View a markdown version of this page

ドキュメントレベルのアクセスコントロール - Amazon Quick
仕組みACL 管理を有効にするリアルタイムアクセス検証次の手順

翻訳は機械翻訳により提供されています。提供された翻訳内容と英語版の間で齟齬、不一致または矛盾がある場合、英語版が優先します。

ドキュメントレベルのアクセスコントロール

管理者管理の SharePoint ナレッジベースは、オプションでドキュメントレベルのアクセスコントロールをサポートします。有効にすると、Amazon Quick はクロールのたびに SharePoint からアクセスコントロールリスト (ACLs) を同期します。システムはクエリ時に各ユーザーのアクセス許可を検証するため、ユーザーは SharePoint でアクセスが許可されているドキュメントからの回答のみを表示します。

仕組み

ユーザーが ACL 管理を有効にして管理者管理の SharePoint ナレッジベースを使用する Amazon Quick エージェントにクエリを実行すると、システムは次の 2 つの段階でアクセスコントロールを適用します。

  1. 取得前フィルタリング – Amazon Quick は、ベクトルインデックスに対してセマンティック検索を実行して、最も関連性の高いドキュメントパッセージを見つけます。システムは、前回のクロール中に SharePoint から同期されたアクセスコントロールリストを適用します。これにより、候補ドキュメントの予備セットが生成されます。

  2. リアルタイム検証 – システムは、SharePoint でのクエリユーザーの現在のアクセスを確認することで、候補ドキュメントをリアルタイムで検証します。現在アクセスが許可されているドキュメントのみがレスポンスに含まれます。

この 2 段階のアプローチは、同期間で SharePoint アクセス許可が変更されても最新の状態を維持するドキュメントレベルのアクセスコントロールを提供します。

ACL 管理を有効にする

ACL 管理は、追加設定ステップのナレッジベースの作成中に設定されます。ACLsによるドキュメントアクセスのコントロールチェックボックスを選択して有効にします。

重要

ナレッジベースの作成後に ACL 管理を変更することはできません。この設定を変更する必要がある場合は、新しいナレッジベースを作成する必要があります。

ACL 管理を有効にするには、Entra アプリ登録に次のアクセス許可が必要です。

  • User.Read.All Microsoft Graph GroupMember.Read.Allの および 。

  • Sites.FullControl.All SharePoint リソース、またはサイトごとのアクセス許可が付与Sites.Selectedされている。

ACL のベストプラクティスの詳細については、「」を参照してくださいナレッジベースで ACLs を管理するためのベストプラクティス。

リアルタイムアクセス検証

リアルタイム検証ステージでは、Amazon Quick によって自動的に管理される委任 OAuth フローを使用します。Quick は、この目的のために別の Microsoft Entra アプリケーションを作成および管理します。このアプリには顧客設定は必要ありません。これは、セットアップ時に作成した管理者管理のアプリ登録と、ユーザー管理の OAuth アプリの両方とは異なります。

  1. ユーザーがクイックチャットアシスタントで質問をします。

  2. 回答に ACL 対応のナレッジベースの SharePoint コンテンツが含まれる場合、Quick はユーザーに SharePoint にサインインするよう促します。

  3. ユーザーはサインインし、Microsoft の同意ダイアログを受け入れます (管理者の同意が付与されていない場合）。

  4. Quick は、ユーザーの委任トークンを使用して、各候補ドキュメントへのアクセスをリアルタイムで検証します。

  5. SharePoint で現在アクセスできるドキュメントのみがレスポンス SharePoint に含まれます。

サインインは 1 回限りのステップです。委任認証情報は更新トークンを使用し、約 90 日間続きます。

委任されたアクセス許可

リアルタイム ACL アプリは、次の委任されたアクセス許可をリクエストします。

リアルタイム ACL – 委任されたアクセス許可
アクセス許可 スコープ 目的
すべてのサイトコレクションの項目の読み取り Sites.Read.All SharePoint サイトコンテンツへのユーザーアクセスを確認します。
ファイルを読み取る Files.Read.All 特定のファイルへのユーザーアクセスを確認します。
基本プロファイルを表示する User.Read サインインしたユーザーを特定します。
アクセス権を付与したデータへのアクセスを維持する offline_access トークンを更新して、ユーザーが頻繁に再認証する必要がないようにします。

リアルタイム ACL チェックでは、ユーザー管理のセットアップまたは管理者管理のアプリ登録で使用されるアプリケーションとは別の Microsoft Entra アプリケーションを使用します。組織が管理者の同意を必要とする場合、管理者はアプリケーションごとに個別に同意を付与する必要があります。

ナレッジベースの作成中に ACL 管理を有効にすると、Amazon Quick コンソールに管理者の同意を付与するための直接リンクが表示されます。このリンクは、リアルタイム ACL アプリケーション用です。Microsoft 365 管理者の場合は、コンソールから直接同意を付与できます。それ以外の場合は、管理者とリンクを共有します。

管理者の同意が付与されていない場合、各ユーザーは SharePoint コンテンツを含む最初のクエリで同意ダイアログを表示します。承諾後、約 90 日間は再度プロンプトが表示されません。

同意ダイアログまたは Microsoft Entra 管理センターを通じて管理者に同意を付与する詳細な手順については、「」を参照してください組織全体の管理者の同意を付与する。

次の手順

ACL のベストプラクティスの詳細については、「」を参照してくださいナレッジベースで ACLs を管理するためのベストプラクティス。管理者管理の SharePoint ナレッジベースの作成については、「」を参照してください管理者管理のセットアップ (サービス認証情報)。