本文属于机器翻译版本。若本译文内容与英语原文存在差异，则一律以英文原文为准。

Document-level 访问控制

SharePoint 数据源可选地支持文档级访问控制。启用后，Bedrock Managed Knowledge Base 会同步每次抓取 SharePoint 期间的访问控制列表 (ACL)，并在查询时验证每个用户的权限，因此用户只能看到他们有权访问的文档的结果。 SharePoint有关所有连接器上的 ACL 感知概述，请参阅访问控制列表感知启用。

工作原理

当用户查询使用 ACL-enabled SharePoint 数据源的知识库时，Bedrock 管理知识库分两个阶段强制执行访问控制：

这种两阶段方法提供了文档级访问控制，即使 SharePoint 权限在两次同步之间发生变化，也能保持最新状态。

爬行了什么

启用 ACL 后，Bedrock 托管知识库会从以下权限结构中抓取以下权限结构： SharePoint

在查询时，您需要传递用户的电子邮件地址（不是群组）。Bedrock Managed Knowledge Base 根据用户爬取的数据解析其群组成员资格，并在筛选结果时应用这些成员资格。有关身份模型的更多信息，请参阅访问控制列表感知启用。

启用 ACL 感知

要为 SharePoint 数据源启用 ACL 感知，aclEnabled请在true中设置为connectorParameters并使用ENTRA_ID_APP_ONLY身份验证类型。这种身份验证类型使用基于证书的应用程序权限，允许 Bedrock Managed Knowledge Base 抓取身份信息并在查询时验证文档访问权限。

您的 Entra ID 应用程序注册必须具有以下应用程序权限：

connectionConfiguration必须包含certificateS3Path指向 Amazon S3 中 PKCS #12 (.p12) 证书文件的指向。

"connectorParameters": {
    "type": "SHAREPOINT",
    "version": "1",
    "aclEnabled": true,
    "connectionConfiguration": {
        "tenantId": "your-tenant-id",
        "authType": "ENTRA_ID_APP_ONLY",
        "secretArn": "arn:aws:secretsmanager:region:account-id:secret:secret-name",
        "certificateS3Path": {
            "s3BucketName": "your-certificate-bucket",
            "s3KeyName": "certs/certificate.p12"
        }
    },
    "dataEntityConfiguration": {
        "siteUrls": [
            "https://contoso.sharepoint.com/sites/engineering"
        ],
        "crawlFiles": true,
        "crawlPages": true
    }
}

Real-time 访问验证

Bedrock Managed Knowledge Base 使用应用程序基于证书的权限（为抓取配置的ENTRA_ID_APP_ONLY应用程序注册） SharePoint 在查询时对每个候选文档进行验证。与委托用户登录流程不同，不需要每位用户的交互式登录或同意——验证通过Sites.FullControl.All或Sites.Selected权限使用相同的应用程序注册和证书来确认查询用户仍然可以访问每个文档。

验证配置

您可以独立于检索请求来验证您的 Entra 应用程序权限。执行以下每项检查：

问题排查