Las organizaciones con usuarios en múltiples geografías enfrentan requisitos de residencia de datos, como el Reglamento General de Protección de Datos (GDPR) en Europa, leyes de soberanía de datos específicas de cada país y políticas de cumplimiento interno. Amazon Quick con extensiones de Microsoft 365 admite el enrutamiento regional para cumplir con estos requisitos.
Amazon Quick admite implementaciones en varias regiones para que pueda dirigir a los usuarios a recursos de Amazon Quick específicos de la región de AWS (agentes de chat rápido, flujos rápidos, bases de conocimiento y más). Las industrias reguladas, como las de servicios financieros, atención médica, energía y telecomunicaciones, suelen utilizar este patrón para mantener los datos dentro de límites geográficos específicos.
Si integra Amazon Quick con aplicaciones de Microsoft 365, en este caso Microsoft Teams, los usuarios deben autenticarse y conectarse a sus recursos regionales de Amazon Quick adecuados. El enrutamiento regional garantiza que los usuarios accedan a los agentes de chat y a los recursos que crean en su Amazon Quick Region. En esta publicación, le mostraremos cómo aplicar la residencia de datos al implementar extensiones de Amazon Quick Microsoft Teams en varias regiones de AWS. Aprenderá a configurar extensiones de Amazon Quick multiregión que dirigen automáticamente a los usuarios a recursos apropiados para la región de AWS, lo que ayuda a mantener el cumplimiento del RGPD y otros requisitos de soberanía de datos.
Descripción general de la solución
En esta publicación, presentamos un ejemplo del mundo real con MyCompany, una organización global ficticia con sede europea que accede a Amazon Quick en la región de Europa (Irlanda) (eu-west-1) y una sucursal de EE. UU. en la región de EE. UU. Este (N. Virginia) (us-east-1). Una única cuenta de Amazon Quick tiene agentes de chat específicos de la región de AWS (MyCompany-Knowledge-Agent-eu-west-1 y MyCompany-Knowledge-Agent-us-east-1) que contienen información corporativa localizada.
El enrutamiento regional requiere AWS IAM Identity Center con un emisor de token confiable (TTI) para la autenticación entre sistemas. Esta publicación utiliza Microsoft Entra ID para el control de acceso basado en grupos para demostrar cómo las organizaciones pueden enrutar automáticamente a los usuarios a sus regiones de AWS apropiadas, aunque son posibles otros enfoques de administración de identidades. Esta publicación se centra en la extensión Amazon Quick para Microsoft Teams como ejemplo principal.
El siguiente diagrama de arquitectura demuestra cómo automatizar el enrutamiento de usuarios en múltiples regiones de AWS mediante la integración de Microsoft Entra ID con IAM Identity Center. Al utilizar la membresía del grupo Microsoft Entra ID para dirigir a los usuarios a sus implementaciones regionales designadas de Amazon Quick, puede mantener la residencia de los datos dentro de límites geográficos específicos y al mismo tiempo brindar una experiencia consistente para su fuerza laboral global.
Para implementar este diseño, seguirá un proceso de varias fases que comienza con la configuración de la Consola de administración de AWS y concluye con la implementación de complementos regionales para sus usuarios. En un nivel alto, esta publicación le muestra cómo configurar la identidad y la confianza una vez y luego repetir un pequeño conjunto de pasos regionales por región de AWS. Los siguientes pasos resumen el flujo de trabajo de alto nivel:
Inicie la configuración en la consola de Amazon Quick y elija la región de AWS para configurar. Configure la integración de la extensión regional de Microsoft Teams, incluido un rol de AWS Identity and Access Management (IAM) y un secreto de AWS Secrets Manager para esa región de AWS, y confíe en IAM Identity Center como emisor de tokens. Active la extensión en Amazon Quick para generar el archivo de manifiesto regional. Registre las devoluciones de llamada de extensión en su aplicación Microsoft Entra ID y complete la devolución de llamada de activación para la aplicación en todas las regiones de AWS. Implemente el complemento de Microsoft Teams ([YOUR_COMPANY_NAME]-Teams-[AWS_REGION]) en sus grupos de usuarios regionales a través de Microsoft Entra ID. Asigne el complemento regional a su agente de conocimiento designado ([YOUR_COMPANY_NAME]-Teams-[AWS_REGION] Agente) para otorgar a los usuarios acceso a datos localizados.
Requisitos previos
Su entorno de AWS debe tener Amazon Quick activo en sus regiones de AWS de destino, junto con los servicios de administración de secretos e identidades utilizados para manejar la autenticación regional. Para los servicios de AWS, debe contar con lo siguiente:
Una cuenta activa de Amazon Quick IAM Identity Center configurada y administra identidades de usuario para su organización con integración SAML con Microsoft Entra ID Secrets Manager disponible en ambas regiones de destino de AWS para almacenar credenciales de autenticación Acceso IAM para crear roles y políticas
Para Microsoft 365, debe tener lo siguiente para acceso de administrador:
Un rol de administrador global o administrador de aplicaciones en Microsoft Entra ID Acceso al Centro de administración de Microsoft 365 para la implementación de aplicaciones Permisos para crear y configurar aplicaciones empresariales en Microsoft Entra ID
Crear la aplicación Microsoft Entra ID
Comenzamos estableciendo la base de identidad compartida utilizada por cada región de AWS. En este primer paso, creará una aplicación Microsoft Entra ID. Las extensiones de Microsoft 365 utilizan la aplicación Microsoft Entra ID para autenticar usuarios en Amazon Quick a través de IAM Identity Center. Complete los siguientes pasos para crear su aplicación:
En su cuenta de Azure, elija Registros de aplicaciones y luego elija Nuevo registro. Para los tipos de cuentas admitidos, elija Cuentas solo en este directorio organizacional (solo uso personal: inquilino único). Elija Registrarse. Navegue hasta la pestaña Administrar – Autenticación del registro de la aplicación. Elija Agregar URL de redireccionamiento. Elija Web. Para esta publicación, utilizamos dos URL de redireccionamiento, usando el patrón https://qbs-cell001.dp.appintegrations.[AWS_REGION].prod.plato.ai.aws.dev/auth/idc-tti/callback: https://qbs-cell001.dp.appintegrations.eu-west-1.prod.plato.ai.aws.dev/auth/idc-tti/callback https://qbs-cell001.dp.appintegrations.us-east-1.prod.plato.ai.aws.dev/auth/idc-tti/callback
Microsoft Entra ID utiliza las URL de devolución de llamada para devolver la respuesta de inicio de sesión del usuario a IAM Identity Center para la región de AWS correcta (eu-west-1 o us-east-1). Utilice estas URL exactas: son los valores reales necesarios para las implementaciones de Amazon Quick.
Otorgue al usuario de Microsoft Graph el permiso de lectura para permitir que la aplicación inicie sesión en los usuarios y lea su información básica de perfil. Este permiso delegado no requiere el consentimiento del administrador.
En los pasos siguientes, necesitará su ID de inquilino de Microsoft, su ID de cliente de la aplicación y su valor de secreto de cliente.
Cree un emisor de tokens confiable en IAM Identity Center
En este paso, creará emisores de tokens confiables en IAM Identity Center. Un emisor de tokens confiable es una configuración en IAM Identity Center que valida tokens emitidos por Microsoft Entra ID. Puede usarlo para la autenticación entre sistemas, de modo que los usuarios puedan moverse entre Microsoft 365 y AWS sin inicios de sesión repetidos. Complete los siguientes pasos para configurar el emisor de tokens de confianza con la URL del emisor de su inquilino de Microsoft y asignar el atributo de correo electrónico:
En la consola de IAM Identity Center, elija Configuración en el panel de navegación. Elija Crear emisor de tokens confiable. Para URL del emisor, ingrese la URL de su emisor de token de confianza en el formato https://login.microsoftonline.com/[YOUR_TENANT_ID]/v2.0, utilizando el ID de inquilino que recuperó en el paso anterior. En Nombre del emisor de tokens de confianza, ingrese un nombre para su emisor de tokens de confianza en el formato [NOMBRE_DE_COMPAÑÍA]-MS365Extensions-Trust-Token-Issuer, utilizando el nombre de su empresa. Elija Crear emisor de tokens confiable.
Esta configuración se aplica a cada región de AWS donde implementará las extensiones.
Con los componentes de identidad global implementados, ahora puede configurar cada región de AWS con sus propios secretos, roles y configuraciones de extensión que aplican la residencia de datos para cada región geográfica de AWS.
Configurar permisos de IAM y entradas de Secrets Manager
En este paso, creará los secretos necesarios para almacenar las credenciales de extensión de Microsoft 365 y los permisos de IAM que otorgan acceso de lectura a los secretos.
Cree un secreto por región de AWS (eu-west-1 y us-east-1) en Secrets Manager siguiendo la convención de nombres [NOMBRE_COMPANÍA]/MS365/Extensions/[AWS_REGION]:
Cree una política de IAM llamada [YOUR_COMPANY_NAME]-MS365-Extensions-Policy:
Utilice la siguiente relación de confianza:
Cada vez que activa una nueva región de AWS, debe crear un nuevo secreto en Secrets Manager y agregar el nuevo nombre de recurso de Amazon (ARN) secreto a la lista de recursos en la política de IAM. También debe agregar la nueva región de AWS que desea activar al campo Servicio en la relación de confianza del rol de IAM. Este campo identifica la entidad de servicio regional, que es la identidad de servicio de AWS específica (por ejemplo, eu-west-1.prod.appintegrations.plato.aws.internal) que requiere permiso para asumir sus funciones de IAM en esa región de AWS específica.
Tome nota del ARN del rol de IAM creado. Lo necesitarás en el siguiente paso.
Configurar extensiones en Amazon Quick
Complete los siguientes pasos para crear extensiones administradas de Amazon Quick para Microsoft Teams:
Inicie sesión en la consola de Amazon Quick. En la parte superior derecha, elige el ícono de perfil. Elija la región UE (Irlanda). En el menú desplegable, elija Administrar rápido. En Permisos en el panel de navegación, elija Acceso a extensión. Elija Agregar acceso a extensión. Configure su emisor de tokens de confianza: Para Arn del emisor de tokens de confianza, ingrese el ARN del emisor de tokens de confianza que creó. Para reclamar Aud, ingrese su ID de cliente.
El reclamo de audiencia (Aud) es un identificador de seguridad que valida que el token de autenticación solo lo utiliza la aplicación específica para la que fue diseñado, evitando el acceso no autorizado de otras entidades. Esta configuración se comparte entre los accesos a extensiones en esta región de AWS.
Seleccione Microsoft Teams entre los tipos de extensión disponibles.
Configure la extensión con su ID de inquilino de Microsoft 365, atributos de seguridad y configuración de autenticación: ingrese un nombre y una descripción opcional. Para el ID de inquilino de Microsoft, ingrese su ID de inquilino. Para ARN de función de secretos, ingrese el ARN de su función de administrador de secretos. Para ARN de secretos, ingrese el ARN de su secreto. El ARN es específico de la región y debe apuntar a sus recursos regionales de AWS.
Regrese a la consola de Amazon Quick. Elija Extensiones en el panel de navegación y luego elija Crear extensión. Cree una extensión de Microsoft Teams. Elija el menú de opciones (tres puntos) al lado de su extensión y elija Instalar.
Este proceso crea una aplicación empresarial en Microsoft Entra ID con las direcciones URL únicas y las instrucciones que Microsoft 365 Teams necesita para comunicarse con los activos regionales específicos de AWS. La instalación de la aplicación requiere permisos para instalar una aplicación empresarial en Microsoft Entra ID.
Cuando se complete la instalación, se mostrará la siguiente entrada en la aplicación Microsoft Entra ID Enterprise.
Repita estos pasos para crear una extensión e instalar la aplicación en la región us-east-1. Siga la misma convención de nomenclatura con el sufijo de la región de AWS y utilice el ARN secreto para la región us-east-1.
Crear agentes de chat
Una vez implementadas las aplicaciones regionales, cree los agentes de chat específicos de la región de AWS a los que accederá cada complemento. Cada región de AWS mantiene su propio agente con bases de conocimiento localizadas. Complete los siguientes pasos:
Abra la consola de Amazon Quick en eu-west-1. En el panel de navegación, elija Agentes de chat y luego elija Crear agente de chat. Cree un agente de chat regional en eu-west-1 con conocimiento corporativo europeo. La convención de nomenclatura incluye el identificador de región de AWS para facilitar la administración en varias regiones: [NOMBRE_DE_COMPAÑÍA]-Knowledge-Agent-eu-west-1.
Repita estos pasos para crear un agente de chat en us-east-1 con información corporativa específica de EE. UU., llamado [YOUR_COMPANY_NAME]-Knowledge-Agent-us-east-1.
El último paso es implementar el complemento regional correcto en el grupo de usuarios correcto en Microsoft 365.
Implementar aplicaciones de Microsoft Teams
En el último paso, asigna cada aplicación de Microsoft Teams a sus respectivos grupos regionales. Complete los siguientes pasos:
En el Centro de administración de Microsoft Teams, elija Aplicaciones de equipo. Elija Administrar aplicaciones y filtre las aplicaciones por "Amazon Quick".
Elija en la primera aplicación (en la región eu-west-1) y elija Editar disponibilidad. Asigne la extensión a grupos de usuarios regionales específicos en lugar de a toda la organización. Esta implementación basada en grupos dirige automáticamente a sus usuarios a los recursos regionales correctos de su cuenta de Amazon Quick.
Repita el mismo proceso con la aplicación Microsoft Teams en la región us-east-1.
La siguiente captura de pantalla muestra cómo se verá la configuración en el Centro de administración de Microsoft Teams.
Después de que se propague la implementación, puede validar que los usuarios sean enrutados automáticamente al agente regional correcto.
Verificar la implementación
Los usuarios de la UE pueden utilizar el agente MyCompany-Teams-eu-west-1 cuando interactúan con la extensión Microsoft Teams. El complemento seleccionará el agente de chat Mi Asistente de forma predeterminada, por lo que debe elegir el ícono de configuración (engranaje) y elegir el agente de chat MiCompañía-Agente-de-conocimiento-eu-west-1.
La siguiente captura de pantalla muestra un ejemplo de interacción con el agente de chat.
Los usuarios de EE. UU. pueden utilizar el agente de chat MyCompany-Knowledge-Agent-us-east-1, lo que demuestra un enrutamiento regional exitoso sin configuración manual.
Solución de problemas
Los siguientes consejos pueden ayudarle a solucionar algunos problemas comunes que pueden surgir al configurar las extensiones de Amazon Quick:
La extensión rápida no se muestra en Microsoft Teams: espere de 24 a 48 horas para la propagación de la implementación de Microsoft 365. Verifique que el usuario esté en el grupo de ID de Microsoft Entra correcto. Borre la caché del complemento de Microsoft Office y reinicie Teams. Problemas con la autenticación en Amazon. Extensión rápida: verifique que las URL de redireccionamiento coincidan exactamente en la ID de Microsoft Entra. Verifique la configuración del emisor del token confiable. Confirme que la relación de confianza del rol de IAM incluya la entidad principal de servicio correcta. Agente incorrecto enumerado en la extensión de Amazon Quick: verifique la membresía del grupo de usuarios (solo debe estar en uno). Grupo regional) Verifique la asignación de manifiesto a grupo en el Centro de administración de Microsoft 365 Haga que el usuario cierre sesión y vuelva a iniciar sesión La lista desplegable de agentes en la extensión de Amazon Quick está vacía: Valide que el agente se comparte con los usuarios en la consola de Amazon Quick Verifique que el agente exista en la misma región de AWS que la extensión Verifique que los permisos del agente estén configurados al menos en el nivel de usuario
Limpiar
Para evitar cargos continuos, borre los recursos que creó como parte de esta publicación si ya no los necesita.
Conclusión
Esta solución de extensión Amazon Quick multiregión para Microsoft 365 proporciona capacidades de IA compatibles con la región de AWS para su fuerza laboral global. Los pasos de arquitectura e implementación de esta publicación muestran cómo integrar la IA empresarial con herramientas de productividad manteniendo la residencia de los datos y los límites de cumplimiento.
Para obtener más detalles sobre los asistentes impulsados por IA que mejoran la productividad sin cambiar de aplicación, consulte Acceso a extensiones. Consulte Introducción a Amazon Quick para comenzar a utilizar Amazon Quick hoy.
Sobre los autores
“Ramón Díez Lejarazu” es un constructor y estratega de IA en Amazon Web Services que crea soluciones impulsadas por IA basadas en necesidades comerciales reales. Lidera proyectos con la firme convicción de que la tecnología debe resolver problemas reales de las personas y las organizaciones.
“Anneline Sibanda” es constructora de IA en Amazon Web Services y se especializa en la arquitectura y entrega de soluciones de IA generativas y agentes. Es un socio técnico clave para las empresas que cierran la brecha entre conceptos innovadores y aplicaciones listas para producción.
“David Perez Caparrós” es estratega principal de IA en Amazon Web Services, donde ayuda a clientes y socios de la industria a diseñar, implementar y operar soluciones de IA generativa en AWS. Con más de 15 años de experiencia, David se ha convertido en un asesor confiable para las organizaciones que atraviesan sus viajes de transformación de la IA.