ACL-aware Abruf auf verwalteten Wissensdatenbanken

Wenn ACL Awareness für eine verwaltete Wissensdatenbank-Datenquelle aktiviert ist, filtern Sie die Abfrageergebnisse, indem Sie in Ihrer Abruf-Anfrage einen Benutzerkontext übergeben. Bedrock Managed Knowledge Base gibt nur die Dokumente zurück, auf die der angegebene Benutzer zugreifen darf. Einen Überblick über die Funktionsweise von ACL Awareness, das Identitätsmodell, die Konnektorunterstützung und Ihre Aufgaben bei der Aktivierung finden Sie unterAktivierung des Bewusstseins für Zugriffskontrolllisten.

Wichtig

ACL Awareness dient der ACL-aware Filterung, nicht der Autorisierung. Bedrock Managed Knowledge Base authentifiziert keine Endbenutzer — Ihre Anwendung muss Benutzer authentifizieren und den verifizierten Identitätskontext bestehen. Details hierzu finden Sie unter Aktivierung des Bewusstseins für Zugriffskontrolllisten.

UserContext beim Abrufen von Anfragen verwenden

Um den ACL-aware Abruf durchzuführen, fügen Sie das userContext Feld in Ihre Abrufanforderung ein. Das userContext gibt die Identität des Benutzers an. Das userId ist immer die universelle E-Mail-Adresse des Benutzers, die der zugrunde liegenden Datenquelle zugeordnet ist.

{
    "knowledgeBaseId": "your-knowledge-base-id",
    "retrievalQuery": {
        "text": "your query"
    },
    "userContext": {
        "userId": "[e-mail]"
    }
}

Wenn Sie dies userContext in einer Abrufanforderung nicht angeben, geben ACL-enabled Datenquellen keine Ergebnisse zurück. Non-ACL Datenquellen in derselben Wissensdatenbank geben normalerweise Ergebnisse zurück.

Abrufverhalten mit ACLs

Wenn ACL Awareness aktiviert ist, gelten die folgenden Verhaltensweisen:

• Benutzerkontext für ACL-enabled Datenquellen erforderlich — Wenn Sie in einer Abruf-Anfrage keinen Benutzerkontext angeben, geben ACL-enabled Datenquellen keine Ergebnisse zurück. Non-ACL Datenquellen in derselben Wissensdatenbank geben normalerweise Ergebnisse zurück.

• Fehlende ACL-Metadaten bedeuten, dass nicht darauf zugegriffen werden kann — Wenn ein Dokument in einer ACL-enabled Datenquelle keine ACL hat (z. B. weil der Konnektor keine Berechtigungen extrahieren konnte oder das Dokument öffentlich ist), wird dieses Dokument an keinen Benutzer zurückgegeben. Fehlende Berechtigungen werden als eingeschränkt und nicht als öffentlich behandelt.

• Gemischte Datenquellen — Sie können ACL-enabled sowohl Datenquellen als auch Datenquellen ohne ACL in derselben Wissensdatenbank haben. Dokumente aus Nicht-ACL-Datenquellen werden unabhängig vom Benutzerkontext an alle Benutzer zurückgegeben.

• Teilergebnisse — Wenn die ACL-Überprüfung in Echtzeit den Zugriff auf einige Dokumente verweigert, enthält die Antwort möglicherweise weniger Ergebnisse als die angeforderte. maxResults Die Bedrock Managed Knowledge Base wird nicht mit zusätzlichen Dokumenten aufgefüllt. Ihre Anwendung sollte Antworten mit weniger Ergebnissen als den angeforderten Ergebnissen verarbeiten.

• Verweigern überschreibt Zulassen — Wenn ein Benutzer sowohl in einer Zulassungsliste als auch in einer Ablehnungsliste für ein Dokument erscheint, wird der Zugriff verweigert.

Anmerkung

Third-party Die Anmeldeinformationen des Identitätsanbieters werden für bis zu 1 Stunde zwischengespeichert. Der Zugriff kann so lange fortgesetzt werden, bis der Cache aktualisiert wird.

Die Änderungen der Zugriffsberechtigungen sind letztendlich konsistent. Aktualisierungen werden in der Regel innerhalb weniger Minuten wirksam.

Fehlerbehebung

Wenn der ACL-aware Abruf keine oder unerwartete Ergebnisse liefert, ist die Ursache in der Regel konnektorspezifisch — Berechtigungen, Anmeldeinformationen oder ACL-Konfiguration. Weitere Informationen finden Sie in der Anleitung zur Fehlerbehebung für Ihren Connector:

• SharePoint

• OneDrive

• Google Drive

• Konfluenz

• Amazon S3

• Custom (Benutzerdefiniert)