Memecahkan masalah pemfilteran izin SharePoint di Pencarian Azure AI (pratinjau)

Gunakan artikel ini jika pemfilteran izin pada saat kueri untuk konten SharePoint yang diindeks mengembalikan hasil yang hilang atau hasil yang tidak diharapkan, atau jika kueri yang difilter berdasarkan izin gagal.

Prasyarat

• Indeks yang diisi oleh pengindeks SharePoint di Microsoft 365 dengan ingesti ACL yang dikonfigurasi.
• Pemfilteran izin pada waktu kueri dikonfigurasi seperti yang dijelaskan dalam Penegakan ACL dan RBAC pada waktu kueri.
• Versi 2026-08-01-preview REST API atau paket SDK pratinjau yang setara saat Anda menggunakan grup situs SharePoint.
• Akses ke definisi indeks, status pengindeks yang dihasilkan atau eksplisit, dan izin SharePoint untuk pengguna uji.
• Kontributor Data Indeks Pencarian atau izin baca yang ditingkatkan yang setara jika Anda perlu membandingkan hasil yang difilter dan tidak difilter.

Ikuti pohon keputusan pemecahan masalah

Selesaikan pemeriksaan ini secara berurutan. Berhenti saat hasil yang diamati mengidentifikasi konfigurasi atau izin yang memerlukan koreksi.

1. Pastikan kegagalan terjadi saat kueri dijalankan

Artikel ini membahas pemfilteran izin setelah konten SharePoint dan metadata ACL diindeks.

• Jika pembuatan sumber data atau pengindeks menjalankan laporan Invalid AAD tenant, ikuti remediasi penyewa Microsoft Entra.
• Jika Anda perlu mengoreksi TenantId, autentikasi, atau string koneksi sumber data, lihat Mengonfigurasi pengindeks SharePoint di Microsoft 365.
• Jika UserIds, GroupIds, atau SharePointSiteUrl hilang selama pengindeksan, gunakan tabel pemecahan masalah penyerapan ACL.

Lanjutkan di sini hanya ketika metadata izin terindeks ada dan gejala terjadi saat Anda mengkuerinya.

2. Identifikasi tiga identitas

Catat identitas mana yang mengisi setiap peran. Jangan mengganti satu pengidentifikasi dengan pengidentifikasi lain.

3. Periksa konfigurasi filter izin

Bandingkan indeks, pengindeks, dan objek yang dihasilkan dengan artikel pemiliknya.

1. Konfirmasikan indeks telah permissionFilterOption diatur ke enabled.
2. Pastikan UserIds dan GroupIds memiliki nilai permissionFilter yang benar.
3. Untuk grup situs SharePoint, pastikan indeks memiliki sharePointConnectorAppRegistration dan bidang SharePointSiteUrl dengan sharepointSiteUrl: true.
4. Konfirmasikan setiap dokumen atau gugus yang diindeks membawa bidang izin yang berlaku. Jika kumpulan keterampilan menggunakan proyeksi indeks, pastikan bidang ACL terdapat dalam indexProjections.mappings.

Jika ada nilai yang tidak ada, kembali ke Konfigurasikan layanan pencarian Anda untuk penyerapan ACL dan penerapan waktu kueri.

4. Periksa token kueri dengan aman

Jangan pernah mencatat, menempelkan ke permintaan dukungan, atau berbagi token akses penuh. Dekode hanya payload token secara lokal, dan samarkan pengidentifikasi sebelum Anda mencatat output diagnostik.

1. Pastikan permintaan menyertakan x-ms-query-source-authorization dengan token delegasi yang masih berlaku untuk pengguna uji.
2. Dekodekan payload secara lokal dan konfirmasikan bahwa oid mengidentifikasi pengguna uji yang dituju. Rekam nilai yang disanitasi seperti <test-user-object-id>.
3. Autentikasi ulang pengguna dan coba lagi jika token hilang atau kedaluwarsa.

Jika token pengguna dihilangkan, konten yang dilindungi izin tidak dikembalikan. Header Authorization saja tidak menggantikan x-ms-query-source-authorization.

5. Periksa izin Microsoft Entra

1. Konfirmasikan UserIds terindeks atau GroupIds berisi ID objek Microsoft Entra yang diharapkan. Gunakan kueri baca yang ditingkatkan hanya untuk perbandingan diagnostik ini.
2. Pastikan pengguna uji memiliki penugasan langsung atau menjadi anggota grup Microsoft Entra yang ditetapkan melalui keanggotaan grup Microsoft Entra transitif.
3. Jika grup Microsoft Entra bersarang di dalam grup SharePoint, ubah penugasan. Hubungan campuran ini tidak diperluas dan dapat menyebabkan hasil yang hilang. Tambahkan pengguna langsung ke kelompok SharePoint, atau berikan izin melalui penetapan grup Microsoft Entra yang didukung.

Untuk batas dukungan yang tepat, lihat Hubungan grup yang didukung.

6. Periksa izin grup situs SharePoint

Selesaikan langkah ini ketika dokumen ACL bergantung pada Pemilik, Anggota, Pengunjung, atau grup situs SharePoint kustom.

1. Gunakan kueri baca dengan hak istimewa tinggi untuk mengonfirmasi bahwa GroupIds berisi ID grup berawalan spg: yang diharapkan dan SharePointSiteUrl mengidentifikasi situs sumber.
2. Konfirmasikan bahwa pengguna uji adalah anggota langsung dari kelompok SharePoint tersebut.
3. Pastikan sharePointConnectorAppRegistration pada indeks menggunakan pengidentifikasi dan izin yang diperlukan oleh fitur dukungan grup SharePoint.

Jika bidang terindeks kosong atau kedaluarsa, perbaiki penyerapan atau sinkronkan izin SharePoint sebelum Anda mencoba kembali kueri.

7. Periksa permintaan kueri

1. Gunakan versi 2026-08-01-preview REST API atau paket SDK pratinjau yang setara untuk filter izin grup situs SharePoint.
2. Konfirmasikan bahwa Authorization mengautentikasi prinsipal yang dapat membuat kueri pada indeks.
3. Konfirmasi x-ms-query-source-authorization berisi token pengguna uji yang didelegasikan.
4. Coba lagi kueri yang sama tanpa filter atau perubahan peringkat yang tidak terkait sehingga Anda dapat mengisolasi perilaku izin.

Gunakan contoh kueri umum sebagai pemilik bentuk permintaan. Jangan sertakan token penuh dalam permintaan atau log yang disimpan.

8. Bandingkan hasil yang diharapkan dan aktual

1. Pilih satu dokumen yang dapat diakses pengguna uji dan satu dokumen yang tidak dapat diakses pengguna di SharePoint.
2. Jalankan kueri yang difilter berdasarkan izin sebagai pengguna uji dan catat hanya kunci dokumen atau pengidentifikasi lain yang tidak bersifat rahasia.
3. Jalankan kueri baca yang ditingkatkan dan bandingkan nilai yang disimpan UserIds, GroupIds, dan SharePointSiteUrl dengan izin sumber.
4. Jika baca yang ditingkatkan mengembalikan dokumen yang diharapkan tetapi kueri pengguna tidak, fokus pada token pengguna dan resolusi grup. Jika pembacaan tingkat lanjut juga tidak menemukannya, fokuslah pada ingesti data, pemetaan, dan sinkronisasi ACL.

Bacaan yang ditingkatkan adalah untuk penyelidikan. Jangan gunakan untuk mengembalikan hasil yang tidak dibatasi kepada pengguna akhir.

9. Catat detail korelasi permintaan

Jika kueri masih gagal, ambil versi API, tanda waktu UTC, isi permintaan yang dibersihkan, status HTTP, header respons, dan ID permintaan atau korelasi apa pun yang dikembalikan oleh layanan. Sertakan nama indeks dan apakah dokumen yang sama muncul saat menggunakan hak baca yang ditingkatkan.

Hapus token akses, kunci API, rahasia, nama pengguna, dan URL khusus penyewa sebelum Anda berbagi diagnostik dengan Microsoft Support.

Konten terkait

• Penerapan ACL dan RBAC pada waktu pemrosesan kueri
• Menggunakan pengindeks SharePoint untuk menyerap metadata izin
• Mengonfigurasi pengindeks SharePoint di Microsoft 365