SharePoint indexelő használata jogosultsági metaadatok betöltéséhez és keresési eredmények szűréséhez felhasználói hozzáférési jogosultságok (előzetes verzió) alapján

SharePoint jogosultsági metaadatok betöltése (előzetes verzió) egy Azure AI Keresés indexelővel őrzi meg az engedély metaadatait, például a hozzáférés-vezérlési listákat (ACL-eket) a Microsoft 365 SharePoint egyéb tartalmai mellett. Az indexelő az engedélyeket metaadatként tárolja minden indexelt dokumentumban. Lekérdezéskor a felhasználók csak olyan dokumentumokat kapnak, amelyekhez hozzáféréssel rendelkeznek.

Előfeltételek

• Azure AI Keresés bármely régióban számlázható szinten (alapszintű vagy magasabb).

• SharePoint Microsoft 365 webhelyeken, tárakban, mappákban és fájlokban konfigurált engedélyekkel.

• Végezze el a SharePoint indexelő dokumentációjában minden konfigurációs lépést, és alkalmazza a cikkben ismertetett ACL-specifikus követelményeket.

• Konfiguráljon Microsoft Entra alkalmazásengedélyeket és a forgatókönyvnek megfelelő hitelesítő adatokat. Lásd : Engedélyek ACL-forgatókönyv szerint. Az ACL-betöltéshez alkalmazásengedélyek szükségesek. A delegált engedélyek nem támogatottak. Az alkalmazás és a delegált döntés esetében lásd : Az engedélyek beállítása.

• REST API 2026-08-01-preview vagy ezzel egyenértékű előzetes verziójú SDK-csomag.

Korlátozások

• A növekményes ACL-frissítésekhez a 2026-05-01-es verziójú REST API vagy újabb verzió szükséges. A korábbi előzetes verziójú API-verziókban a rendszer csak az egyes elemek első betöltésekor rögzíti az ACL-eket. A későbbi engedélymódosítások explicit újraindexelést igényelnek. A migrálás lépéseit az indexelt és a forrástartalom közötti engedélyek szinkronizálása című témakörben találja.

• A szülőhatókör engedélymódosításai nem lesznek automatikusan átvéve az indexelő későbbi futtatásai során. A frissítési beállításokért lásd: Engedélyek szinkronizálása indexelt és forrástartalom között.

• A Azure portál nem támogatja ezt a funkciót.

• Az alábbi funkciók nem támogatottak ebben az előzetes verzióban:

  • SharePoint adatkezelési szabályzatok a felhasználói hozzáférésre vonatkoznak. A rendszer lekérdezéskor nem értékeli ki, nem dolgozza fel, és nem veszi figyelembe ezeket a szabályzatokat.

  • A megosztható hivatkozások "Bárki" vagy "Szervezeten belüli személyek" számára vannak beállítva. Csak az "Adott személyekre" vonatkozó hivatkozások támogatottak.

  • SharePoint csoportok (például tulajdonosok, tagok és látogatók) támogatottak a 2026-05-01-es verziójú REST API-ban. Lásd: SharePoint-csoportok támogatásának konfigurálása. Az API korábbi előzetes verzióiban csak azok a SharePoint-csoportok támogatottak, amelyek Microsoft Entra-csoportokra képezhetők le.

• Az alábbi indexelő funkciók nem támogatják a SharePoint származó indexelt dokumentumok engedélyöröklését. Ha valamelyik funkciót egy képességkészletben vagy indexelőben használja, a dokumentumszintű engedélyek nem szerepelnek az indexelt tartalomban.

  • Egyéni webes API-képesség

  • Tudástár, beleértve az ágensalapú lekérésben a képkiszolgáláshoz (előzetes verzió) szükséges eszköztárat is. Ezért a képkiszolgálás nem támogatott az olyan tudásforrások esetében, amelyek SharePoint ACL-eket dolgoznak fel.

  • Indexelőbővítési gyorsítótár

  • Hibakeresési munkamenetek

A SharePoint engedélymodell támogatása

Ez az előzetes verzió a dokumentumok, listaelemek és modern ASPX-webhelylapok alapvető ACL-jeit támogatja.

Támogatott csoportkapcsolatok

Microsoft Entra csoport tranzitivitása Microsoft Entra belül érvényes. Nem fejti ki a SharePoint-csoportok tagjaként szereplő Microsoft Entra-csoportokat.

A hierarchikus engedélyek kiértékelése

SharePoint engedélyek öröklik a Webhely → tár → mappa → fájl hierarchiáját, kivéve, ha az öröklés megszakad.

A betöltés során az indexelő minden szinten összegyűjti a felhasználói és csoportazonosítókat (ID), és kiszámítja az egyes fájlok tényleges ACL-ét.

Engedélyek ACL-eset szerint

Az ACL-betöltéshez szükséges Microsoft Entra alkalmazásengedélyek és hitelesítő adatok típusa attól függ, hogy mely elemtípusokat és csoporttípusokat indexeli. Az alkalmazásregisztrációban minden engedély hozzáadódik az API-engedélyekhez>: Engedély hozzáadása, az összevont hitelesítő adatok pedig a Tanúsítványok > titkos>összevont hitelesítő adatok alatt lesznek hozzáadva. Részletes útmutatásért és képernyőképekért lásd: Step 3: Microsoft Entra alkalmazásregisztráció létrehozása és A regisztrált alkalmazás konfigurálása felügyelt identitással.

Az összevont hitelesítő adatok ügyféltitkosítás helyett megbízható felügyelt identitással hitelesítik az alkalmazást. Ugyanaz a föderált hitelesítő adat vonatkozik a SharePoint-webhelycsoportok betöltésére (indexelő) és lekérdezéskori kiértékelésére is. A beállítási lépésekért lásd : A regisztrált alkalmazás konfigurálása felügyelt identitással.

Az ACL-betöltés engedélyezése előtt

Hajtsa végre az alábbi lépéseket a regisztrált Microsoft Entra alkalmazáson:

1. Azonosítsa a forgatókönyvet az előző táblázatban az alapján, hogy mit tervez indexelni (dokumentumtárfájlok, listaelemek, ASPX-webhelylapok), és hogy SharePoint webhelycsoportokat tiszteletben kell-e tartani.
2. Nyissa meg az alkalmazásregisztrációt a Microsoft Entra felügyeleti központ, és lépjen a API-engedélyekre> Engedély hozzáadása.
3. Adja hozzá a forgatókönyvhöz felsorolt Microsoft Graph engedélyeket. Rendszergazdai hozzájárulás megadása.
4. Ha a forgatókönyv SharePoint engedélyeket is igényel, válassza a Engedély hozzáadása lehetőséget, válassza ki ismét a SharePoint API-t, és adja hozzá Sites.FullControl.All (vagy Sites.Selected). Rendszergazdai hozzájárulás megadása.
5. Konfigurálja a hitelesítő adatokat:
   • A kizárólag Microsoft Graphot használó forgatókönyvekben ügyfél-titkos kódot (Tanúsítványok és titkos kódok>Ügyfél-titkos kódok) vagy föderált hitelesítő adatot használhat.
   • Az SharePoint engedélyeket tartalmazó forgatókönyvekhez adjon hozzá összevont hitelesítő adatokat a A titkos kulcsok>A hitelesítő adatok alatt. Lásd : A regisztrált alkalmazás konfigurálása felügyelt identitással.
6. Adjon hozzáférést az alkalmazásnak a cél SharePoint webhelyekhez (különösen akkor fontos, ha Sites.Selected hatókörön belüli hozzáférést használ), hogy elolvashassa az indexelni kívánt tartalmat és engedélyeket.

A megfelelő Microsoft Entra azonosítók megkeresése

Minden azonosító az Azure Portal más-más helyén jelenik meg, és egy adott konfigurációs mezőhöz van rendelve. Használja ezt a szakaszt hivatkozásként SharePoint ACL-betöltés összevont hitelesítő adatokkal való konfigurálásakor. Ezekre az azonosítókra a SharePoint csoportok támogatásának konfigurálása és az adatforrás kapcsolati karakterlánc hivatkozik.

Összevont hitelesítőadat-alkalmazás azonosítója

A FederatedCredentialApplicationId adatforrás kapcsolati sztringjében és a(z) federatedCredentialId indexdefinícióban a felügyelt identitás saját alkalmazás- (ügyfél-)azonosítóját használja, ne az adatbetöltő alkalmazás azonosítóját.

Rendszer által hozzárendelt felügyelt identitás:

1. Nyissa meg a Azure AI Keresés szolgáltatást.
2. Válassza a Biztonság + hálózati>identitás lehetőséget.
3. A Rendszer által hozzárendelt lapon jegyezze fel az objektum (egyszerű) azonosítóját.
4. Lépjen a következő helyre: Microsoft Entra ID>Kezelés>Vállalati alkalmazások.
5. Keressen rá a keresési szolgáltatás nevére, vagy illessze be az objektum (egyszerű) azonosítóját a keresőmezőbe.
6. Válassza ki az eredményt, és nyissa meg a Tulajdonságok elemet. Másolja ki az itt látható Alkalmazásazonosítót, amely az adatforrásban a federatedCredentialId, az indexben pedig a FederatedCredentialApplicationId értéke.

Felhasználó által hozzárendelt felügyelt identitás:

1. Nyissa meg a felhasználó által hozzárendelt felügyelt identitás erőforrást.
2. Válassza a Beállítások>Tulajdonságok lehetőséget.
3. Másolja ki a Client ID azonosítót, amely az adatforrásban a federatedCredentialId, az indexben pedig a FederatedCredentialApplicationId értéke.

A keresési szolgáltatás konfigurálása ACL-betöltéshez és lekérdezési idő kikényszerítéséhez

Ezek a lépések konfigurálják a keresési szolgáltatást az ACL-feldolgozásra, és lehetővé teszik az ACL tiszteletben tartását a lekérdezések során.

Válassza ki, hol töltse ki az ACL-mezőket

Az ACL metaadatmezőinek leképezése attól függ, hogy az indexelő forráselemenként egy dokumentumot vagy forráselemenként több adattömbet ír-e.

Minden darabolt forgatókönyvben minden adattömbnek tartalmaznia kell az ACL-mezőket. Az engedélyszűrők dokumentumonként érvényesek, így az adattömb hiányzó ACL-mezői nem adhatók vissza a megfelelő hívónak.

1. Adatforrás konfigurálása

Ez a szakasz a 4. lépés: Adatforrás létrehozása alapútmutató kiegészítése. A indexerPermissionOptions beállítása a adatforrás-definícióban a userIds és groupIds indexelésének engedélyezéséhez SharePoint dokumentumokból.

{
  "name": "my-sharepoint-acl-datasource",
  "type": "sharepoint",
  "indexerPermissionOptions": ["userIds", "groupIds"],
  "credentials": {
    "connectionString": "<connection-string>;"
  },
  "container": {
    "name": "<library-name>",
    "query": "<optional-folder-path>"
  }
}

2. Engedélymezők hozzáadása az indexdefinícióhoz

Mezők hozzáadása az indexséma definíciójához az ACL-ek tárolásához és a lekérdezési idő szűrésének támogatásához.

{
  "fields": [
    { "name": "UserIds",  "type": "Collection(Edm.String)", "permissionFilter": "userIds",  "filterable": true, "retrievable": false },
    { "name": "GroupIds", "type": "Collection(Edm.String)", "permissionFilter": "groupIds", "filterable": true, "retrievable": false }
  ],
  "permissionFilterOption": "enabled"
}

Állítsa be retrievable az attribútumot csak a true fejlesztés során az értékek ellenőrzéséhez. A beolvasható értéket igazról hamisra módosíthatja index-újraépítési követelmény nélkül.

3. Index-előrejelzések konfigurálása a készségkészletben (ha van)

Ha a darabolás engedélyezve van, a szülő dokumentum nem kerül az indexbe, amikor a projectionMode be van állítva skipIndexingParentDocuments értékre. Vigye át az ACL-metaadatokat minden egyes adattömbre a indexProjections.selectors[].mappings használatával.

Ha az indexelő adattömbökkel rendelkező képességkészletet használ, például a Szövegfelosztási képességet az integrált vektorizálás engedélyezésekor, ügyeljen arra, hogy az ACL-tulajdonságokat minden egyes adattömbhöz index-előrejelzések használatával rendelje hozzá. Az // alábbi példában szereplő sorok szemléltető széljegyzetek, és érvénytelen JSON-nak számítanak. A kérés elküldése előtt távolítsa el őket.

PUT https://{service}.search.windows.net/skillsets/{skillset}?api-version=2026-08-01-preview
{
  "name": "my-skillset",
  "skills": [
    {
      "@odata.type": "#Microsoft.Skills.Text.SplitSkill",
      "name": "#split",
      "context": "/document",
      "inputs": [{ "name": "text", "source": "/document/content" }],
      "outputs": [{ "name": "textItems", "targetName": "chunks" }]
    }
    // ... (other skills such as embeddings, entity recognition, etc.)
  ],
  "indexProjections": {
    "selectors": [
      {
        "targetIndexName": "chunks-index",
        "parentKeyFieldName": "parentId",          // must exist in target index
        "sourceContext": "/document/chunks/*",     // match your split output path
        "mappings": [
          { "name": "chunkId",           "source": "/document/chunks/*/id" },     // if you create an id per chunk
          { "name": "content",           "source": "/document/chunks/*/text" },   // chunk text
          { "name": "parentId",          "source": "/document/id" },              // parent doc id
          { "name": "UserIds",  "source": "/document/metadata_user_ids" },
          { "name": "GroupIds",  "source": "/document/metadata_group_ids" },
          { "name": "SharePointSiteUrl", "source": "/document/metadata_spo_site_url" } // include when the index has sharePointConnectorAppRegistration (SharePoint groups support)
        ]
      }
    ],
    "parameters": {
      "projectionMode": "skipIndexingParentDocuments"
    }
  }
}

A UserIds, GroupIds és SharePointSiteUrl leképezések a SharePoint indexelő (/document/metadata_*) által kibocsátott forrásszintű metaadatokat olvassák ki, és az értékeket minden darabra ráírják.

4. Az indexelő mezőleképezéseinek konfigurálása ACL-ekhez

Indexelő mezőleképezések használata, ha az indexelő forráselemenként egy dokumentumot ír (nincs adattömb), vagy ha egy különálló szülőindexet tart fenn az adattömbindex mellett. Ha a képességkészlet a dokumentumokat egyetlen célindexbe darabolja a(z) projectionMode: skipIndexingParentDocuments használatával, az itt látható mezőleképezéseket a darabindexhez az előző lépésben megadott indexProjections.mappings váltja fel.

A szükséges indexer-konfiguráción kívül a SharePoint nyers metaadatok ACL-mezőit is leképezze az indexmezőkbe.

{
  "fieldMappings": [
    { "sourceFieldName": "metadata_user_ids",  "targetFieldName": "UserIds" },
    { "sourceFieldName": "metadata_group_ids", "targetFieldName": "GroupIds" }
  ]
}

5. Az indexelő futtatása

Az ACL-metaadatok az indexelő futtatásakor lesznek betöltve. Az indexelő létrehozása vagy frissítése után (lásd : 6. lépés: Indexelő létrehozása) aktiváljon egy futtatást, hogy az indexelő betöltse az ACL-eket a tartalommal együtt.

POST https://[service name].search.windows.net/indexers/[indexer-name]/run?api-version=2026-08-01-preview
api-key: [admin key]

Ha engedélyezte az ACL-betöltést egy olyan meglévő indexelőn, amely már indexelt elemeket, hívja meg a(z) /resync parancsot a(z) options: ["permissions"] paraméterrel az ACL-ek azokhoz az elemekhez való pótlólagos feltöltéséhez, vagy használja a(z) /resetdocs parancsot adott elemek újbóli kinyeréséhez.

6. Az ACL-betöltés ellenőrzése

Az ACL-értékek helyes kitöltésének ellenőrzése:

1. Állítsa ideiglenesen a(z) retrievable értékét true értékre a(z) UserIds és GroupIds esetében az indexdefinícióban. A módosításhoz retrievable nincs szükség index-újraépítésre.
2. Futtasson egy emelt jogosultságú olvasási lekérdezést, amely kiválasztja a(z) UserIds és GroupIds elemeket, és erősítse meg, hogy a gyűjtemények nem üresek. Az adattömbök esetében ellenőrizze, hogy minden adattömb mindkét mezőt hordozza-e.
3. Az ellenőrzés után juttassa vissza retrievable elemet ide: false.

SharePoint csoportok támogatásának konfigurálása

A 2026-05-01-es előzetes REST API-tól kezdve a SharePoint indexelő betöltheti SharePoint webhelycsoporttagságokat (tulajdonosok, tagok, látogatók és egyéni webhelycsoportok). Ezeket a csoportokat a lekérdezési időpontban tartja tiszteletben. SharePoint-csoport azonosítók a metadata_group_ids mezőben jelennek meg a spg: előtaggal, hogy megkülönböztessék őket Microsoft Entra csoportobjektum-azonosítóktól.

Ez az útmutató teljes: kövesse a lépéseket sorrendben az index konfigurálásához, az indexelő mezőleképezéseinek beállításához, valamint az index lekérdezéséhez a SharePoint-webhelycsoportok érvényesítésével.

A következő összetevők együttműködve teszik lehetővé SharePoint webhelycsoport felbontását:

1. Előfeltételek

• SharePoint indexelő már konfigurálva van az ACL-betöltéshez. Lásd : Indexelő mezőleképezések konfigurálása ACL-ekhez.
• Microsoft Entra alkalmazásregisztráció összevont identitás hitelesítő adatokkal. Lásd : A regisztrált alkalmazás konfigurálása felügyelt identitással.
• REST API 2026-05-01-preview vagy újabb.

2. Az index konfigurálása

Adja hozzá a sharePointConnectorAppRegistration konfigurációt és a SharePointSiteUrl mezőt a UserIds jogosultságszűrő GroupIds mezők mellett, így a teljes indexalakzat egy helyen található. Tartsa meg permissionFilterOption: "enabled".

PUT https://{service}.search.windows.net/indexes/{index}?api-version=2026-08-01-preview
{
  "name": "my-sharepoint-acl-index",
  "sharePointConnectorAppRegistration": {
      "applicationId": "<ingestion-app-client-id>",
      "federatedCredentialId": "<managed-identity-application-id>",
     "tenantId": "<sharepoint-tenant-id>"
  },
  "fields": [
    { "name": "UserIds",           "type": "Collection(Edm.String)", "permissionFilter": "userIds",  "filterable": true, "retrievable": false },
    { "name": "GroupIds",          "type": "Collection(Edm.String)", "permissionFilter": "groupIds", "filterable": true, "retrievable": false },
    { "name": "SharePointSiteUrl", "type": "Edm.String", "sharepointSiteUrl": true, "filterable": false, "retrievable": false }
  ],
  "permissionFilterOption": "enabled"
}

3. Az indexelő mezőleképezéseinek konfigurálása

Képezze le a SharePoint metaadatmezőit az indexmezőkre egyetlen, kombinált leképezési blokkban. Az első két leképezés megegyezik a standard ACL-betöltéshez használt leképezésekkel; a harmadik leképezés aktiválja SharePoint csoportok felbontását.

{
  "fieldMappings": [
    { "sourceFieldName": "metadata_user_ids",             "targetFieldName": "UserIds" },
    { "sourceFieldName": "metadata_group_ids",            "targetFieldName": "GroupIds" },
    { "sourceFieldName": "metadata_spo_site_url",  "targetFieldName": "SharePointSiteUrl" }
  ]
}

Ha a készségkészlet darabokra bontja a dokumentumokat (például az integrált vektorizáláshoz használt Szövegfelosztás készséggel), akkor ehelyett a SharePointSiteUrl elemetindexProjections.mappings vetítse ki az egyes darabokra. Lásd: Válassza ki, hol töltse ki az ACL-mezőket.

4. Az index lekérdezése

Nincs szükség ügyféloldali módosításra. Ugyanaz a x-ms-query-source-authorization token aktiválja a Microsoft Entra és a SharePoint webhelycsoport kikényszerítését is. A keresőszolgáltatás kiszolgálóoldalon feloldja a SharePoint-csoporttagságokat az indexen a sharePointConnectorAppRegistration használatával.

A kérelem formáját lásd a általános lekérdezési példában és a SharePoint-specifikus példában, amely SharePoint-webhelycsoport kényszerítését tartalmazza.

5. Ellenőrzés

Annak ellenőrzéséhez, hogy SharePoint-csoport azonosítók az indexbe vannak-e állítva, futtasson egy elevated-read lekérdezést, amely kiválasztja GroupIds, és keresse meg a válaszban spg: előtagú értékeket.

Engedélyek szinkronizálása indexelt és forrástartalom között

A 2026-05-01-es előzetes REST API-tól kezdve a rendszer észleli és frissíti az egyedi engedélyekkel rendelkező elemek ACL-módosításait minden sikeres indexelő futtatásakor. Az indexelőprogram SharePoint módosítási jogkivonatokat használ arra, hogy a szerepkör-hozzárendelések hozzáadásait és eltávolításait növekményesen észlelje, ugyanúgy, ahogy a tartalom módosításait is.

Egyes forgatókönyvek még mindig explicit frissítést igényelnek:

Adott dokumentumok alaphelyzetbe állítása

Bizonyos dokumentumokat visszaállíthat, hogy újra beolvassa a tartalmat és az ACL-eket.

POST https://{service}.search.windows.net/indexers/{indexer}/resetdocs?api-version=2026-08-01-preview
{
  "documentKeys": ["doc123", "doc456"]
}

ACL-ek újraszinkronizálása a teljes adatforrásban

A kezdeti betöltés után újraszinkronizálást végezhet a teljes adatkészlet ACL-tartalmán . A teljes sikerhez a művelet befejezését követően egy indexelő futtatására van szükség.

POST https://{service}.search.windows.net/indexers/{indexer}/resync?api-version=2026-08-01-preview
{
  "options": ["permissions"]
}

Az adatok és az ACL-ek indexelése után lekérdezheti az indexet.

Hibaelhárítás

Ha az ACL-metaadatok indexelése után hiányoznak, váratlanok vagy sikertelenek a lekérdezési idő eredményei, tekintse meg SharePoint engedélyszűrés hibaelhárítását.

Kapcsolódó tartalom

• Indexelje a SharePoint tartalmat az Azure AI Keresésben (előzetes verzió)
• Lekérdezés során ACL érvényesítése