View a markdown version of this page

Document-level controles de acesso - Amazon Bedrock
Como funcionaO que é rastejadoHabilitar o reconhecimento de ACLReal-time verificação de acessoVerificar sua configuração.Solução de problemas

As traduções são geradas por tradução automática. Em caso de conflito entre o conteúdo da tradução e da versão original em inglês, a versão em inglês prevalecerá.

Document-level controles de acesso

SharePoint as fontes de dados oferecem suporte opcional ao controle de acesso em nível de documento. Quando ativada, a Bedrock Managed Knowledge Base sincroniza as listas de controle de acesso (ACLs) de SharePoint cada rastreamento e verifica as permissões de cada usuário no momento da consulta, para que os usuários só vejam os resultados dos documentos que estão autorizados a acessar. SharePoint Para obter uma visão geral do reconhecimento de ACL em todos os conectores, consulteCapacitação da conscientização de listas de controle de acesso.

Reconhecimento de ACL não é autorização

A Bedrock Managed Knowledge Base fornece ACL-aware filtragem, não um limite de segurança. A Bedrock Managed Knowledge Base não autentica usuários finais — seu aplicativo é responsável por autenticar usuários e transmitir o contexto de identidade verificada. Como a Bedrock Managed Knowledge Base não pode verificar a autenticidade do contexto de usuário que você fornece, esse recurso filtra os resultados com base na identidade que você fornece, mas não constitui uma autorização verdadeira. Você não deve confiar nesse recurso como um único mecanismo de controle de acesso sem autenticação upstream.

Como funciona

Quando um usuário consulta uma base de conhecimento que usa uma fonte de ACL-enabled SharePoint dados, a Bedrock Managed Knowledge Base impõe controles de acesso em dois estágios:

  • Pre-retrieval filtragem — A Bedrock Managed Knowledge Base aplica as listas de controle de acesso que foram sincronizadas SharePoint durante o último rastreamento, retornando somente documentos candidatos que o usuário (ou seus grupos) tem permissão para acessar.

  • Real-time verificação — A Bedrock Managed Knowledge Base verifica os documentos do candidato em tempo real, verificando o acesso atual do usuário que fez a consulta. SharePoint Somente os documentos que o usuário está atualmente autorizado a acessar são incluídos na resposta.

Essa abordagem em dois estágios fornece controle de acesso em nível de documento que permanece atualizado mesmo quando SharePoint as permissões mudam entre as sincronizações.

O que é rastejado

Quando as ACLs estão habilitadas, a Bedrock Managed Knowledge Base rastreia as seguintes estruturas de permissão a partir de: SharePoint

  • Site-level associações e atribuições de funções

  • Permissões no nível da biblioteca de documentos

  • Item-level permissões (arquivo e página), incluindo permissões exclusivas que quebram a herança

  • Associações a grupos de segurança, incluindo grupos de segurança do Microsoft Entra ID (Azure AD), grupos de segurança habilitados para email e grupos de distribuição. As associações de grupos aninhadas (transitivas) também são resolvidas.

No momento da consulta, você passa o endereço de e-mail do usuário (não um grupo). A Bedrock Managed Knowledge Base resolve as associações desse usuário ao grupo a partir dos dados que ele rastreou e as aplica ao filtrar os resultados. Para obter mais informações sobre o modelo de identidade, consulteCapacitação da conscientização de listas de controle de acesso.

Habilitar o reconhecimento de ACL

Para ativar o reconhecimento de ACL para uma fonte de SharePoint dados, aclEnabled defina como true in connectorParameters e use o tipo de ENTRA_ID_APP_ONLY autenticação. Esse tipo de autenticação usa permissões de aplicativos baseadas em certificados que permitem que a Bedrock Managed Knowledge Base rastreie informações de identidade e verifique o acesso ao documento no momento da consulta.

Importante

A configuração da ACL é permanente. Você não pode habilitar ACLs em uma fonte de dados criada sem suporte a ACLs e não pode desabilitar ACLs depois de habilitadas.

Seu registro do aplicativo Entra ID deve ter as seguintes permissões de aplicativo:

  • User.Read.Alle GroupMember.Read.All no Microsoft Graph (para rastreamento de identidade)

  • Sites.FullControl.Allem SharePoint ou Sites.Selected com permissões por site concedidas (para verificação de acesso ao documento)

connectionConfigurationDeve incluir um certificateS3Path apontamento para um arquivo de certificado PKCS #12 (.p12) no Amazon S3.

nota

O certificatePassword campo no segredo é opcional. Se você omiti-lo, a Bedrock Managed Knowledge Base abrirá o arquivo PKCS #12 (.p12) usando a ID do cliente do seu aplicativo como senha, portanto, o certificado deve ter sido criado com essa senha. Recomendamos que você sempre defina uma alta entropia explícita certificatePassword para proteger a chave privada do certificado em repouso.

"connectorParameters": {
    "type": "SHAREPOINT",
    "version": "1",
    "aclEnabled": true,
    "connectionConfiguration": {
        "tenantId": "your-tenant-id",
        "authType": "ENTRA_ID_APP_ONLY",
        "secretArn": "arn:aws:secretsmanager:region:account-id:secret:secret-name",
        "certificateS3Path": {
            "s3BucketName": "your-certificate-bucket",
            "s3KeyName": "certs/certificate.p12"
        }
    },
    "dataEntityConfiguration": {
        "siteUrls": [
            "https://contoso.sharepoint.com/sites/engineering"
        ],
        "crawlFiles": true,
        "crawlPages": true
    }
}
nota

O tipo de OAUTH2_APP autenticação não é compatível com fontes de ACL-enabled SharePoint dados. Você deve usar ENTRA_ID_APP_ONLY.

Real-time verificação de acesso

A Base de Conhecimento Gerenciada da Bedrock compara cada documento candidato SharePoint no momento da consulta usando as permissões baseadas em certificados do aplicativo (o registro do ENTRA_ID_APP_ONLY aplicativo configurado para rastreamento). Diferentemente de um fluxo de login de usuário delegado, nenhum login ou consentimento interativo por usuário é necessário — a verificação usa o mesmo registro e certificado do aplicativo, por meio da Sites.Selected permissão Sites.FullControl.All or, para confirmar que o usuário que está consultando ainda tem acesso a cada documento.

Verificar sua configuração.

Você pode validar as permissões do aplicativo Entra independentemente de uma solicitação de recuperação. Execute cada uma das seguintes verificações:

  1. Microsoft Graph (rastreamento):

    • Adquira um token de aplicativo com escopo https://graph.microsoft.com/.default e confirme se a roles reivindicação inclui User.Read.All GroupMember.Read.All e.

    • Ligue para um endpoint do site do Microsoft Graph (por exemplo,GET https://graph.microsoft.com/v1.0/sites/{site}) e confirme se ele retorna o site.

  2. SharePoint REST (verificação em tempo real):

    • Adquira um token usando a declaração de cliente do certificado com escopohttps://{tenant}.sharepoint.com/.default.

    • Confirme se a roles reivindicação do token inclui a SharePoint Sites.FullControl.All (ouSites.Selected) permissão. Um roles: null valor significa que falta a permissão ou o consentimento do administrador.

    • Ligue GET https://{tenant}.sharepoint.com/_api/web e confirme se foi bem-sucedido (HTTP 200). Uma resposta falhada ou não autorizada significa que falta a SharePoint permissão ou o consentimento do administrador, o que faz com que todos os documentos sejam negados.

Solução de problemas

nota

As configurações incorretas da ACL não produzem erros explícitos durante a recuperação. Falha na recuperação: os documentos afetados são omitidos silenciosamente, portanto, uma consulta retorna menos ou zero resultados em vez de um erro. Use as verificações anteriores para diagnosticar esses problemas.

ACL-enabled SharePoint sintomas, causas e soluções
Sintomas Causa provável Correção
Retrieve retorna 0 resultados, mas o usuário tem acesso em SharePoint. A permissão SharePoint Sites.FullControl.All (ouSites.Selected) ou o consentimento do administrador estão ausentes, então a chamada SharePoint REST é rejeitada e todos os documentos são negados. Conceda a SharePoint Sites.FullControl.All permissão (ou Sites.Selected com concessões por site) com o consentimento do administrador. Como essas credenciais do aplicativo estão armazenadas em cache, aguarde até uma hora para que a alteração entre em vigor ou teste com um usuário ainda não consultado para confirmar mais cedo.
O acesso de um usuário foi alterado em SharePoint, mas o novo resultado não é refletido imediatamente. Per-user eventualmente, os resultados do acesso são consistentes entre a fonte de dados e a Base de Conhecimento Gerenciada da Bedrock (normalmente em cerca de dois minutos), portanto, uma alteração recente no acesso pode não ser refletida imediatamente. Depois que a fonte de dados refletir a alteração, aguarde cerca de dois minutos e tente novamente.
Todos os usuários são negados após trabalharem anteriormente. O certificado expirou ou o consentimento do administrador foi revogado. Renove o certificado no registro do aplicativo Entra e no Amazon S3 e conceda novamente o consentimento do administrador.
O rastreamento ou a sincronização falham, embora a configuração pareça correta. Falta uma permissão necessária do aplicativo Microsoft Graph. Grant User.Read.All GroupMember.Read.All e.
Erros de senha ou emissão de tokens do certificado. A .p12 senha não coincidecertificatePassword. certificatePasswordDefina a senha usada para criar o .p12 arquivo.