翻訳は機械翻訳により提供されています。提供された翻訳内容と英語版の間で齟齬、不一致または矛盾がある場合、英語版が優先します。

ドキュメントレベルのアクセスコントロール

SharePoint データソースは、オプションでドキュメントレベルのアクセスコントロールをサポートします。有効にすると、Bedrock Managed Knowledge Base はクロールのたびに SharePoint からアクセスコントロールリスト (ACLs) を同期し、クエリ時に各ユーザーのアクセス許可を検証するため、ユーザーは SharePoint でアクセスが許可されているドキュメントの結果のみを表示できます。すべてのコネクタにおける ACL 対応の概要については、「」を参照してくださいアクセスコントロールリストの認識の有効化。

仕組み

ユーザーが ACL 対応の SharePoint データソースを使用するナレッジベースにクエリを実行すると、Bedrock マネージドナレッジベースは 2 つの段階でアクセスコントロールを適用します。

この 2 段階のアプローチは、同期間で SharePoint アクセス許可が変更されても最新の状態を維持するドキュメントレベルのアクセスコントロールを提供します。

クロールされる内容

ACLsを有効にすると、Bedrock Managed Knowledge Base は SharePoint から次のアクセス許可構造をクロールします。

クエリ時に、ユーザーの E メールアドレス (グループではない) を渡します。Bedrock Managed Knowledge Base は、クロールしたデータからユーザーのグループメンバーシップを解決し、結果をフィルタリングするときに適用します。ID モデルの詳細については、「」を参照してくださいアクセスコントロールリストの認識の有効化。

ACL 対応を有効にする

SharePoint データソースの ACL 対応を有効にするには、 true で ENTRA_ID_APP_ONLY aclEnabledを に設定connectorParametersし、認証タイプを使用します。この認証タイプでは、証明書ベースのアプリケーションアクセス許可を使用して、Bedrock Managed Knowledge Base が ID 情報をクロールし、クエリ時にドキュメントアクセスを検証できるようにします。

Entra ID アプリの登録には、次のアプリケーションアクセス許可が必要です。

には、Amazon S3 の PKCS#12 (.p12) 証明書ファイルcertificateS3Pathを指す が含まれているconnectionConfiguration必要があります。

"connectorParameters": {
    "type": "SHAREPOINT",
    "version": "1",
    "aclEnabled": true,
    "connectionConfiguration": {
        "tenantId": "your-tenant-id",
        "authType": "ENTRA_ID_APP_ONLY",
        "secretArn": "arn:aws:secretsmanager:region:account-id:secret:secret-name",
        "certificateS3Path": {
            "s3BucketName": "your-certificate-bucket",
            "s3KeyName": "certs/certificate.p12"
        }
    },
    "dataEntityConfiguration": {
        "siteUrls": [
            "https://contoso.sharepoint.com/sites/engineering"
        ],
        "crawlFiles": true,
        "crawlPages": true
    }
}

リアルタイムアクセス検証

Bedrock Managed Knowledge Base は、アプリケーションの証明書ベースのアクセス許可 (クロール用に設定されたENTRA_ID_APP_ONLYアプリ登録) を使用して、クエリ時に各候補ドキュメントを SharePoint と照合します。委任ユーザーサインインフローとは異なり、ユーザーごとのインタラクティブなサインインや同意は必要ありません。検証では、 Sites.FullControl.All または アクセスSites.Selected許可を通じて同じアプリ登録と証明書を使用して、クエリを実行するユーザーが引き続き各ドキュメントにアクセスできることを確認します。

設定を確認する

Entra アプリケーションのアクセス許可は、取得リクエストとは無関係に検証できます。次の各チェックを実行します。

トラブルシューティング