A SharePoint-engedélyek szerinti szűrés hibaelhárítása az Azure AI Keresésben (előzetes verzió)

Ezt a cikket akkor érdemes használni, ha az indexelt SharePoint tartalom lekérdezési idő szerinti engedélyszűrése hiányzó vagy váratlan eredményeket ad vissza, vagy ha egy engedély által szűrt lekérdezés meghiúsul.

Előfeltételek

• Egy index, amelyet a Microsoft 365 SharePoint-indexelője tölt fel beállított ACL-betöltéssel.
• A Lekérdezéskori ACL- és RBAC-érvényesítés című részben leírtak szerint konfigurált lekérdezéskori jogosultságszűrés.
• REST API-verzió 2026-08-01-preview vagy azzal egyenértékű előzetes verziójú SDK-csomag SharePoint webhelycsoportok használatakor.
• Hozzáférés az indexdefinícióhoz, a létrehozott vagy explicit indexelő állapotához, valamint a tesztfelhasználó SharePoint engedélyéhez.
• Keresési index adatszolgáltatója vagy ezzel egyenértékű emelt szintű olvasási engedély, ha össze kell hasonlítania a szűrt és szűretlen eredményeket.

Kövesse a hibaelhárítási döntési fát

Végezze el ezeket az ellenőrzéseket sorrendben. Állítsa le, ha a megfigyelt eredmény azonosítja a javításra szoruló konfigurációt vagy engedélyt.

1. Ellenőrizze, hogy a hiba a lekérdezési időpontban következik-e be

Ez a cikk SharePoint tartalom és ACL-metaadatok indexelése után végzett engedélyszűrésről nyújt tájékoztatást.

• Ha az adatforrás létrehozása vagy egy indexelőfuttatás során a rendszer Invalid AAD tenant hibát jelez, kövesse a Microsoft Entra-bérlőre vonatkozó hibaelhárítási lépéseket.
• Ha ki kell javítania a(z) TenantId, a hitelesítést vagy az adatforrás kapcsolati karakterláncát, lásd: A SharePoint konfigurálása a Microsoft 365-indexelőben.
• Ha UserIds, GroupIdsvagy SharePointSiteUrl hiányzik az indexelés során, használja az ACL betöltési hibaelhárítási táblát.

Csak akkor folytassa ezt a műveletet, ha az indexelt engedély metaadatai léteznek, és a probléma a lekérdezéskor jelentkezik.

2. A három identitás azonosítása

Jegyezze fel, hogy melyik identitás tölti ki az egyes szerepköröket. Ne helyettesítse az egyik azonosítót a másikra.

3. Ellenőrizze az engedélyszűrő konfigurációját

Hasonlítsa össze az indexet, az indexelőt és a létrehozott objektumokat a tulajdonosi cikkekkel.

1. Ellenőrizze, hogy az indexen a(z) permissionFilterOption értéke enabled-ra van állítva.
2. Erősítse meg UserIds és GroupIds rendelkezzen a megfelelő permissionFilter értékekkel.
3. A SharePoint-webhelycsoportok esetében ellenőrizze, hogy az index tartalmazza a(z) sharePointConnectorAppRegistration elemet, valamint egy SharePointSiteUrl mezőt sharepointSiteUrl: true értékkel.
4. Ellenőrizze, hogy minden indexelt dokumentum vagy adattömb a vonatkozó engedélymezőket hordozza-e. Ha a képességkészlet indexkivetítéseket használ, ellenőrizze, hogy az ACL-mezők a(z) indexProjections.mappings elemben vannak-e.

Ha bármilyen érték hiányzik, térjen vissza a keresési szolgáltatás konfigurálásához az ACL-betöltéshez és a lekérdezési idő kikényszerítéséhez.

4. Ellenőrizze a lekérdezési jogkivonatot biztonságosan

Soha ne jelentkezzen be, illessze be a támogatási kérelembe, és ne ossza meg a teljes hozzáférési jogkivonatot. A tokennek csak az adatrészét dekódolja helyben, és anonimizálja az azonosítókat, mielőtt rögzíti a diagnosztikai kimenetet.

1. Ellenőrizze, hogy a kérelem tartalmazza-e a x-ms-query-source-authorization elemet a tesztfelhasználóhoz tartozó aktuális delegált tokennel.
2. Dekódolja helyben a hasznos teheradatot, és erősítse meg, hogy a oid a kívánt tesztfelhasználót azonosítja. Egy olyan megtisztított érték rögzítése, mint a <test-user-object-id>.
3. Újrahitelesítse a felhasználót, és próbálkozzon újra, ha a jogkivonat hiányzik vagy lejárt.

Ha a felhasználói jogkivonat nincs megadva, a rendszer nem ad vissza engedély által védett tartalmat. A Authorization fejléc önmagában nem helyettesíti a fejlécet x-ms-query-source-authorization.

5. Microsoft Entra engedélyek ellenőrzése

1. Ellenőrizze, hogy az indexelt UserIds vagy GroupIds tartalmazza-e a várt Microsoft Entra objektumazonosítót. Csak emelt szintű olvasási lekérdezést használjon ehhez a diagnosztikai összehasonlításhoz.
2. Győződjön meg arról, hogy a tesztfelhasználó közvetlen hozzárendeléssel rendelkezik, vagy tranzitív Microsoft Entra csoporttagságon keresztül éri el a hozzárendelt Microsoft Entra csoportot.
3. Ha a Microsoft Entra-csoport egy SharePoint-csoportba van beágyazva, módosítsa a hozzárendelést. Ez a kevert kapcsolat nincs kibővítve, ezért egyes eredmények hiányozhatnak. Adja hozzá közvetlenül a felhasználót a SharePoint-csoporthoz, vagy adjon engedélyt egy támogatott Microsoft Entra-csoporthozzárendeléssel.

A támogatás pontos határát lásd: Támogatott csoportkapcsolatok.

6. SharePoint webhelycsoport engedélyeinek ellenőrzése

Hajtsa végre ezt a lépést, ha a dokumentum ACL-je tulajdonostól, tagoktól, látogatóktól vagy egyéni SharePoint webhelycsoporttól függ.

1. Emelt szintű olvasási lekérdezéssel ellenőrizze GroupIds , hogy tartalmazza-e a várt spg:-előtagú csoportazonosítót, és SharePointSiteUrl azonosítja a forráshelyet.
2. Győződjön meg arról, hogy a tesztfelhasználó a SharePoint-csoport közvetlen tagja.
3. Győződjön meg arról, hogy sharePointConnectorAppRegistration az index az SharePoint csoportok támogatásához szükséges azonosítókat és engedélyeket használja.

Ha az indexelt mezők üresek vagy elavultak, a lekérdezés újratesztelése előtt javítsa ki a betöltési vagy szinkronizálási SharePoint engedélyeket.

7. Ellenőrizze a lekérdezési kérelmet

1. HASZNÁLJON REST API-verziót 2026-08-01-preview vagy azzal egyenértékű előzetes verziójú SDK-csomagot SharePoint webhelycsoport engedélyszűrőihez.
2. Ellenőrizze, hogy Authorization olyan rendszerbiztonsági entitást hitelesít, amely le tudja kérdezni az indexet.
3. Ellenőrizze, hogy tartalmazza-e x-ms-query-source-authorization a delegált tesztfelhasználói jogkivonatot.
4. Próbálkozzon újra ugyanazt a lekérdezést független szűrők vagy rangsorolási módosítások nélkül, hogy elkülöníthesse az engedély viselkedését.

Használja az általános lekérdezési példát a kérelemalakzat tulajdonosaként. Ne szerepeljenek teljes tokenek a mentett kérésekben vagy naplókban.

8. A várt és a tényleges eredmények összehasonlítása

1. Válasszon ki egy dokumentumot, amelyhez a tesztfelhasználó hozzáférhet, és egy olyan dokumentumot, amelyhez a felhasználó nem fér hozzá a SharePoint.
2. Futtassa az engedély által szűrt lekérdezést tesztfelhasználóként, és csak dokumentumkulcsokat vagy más nem titkos azonosítókat rögzítsen.
3. Futtasson egy emelt szintű olvasási lekérdezést, és hasonlítsa össze a tárolt UserIds, GroupIdsés SharePointSiteUrl az értékeket a forrásengedélyekkel.
4. Ha az emelt jogosultságú olvasás a várt dokumentumot adja vissza, de a felhasználói lekérdezés nem, összpontosítson a felhasználói tokenre és a csoportfeloldási folyamatra. Ha az emelt szintű olvasás is hiányzik, koncentráljon a betöltésre, a leképezésekre és az ACL-szinkronizálásra.

Az emelt szintű olvasás a vizsgálathoz szükséges. Ne használja arra, hogy korlátlan eredményeket ad vissza a végfelhasználóknak.

9. Kérelem korrelációs adatainak rögzítése

Ha a lekérdezés továbbra is sikertelen, rögzítse az API-verziót, az UTC időbélyeget, a megtisztított kérelem törzsét, a HTTP állapotát, a válaszfejléceket, valamint a szolgáltatás által visszaadott kéréseket vagy korrelációs azonosítókat. Adja meg az index nevét, és hogy ugyanaz a dokumentum megjelenik-e emelt szintű olvasás alatt.

A diagnosztikai adatok Microsoft ügyfélszolgálatatal való megosztása előtt távolítsa el a hozzáférési tokeneket, az API-kulcsokat, a titkos adatokat, a felhasználóneveket és a bérlőspecifikus URL-címeket.

Kapcsolódó tartalom

• Lekérdezés idejű ACL és RBAC érvényesítése
• Engedély metaadatainak betöltése SharePoint indexelő használatával
• A SharePoint konfigurálása Microsoft 365 indexelőben