本文属于机器翻译版本。若本译文内容与英语原文存在差异，则一律以英文原文为准。

Document-level 访问控制

SharePoint 数据源可以选择支持文档级访问控制。启用后，Bedrock Managed Knowledge Base 会同步每次抓取 SharePoint 期间的访问控制列表 (ACL)，并在查询时验证每个用户的权限，因此用户只能看到他们有权访问的文档的结果。 SharePoint有关所有连接器上的 ACL 感知概述，请参阅访问控制列表感知启用。

工作原理

当用户查询使用 ACL-enabled SharePoint 数据源的知识库时，Bedrock Managed Knowledge Base 会分两个阶段强制执行访问控制：

这种两阶段方法提供了文档级访问控制，即使 SharePoint 权限在两次同步之间发生变化，该控制也能保持最新状态。

爬行了什么

启用 ACL 后，Bedrock 托管知识库会从以下来源抓取以下权限结构： SharePoint

在查询时，您可以传递用户的电子邮件地址（不是群组）。Bedrock Managed Knowledge Base 根据其抓取的数据解析该用户的群组成员资格，并在筛选结果时应用这些成员资格。有关身份模型的更多信息，请参阅访问控制列表感知启用。

启用 ACL 感知

要为 SharePoint 数据源启用 ACL 感知，aclEnabled请在true中设置为connectorParameters并使用ENTRA_ID_APP_ONLY身份验证类型。此身份验证类型使用基于证书的应用程序权限，允许 Bedrock Managed Knowledge Base 在查询时抓取身份信息并验证文档访问权限。

您的 Entra ID 应用程序注册必须具有以下应用程序权限：

connectionConfiguration必须包含certificateS3Path指向 Amazon S3 中的 PKCS #12 (.p12) 证书文件的指向。

"connectorParameters": {
    "type": "SHAREPOINT",
    "version": "1",
    "aclEnabled": true,
    "connectionConfiguration": {
        "tenantId": "your-tenant-id",
        "authType": "ENTRA_ID_APP_ONLY",
        "secretArn": "arn:aws:secretsmanager:region:account-id:secret:secret-name",
        "certificateS3Path": {
            "s3BucketName": "your-certificate-bucket",
            "s3KeyName": "certs/certificate.p12"
        }
    },
    "dataEntityConfiguration": {
        "siteUrls": [
            "https://contoso.sharepoint.com/sites/engineering"
        ],
        "crawlFiles": true,
        "crawlPages": true
    }
}

Real-time 访问验证

Bedrock Managed Knowledge Base SharePoint 在查询时使用应用程序的基于证书的权限（为抓取配置的ENTRA_ID_APP_ONLY应用程序注册）对每个候选文档进行验证。与委托用户登录流程不同，不需要每位用户的交互式登录或同意，验证使用相同的应用程序注册和证书，通过Sites.FullControl.All或Sites.Selected权限来确认查询用户仍然可以访问每个文档。

验证配置

您可以独立于检索请求来验证您的 Entra 应用程序权限。执行以下每项检查：

问题排查