翻訳は機械翻訳により提供されています。提供された翻訳内容と英語版の間で齟齬、不一致または矛盾がある場合、英語版が優先します。

ドキュメントレベルのアクセスコントロール

OneDrive データソースは、オプションでドキュメントレベルのアクセスコントロールをサポートします。有効にすると、Bedrock Managed Knowledge Base はクロールのたびに OneDrive のアクセスコントロールリスト (ACLs) を同期し、クエリ時に各ユーザーのアクセス許可を検証するため、ユーザーは OneDrive でアクセスが許可されているドキュメントの結果のみを表示できます。すべてのコネクタにおける ACL 対応の概要については、「」を参照してくださいアクセスコントロールリストの認識の有効化。

仕組み

ユーザーが ACL 対応の OneDrive データソースを使用するナレッジベースにクエリを実行すると、Bedrock マネージドナレッジベースは 2 つの段階でアクセスコントロールを適用します。

この 2 段階のアプローチは、OneDrive のアクセス許可が同期間で変化しても最新の状態を維持するドキュメントレベルのアクセスコントロールを提供します。

クロールされる内容

ACLs を有効にすると、Bedrock Managed Knowledge Base は OneDrive からファイルレベルの共有アクセス許可とセキュリティグループの割り当てをクロールします。ネストされた (推移的な) グループメンバーシップも解決されます。

クエリ時に、ユーザーの E メールアドレス (グループではない) を渡します。Bedrock Managed Knowledge Base は、クロールしたデータからユーザーのグループメンバーシップを解決し、結果をフィルタリングするときに適用します。ID モデルの詳細については、「」を参照してくださいアクセスコントロールリストの認識の有効化。

ACL 対応のための前提条件

ACL 対応 OneDrive は 2 つの異なる Microsoft APIs を使用します。それぞれに Microsoft Entra アプリケーションに独自のアプリケーションアクセス許可が設定されています。クロールは Microsoft Graph API を使用し、リアルタイム検証は SharePoint REST API を使用します (OneDrive for Business は SharePoint によってサポートされています）。ACL 対応を有効にする前に、管理者の同意を得て両方の APIs のアクセス許可を設定します。

証明書を含む完全なセットアップ手順については、「」を参照してくださいOneDrive の Microsoft Entra App ID 認証を設定する。

ACL 対応を有効にする

OneDrive データソースの ACL 対応を有効にするには、 true で ENTRA_APP_ID aclEnabledを に設定connectorParametersし、認証タイプを使用します。この認証タイプは、Bedrock Managed Knowledge Base が ID 情報をクロールし、クエリ時にドキュメントアクセスを検証できるようにするアプリケーションアクセス許可を使用します。

OneDrive で ACLsは、Amazon S3 certificateS3Pathの PKCS#12 (.p12) 証明書ファイルconnectionConfigurationを指す に を含める必要があります。この証明書は、SharePoint REST API に対するリアルタイムの ACL 検証に使用されます。ACLsになっている場合、 certificateS3Pathは必要ありません。

"connectorParameters": {
    "type": "ONEDRIVE",
    "version": "1",
    "aclEnabled": true,
    "connectionConfiguration": {
        "tenantId": "your-tenant-id",
        "authType": "ENTRA_APP_ID",
        "secretArn": "arn:aws:secretsmanager:region:account-id:secret:secret-name",
        "certificateS3Path": {
            "s3BucketName": "your-certificate-bucket",
            "s3KeyName": "certs/certificate.p12"
        }
    },
    "dataEntityConfiguration": {
        "crawlPersonalDrives": true
    }
}

リアルタイムアクセス検証

Bedrock Managed Knowledge Base は、アプリケーション認証情報を使用して、各候補ドキュメントをサーバー側全体でリアルタイムで検証します。エンドユーザーのサインインや委任された同意はありません。OneDrive for Business は SharePoint によってバックアップされているため、Bedrock マネージドナレッジベースは、テナントの OneDrive ホストの SharePoint REST API に対してクエリユーザーの有効なアクセス許可をチェックします。

OneDrive のリアルタイム検証では、2 つの認証情報モデルが使用され、両方の認証情報が必要です。

設定を確認する

Entra アプリケーションのアクセス許可は、取得リクエストとは無関係に検証できます。次の各チェックを実行します。

トラブルシューティング