Die vorliegende Übersetzung wurde maschinell erstellt. Im Falle eines Konflikts oder eines Widerspruchs zwischen dieser übersetzten Fassung und der englischen Fassung (einschließlich infolge von Verzögerungen bei der Übersetzung) ist die englische Fassung maßgeblich.
Aktivierung der Sensibilisierung für Zugriffskontrolllisten
Die Bedrock Managed Knowledge Base unterstützt das ACL-aware Abrufen — die Möglichkeit, Abfrageergebnisse auf der Grundlage von Zugriffskontrolllisten (ACLs) auf Dokumentebene zu filtern, die aus Ihren verbundenen Datenquellen gecrawlt wurden. Wenn die ACL-Erkennung für eine Datenquelle aktiviert ist, erfasst Bedrock Managed Knowledge Base neben dem Dokumentinhalt auch die Berechtigungen (zugelassene Benutzer, verweigerte Benutzer, zugelassene Gruppen, verweigerte Gruppen). Bei der Abfrage geben Sie einen Benutzerkontext an und Bedrock Managed Knowledge Base gibt nur die Dokumente zurück, auf die der Benutzer zugreifen darf. Die Anforderungssyntax, die verwendet wird, um den Benutzerkontext beim Abruf zu übergeben, finden Sie unter. ACL-aware Abruf auf verwalteten Wissensdatenbanken
ACL-Erkennung ist keine Autorisierung
Die Bedrock Managed Knowledge Base bietet ACL-aware Filterung, keine Sicherheitsgrenze. Bedrock Managed Knowledge Base authentifiziert keine Endbenutzer — Ihre Anwendung ist dafür verantwortlich, Benutzer zu authentifizieren und den verifizierten Identitätskontext weiterzugeben. Da Bedrock Managed Knowledge Base die Authentizität des von Ihnen angegebenen Benutzerkontextes nicht überprüfen kann, filtert diese Funktion die Ergebnisse auf der Grundlage der von Ihnen angegebenen Identität, stellt jedoch keine echte Autorisierung dar. Sie dürfen sich nicht auf diese Funktion als alleinigen Zugriffskontrollmechanismus ohne vorgeschaltete Authentifizierung verlassen.
Wie funktioniert der ACL-aware Abruf
ACL-aware Der Abruf erfolgt in zwei Schritten:
-
Pre-retrieval Filtern — Während der Aufnahme durchsucht Bedrock Managed Knowledge Base die Dokumentberechtigungen aus der Datenquelle. Bei der Abfrage verwendet Bedrock Managed Knowledge Base den von Ihnen angegebenen Benutzerkontext, um die Suchergebnisse zu filtern. Es werden nur Dokumente zurückgegeben, bei denen der Benutzer (oder seine Gruppen) in der Zulassungsliste und nicht in der Ablehnungsliste aufgeführt ist.
-
Real-time ACL-Überprüfung — Für Konnektoren, die dies unterstützen (SharePoint OneDrive, Google Drive, Confluence), ruft Bedrock Managed Knowledge Base die Datenquelle in Echtzeit an, um zu überprüfen, ob der Benutzer weiterhin Zugriff auf jedes zurückgegebene Dokument hat. Dadurch werden Berechtigungsänderungen erfasst, die zwischen den Synchronisierungen vorgenommen wurden. S3- und Custom-Connectors unterstützen keine Echtzeitüberprüfung, da ihre ACL-Metadaten vom Kunden über Konfigurationsdateien bereitgestellt werden und nicht aus einem Live-Berechtigungssystem gecrawlt werden.
In beiden Phasen wird dieselbe Bewertungslogik verwendet: Wenn ein Benutzer sowohl in einer Zulassungsliste als auch in einer Verweigerungsliste für ein Dokument erscheint, wird der Zugriff verweigert. „Ablehnen“ überschreibt immer „Zulassen“.
Identitätsmodell
Bedrock Managed Knowledge Base verwendet E-Mail als universelle Benutzerkennung für den ACL-Abgleich. Der Benutzer wird immer anhand seiner universellen E-Mail-Adresse identifiziert. Die E-Mail, die Sie im Benutzerkontext weitergeben, muss genau mit der E-Mail übereinstimmen, die dem Benutzer in jeder verbundenen Datenquelle zugeordnet ist. Es gibt keine Aliasauflösung oder identitätsübergreifende Zuordnung. Gruppen werden dagegen anhand der Art und Weise identifiziert, wie der Quell-Connector sie darstellt — ein Gruppenname, eine Gruppen-ID oder eine andere Kennung — und sie werden mit den Gruppenmitgliedschaften abgeglichen, die aus dieser Datenquelle gecrawlt wurden.
Gruppenmitgliedschaften werden anhand der Datenquelle aufgelöst. Während der Erfassung durchsucht Bedrock Managed Knowledge Base Gruppenmitgliedschaften aus jeder Datenquelle und speichert sie intern. Bei der Abfrage entscheidet die Bedrock Managed Knowledge Base anhand dieser gecrawlten Daten automatisch, zu welchen Gruppen ein Benutzer gehört.
Anmerkung
Gruppenmitgliedschaften sind so aktuell wie die letzte Synchronisierung. Berechtigungsänderungen zwischen Synchronisierungen werden erst übernommen, wenn der nächste Aufnahmevorgang abgeschlossen ist. Bei Connectoren, die die ACL-Überprüfung in Echtzeit unterstützen, erfasst diese Prüfung die seit der letzten Synchronisierung eingetretenen Berechtigungsänderungen.
Matrix zur Unterstützung von Konnektoren
Nicht alle Konnektoren unterstützen ACL-Erkennung. Die folgende Tabelle zeigt, welche Connectors die Filterung vor dem Abruf und die ACL-Überprüfung in Echtzeit unterstützen.
| Konnektor | Pre-retrieval filtern | Real-time ACL | Hinweise |
|---|---|---|---|
| SharePoint | Unterstützt | Unterstützt | Verwendet Berechtigungen auf Anwendungsebene (2LO). Erfordert einen AuthentifizierungstypENTRA_ID_APP_ONLY. |
| OneDrive | Unterstützt | Unterstützt | Verwendet Berechtigungen auf Anwendungsebene (2LO). Erfordert einen AuthentifizierungstypENTRA_APP_ID. |
| Google Drive | Unterstützt | Unterstützt | Verwendet die domänenweite Delegierung (2LO). Erfordert einen AuthentifizierungstypSERVICE_ACCOUNT. |
| Konfluenz | Unterstützt | Unterstützt | Verwendet das Admin-API-Token für Prüfungen in Echtzeit. Erfordert BASIC den Authentifizierungstyp. |
| Amazon S3 | Unterstützt | Nicht unterstützt | ACLs, die durch eine vom Kunden bereitgestellte ACL-Konfigurationsdatei in Amazon S3 definiert werden. Keine Überprüfung in Echtzeit, da die vom Kunden bereitgestellte Metadatendatei die Quelle der Wahrheit ist. |
| Custom (Benutzerdefiniert) | Unterstützt | Nicht unterstützt | ACLs, die durch vom Kunden bereitgestellte Metadaten definiert werden. Keine Überprüfung in Echtzeit, da die vom Kunden bereitgestellten Metadaten die Quelle der Wahrheit sind. |
| Webcrawler | Nicht unterstützt | N/A | Für Webinhalte gibt es kein Berechtigungsmodell. ACL-Erkennung kann für diesen Connector nicht aktiviert werden. |
Einzelheiten zur Connector-spezifischen ACL-Konfiguration finden Sie unter:
Verhalten bei Ausfällen
ACL-aware Der Abruf schlägt fehl, geschlossen. Wenn ein Teil der ACL-Evaluierungspipeline auf einen Fehler stößt — Fehler bei der Gruppenauflösung, Timeout bei der Echtzeitüberprüfung oder interner Servicefehler —, gibt Bedrock Managed Knowledge Base die betroffenen Dokumente nicht zurück. Ein vorübergehender Fehler führt niemals dazu, dass Dokumente an nicht autorisierte Benutzer zurückgegeben werden.
Wenn ein ACL-Fehler auftritt, enthält die Antwort möglicherweise keine Ergebnisse oder weniger Ergebnisse als erwartet. Fehlerantworten deuten auf einen Fehler bei der ACL-Auflösung hin, sodass Sie ihn von einer Abfrage unterscheiden können, für die tatsächlich keine Dokumente gefunden wurden.
Ihre Aufgaben
Da Bedrock Managed Knowledge Base eine ACL-aware Filterung und keine vollständige Autorisierungslösung bietet, sind Sie für Folgendes verantwortlich:
-
Authentifizierung von Endbenutzern — Sie müssen Benutzer in Ihrer Anwendung authentifizieren, bevor Sie ihre Identität an die Bedrock Managed Knowledge Base weitergeben. Bedrock Managed Knowledge Base überprüft nicht, ob der von Ihnen angegebene Benutzerkontext authentisch ist.
-
Konsistente E-Mail-Identität — Die E-Mail-Adresse, die Sie weitergeben, muss mit der E-Mail-Adresse übereinstimmen, die in jeder verbundenen Datenquelle verwendet wird. Wenn sich die E-Mails von System zu System unterscheiden, schlägt der ACL-Abgleich unbemerkt fehl und der Benutzer erhält keine Ergebnisse von dieser Datenquelle.
-
E-Mail-Lebenszyklusmanagement — Wenn eine E-Mail-Adresse einer anderen Person zugewiesen wird (z. B. nach dem Ausscheiden eines Mitarbeiters), müssen Sie dies erkennen, bevor Sie die Identität an Bedrock Managed Knowledge Base weitergeben. Real-time Die ACL-Überprüfung dient als Sicherheitsnetz für Konnektoren, die sie unterstützen, ist aber kein Ersatz für ein ordnungsgemäßes Identitätslebenszyklusmanagement.
