A Microsoft Purview bizalmassági címkéinek lekérdezéskori kikényszerítése az Azure AI Keresésben (előzetes verzió)

A lekérdezés időpontjában az Azure AI Keresés érvényesítheti a Microsoft Purview szolgáltatásban meghatározott, bizalmassági címkékre vonatkozó szabályzatokat (előzetes verzió). Ezek a szabályzatok magukban foglalják az egyes dokumentumokhoz társított használati jogosultságok kiértékelésétEXTRACT, így biztosítva, hogy a felhasználók csak olyan dokumentumokat kérjenek le, amelyekhez hozzáférésük van.

Ez a funkció kibővíti a dokumentum szintű hozzáférés-vezérlést a szervezet információvédelmi és megfelelőségi követelményeihez, amelyet a Microsoft Purview kezel.

Ha engedélyezve van a Purview bizalmassági címkék indexelése, Azure AI Keresés ellenőrzi az egyes dokumentumok címkeadatait a lekérdezési idő alatt. A Purview-szabályzatokon alapuló hozzáférési szűrőket alkalmaz, hogy csak azokat az eredményeket adja vissza, amelyekhez a kérelmező felhasználó hozzáférhet.

Ez a cikk bemutatja, hogyan működik a lekérdezési idő bizalmassági címke kényszerítése, és hogyan lehet biztonságos keresési lekérdezéseket kiadni.

Előfeltételek

• Végezze el az összes lépést a Microsoft Purview érzékenységi címkék betöltésére az Azure AI Keresés indexelőkkel.

• Ellenőrizze, hogy a Azure AI Keresés szolgáltatás rendelkezik-e a rendszer által hozzárendelt felügyelt identitással (nem felhasználó által hozzárendelt felügyelt identitással), és hogy rendelkezik-e a Content.SuperUserUnifiedPolicy.Tenant.Read szerepkör-hozzárendelésekkel. A lekérdezési idő kikényszerítése a címke metaadataitól függ, amelyeket az indexelő csak akkor tud kinyerni, ha a rendszer által hozzárendelt identitás megfelelő konfigurációval rendelkezik. Lásd az indexelő beállítási cikkének 1. lépését .

• A Azure AI Keresés szolgáltatásnak és a lekérdezést kibocsátó felhasználónak ugyanabban a Microsoft Entra bérlőben kell lennie.

• A REST API 2025-11-01-preview vagy újabb verziója, vagy ezzel egyenértékű előzetes verziójú SDK-csomag az index lekérdezéséhez. Az emelt szintű olvasási képességhez és a Purview naplózásához 2026-05-01 előzetes verziójú vagy újabb verzióra van szükség.

• Lekérdezések hitelesítése Azure szerepköralapú hozzáférés-vezérléssel (RBAC) nem API-kulcsokkal. Ha a Purview bizalmassági címkék engedélyezve vannak, az API-kulcs hozzáférése az indexséma lekérésére korlátozódik.

Korlátozások

• A vendégfiókok és a bérlőközi lekérdezések nem támogatottak.

• Az automatikus kiegészítés és a Javaslat API-k nem támogatottak a Purview-kompatibilis indexek esetében.

• Ha a címke kiértékelése sikertelen, a szolgáltatás egy adott HTTP-hibakódot ad vissza részleges vagy szűretlen eredménykészlet helyett. A hibakódok és okok teljes listájáért tekintse meg a lekérdezési hibák hibaelhárítását ismertető témakört.

• A rendszer csak akkor értékeli ki a címkéket, amikor az utolsó indexelő futtatásakor léteztek. Előfordulhat, hogy a legutóbbi címkemódosítások csak a következő ütemezett újraindexeléskor jelennek meg.

A lekérdezési idő alatti érzékenységi címke érvényesítése

Ha Microsoft Purview bizalmassági címkéket tartalmazó indexet kérdez le, az eredmények visszaadása előtt Azure AI Keresés ellenőrzi a társított Purview-szabályzatokat. Így a lekérdezés csak azokat a dokumentumokat adja vissza, amelyekhez a felhasználói jogkivonat hozzáfér.

1. Felhasználói identitás és alkalmazásszerepkör bemenete

Lekérdezéskor Azure AI Keresés mindkettőt ellenőrzi:

• A hívó alkalmazás RBAC-szerepköre, amely a Authorization fejlécben található. A minimálisan szükséges szerepkör: Search Index Data Reader. További részletekért tekintse át a Azure AI Keresés RBAC-útmutatót.
• A felhasználói identitás a x-ms-query-source-authorization fejlécben megadott tokenen keresztül.

Mindkettő szükséges a címkealapú láthatóság engedélyezéséhez.

2. Bizalmassági címke kiértékelése

Amikor egy lekérdezési kérelem érkezik, Azure AI Keresés kiértékeli:

1. A sensitivityLabel mező minden indexelt dokumentumban, a Microsoft Purviewből kinyerve a feldolgozás során.
2. A felhasználó érvényes Purview-engedélyei, a Microsoft Entra ID és a Purview címkeszabályzatában meghatározottak szerint.

Ha a felhasználó nem jogosult a dokumentum bizalmassági címkéjének engedélyekkel való EXTRACT használatára, akkor a rendszer kizárja a dokumentumot a lekérdezés eredményeiből.

3. Biztonságos eredményszűrés

Azure AI Keresés alkalmazza a biztonsági szűrőt az összes felhasználó által definiált szűrő és pontozási lépés után.
A dokumentum csak akkor szerepel a végső eredményhalmazban, ha:

• A hívó alkalmazás érvényes szerepkör-hozzárendeléssel rendelkezik (RBAC-en keresztül), és
• A x-ms-query-source-authorization által képviselt felhasználói identitás tokenje érvényes, és jogosult a dokumentum érzékenységi címkéjével ellátott tartalmak megtekintésére.

Ha bármelyik feltétel meghiúsul, a dokumentum ki lesz hagyva az eredményekből.

Felhasználói hozzáférési jogkivonat beszerzése

A felhasználói környezettel Azure AI Keresés lekérdezéséhez be kell szereznie egy hozzáférési jogkivonatot, amely a bejelentkezett felhasználót jelöli. A használt módszer attól függ, hogy helyileg teszteli-e a saját jogkivonatát, rendelkezik-e hozzáféréssel a forrásdokumentumhoz, vagy implementálja-e a végfelhasználói jogkivonat átadását igénylő alkalmazásfolyamatot.

Tesztelési forgatókönyvek esetén

Helyi teszteléshez lekérhet egy felhasználói hozzáférési jogkivonatot a Azure CLI használatával:

$token = az account get-access-token `
  --resource https://search.azure.com `
  --query accessToken `
  --output tsv

Ez a módszer az aktuális Azure CLI bejelentkezési munkamenetet használja, így a környezetet a bizalmassági címkéken keresztül hozzárendelt EXTRACT engedélyekkel rendelkező dokumentumokon keresztül használhatja. Ez a módszer csak fejlesztési és érvényesítési forgatókönyvekhez használható.

Token-beszerzés OBO-forgatókönyvekhez

Az on-behalf-of (OBO) folyamatot megvalósító alkalmazásoknak a Microsoft Entra ID-n keresztül kell jogkivonatokat beszerezniük egy támogatott hitelesítési kódtár, például a Microsoft Authentication Library (MSAL) használatával.

OBO-forgatókönyvekben kérje le az alkalmazás által meghívott alsóbb rétegbeli API jogkivonatát. Például amikor az Azure AI Keresés-t hívja meg, az erőforrás URI-ja https://search.azure.com/.default.

A .default hatókör minden olyan delegált engedélyt kér, amelyet az alkalmazás előre konfigurált a megadott erőforráshoz.

A bizalmassági címkék engedélyei, beleértve a EXTRACT, nem OAuth-hatókörökként jelennek meg. Az alsóbb rétegbeli szolgáltatás, például a Azure AI Keresés, futásidőben értékeli ki ezeket az engedélyeket a jogkivonat felhasználói identitása és az alkalmazott bizalmassági címke szabályzata alapján.

Lekérdezés példa

Íme egy példa egy olyan lekérdezési kérelemre, amely Microsoft Purview bizalmassági címke kényszerítését használja.

Adja át az alkalmazás tokent Bearer tokenként a Authorization fejlécben. Továbbítsa a felhasználói tokent nyers tokenértékként a x-ms-query-source-authorization fejlécben, a Bearer előtag nélkül.

POST  {{endpoint}}/indexes/sensitivity-docs/docs/search?api-version=2026-08-01-preview
Authorization: Bearer {{app-query-token}}
x-ms-query-source-authorization: {{user-query-token}}
Content-Type: application/json

{
    "search": "*",
    "select": "title,summary,sensitivityLabel",
    "orderby": "title asc"
}

Rendszergazdai vizsgálatokhoz biztosított emelt szintű olvasási hozzáférés (előzetes verzió)

Az emelt szintű olvasás lehetővé teszi, hogy egy jogosult fejlesztő olyan címkézett dokumentumokat adjon vissza, amelyeket a hívó felhasználó általában nem lát, miközben a kérés által visszaadott minden dokumentumhoz Microsoft Purview naplóbejegyzést bocsát ki. Használhatja megfelelőségi felülvizsgálatokhoz, elektronikus adatok feltárásához, incidenskezeléshez és egyéb adminisztratív vizsgálatokhoz, ahol naplózásra alkalmas hozzáférés-nyilvántartásra van szükség.

Az emelt szintű olvasás a Purview-kompatibilis indexeken érhető el a REST API 2026-05-01-preview és újabb verziójában.

Hogyan működik az emelt szintű olvasás

1. A hívó alkalmazás beállítja a x-ms-enable-elevated-read: true fejlécet a keresési kérelemben.

2. Az Azure AI Keresés kihagyja a dokumentumonkénti, címkealapú hozzáférés-ellenőrzést, és visszaadja az egyező dokumentumokat, függetlenül a kérelmet benyújtó felhasználó EXTRACT jogosultságaitól az egyes címkéken.

3. A válaszban szereplő minden dokumentum esetében Azure AI Keresés egy bejegyzést bocsát ki a Microsoft Purview naplózási naplóba a kérelmező bérlő nevében. Egyetlen keresési lekérdezés, amely N dokumentumot ad vissza, N naplóbejegyzést eredményez.

4. A rendszer a keresési válasz visszaadása után aszinkron módon tölti fel a naplóbejegyzéseket a Purview-ba.

Kötelező szerepkör hozzárendelése

A hívó fejlesztői felhasználónak a keresési szolgáltatás vagy az index hatókörében rendelkeznie kell a Search Index Data Contributor szerepkörrel. A keresési index adatolvasója nem elegendő. Az emelt szintű olvasási művelet 403 Forbidden hibával meghiúsul, ha a szerepkör nincs hozzárendelve. A Azure AI Keresés szerepkörökkel kapcsolatos további információkért lásd: Kapcsolódás Azure AI Keresés szerepkörök használatával.

Ha a x-ms-enable-elevated-read fejléc be van állítva true, a x-ms-query-source-authorization fejléc nem használható.

Példa emelt szintű olvasási műveletre

POST  {{endpoint}}/indexes/sensitivity-docs/docs/search?api-version=2026-08-01-preview
Authorization: Bearer {{contributor-token}}
x-ms-enable-elevated-read: true
Content-Type: application/json

{
    "search": "*",
    "select": "title,summary,sensitivityLabel",
    "orderby": "title asc"
}

A Microsoft Purview számára elküldött naplózási mezők

Minden naplózási bejegyzés a Office 365 felügyeleti tevékenység API sémát követi, és a következő mezőket tartalmazza.

Szelíd leépülés

Ha Azure AI Keresés nem éri el a Microsoft Purview a lekérdezés feldolgozása során, például egy átmeneti Purview-kimaradás során, akkor kihagyja a kérés címkéinek kiértékelését. A működés attól függ, hogy a kérés tartalmaz-e felhasználói azonosító tokent:

• Emelt jogosultságú olvasási kérelmek (x-ms-enable-elevated-read: true): A kérés meghiúsul ezzel: 5xx. Az Azure AI Keresés nem ad vissza címkével ellátott dokumentumokat anélkül, hogy előbb képes lenne auditnaplókat kibocsátani.

• Normál címkével kikényszerített kérések (ezzel: x-ms-query-source-authorization): A kérés meghiúsul ezzel: 5xx. Azure AI Keresés nem ad vissza részleges vagy szűretlen eredményeket, ha nem tudja kiértékelni a címkeszabályzatokat.

• Legalább a x-ms-query-source-authorization szerepkörrel rendelkező alkalmazás által nélküli hívások: A kérés sikeres, és csak olyan dokumentumokat ad vissza, amelyek nem rendelkeznek érzékenységi címkével. A rendszer kihagyja a címkézett dokumentumokat a válaszból.

Ez a csökkentett elérési út csak olyan, nem felhasználóval rendelkező munkafolyamatokra vonatkozik, amelyek kifejezetten csak címkézetlen eredményeket fogadnak el. Ne támaszkodhat rá a végfelhasználói keresési élményekhez.

A lekérdezési idő bizalmassági címke kiértékelése során visszaadott hibakódok teljes listáját a lekérdezési hibák hibaelhárítása című témakörben találja.

Emelt szintű olvasási auditnaplók keresése a Microsoft Purviewben

Az Azure AI Keresés auditnapló-bejegyzéseket tölt fel a hívást kezdeményező bérlő Microsoft Purview auditnaplójába. Emelt szintű olvasási tevékenység vizsgálata:

1. A Microsoft Purview portál válassza a Solutions>Audit lehetőséget.

2. Válassza a Audit Search lehetőséget, majd szűrjön dátumtartomány, felhasználó vagy Azure AI Keresés rekordtípus szerint.

3. Nyisson meg egy bejegyzést a standard sémamezők és az Azure AI Keresés egyéni mezők megtekintéséhez, beleértve a SensitivityLabelName, DocumentDataSourceType és DocumentDataSourceId.

Az auditnapló-keresések végrehajtásáról, a megőrzési viselkedésről és a szükséges Purview-szerepkörökről szóló lépésről lépésre útmutatásért lásd: Auditnapló keresése a Microsoft Purview portálon.

Bizalmassági címkék kezelése a Azure AI Keresés

Ha Azure AI Keresés olyan források bizalmassági címkéivel indexeli a dokumentumtartalmakat, mint a SharePoint, Azure Blob és mások, akkor a tartalom és a címke metaadatait is tárolja. A keresési lekérdezés az indexelt tartalmat és a dokumentumra alkalmazott bizalmassági címkét azonosító GUID azonosítót adja vissza, csak akkor, ha a felhasználó adathozzáféréssel EXTRACT rendelkezik a dokumentumhoz a bizalmassági címke definíciója alapján. Ez a GUID egyedileg azonosítja a címkét, de nem tartalmaz emberileg olvasható tulajdonságokat, például a címke nevét vagy a kapcsolódó engedélyeket.

Vegye figyelembe, hogy a GUID önmagában nem elegendő a felhasználói felületet tartalmazó forgatókönyvekhez, mivel a bizalmassági címkék gyakran más, Microsoft Purview információvédelem által kikényszerített házirend-vezérlőket is tartalmaznak, például: nyomtatási engedélyek vagy képernyőképek és képernyőrögzítési korlátozások. Azure AI Keresés nem jeleníti meg ezeket a képességeket.

A címkenevek megjelenítéséhez és/vagy a felhasználói felületre vonatkozó korlátozások érvényesítéséhez az alkalmazásnak meg kell hívnia a Microsoft Purview információvédelem végpontot a teljes címke metaadatainak és a kapcsolódó engedélyek lekéréséhez.

A Azure AI Keresés által visszaadott GUID használatával feloldhatja a címke tulajdonságait, és meghívhatja a Purview Labels API-kat a címkenév, a leírás és a szabályzat beállításainak lekéréséhez.

Hibaelhárítás lekérdezési hibák esetén

Ha a lekérdezési idő bizalmassági címke kiértékelése sikertelen, Azure AI Keresés egy adott HTTP-hibakódot ad vissza, amely azonosítja az okot. A szolgáltatás soha nem ad vissza részleges vagy szűretlen eredményhalmazt. Ha a címkeszabályzatok nem kiértékelhetők, a lekérdezés inkább meghiúsul, ahelyett hogy címkézetlen vagy jogosulatlan tartalmat tenne hozzáférhetővé.

400 Hibás kérés

A 400-os hiba az indexkonfigurációval vagy a kérésfejlécekkel kapcsolatos problémát jelez. Az újrapróbálkozás előtt javítsa ki a konfigurációt.

401 Nem engedélyezett

A 401-hiba az engedélyezési jogkivonattal vagy az alkalmazás Purview-engedélyeivel kapcsolatos problémát jelez.

502 Hibás átjáró

Az 502-s hiba a Azure AI Keresés és a Microsoft Purview közötti kapcsolati hibát jelzi. Ezek a hibák általában átmenetiek.

504 hiba - Átjáró időtúllépés

Az 504-ben megadott hiba azt jelzi, hogy Microsoft Purview nem válaszolt a megadott időn belül.

Végpont-végpont tesztelés beállítása

Az Azure AI Keresésben használt bizalmassági címkék konfigurációjának érvényesítéséhez tekintse meg a referencia-jellegű teljes körű beállítást.

Ez az adattár bemutatja, hogyan:

• A bizalmassági címkék szinkronizálásának és érvényesítésének konfigurálása az Azure AI Keresésben
• Bizalmassági címkékkel rendelkező dokumentumok betöltési és lekérdezési idő kényszerítési forgatókönyveinek tesztelése
• Nyerje ki a címke nevét, és jelenítse meg a RAG-alkalmazásokban vagy -ügynökökben használt hivatkozások részeként.