Les traductions sont fournies par des outils de traduction automatique. En cas de conflit entre le contenu d'une traduction et celui de la version originale en anglais, la version anglaise prévaudra.

Document-level contrôles d'accès

SharePoint les sources de données prennent éventuellement en charge le contrôle d'accès au niveau du document. Lorsque cette option est activée, Bedrock Managed Knowledge Base synchronise les listes de contrôle d'accès (ACL) à SharePoint chaque exploration et vérifie les autorisations de chaque utilisateur au moment de la requête, de sorte que les utilisateurs ne voient que les résultats des documents auxquels ils sont autorisés à accéder. SharePoint Pour une vue d'ensemble de la prise en compte des ACL sur tous les connecteurs, voirSensibilisation aux listes de contrôle d'accès.

Comment ça marche

Lorsqu'un utilisateur interroge une base de connaissances qui utilise une source de ACL-enabled SharePoint données, Bedrock Managed Knowledge Base applique les contrôles d'accès en deux étapes :

Cette approche en deux étapes fournit un contrôle d'accès au niveau du document qui reste actuel même lorsque les SharePoint autorisations changent entre les synchronisations.

Qu'est-ce qui est crawlé

Lorsque les ACL sont activées, la base de connaissances gérée de Bedrock explore les structures d'autorisation suivantes à partir de : SharePoint

Au moment de la requête, vous transmettez l'adresse e-mail de l'utilisateur (et non celle d'un groupe). La base de connaissances gérée Bedrock résout les appartenances aux groupes de cet utilisateur à partir des données qu'il a analysées et les applique lors du filtrage des résultats. Pour plus d'informations sur le modèle d'identité, consultezSensibilisation aux listes de contrôle d'accès.

Activer la sensibilisation à l'ACL

Pour activer la prise en compte des ACL pour une source de SharePoint données, définissez aclEnabled la true valeur sur in the connectorParameters et utilisez le type d'ENTRA_ID_APP_ONLYauthentification. Ce type d'authentification utilise des autorisations d'application basées sur des certificats qui permettent à Bedrock Managed Knowledge Base d'explorer les informations d'identité et de vérifier l'accès aux documents au moment de la requête.

L'enregistrement de votre application Entra ID doit disposer des autorisations d'application suivantes :

Ils connectionConfiguration doivent inclure un certificateS3Path pointage vers un fichier de certificat PKCS #12 (.p12) dans Amazon S3.

"connectorParameters": {
    "type": "SHAREPOINT",
    "version": "1",
    "aclEnabled": true,
    "connectionConfiguration": {
        "tenantId": "your-tenant-id",
        "authType": "ENTRA_ID_APP_ONLY",
        "secretArn": "arn:aws:secretsmanager:region:account-id:secret:secret-name",
        "certificateS3Path": {
            "s3BucketName": "your-certificate-bucket",
            "s3KeyName": "certs/certificate.p12"
        }
    },
    "dataEntityConfiguration": {
        "siteUrls": [
            "https://contoso.sharepoint.com/sites/engineering"
        ],
        "crawlFiles": true,
        "crawlPages": true
    }
}

Real-time vérification d'accès

Bedrock Managed Knowledge Base vérifie par rapport SharePoint à chaque document candidat au moment de la requête en utilisant les autorisations basées sur les certificats de l'application (l'enregistrement de l'ENTRA_ID_APP_ONLYapplication est configuré pour l'exploration). Contrairement à un flux de connexion utilisateur délégué, aucune connexion ou consentement interactif par utilisateur n'est requis. La vérification utilise le même enregistrement et le même certificat d'application, via l'Sites.Selectedautorisation Sites.FullControl.All or, pour confirmer que l'utilisateur demandeur a toujours accès à chaque document.

Vérification de votre configuration

Vous pouvez valider les autorisations de votre application Entra indépendamment d'une demande de récupération. Effectuez chacune des vérifications suivantes :

Résolution des problèmes