Les traductions sont fournies par des outils de traduction automatique. En cas de conflit entre le contenu d'une traduction et celui de la version originale en anglais, la version anglaise prévaudra.

Document-level contrôles d'accès

OneDrive les sources de données prennent éventuellement en charge le contrôle d'accès au niveau du document. Lorsqu'elle est activée, la base de connaissances gérée de Bedrock synchronise les listes de contrôle d'accès (ACL) à partir de OneDrive chaque analyse et vérifie les autorisations de chaque utilisateur au moment de la requête, de sorte que les utilisateurs ne voient que les résultats des documents auxquels ils sont autorisés à accéder. OneDrive Pour une vue d'ensemble de la prise en compte des ACL sur tous les connecteurs, consultezActivation de la sensibilisation aux listes de contrôle d'accès.

Comment ça marche

Lorsqu'un utilisateur interroge une base de connaissances qui utilise une source de ACL-enabled OneDrive données, Bedrock Managed Knowledge Base applique les contrôles d'accès en deux étapes :

Cette approche en deux étapes fournit un contrôle d'accès au niveau du document qui reste à jour même lorsque les OneDrive autorisations changent entre les synchronisations.

Qu'est-ce qui est rampé

Lorsque les ACL sont activées, la base de connaissances gérée de Bedrock analyse les autorisations de partage au niveau des fichiers et les attributions des groupes de sécurité depuis. OneDrive Les appartenances à des groupes imbriquées (transitives) sont également résolues.

Au moment de la requête, vous transmettez l'adresse e-mail de l'utilisateur (pas celle d'un groupe). La base de connaissances gérée de Bedrock résout les appartenances aux groupes de cet utilisateur à partir des données qu'elle a explorées et les applique lors du filtrage des résultats. Pour plus d'informations sur le modèle d'identité, consultezActivation de la sensibilisation aux listes de contrôle d'accès.

Prérequis pour la sensibilisation à l'ACL

ACL-enabled OneDrive utilise deux API Microsoft différentes, chacune ayant sa propre autorisation d'application définie sur votre application Microsoft Entra : le crawl utilise l'API Microsoft Graph et la vérification en temps réel utilise l' SharePoint API REST (OneDrive for Business est soutenue par). SharePoint Configurez les autorisations pour les deux API, avec le consentement de l'administrateur, avant d'activer la reconnaissance des ACL.

Pour la procédure de configuration complète, y compris le certificat, consultezConfigurer l'authentification Microsoft Entra App ID pour OneDrive.

Activer la sensibilisation à l'ACL

Pour activer la prise en compte des ACL pour une source aclEnabled de OneDrive true données, définissez sur connectorParameters et utilisez le type d'ENTRA_APP_IDauthentification. Ce type d'authentification utilise des autorisations d'application qui permettent à Bedrock Managed Knowledge Base d'analyser les informations d'identité et de vérifier l'accès aux documents au moment de la requête.

Lorsque les ACL sont activées pour OneDrive, vous devez inclure un certificateS3Path dans le fichier de certificat PKCS #12 () connectionConfiguration pointant vers un fichier de certificat PKCS (.p12) dans Amazon S3. Ce certificat est utilisé pour la vérification des ACL en temps réel par rapport à l' SharePoint API REST. Ce n'certificateS3Pathest pas obligatoire lorsque les ACL sont désactivées.

"connectorParameters": {
    "type": "ONEDRIVE",
    "version": "1",
    "aclEnabled": true,
    "connectionConfiguration": {
        "tenantId": "your-tenant-id",
        "authType": "ENTRA_APP_ID",
        "secretArn": "arn:aws:secretsmanager:region:account-id:secret:secret-name",
        "certificateS3Path": {
            "s3BucketName": "your-certificate-bucket",
            "s3KeyName": "certs/certificate.p12"
        }
    },
    "dataEntityConfiguration": {
        "crawlPersonalDrives": true
    }
}

Real-time vérification de l'accès

La base de connaissances gérée de Bedrock vérifie chaque document candidat en temps réel, entièrement côté serveur, à l'aide des informations d'identification de l'application : il n'y a pas de connexion de l'utilisateur final ni de consentement délégué. Comme OneDrive for Business est soutenu par SharePoint, Bedrock Managed Knowledge Base vérifie les autorisations effectives de l'utilisateur demandeur par rapport à l' SharePoint API REST de l'hôte de OneDrive votre locataire.

OneDrive la vérification en temps réel utilise un modèle à deux informations d'identification, et les deux informations d'identification sont requises :

Vérification de votre configuration

Vous pouvez valider les autorisations de votre application Entra indépendamment d'une demande de récupération. Effectuez chacune des vérifications suivantes :

Résolution des problèmes