Azure Yapay Zeka Arama belge düzeyi erişim denetimi

Note

Azure Yapay Zeka Arama Azure portalı, REST API'leri ve Azure SDK’ları aracılığıyla kullanılabilir. Ayrıca kuruluş içeriğini Microsoft Foundry portalındaki aracılar için yeniden kullanılabilir, izin kullanan bilgi bankalarına dönüştüren yönetilen bilgi katmanı Foundry IQ'yu temel alır.

Important

(önizleme) olarak işaretlenen özellikler, özellikler veya özellikler hizmet düzeyi sözleşmesi kapsamında değildir, üretim iş yükleri için önerilmez ve genel kullanıma sunulmadan önce değişebilir veya kısıtlanabilir. Azure Yapay Zeka Arama önizleme terimleri, tek başına veya genel kullanıma sunulan bir özelliğin parçası olsun, tüm önizleme işlevleri için geçerlidir.

Azure Yapay Zeka Arama belge düzeyinde erişim denetimini destekleyerek kuruluşların veri alımından sorgu yürütmeye kadar belge düzeyinde ayrıntılı izinleri zorunlu kılmasını sağlar. Bu özellik, güvenli yapay zeka aracı sistemleri topraklama verileri, alma artırılmış nesil (RAG) uygulamaları ve belge düzeyinde yetkilendirme denetimleri gerektiren kurumsal arama çözümleri oluşturmak için gereklidir.

Belge düzeyi erişim denetimi yaklaşımları

Azure Yapay Zeka Arama, her birinin farklı veri kaynaklarına ve kimlik modellerine uygun belge düzeyi izinlerini zorunlu kılmaya yönelik dört birincil yaklaşım sağlar.

Yaklaşım Açıklama
Güvenlik filtreleri Dize karşılaştırması. Uygulamanız bir kullanıcı veya grup kimliğini dize olarak iletir ve bu, sorgudaki bir filtreyi doldurarak dizede eşleşmeyen belgeleri hariç tutar.

Güvenlik filtreleri, belge düzeyinde erişim denetimine ulaşmak için kullanılan bir tekniktir. Bu yaklaşım bir API'ye bağlı olmadığından herhangi bir sürümü veya paketi kullanabilirsiniz.
POSIX benzeri ACL / RBAC kapsamları (önizleme) Sorgu belirteciyle ilişkili Microsoft Entra güvenlik aslı, arama sonuçlarında döndürülen belgelerin izin meta verileriyle karşılaştırılır ve izinleri eşleşmeyen belgeler hariç tutulur. Erişim denetim listesi (ACL) izinleri Azure Data Lake Storage (ADLS) 2. Nesil dizinleri ve dosyaları için geçerlidir. Rol tabanlı erişim denetimi (RBAC) kapsamları ADLS 2. Nesil içeriğine ve Azure bloblara uygulanır.

Belge düzeyinde kimlik tabanlı erişim için yerleşik destek önizleme aşamasındadır; REST API'lerinde ve özelliği sağlayan önizleme Azure SDK paketlerinde kullanılabilir. Özellik desteği kanıtı için SDK sürümü destek ayrıntılarına bakın.
Microsoft Purview hassasiyet etiketleri (önizleme sürümü) Indexer, Microsoft Purview'da tanımlanan duyarlılık etiketlerini desteklenen veri kaynaklarından (Azure Blob Depolama, ADLS Gen2, Microsoft 365'teki SharePoint, OneLake) ayıklar. Bu etiketler meta veri olarak depolanır ve Microsoft Entra belirteçleri ve Purview ilke atamalarına göre kullanıcı erişimini zorlamak için sorgu zamanında değerlendirilir. Etiketler ayrıca bilgi kaynakları ve aracısal alma yanıtı aracılığıyla ortaya çıkar ve bir bilgi bankası kullanan yapay zeka aracılarının ve sohbet uygulamalarının aynı etiket kullanan filtrelemeyi almasını sağlar. Bu yaklaşım, Azure Yapay Zeka Arama yetkilendirmeyi kuruluşunuzun Microsoft Information Protection modeliyle uyumlu hale getirir.
Microsoft 365 ACL'lerde SharePoint (önizleme) Azure Yapay Zeka Arama dizin oluşturucuları desteklenen SharePoint içerikten izin meta verilerini ayıklar ve sorgu zamanı erişim denetimleri için kullanır. Desteklenen içerik, sorumlular, grup ilişkileri, eşitleme davranışı ve izinler için bkz. İzin meta verilerini almak için SharePoint dizin oluşturucu kullanma.

Dizinlenmiş bilgi kaynakları için, ingestionPermissionOptionsassetStore ile birleştirilemez. Bu nedenle, yerel belge düzeyi izin alımı etkinleştirildiğinde görüntü sunma (önizleme) kullanılamaz.

Bir yaklaşım seçin

Veri kaynağınıza, kimlik modelinize ve uyumluluk gereksinimlerinize en uygun yaklaşımı belirlemek için aşağıdaki ölçütleri kullanın.

Scenario Önerilen yaklaşım Neden?
Özel kimlik sistemi, Microsoft dışı güvenlik çerçevesi veya herhangi bir itme modeli dizini. Güvenlik filtreleri API-agnostic, genel olarak kullanılabilir ve basit dize eşleştirmeye dayalıdır.
Mevcut ACL veya RBAC atamalarına sahip ADLS Gen2 ya da Azure Blob Depolama içeriği. POSIX benzeri ACL / RBAC kapsamları Yerel Microsoft Entra tümleştirmesi; sorgu sırasında uygulanan erişim denetimi, belgelenen eşitleme mekanizmasının dizine yazdığı izin meta verilerine dayanır.
Halihazırda Microsoft Purview bilgi koruma ilkeleri tarafından yönetilen kurumsal içerik. Microsoft Purview duyarlılık etiketleri Azure Yapay Zeka Arama genelinde merkezi sınıflandırma ve ilke atamalarını yeniden kullanılır.
Microsoft 365 içindeki SharePoint’ten alınan içerik (kitaplıklar, listeler, ASPX site sayfaları). Microsoft 365 ACL'lerinde SharePoint SharePoint site grupları dahil olmak üzere yerel SharePoint izinlerini kabul eder.

Filtreleri kullanarak güvenlik sınırlandırma modeli

Yerel ACL/RBAC kapsamlarıyla tümleştirmenin uygulanabilir olmadığı senaryolarda, sonuçları dışlama ölçütlerine göre daraltmak için güvenlik dizesi filtrelerini kullanın. Desen aşağıdaki bileşenleri içerir:

  • Kullanıcı veya grup kimliklerini depolamak için dizinde bir dize alanı oluşturun.
  • İlişkili ACL'leri içeren kaynak belgeleri kullanarak dizini yükleyin.
  • Dizede eşleştirmek için sorgu mantığınıza bir filtre ifadesi ekleyin.
  • Sorgulama sırasında çağıranın kimliğini alın.
  • Çağıranın kimliğini filtre dizesi olarak geçirin.
  • Sonuçlar, kullanıcı veya grup kimliği dizesini içeremeyen eşleşmeleri dışlamak için kırpılır.

Gönderme veya çekme modeli API'lerini kullanabilirsiniz. Bu yaklaşım API'lerden bağımsız olduğundan, dizin ve sorgunun filtreleme adımı için geçerli dizelere (kimliklere) sahip olduğunu onaylamanız yeterlidir.

Bu yaklaşım, özel erişim modellerine veya Microsoft olmayan güvenlik çerçevelerine sahip sistemler için kullanışlıdır. Bu yaklaşım hakkında daha fazla bilgi için bkz. Azure Yapay Zeka Arama'te kırpma sonuçları için güvenlik filtreleri.

POSIX benzeri ACL ve RBAC kapsam izinleri için yerel destek deseni (önizleme)

Yerel destek, dizine eklemek ve sorgulamak istediğiniz belgelere bağlı Microsoft Entra kullanıcıları ve grupları temel alır.

Azure Data Lake Storage (ADLS) 2. Nesil kapsayıcıları, kapsayıcıdaki ve dosyalardaki ACL'leri destekler. ADLS 2. Nesil için, içerik almak için ADLS 2. Nesil dizin oluşturucu veya Blob bilgi kaynağı (ADLS 2. Nesil'i destekler) ve önizleme API'sini kullandığınızda, belge düzeyinde RBAC kapsamı koruması yerel olarak desteklenir. Azure blob indeksleyici veya bilgi kaynağını kullanan Azure bloblar için RBAC kapsamının korunması, kapsayıcı (container) düzeyindedir.

ACL güvenliğine sahip içerik için, yönetim kolaylığı için tek tek kullanıcı erişimi üzerinden grup erişimini kullanın. Desen aşağıdaki bileşenleri içerir:

İstemci uygulamanız, Arama Dizini Veri Okuyucusu veya Arama Dizini Veri Katılımcısı rolü aracılığıyla dizinde okuma izinleri alır. Sorgu zamanında erişim, dizine alınan içerikteki kullanıcı veya grup izin meta verileri tarafından belirlenir. İzin filtresi içeren sorgular, istek üst bilgisinde olduğu gibi x-ms-query-source-authorization bir kullanıcı veya grup belirtecini geçirir. Sorgu zamanında izin filtrelerini kullandığınızda, Azure Yapay Zeka Arama iki şeyi denetler:

  • İlk olarak, istemci uygulamanızın dizine erişmesine izin veren Arama Dizini Veri Okuyucusu iznini denetler.

  • İkincisi, istekteki ek belirteç göz önüne alındığında, eşleşmeyenleri hariç tutarak arama sonuçlarında döndürülen belgeler üzerinde kullanıcı veya grup izinlerini denetler.

Dizine izin meta verilerini almak için, JSON belgelerini arama dizinine göndererek gönderme modeli API'sini kullanın; burada yük, her belge için POSIX benzeri ACL'ler sağlayan bir dize alanı içerir. Bu yaklaşımla güvenlik kırpması arasındaki önemli fark, dizin ve sorgudaki izin filtresi meta verilerinin Microsoft Entra ID kimlik doğrulaması olarak tanınması, ancak güvenlik kırpma geçici çözümünün basit dize karşılaştırması olmasıdır. Ayrıca, kimlikleri almak için Graph SDK'sını kullanabilirsiniz.

Veri kaynağı Azure Data Lake Storage (ADLS) 2. Nesil ise ve kodunuz dizin oluşturma için bir önizleme API'si çağırıyorsa çekme modeli (dizin oluşturucu) API'lerini de kullanabilirsiniz.

Veri alımı işlemi sırasında ACL izinleri meta verilerini alma (önizleme)

ACL izinlerini alma şekliniz, belge yükünü göndermenize veya ADLS 2. Nesil dizin oluşturucuyu kullanmanıza bağlı olarak değişir.

Özelliği sağlayan bir önizleme API'siyle başlayın:

Gönderme modeli yaklaşımı için:

  1. Dizin şemanızın önizleme veya yayın öncesi SDK ile oluşturulduğunu ve şemanın izin filtrelerine sahip olduğunu onaylayın.
  2. Grup veya kullanıcı kimliklerini almak için Microsoft Graph SDK'sını kullanmayı göz önünde bulundurun.
  3. Belgeleri ve ilişkili izin meta verilerini arama dizinine göndermek için Index Belgeleri veya eşdeğer Azure SDK API'sini kullanın.

Çekme modeli ADLS 2. Nesil dizin oluşturucu yaklaşımı veya Blob (ADLS 2. Nesil) bilgi kaynağı için:

  1. ADLS 2. Nesil erişim denetimi modeli kullanılarak dizindeki dosyaların güvenliğinin sağlandığını doğrulayın.
  2. Dizin oluşturucu, dizin ve veri kaynağını oluşturmak için Indexers - Create (REST API), Knowledge Sources - Create (REST API) veya eşdeğer bir Azure SDK API kullanın.

Beceri kümeniz belgeleri, örneğin tümleşik vektörleştirme için Metin Bölme becerisinde olduğu gibi, parçalara ayırıyorsa izin meta verisi alanları dizin oluşturucu alan eşlemelerinden dizin projeksiyonlarına taşınır. Bkz. ACL alanlarının doldurulacağı yeri seçme.

Microsoft 365'te SharePoint için Temel ACL İzinleri İşleme Modeli (önizleme)

Dizine SharePoint içeriği için Azure Yapay Zeka Arama kaynak izinlerini meta veri olarak depolayabilir ve bunları kullanarak sorgu sonuçlarını filtreleyebilir. Bu özelliğe önizlemede Microsoft 365 dizin oluşturucudaki SharePoint ve en son REST API veya eşdeğer bir önizleme SDK'sı paketi aracılığıyla erişebilirsiniz.

İzin gereksinimleri, desteklenen grup ilişkileri, izin eşitlemesi ve sınırlamalar için bkz. İzin meta verilerini almak için SharePoint dizin oluşturucu kullanma.

Beceri kümeniz belgeleri parçalara ayırıyorsa (örneğin, tümleşik vektörleştirme için Metin Bölme becerisi kullanılarak), ACL alanları dizin oluşturucu alan eşlemelerinden dizin projeksiyonlarına taşınır. Bkz. ACL alanlarının doldurulacağı yeri seçme.

Microsoft Purview duyarlılık etiketleri deseni (önizleme)

Etiket alımını etkinleştirdiğinizde, Azure Yapay Zeka Arama desteklenen veri kaynaklarından duyarlılık meta verilerini ayıklar. Bu veri kaynakları Azure Blob Depolama, Azure Data Lake Storage 2. Nesil (ADLS 2. Nesil), Microsoft 365 SharePoint ve OneLake'Microsoft içerir. Ayıklanan etiketler, belge içeriğiyle birlikte dizinde depolanır.

Sorgu sırasında, Azure Yapay Zeka Arama erişimi belirlemek için her belgenin duyarlılık etiketini, kullanıcının Microsoft Entra belirtecini ve kuruluşun Purview ilkelerini denetler. Sistem, yalnızca kullanıcının kimliği ve etiket tabanlı izinleri, yapılandırılmış Purview ilkeleri kapsamında erişime izin veriyorsa belgeleri döndürür.

Bu desen aşağıdaki bileşenleri içerir:

  • En son önizleme REST API'sini veya Purview etiket alımını destekleyen bir önizleme SDK'sını kullanarak dizininizi, veri kaynağınızı ve dizin oluşturucunuzu yapılandırın (zamanlama amacıyla).
  • Arama hizmetinizde sistem tarafından atanan yönetilen kimliği etkinleştirin. Kullanıcı tarafından atanan yönetilen kimlikler Purview etiket ayıklaması için desteklenmez. Hizmetin kendi kimliği yükseltilmiş Purview izinlerini içermelidir. Ardından, arama hizmetinin Microsoft Purview kimlik doğrulamasına izin vermek ve etiket meta verilerini ayıklamak için kiracı genel yöneticinizin veya ayrıcalıklı rol yöneticinizin gerekli erişimi vermesini sağlayın.
  • Sistemin alım sırasında bunları tanıyabilmesi ve koruyabilmesi için dizin oluşturmadan önce belgelere duyarlılık etiketleri uygulayın.
  • Sorgu zamanında, her sorgu isteğine x-ms-query-source-authorization üst bilgisi aracılığıyla geçerli bir Microsoft Entra belirteci ekleyin. Azure Yapay Zeka Arama, etiket tabanlı erişim denetimini zorunlu kılmak için belirteci ve ilişkili etiket meta verilerini değerlendirir.

Purview duyarlılık etiketinin uygulanması tek kiracılı senaryolarla sınırlıdır ve RBAC kimlik doğrulaması gerektirir. Önizleme sırasında yalnızca REST API ve Azure SDK’ları aracılığıyla desteklenir. Purview özellikli dizinlerde otomatik tamamlama ve ÖNERI API'leri şu anda kullanılamıyor.

Duyarlılık etiketlerinin ortaya çıktığı yer

Sistemin sorgu zamanında etiketleri zorunlu kılabilmesi veya yanıtları alma sırasında döndürebilmesi için önce etiket meta verilerini dizine eşitlemeniz gerekir. Bu bölümde açıklanan her iki tüketim yolu da bu eşitleme adımına bağlıdır. Bir Azure Yapay Zeka Arama dizin oluşturucuyu doğrudan desteklenen bir veri kaynağına göre yapılandırarak veya bilgi kaynağı oluştururken eşdeğer alım seçeneğini etkinleştirerek etiketleri eşitleyebilirsiniz. Her iki durumda da ortamınızın duyarlılık etiketi meta veri eşitleme yapılandırmasının ön koşullarını (yönetilen kimlik, arama hizmetinde RBAC ve gerekli Microsoft Purview ile veri kaynağı izinleri) karşılaması gerekir. Uçtan uca dizin oluşturucu kurulumu için bkz. Microsoft Purview hassasiyet etiketlerini içeri aktarmak için Azure Yapay Zeka Arama dizin oluşturucularını kullanma. Bilgi kaynağı temelli alma için, ingestionPermissionOptions sırasında sensitivityLabel öğesini içerecek şekilde ayarlayın.

Etiketleri eşitledikten sonra, iki sorgu yolu aynı dizinlenmiş etiket meta verilerini kullanır. Uygulamanızın Azure Yapay Zeka Arama çağırma şekliyle eşleşen yolu seçin:

Bilgi kaynağı, tümleşik vektörleştirme veya özel metin bölme becerisiyle doldurulmuş bir dizin gibi öbeklenmiş bir dizine işaret ederse, beceri kümesinin duyarlılık etiketini de her öbek satırına yansıtması gerekir. Bu projeksiyon olmadan öbek düzeyindeki referanslar filtrelenmez.

Daha fazla bilgi için bkz. Microsoft Purview duyarlılık etiketlerini almak için Azure Yapay Zeka Arama dizin oluşturucularını kullanma.

Sorgu zamanında belge düzeyi izinlerini zorunlu kılma (önizleme)

Belirteç tabanlı sorgu uygulaması, POSIX benzeri ACL ve RBAC kapsamlarına, Microsoft Purview duyarlılık etiketlerine ve Microsoft 365’teki SharePoint ACL desenlerine uygulanan, birden çok alanı kapsayan bir yetenektir. Yerel belirteç tabanlı sorgu kullanarak, Azure Yapay Zeka Arama her istekte çağıranın Microsoft Entra belirtecini doğrular ve belge ACL meta verileri dizinle eşitlendiği sürece sonuç kümelerini yalnızca çağıranın belge ACL'lerine göre okuma yetkisine sahip olduğu belgelere ayarlar.

Kullanıcının belirtecini x-ms-query-source-authorization üst bilgisi aracılığıyla bir sorgu isteğine eklediğinizde, Azure Yapay Zeka Arama:

  1. Belirteçten kullanıcı, grup ve kapsam taleplerini ayıklar.
  2. Bu talepleri dizine alınan belgelerle (ACL girişleri, RBAC kapsamları, Purview etiket atamaları veya SharePoint ACL'ler) birlikte depolanan izin meta verileriyle karşılaştırır.
  3. Yalnızca eşitlenmiş izin meta verileri arayana erişim veren belgeleri döndürür.

Sorgu zamanında uygulanan denetim, çağrıyı yapanın Microsoft Entra claim’lerini dizinde zaten depolanmış olan izin meta verileriyle karşılaştırarak değerlendirir. Kaynak sistemdeki izin değişiklikleri (Microsoft Entra grup üyeliği, ADLS 2. Nesil ACL'ler, Purview etiket atamaları veya SharePoint ACL'ler), arama sonuçlarına yalnızca meta veriler kaynağa özgü mekanizma aracılığıyla eşitlendikten sonra (örneğin, sonraki bir dizin oluşturucu çalıştırması, push-API güncelleştirmesi veya Purview temelli yenileme) yansıtılır. SharePoint için, benzersiz izinlere sahip öğelerdeki ACL değişiklikleri 2026-05-01-preview REST API'sinden başlayarak her başarılı dizin oluşturucu çalıştırmasında artımlı olarak alınırken, üst kapsamlardan (site, kitaplık, liste veya klasör) devralınan değişiklikler açık bir yenileme gerektirir. Daha fazla bilgi için bkz. Dizinlenmiş içerik ve kaynak içerik arasındaki izinleri eşitleme.

Uçtan uca sorgu uygulama adımları için bkz: Azure Yapay Zeka Arama'te sorgu sırasında ACL ve RBAC uygulaması.

Belge düzeyi erişim denetiminin avantajları

Azure Yapay Zeka Arama'daki yerel belge düzeyi erişim denetimi, uygulama tarafı filtrelemeye göre somut avantajlar sağlar:

  • Özel izin kodunu ortadan kaldırır: Uygulamanızda iç içe grup çözümlemesi, çok düzeyli ACL geçişi veya sorgu sonrası kırpma uygulamanız gerekmez. Azure Yapay Zeka Arama, sorgu yürütme sırasında karşılaştırmayı ve filtrelemeyi işler.
  • Var olan uyumluluk denetimleriyle hizalanır: Microsoft Entra, Microsoft Purview ve SharePoint izinleri meta verilerini yeniden kullanma, arama sonuçlarının kaynak kimlik sistemiyle uyumlu kalmasına yardımcı olur. Sınırlamalarını anlamak için her kaynağın izin eşitleme modelini gözden geçirin.
  • Her ACL eşitlemesi sonrasında kaynak izinlerini kabul eder: Belirteç tabanlı yaklaşımlar (ACL, RBAC kapsamları, Purview etiketleri, SharePoint ACL'ler) için sorgu zamanı zorlaması, belgelenen kaynağa özgü eşitleme mekanizmasının (dizin oluşturucu çalıştırması, push-API güncelleştirmesi veya Purview yenilemesi) dizine önceden yazdığı izin meta verilerini kullanır.
  • Performansı sorgu sonrası kırpmaya karşı iyileştirir: Arama işlem hattı içinde filtreleme, özellikle yüksek sorgu birimlerinde uygulamanıza daha büyük sonuç kümeleri yükleyip orada kırpmaktan daha hızlıdır.
  • Var olan kimlik altyapınızı kullanır: Microsoft Entra ve SharePoint kimlikler erişim kararları için gerçeğin kaynağı olmaya devam eder; bu da kimlik yinelemesini ve paralel bir izin deposunu korumanın operasyonel ek yükünü azaltır.

Öğreticiler ve örnekler

Daha fazla makale ve örnekle Azure Yapay Zeka Arama belge düzeyinde erişim denetimini keşfedin.

İlgili içerik

  • Son güncelleştirme: