Les traductions sont fournies par des outils de traduction automatique. En cas de conflit entre le contenu d'une traduction et celui de la version originale en anglais, la version anglaise prévaudra.

Document-level contrôles d'accès

OneDrive les sources de données prennent éventuellement en charge le contrôle d'accès au niveau du document. Lorsque cette option est activée, Bedrock Managed Knowledge Base synchronise les listes de contrôle d'accès (ACL) à OneDrive chaque exploration et vérifie les autorisations de chaque utilisateur au moment de la requête, de sorte que les utilisateurs ne voient que les résultats des documents auxquels ils sont autorisés à accéder. OneDrive Pour une vue d'ensemble de la prise en compte des ACL sur tous les connecteurs, voirSensibilisation aux listes de contrôle d'accès.

Comment ça marche

Lorsqu'un utilisateur interroge une base de connaissances qui utilise une source de ACL-enabled OneDrive données, Bedrock Managed Knowledge Base applique les contrôles d'accès en deux étapes :

Cette approche en deux étapes fournit un contrôle d'accès au niveau du document qui reste actuel même lorsque les OneDrive autorisations changent entre les synchronisations.

Qu'est-ce qui est crawlé

Lorsque les ACL sont activées, Bedrock Managed Knowledge Base analyse les autorisations de partage au niveau des fichiers et les attributions de groupes de sécurité à partir de. OneDrive Les appartenances à des groupes imbriqués (transitifs) sont également résolues.

Au moment de la requête, vous transmettez l'adresse e-mail de l'utilisateur (et non celle d'un groupe). La base de connaissances gérée Bedrock résout les appartenances aux groupes de cet utilisateur à partir des données qu'il a analysées et les applique lors du filtrage des résultats. Pour plus d'informations sur le modèle d'identité, consultezSensibilisation aux listes de contrôle d'accès.

Conditions préalables à la prise de conscience de l'ACL

ACL-enabled OneDrive utilise deux API Microsoft différentes, chacune ayant son propre ensemble d'autorisations d'application sur votre application Microsoft Entra : le crawl utilise l'API Microsoft Graph et la vérification en temps réel utilise l' SharePoint API REST (OneDrive pour les entreprises est soutenue par). SharePoint Configurez les autorisations pour les deux API, avec le consentement de l'administrateur, avant d'activer la prise en compte des ACL.

Pour la procédure de configuration complète, y compris le certificat, voirConfigurer l'authentification Microsoft Entra App ID pour OneDrive.

Activer la sensibilisation à l'ACL

Pour activer la prise en compte des ACL pour une source de OneDrive données, définissez aclEnabled la true valeur sur in the connectorParameters et utilisez le type d'ENTRA_APP_IDauthentification. Ce type d'authentification utilise des autorisations d'application qui permettent à Bedrock Managed Knowledge Base d'explorer les informations d'identité et de vérifier l'accès aux documents au moment de la requête.

Lorsque les ACL sont activées pour OneDrive, vous devez inclure un certificateS3Path dans le connectionConfiguration pointeur vers un fichier de certificat PKCS #12 (.p12) dans Amazon S3. Ce certificat est utilisé pour la vérification des ACL en temps réel par rapport à l' SharePoint API REST. Ce n'certificateS3Pathest pas obligatoire lorsque les ACL sont désactivées.

"connectorParameters": {
    "type": "ONEDRIVE",
    "version": "1",
    "aclEnabled": true,
    "connectionConfiguration": {
        "tenantId": "your-tenant-id",
        "authType": "ENTRA_APP_ID",
        "secretArn": "arn:aws:secretsmanager:region:account-id:secret:secret-name",
        "certificateS3Path": {
            "s3BucketName": "your-certificate-bucket",
            "s3KeyName": "certs/certificate.p12"
        }
    },
    "dataEntityConfiguration": {
        "crawlPersonalDrives": true
    }
}

Real-time vérification d'accès

Bedrock Managed Knowledge Base vérifie chaque document candidat en temps réel, entièrement côté serveur, en utilisant les informations d'identification de l'application. Il n'y a pas de connexion de l'utilisateur final ni de consentement délégué. OneDrive For Business étant soutenu par SharePoint, Bedrock Managed Knowledge Base vérifie les autorisations effectives de l'utilisateur demandeur par rapport à l' SharePoint API REST de l'hôte de OneDrive votre locataire.

OneDrive la vérification en temps réel utilise un modèle à deux informations d'identification, et les deux informations d'identification sont requises :

Vérification de votre configuration

Vous pouvez valider les autorisations de votre application Entra indépendamment d'une demande de récupération. Effectuez chacune des vérifications suivantes :

Résolution des problèmes