如何将AWS Lex机器人发布到内部SharePoint站点

前置必做配置（90%的对接失败都是漏了这些步骤） #

• 先在Azure Portal注册企业应用，授予最小必要SharePoint权限Sites.ReadWrite.All（仅需读取就选Sites.Read.All），完成管理员同意后生成客户端密钥，记录租户ID、应用ID、客户端密钥三个核心参数
• 确认AWS侧网络与内部SharePoint网络打通：如果SharePoint是内网部署，需要将Lambda关联到能访问内网的VPC，配置对应安全组出站规则；如果是云上SharePoint，需要将Lambda出站IP加入SharePoint的访问白名单
• 给Lex关联的Lambda执行角色添加AWSLambdaBasicExecutionRole权限之外的出站调用权限，允许Lambda请求Azure AD鉴权接口和SharePoint资源接口

标准对接流程 #

1. 改造现有Lambda逻辑：
   • 原有S3数据拉取逻辑保持不变，新增鉴权模块：通过你记录的租户ID、应用ID、客户端密钥，请求Azure AD令牌接口获取SharePoint访问令牌，注意请求的scope参数要填https://{你的企业租户名}.sharepoint.com/.default
   • 调整返回值格式，适配SharePoint前端展示规则，支持富文本、附件等你需要的返回形式
2. 选择适合的嵌入方案：
   • 轻量化方案：在SharePoint侧开发SPFx Web部件，在部件中直接调用Lex的PostText/PostContentAPI完成交互，不需要额外配置AWS侧网关
   • 统一管控方案：通过AWS API Gateway封装Lex调用接口，配置API网关的身份校验规则，在SharePoint页面嵌入自定义脚本调用API网关端点即可
3. 调整CloudFormation模板：默认的Lex渠道部署模板仅适配公网场景，需要手动补充以下参数：Azure AD鉴权参数、SharePoint地址白名单、Lambda VPC关联配置，不要直接套用模板默认值

快速调试方法 #

• 本地先模拟全链路请求：先用Postman获取SharePoint访问令牌，再调用Lex测试接口，确认返回结果符合预期后再部署到线上
• 查看Lambda对应的CloudWatch日志定位错误：返回401错误是Azure AD令牌配置错误，返回403错误是SharePoint权限不足或者IP白名单未配置，返回503错误是网络不通

内容的提问来源于stack exchange，提问作者user13340365