

此設定涉及多個系統，可能需要組織中不同管理員之間的協調。下表摘要說明每個步驟和完成步驟所需的角色。

先決條件

開始前，請確定您有下列項目：

許可

您指派的許可取決於兩個選擇：

選擇您的許可範圍

根據預設，Entra 應用程式註冊會使用 Sites.Read.All或 Sites.FullControl.All，這會授予您租用戶中所有 SharePoint 網站的存取權。如果您的組織需要最低權限的存取，您可以Sites.Selected改為使用 。透過 Sites.Selected，應用程式只能存取您明確授予許可的網站。

所有網站 – 僅限內容 （無 ACL)

所有網站 – 使用 ACL 爬取

Sites.Selected – 僅限內容 （無 ACL)

Sites.Selected – 使用 ACL 爬取

在設定期間收集的值

下表摘要說明您在設定期間建立或收集的值，以及您使用這些值的位置。

步驟 1：建立 AWS KMS 非對稱簽署金鑰

使用 Microsoft Entra ID 驗證時，Amazon Quick 會使用 AWS KMS 非對稱金鑰簽署 OAuth 聲明。私有金鑰永遠不會離開 KMS。只有公有金鑰會匯出並內嵌在上傳到 Entra 應用程式註冊的憑證中。

建立 KMS 金鑰

設定金鑰

在設定金鑰頁面上，設定下列值：

新增標籤

在新增標籤頁面上，輸入金鑰的別名。例如：quick-sharepoint-service-auth。

選擇略過以檢閱，然後選擇完成以建立金鑰。

記錄金鑰 ARN

建立金鑰後，開啟金鑰詳細資訊頁面並記錄金鑰 ARN。ARN 採用下列格式：

arn:aws:kms:us-west-2:123456789012:key/xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx

當您在 Quick 中建立知識庫時，您需要在步驟 2、4 和 中使用此值。

步驟 2：產生自我簽署憑證

Microsoft Entra ID 需要 X.509 憑證來驗證已簽署的聲明。由於 KMS 私有金鑰永遠不會離開 AWS KMS，因此您無法直接將其與 OpenSSL 搭配使用。反之，您會產生臨時本機金鑰對並建立憑證簽署請求。然後，使用 OpenSSL -force_pubkey選項將 KMS 公有金鑰插入最終憑證。結果是自我簽署的憑證，其公有金鑰符合 KMS 金鑰對。

先決條件

產生憑證

在終端機中執行下列命令。將預留位置值取代為您自己的值。

驗證 OpenSSL 版本

openssl version

確認輸出顯示 3.0 版或更新版本。

匯出 KMS 公有金鑰

aws kms get-public-key \
    --key-id KMS_KEY_ARN \
    --region REGION \
    --output text \
    --query PublicKey | base64 --decode > public_key.der

將公有金鑰轉換為 PEM 格式

openssl rsa -pubin -inform DER -in public_key.der -outform PEM -out kms_public_key.pem

產生臨時本機金鑰對

openssl genrsa -out temp_private_key.pem 2048

建立憑證簽署請求

openssl req -new \
    -key temp_private_key.pem \
    -out cert.csr \
    -subj "/CN=QuickSharePointServiceAuth/O=YourOrganization/C=US"

使用 KMS 公有金鑰產生憑證

openssl x509 -req \
    -in cert.csr \
    -signkey temp_private_key.pem \
    -out certificate.pem \
    -days 730 \
    -force_pubkey kms_public_key.pem

轉換為 DER 格式以進行 Entra 上傳

openssl x509 -in certificate.pem -outform DER -out certificate.cer

清除暫存檔案

rm -f temp_private_key.pem cert.csr public_key.der kms_public_key.pem certificate.pem

計算憑證指紋

執行下列命令來計算憑證的 base64url 編碼 SHA-1 指紋：

openssl dgst -sha1 -binary certificate.cer | base64 | tr '+/' '-_' | tr -d '='

記錄此值。當您在 Quick 中建立知識庫時，請輸入它。

步驟 3：在 Microsoft Entra ID 中註冊應用程式

無論您是否使用全站許可或 ，都需要此步驟Sites.Selected。唯一的差別是您在 設定 API 許可區段中指派的 API 許可。

註冊應用程式

記錄應用程式詳細資訊

在應用程式概觀頁面上，記錄下列值：

設定 API 許可

新增符合您使用案例的許可。從 許可區段中的資料表選擇許可。根據許可範圍 （所有網站或 Site.Selected) 以及是否啟用 ACL 爬取來選擇。

僅限內容 – Microsoft Graph

僅限內容 – SharePoint

ACL 爬取 – Microsoft Graph （額外）

ACL 爬取 – SharePoint

授予管理員同意

上傳憑證

步驟 3b：授予網站層級許可 （僅限 Sites.Selected)

如果您選擇 Sites.Selected作為許可範圍，則必須明確授予 Amazon Quick Entra 應用程式存取每個 SharePoint 網站的權限。這需要具有呼叫 Microsoft Graph API Sites.FullControl.All許可的臨時管理員應用程式。

如果您使用全站台許可範圍 (Sites.Read.All 或 )，請略過此步驟Sites.FullControl.All。

取得每個 SharePoint 網站的網站 ID

您需要要授予存取權的每個 SharePoint 網站的網站 ID。若要取得站台 ID：

針對您要包含在知識庫中的每個網站重複此步驟。

建立臨時管理員應用程式

管理員應用程式僅用於將網站層級許可授予您的 Amazon Quick 應用程式。您可以在完成此步驟後將其刪除。

取得存取字符

使用管理員應用程式登入資料從 Microsoft Entra 擷取 OAuth 權杖。將預留位置值取代為管理員應用程式的用戶端 ID、秘密值和租用戶 ID。

macOS 和 Linux (bash)

curl -s --location "https://login.microsoftonline.com/TENANT_ID/oauth2/v2.0/token" \
  --header "Content-Type: application/x-www-form-urlencoded" \
  --data-urlencode "grant_type=client_credentials" \
  --data-urlencode "client_id=ADMIN_APP_CLIENT_ID" \
  --data-urlencode "client_secret=ADMIN_APP_SECRET_VALUE" \
  --data-urlencode "scope=https://graph.microsoft.com/.default"

Windows (PowerShell)

$tokenResponse = Invoke-RestMethod `
  -Uri "https://login.microsoftonline.com/TENANT_ID/oauth2/v2.0/token" `
  -Method Post `
  -ContentType "application/x-www-form-urlencoded" `
  -Body @{
    grant_type    = "client_credentials"
    client_id     = "ADMIN_APP_CLIENT_ID"
    client_secret = "ADMIN_APP_SECRET_VALUE"
    scope         = "https://graph.microsoft.com/.default"
  }
$adminToken = $tokenResponse.access_token

回應包含 access_token 欄位。記錄下一個步驟的此值。

授予網站層級許可

使用 管理員字符授予 Amazon Quick Entra 應用程式fullcontrol存取每個 SharePoint 網站的權限。將預留位置值取代為您的站台 ID、管理員字符，以及來自步驟 3 的用戶端應用程式 ID 和顯示名稱。

macOS 和 Linux (bash)

curl -s --location "https://graph.microsoft.com/v1.0/sites/SITE_ID/permissions" \
  --header "Content-Type: application/json" \
  --header "Authorization: Bearer ADMIN_TOKEN" \
  --data '{
    "roles": ["fullcontrol"],
    "grantedToIdentities": [{
      "application": {
        "id": "CLIENT_APP_ID",
        "displayName": "CLIENT_APP_NAME"
      }
    }]
  }'

Windows (PowerShell)

$body = @{
    roles = @("fullcontrol")
    grantedToIdentities = @(
        @{
            application = @{
                id          = "CLIENT_APP_ID"
                displayName = "CLIENT_APP_NAME"
            }
        }
    )
} | ConvertTo-Json -Depth 10

Invoke-RestMethod `
  -Uri "https://graph.microsoft.com/v1.0/sites/SITE_ID/permissions" `
  -Method Post `
  -Headers @{
    "Content-Type"  = "application/json"
    "Authorization" = "Bearer $adminToken"
  } `
  -Body $body

成功的回應包含 "roles": ["fullcontrol"]和 grantedToIdentities 欄位中的用戶端應用程式 ID。

清除

授予所有必要網站的許可後，您可以從 Microsoft Entra 管理中心刪除臨時管理員應用程式。您授予的網站層級許可會獨立於管理員應用程式保持有效。

步驟 4：授予 Amazon Quick 許可給 KMS 金鑰

Amazon Quick 需要許可，才能使用 KMS 金鑰簽署 OAuth 聲明。您可以從 Amazon Quick admin 主控台授予此許可。

後續步驟

完成設定後，請在 Amazon Quick 中建立 SharePoint Online 知識庫連線。如需說明，請參閱在 Amazon Quick 中建立知識庫。