Felsöka SharePoint behörighetsfiltrering i Azure AI-sökning (förhandsversion)

Använd den här artikeln om frågetidsbehörighetsfiltrering för indexerat SharePoint innehåll returnerar saknade eller oväntade resultat, eller om en behörighetsfiltrerad fråga misslyckas.

Förutsättningar

• Ett index som fylls i av SharePoint i Microsoft 365 indexeraren med ACL-inmatning konfigurerad.
• Behörighetsfiltrering vid frågetillfället, konfigurerad enligt beskrivningen i Tillämpning av ACL och RBAC vid frågetillfället.
• REST API-version 2026-08-01-preview eller motsvarande SDK-paket för förhandsversion när du använder SharePoint webbplatsgrupper.
• Åtkomst till indexdefinitionen, genererad eller explicit indexeringsstatus och SharePoint behörigheter för en testanvändare.
• Sök indexdatadeltagare eller motsvarande behörighet för upphöjd läsning om du behöver jämföra filtrerade och ofiltrerade resultat.

Följ beslutsträdet för felsökning

Slutför dessa kontroller i ordning. Stoppa när det observerade resultatet identifierar konfigurationen eller behörigheten som behöver korrigeras.

1. Bekräfta att felet inträffar vid frågetillfället

Den här artikeln beskriver behörighetsfiltrering när SharePoint innehåll och ACL-metadata har indexerats.

• Om skapandet av en datakälla eller körningen av en indexerare rapporterar Invalid AAD tenant, följer du åtgärderna för Microsoft Entra-klientorganisationen.
• Om du behöver korrigera TenantId, autentisering eller anslutningssträngen för datakällan, se Konfigurera SharePoint-indexeraren i Microsoft 365.
• Om UserIds, GroupIdseller SharePointSiteUrl saknas under indexering använder du felsökningstabellen för ACL-inmatning.

Fortsätt bara här när indexerade behörighetsmetadata finns och symptomet uppstår när du frågar efter dem.

2. Identifiera de tre identiteterna

Registrera vilken identitet som fyller varje roll. Ersätt inte en identifierare med en annan.

3. Kontrollera konfigurationen av behörighetsfilter

Jämför index, indexerare och genererade objekt med deras ägarartiklar.

1. Kontrollera att indexet är inställt på permissionFilterOption till enabled.
2. Bekräfta att UserIds och GroupIds har korrekta permissionFilter-värden.
3. För SharePoint webbplatsgrupper bekräftar du att indexet har sharePointConnectorAppRegistration och ett SharePointSiteUrl fält med sharepointSiteUrl: true.
4. Bekräfta att varje indexerat dokument eller segment innehåller tillämpliga behörighetsfält. Om kunskapsuppsättningen använder indexprojektioner, kontrollera att ACL-fälten finns med i indexProjections.mappings.

Om något värde saknas går du tillbaka till Konfigurera söktjänsten för ACL-inmatning och frågetidstillämpning.

4. Kontrollera frågetokenen säkert

Logga aldrig in, klistra in i en supportbegäran eller dela en fullständig åtkomsttoken. Avkoda endast tokennyttolasten lokalt och sanera identifierare innan du samlar in diagnostiska utdata.

1. Bekräfta att begäran innehåller x-ms-query-source-authorization en aktuell delegerad token för testanvändaren.
2. Avkoda nyttolasten lokalt och bekräfta att oid identifierar den avsedda testanvändaren. Registrera ett sanerat värde, till exempel <test-user-object-id>.
3. Autentisera användaren igen och försök igen om token saknas eller har upphört att gälla.

Om användartoken utelämnas returneras inte behörighetsskyddat innehåll. Enbart Authorization rubriken ersätter x-ms-query-source-authorizationinte .

5. Kontrollera Microsoft Entra behörigheter

1. Bekräfta att de indexerade UserIds eller GroupIds innehåller det förväntade Microsoft Entras objekt-ID. Använd endast en upphöjd läsfråga för den här diagnostikjämförelsen.
2. Bekräfta att testanvändaren har en direkttilldelning eller når den tilldelade Microsoft Entra gruppen via transitivt Microsoft Entra gruppmedlemskap.
3. Om Microsoft Entra-gruppen är inbäddad i en SharePoint-grupp ändrar du tilldelningen. Den här blandade relationen expanderas inte och kan leda till att resultat saknas. Lägg till användaren direkt i SharePoint-grupp eller bevilja behörighet via en Microsoft Entra grupptilldelning som stöds.

Den exakta stödgränsen finns i Grupprelationer som stöds.

6. Kontrollera SharePoint behörigheter för webbplatsgrupper

Slutför det här steget när dokumentets ACL är knuten till gruppen Ägare, Medlemmar, Besökare eller en anpassad SharePoint-webbplatsgrupp.

1. Använd en fråga med utökad läsåtkomst för att bekräfta att GroupIds innehåller det förväntade grupp-ID:t med prefixet spg: och att SharePointSiteUrl identifierar källwebbplatsen.
2. Bekräfta att testanvändaren är direkt medlem i den SharePoint-grupp.
3. Bekräfta att indexet sharePointConnectorAppRegistration använder de identifierare och behörigheter som krävs av stöd för SharePoint grupper.

Om de indexerade fälten är tomma eller inaktuella kan du åtgärda inmatningen eller synkronisera SharePoint behörigheter innan du testa frågan igen.

7. Kontrollera frågebegäran

1. Använd REST API-versionen 2026-08-01-preview eller ett motsvarande förhandsversions-SDK-paket för SharePoint platsgruppsbehörighetsfilter.
2. Bekräfta Authorization autentiserar ett huvudnamn som kan köra frågor mot indexet.
3. Bekräfta att x-ms-query-source-authorization innehåller den delegerade testanvändarens token.
4. Försök igen med samma fråga utan orelaterade filter eller rangordningsändringar så att du kan isolera behörighetsbeteendet.

Använd det allmänna frågeexemplet som ägare av begärandeform. Inkludera inte fullständiga token i sparade begäranden eller loggar.

8. Jämför förväntade och faktiska resultat

1. Välj ett dokument som testanvändaren kan komma åt och ett dokument som användaren inte kan komma åt i SharePoint.
2. Kör den behörighetsfiltrerade frågan som testanvändare och registrera endast dokumentnycklar eller andra icke-säkerhetsidentifierare.
3. Kör en fråga med hög läsbehörighet och jämför de lagrade UserIdsvärdena , GroupIdsoch SharePointSiteUrl med källbehörigheterna.
4. Om upphöjd läsning returnerar det förväntade dokumentet men användarfrågan inte gör det fokuserar du på användartoken och gruppmatchningen. Om upphöjd läsning också missar det, fokuserar du på inmatning, mappningar och ACL-synkronisering.

Förhöjd läsning är för undersökning. Använd den inte för att returnera obegränsade resultat till slutanvändarna.

9. Samla in korrelationsinformation för begäran

Om frågan fortfarande misslyckas samlar du in API-versionen, UTC-tidsstämpeln, den sanerade begärandetexten, HTTP-status, svarshuvuden och eventuella begäranden eller korrelations-ID som returneras av tjänsten. Inkludera indexnamnet och om samma dokument visas vid läsning med utökade behörigheter.

Ta bort åtkomsttoken, API-nycklar, hemligheter, användarnamn och klientspecifika URL:er innan du delar diagnostik med Microsoft Support.

Relaterat innehåll

• Frågetids-ACL och RBAC-tillämpning
• Använda en SharePoint indexerare för att mata in behörighetsmetadata
• Konfigurera SharePoint i Microsoft 365 indexerare