View a markdown version of this page

ドキュメントレベルのアクセスコントロール - Amazon Quick
仕組みACL 管理リアルタイムアクセス検証次の手順

翻訳は機械翻訳により提供されています。提供された翻訳内容と英語版の間で齟齬、不一致または矛盾がある場合、英語版が優先します。

ドキュメントレベルのアクセスコントロール

管理者管理の OneDrive ナレッジベースには、ドキュメントレベルのアクセス制御が組み込まれています。管理者管理の設定では、組織内のすべてのユーザーの OneDrive コンテンツをクロールするため、ACL は常に有効になっており、オフにすることはできません。Amazon Quick は、クロールのたびに OneDrive からアクセスコントロールリスト (ACLs) を同期します。システムはクエリ時に各ユーザーのアクセス許可を検証するため、ユーザーは OneDrive でアクセスが許可されているドキュメントからの回答のみを表示します。

仕組み

ユーザーが管理者管理の OneDrive ナレッジベースを使用する Amazon Quick エージェントにクエリを実行すると、システムは 2 つの段階でアクセスコントロールを適用します。

  1. 取得前フィルタリング – Amazon Quick は、ベクトルインデックスに対してセマンティック検索を実行して、最も関連性の高いドキュメントパッセージを見つけます。システムは、前回のクロール中に OneDrive から同期されたアクセスコントロールリストを適用します。これにより、候補ドキュメントの予備セットが生成されます。

  2. リアルタイム検証 – システムは、OneDrive でのクエリユーザーの現在のアクセスを確認することで、候補ドキュメントをリアルタイムで検証します。現在アクセスが許可されているドキュメントのみがレスポンスに含まれます。

この 2 段階のアプローチは、OneDrive のアクセス許可が同期間で変化しても最新の状態を維持するドキュメントレベルのアクセスコントロールを提供します。

ACL 管理

ドキュメントレベルのアクセスコントロールは、管理者が管理するすべての OneDrive ナレッジベースで自動的に有効になります。追加の設定は必要なく、設定をオフにすることはできません。

ACL の適用を機能させるには、Entra アプリ登録に次の Microsoft Graph アプリケーションのアクセス許可が必要です。

  • User.Read.Allユーザーとグループのメンバーシップを解決GroupMember.Read.AllするにはGroup.Read.All、、、および を使用します。

  • Sites.Read.All SharePoint でホストされている OneDrive ドライブを列挙して読み取ります。

ACL のベストプラクティスの詳細については、「」を参照してくださいナレッジベースで ACLs を管理するためのベストプラクティス。

リアルタイムアクセス検証

リアルタイム検証ステージでは、Amazon Quick によって自動的に管理される委任 OAuth フローを使用します。Quick は、この目的のために専用の別の Microsoft Entra アプリケーションを作成および管理します。このアプリには顧客設定は必要ありません。これは、セットアップ時に作成した管理者管理のアプリ登録と、ユーザー管理の OAuth アプリの両方とは異なります。

  1. ユーザーがクイックチャットアシスタントで質問をします。

  2. 回答に管理者管理ナレッジベースの OneDrive コンテンツが含まれる場合、Quick はユーザーに OneDrive にサインインするよう促します。

  3. ユーザーはサインインし、Microsoft の同意ダイアログを受け入れます (管理者の同意が付与されていない場合）。

  4. Quick は、ユーザーの委任トークンを使用して、各候補ドキュメントへのアクセスをリアルタイムで検証します。

  5. 現在 OneDrive で にアクセスできるドキュメントのみがレスポンスに含まれます。

サインインは 1 回限りのステップです。委任認証情報は更新トークンを使用し、約 90 日間続きます。

委任されたアクセス許可

リアルタイム ACL アプリは、次の委任されたアクセス許可をリクエストします。

リアルタイム ACL – 委任されたアクセス許可
アクセス許可 スコープ 目的
すべてのサイトコレクションの項目の読み取り Sites.Read.All SharePoint でホストされている OneDrive コンテンツへのユーザーアクセスを確認します。
ファイルへのフルアクセス Files.ReadWrite.All 特定のファイルへのユーザーアクセスを確認します。
基本プロファイルを表示する User.Read サインインしたユーザーを特定します。
アクセスを許可したデータへのアクセスを維持する offline_access トークンを更新して、ユーザーが頻繁に再認証する必要がないようにします。

リアルタイム ACL チェックでは、ユーザー管理のセットアップまたは管理者管理のアプリ登録で使用されるアプリケーションとは別の Microsoft Entra アプリケーションを使用します。組織が管理者の同意を必要とする場合、管理者はアプリケーションごとに個別に同意を付与する必要があります。

管理者管理ナレッジベースを作成すると、Amazon Quick コンソールに管理者の同意を付与するための直接リンクが表示されます。このリンクは、リアルタイム ACL アプリケーション用です。Microsoft 365 管理者の場合は、コンソールから直接同意を付与できます。それ以外の場合は、管理者とリンクを共有します。

管理者の同意が付与されていない場合、各ユーザーは OneDrive コンテンツを含む最初のクエリで同意ダイアログを表示します。承諾後、約 90 日間は再度プロンプトが表示されません。

同意ダイアログまたは Microsoft Entra 管理センターを通じて管理者に同意を付与する詳細な手順については、「」を参照してください組織全体の管理者の同意を付与する。

次の手順

ACL のベストプラクティスの詳細については、「」を参照してくださいナレッジベースで ACLs を管理するためのベストプラクティス。管理者管理の OneDrive ナレッジベースの作成については、「」を参照してください管理者管理のセットアップ (サービス認証情報)。