Configurare le credenziali del client Concedi l'autenticazione per Box

L'autenticazione Client Credentials Grant (CCG) è il metodo di autenticazione consigliato per un'origine dati Box. Il connettore si autentica come app Box utilizzando il flusso Client Credentials Grant (2LO), con un account di servizio (non un utente) che esegue la scansione di tutti i contenuti aziendali e nessun accesso interattivo. È l'unico metodo di autenticazione che supporta il controllo degli accessi a livello di documento (ACL). Usalo per la maggior parte delle distribuzioni.

Passaggio 1: crea l'app Box

1. Vai alla Box Developer Console.

2. Scegli Crea una nuova app.

3. In Metodo di autenticazione, seleziona Autenticazione del server.

4. Seleziona Client Credentials Grant (contrassegnato come Consigliato da Box).

5. Assegna un nome all'app e scegli Crea. Verrai indirizzato alla pagina di configurazione.

Passaggio 2: configura le autorizzazioni dell'app

Livello di accesso: in Livello di accesso all'app, seleziona App + Enterprise Access.

Importante

Senza l'accesso App + Enterprise, l'account del servizio non può visualizzare tutti i dati aziendali e il connettore non riesce a eseguire la scansione.

Azioni relative ai contenuti (obbligatorie): abilita entrambe le seguenti opzioni:

• Leggi tutti i file e le cartelle

• Scrivi tutti i file e le cartelle

Importante

Box considera i download come un'interazione di scrittura, quindi Write è necessaria anche per la scansione in sola lettura.

Azioni amministrative: abilita entrambe le seguenti opzioni:

• Gestione degli utenti

• Gestisci gruppi

Nota

Sono necessarie azioni amministrative per il supporto del controllo degli accessi a livello di documento (ACL). Se non sono necessari gli ACL, è possibile ometterli. Box offre solo il set completo di autorizzazioni di gestione: non è disponibile alcuna opzione di sola lettura.

Configurazione aggiuntiva: abilita Make API call utilizzando l'intestazione as-user. Ciò consente al connettore di delegare come singoli utenti e di eseguire la scansione dei contenuti per utente. Lascia disattivata la funzione Generate user access tokens.

Passaggio 3: Salva e raccogli le credenziali

1. Selezionare Salva. Viene visualizzata una conferma delle impostazioni dell'app salvate correttamente.

2. Nel pannello di destra (Dettagli dell'app > Accesso), copia l'ID client.

3. Scegli Fetch Secret per rivelare il Client Secret, quindi copialo.

   Nota

   Il segreto del client non viene mostrato automaticamente dopo la creazione. Devi scegliere Fetch Secret per rivelarlo. Fatelo subito dopo il salvataggio, prima di andarvene.

4. Scorri verso il basso fino a Proprietà nel pannello di destra e raccogli l'ID utente (ccgUserId) e l'Enterprise ID (enterpriseId).

Passaggio 4: autorizza l'app

Dopo il salvataggio, il pannello Stato sulla destra mostra il pulsante Autorizzazione: non inviata con un pulsante Autorizza.

1. Scegli Autorizza per inviarlo per la revisione amministrativa.

2. Un amministratore aziendale deve approvare l'app prima che possa essere utilizzata.

Importante

L'app non funziona fino a quando non viene concessa l'autorizzazione dell'amministratore. Non inviato significa che l'app non funziona in fase di esecuzione.

Fase 5: Creare il segreto di Secrets Manager

Archivia le credenziali in un luogo AWS Secrets Manager segreto con le seguenti coppie chiave-valore:

{
    "clientId": "your-client-id",
    "clientSecret": "your-client-secret",
    "enterpriseId": "your-enterprise-id",
    "ccgUserId": "your-user-id"
}

Campi segreti CCG

Campo	Description
clientId	ID client dell'app dalla sezione Accesso (pannello di destra).
clientSecret	Rivelato scegliendo Fetch Secret dopo aver salvato l'app.
enterpriseId	Dal pannello Proprietà. Identifica l'istanza aziendale Box da sottoporre a scansione.
ccgUserId	Dal pannello Proprietà. Verifica che le credenziali possano essere delegate come utente.

Crea il segreto con: AWS Command Line Interface

aws secretsmanager create-secret \
  --name bedrock-box-ccg-creds \
  --secret-string file://secret.json

Registra l'ARN segreto della risposta. Lo usi come fonte secretArn di dati.

Fasi successive

Dopo aver memorizzato il segreto, crea l'origine dati con authType set toCCG. Consulta Connect a Box a data source. Per filtrare i risultati delle query in base alle autorizzazioni degli utenti, consultaDocument-level controlli di accesso.