קישור של Microsoft Entra ID

בדף הזה מוסבר איך לחבר את Microsoft Entra ID ל-Gemini Enterprise.

אחרי שמגדירים את מקור הנתונים ומייבאים נתונים בפעם הראשונה, מאגר הנתונים מסנכרן נתונים מהמקור הזה בתדירות שבוחרים במהלך ההגדרה.

הערה: אחרי שמקשרים את Microsoft Entra ID לאפליקציה, Google ממליצה מאוד להפעיל את Knowledge Graph כדי לשפר משמעותית את איכות החיפוש למשתמשים. מידע נוסף זמין במאמר Knowledge Graph: חיפוש חכם ומותאם להקשר.

גרסאות נתמכות

המחבר של Entra ID תומך בכל הגרסאות של Entra ID שמתארחות דרך Microsoft Graph API v1.0.

לפני שמתחילים

לפני שמגדירים את מאגר הנתונים ומייבאים נתונים, צריך לקבל מזהה לקוח וסוד לאימות, ולהגדיר את ההרשאות המינימליות הנדרשות לאפליקציה. בקטע הזה מוסבר איך לבצע את המשימות האלה.

הגדרת בקרת גישה ל-Entra ID

כדי לאכוף את בקרת הגישה למקורות נתונים ולאבטח את הנתונים ב-Gemini Enterprise, ודאו שהגדרתם את ספק הזהויות.

קבלת מזהה לקוח וסוד לקוח

1. יוצרים אפליקציית Entra ID:

   1. נכנסים למרכז הניהול של Microsoft Entra כאדמין ולוחצים על Application (אפליקציה).
   2. ברשימה הנפתחת Application, לוחצים על App registrations.
   3. בדף App registrations, לוחצים על New registration.
   4. לוחצים על Add new registration (הוספת רישום חדש) ומבצעים את הפעולות הבאות:
      • מזינים שם לאפליקציה.
      • בקטע Supported account types, בוחרים באפשרות Single tenant only - TENANT_NAME, כאשר TENANT_NAME הוא השם של הדייר ב-Microsoft Entra.
      • בקטע Redirect URI, מוסיפים URI של הפניה אוטומטית לאינטרנט שמפנה אל: https://login.microsoftonline.com/common/oauth2/nativeclient.
   5. לוחצים על הרשמה.

2. שמירת פרטי הכניסה:

   בחלון של האפליקציה הרשומה, שומרים את הערכים הבאים לשימוש מאוחר יותר:

   1. משתמשים ב-Application (client) ID כדי להגדיר את הפרמטר Client ID.
   2. משתמשים ב-Directory (tenant) ID כדי להגדיר את הפרמטר Azure Tenant.

3. יצירת סוד לקוח:

   1. עוברים אל Certificates & secrets.
   2. לוחצים על New client secret ומציינים משך זמן.
   3. שומרים את סוד הלקוח ומעתיקים את הערך של סוד הלקוח לשימוש מאוחר יותר.

שמירת הערך של סוד הלקוח

הגדרת ההרשאות המינימליות שנדרשות לאפליקציה

1. בחלון של האפליקציה הרשומה, לוחצים על API permissions.

2. בקטע Configured permissions, בוחרים באפשרות Microsoft Graph ומגדירים את ההרשאות הבאות:

   • User.Read
   • User.Read.All (Application)

   אם רוצים להטמיע את profileCardAttributes, צריך להגדיר את ההרשאות הבאות:

   • People.Read.All (Application)
   • PeopleSettings.Read.All (Application)
   • PeopleSettings.Read.All (Delegated)

3. נותנים הסכמת אדמין לכל ההרשאות שנוספו. כדי להשתמש בפרטי הכניסה של הלקוח בתהליך האימות, נדרשת הסכמה של אדמין.

הרשאות מינימליות

בטבלה הבאה מפורטות ההרשאות המינימליות שנדרשות כדי ליצור מחבר ל-Entra ID:

הרשאה	סיבת השימוש	תיאור
User.Read	הטמעת נתונים	לקרוא את פרטי הארגון במהלך יצירת החיבור.
User.Read.All (Application)	הטמעת נתונים	לקרוא את כל המשתמשים בארגון.
People.Read.All (Application)	הטמעת נתונים	לקרוא את כל המידע הרלוונטי על אנשים, כמו אנשי קשר, של כל המשתמשים בארגון.
PeopleSettings.Read.All (Application)	הטמעת נתונים	לקרוא את הגדרות המשתמשים של כל המשתמשים בארגון, כמו profileCardSettings.
PeopleSettings.Read.All (Delegated)	הטמעת נתונים	לקרוא את הגדרות המשתמשים של כל המשתמשים בארגון, כמו profileCardSettings.

יצירת מאגר נתונים של Entra ID

כדי להשתמש במסוף Google Cloud לסנכרון נתונים מ-Entra ID ל-Gemini Enterprise, צריך לפעול לפי השלבים הבאים:

1. נכנסים לדף Gemini Enterprise במסוף Google Cloud .

   Gemini Enterprise

2. בתפריט הניווט, לוחצים על מאגרי נתונים.

3. ‫לוחצים על Create Data Store.

4. בדף בחירת מקור נתונים, גוללים או מחפשים את Entra ID כדי לקשר את המקור של הצד השלישי.

5. בקטע Authentication settings, מזינים את מזהה הלקוח ואת סוד הלקוח.

6. בקטע אפשרויות מתקדמות:

   • אם צריך, לוחצים על הפעלת כתובות IP סטטיות. אחרי שיוצרים את המחבר, צריך להוסיף את כתובות ה-IP הסטטיות הרשומות לרשימת ההיתרים כדי שהסנכרון יצליח. למידע נוסף, קראו את המאמר הגדרת תעבורת נתונים יוצאת עם כתובת IP סטטית.
   • כדי לאפשר למחבר לאחזר מאפייני תוספים, שמשמשים להוספת מאפיין מותאם אישית לאובייקט בספרייה, מסמנים את התיבה הפעלת מאפייני תוספים.

   • אם רוצים לסנן את פרטי המשתמשים שנטמעו, צריך לספק מסנן SQL בהתאמה אישית. המסנן חייב להיות מחרוזת SQL תקינה.

     המפתחות במחרוזת הסינון צריכים להתאים לשדות הבאים:

     • ‫Id (מזהה האובייקט של המשתמש ב-Microsoft Entra ID)
     • employeeType
     • onPremisesSyncEnabled
     • accountEnabled

     דוגמאות למסנני SQL תקינים:

     id = 'abc' AND accountEnabled = true
     
     employeeType='E' AND onPremisesSyncEnabled= true
     

     הערה: כדי למצוא את id (מזהה האובייקט של המשתמש ב-Microsoft Entra ID), אפשר לעיין במסמכי התיעוד של Microsoft Entra ID.

   • בשדה Azure Tenant, מזינים את מזהה הדייר ב-Azure שקיבלתם כשיצרתם אפליקציה ב-Entra ID.

   • כדי להגביל את קצב השאילתות שהמחבר שולח למכונה של Entra ID, בשדה Max QPS מציינים את המספר המקסימלי של שאילתות לשנייה. ערך ברירת המחדל הוא 80 שאילתות לשנייה.

   • לוחצים על Continue.

7. בקטע בחירת הישויות שרוצים לסנכרן:

   • לוחצים על פרופילי משתמשים. כדי לסנן את הנתונים על סמך Id להטמעת נתונים, לוחצים על Filter ואז מבצעים את הפעולות הבאות:
     • כדי לציין נתונים שייכללו באינדקס החיפוש, בוחרים באפשרות Include in the index ומציינים את מחרוזת הסינון בשדה Id.
     • כדי לציין נתונים שיוחרגו מאינדקס החיפוש, בוחרים באפשרות Exclude from the index ומציינים את מחרוזת הסינון בשדה Id.
   • בוחרים את התדירות של סנכרון מלא.

8. לוחצים על המשך.

9. בקטע Configure your data connector, בוחרים אזור למאגר הנתונים.

10. נותנים שם למחבר הנתונים.

11. לוחצים על יצירה. ‫Gemini Enterprise יוצר את מאגר הנתונים ומציג את מאגרי הנתונים בדף Data Stores.

12. אם בחרתם באפשרות Enable Static IP Addresses בקטע Advanced options, אתם יכולים לראות את כתובות ה-IP הסטטיות הרשומות של המחבר ולהוסיף אותן לרשימת ההיתרים של Entra ID.

    1. נכנסים לדף Data Stores ולוחצים על שם המחבר כדי לראות פרטים עליו בדף Data.
    2. בשדה כתובות IP סטטיות, לוחצים על הצגה ואישור של כתובות IP.
    3. מעתיקים את כתובות ה-IP הסטטיות של המחבר.
    4. במרכז הניהול של Microsoft Entra, מוסיפים את כתובות ה-IP הסטטיות למיקום בעל שם או למיקום מהימן במדיניות קיימת של גישה מותנית. מידע נוסף זמין במאמר גישה מותנית: הקצאת רשת.

בדיקת מצב המחבר

1. כדי לבדוק את סטטוס ההטמעה, נכנסים לדף Data Stores ולוחצים על שם המחבר כדי לראות פרטים עליו בדף Data. מצב המחבר משתנה מ-Creating ל-Running כשהוא מתחיל לסנכרן נתונים. בסיום ההטמעה, הסטטוס משתנה ל-Active כדי לציין שהחיבור למקור הנתונים הוגדר וממתין לסנכרון המתוזמן הבא.

   בהתאם לגודל הנתונים, הטמעת הנתונים יכולה להימשך כמה דקות או כמה שעות.

2. כשהסטטוס של המחבר משתנה ל-Active, עוברים לכרטיסייה Entity.

3. לוחצים על הישות userprofiles.

4. בודקים את מספר המסמכים שהוטמעו ומוודאים שהוא תואם למספר המשתמשים ב-Entra ID.

מאפייני המשתמש הרגילים הבאים נקלטים כחלק מכל רשומת משתמש:

שם השדה בסכימה של Vertex AI	שם המאפיין ב-Entra ID
name.displayName	שם לתצוגה
name.familyName	שם משפחה
name.givenName	שם פרטי
name.username	השם הראשי של המשתמש
email.value	אימייל
employeeId	מזהה עובד
personId
employeeType	סוג העובד
hireDate	תאריך תחילת העבודה של העובד
department	מחלקה
organizations.jobTitle	תיאור התפקיד
organizations.location	מיקום המשרד
Phone	טלפון של העסק
managers.email, managers.personId	לא מאפיין ישיר (שרשרת ניהול מהמנהל הישיר למנהל ברמה העליונה)
directManager.personId	לא מאפיין ישיר (personId של המנהל)
displayphoto.imagebinary.data	תמונת פרופיל בקידוד Base64

אם לאפליקציית Entra ID יש את ההרשאות הנדרשות להטמעת מאפיינים מותאמים אישית, היא מטמיעה עד 15 מאפיינים של כרטיס פרופיל לכל רשומה. כברירת מחדל, אי אפשר לחפש את המאפיינים המותאמים אישית.

הגדרת מאפיינים שניתן לחפש

כדי שיהיה אפשר לחפש את המאפיינים המותאמים אישית, מבצעים את הפעולות הבאות:

1. בדף userprofiles, עוברים לכרטיסייה Schema.
2. לוחצים על Edit.

3. מבטלים את הבחירה במאפיינים, כמו address, כדי שלא יהיו ניתנים לאחזור, לחיפוש ולאינדוקס, ואז לוחצים על Save.

   הלחצן עריכה נשאר לא פעיל למשך כמה דקות לפני שהוא מופעל מחדש.

4. כשהלחצן עריכה במצב פעיל, לוחצים על עריכה.

5. מסמנים את התיבות retrievable, searchable, and indexable (ניתן לאחזור, ניתן לחיפוש וניתן להוספה לאינדקס) במאפיינים המותאמים אישית הנדרשים.

6. מפעילים את החיפוש.

7. לוחצים על Save.

בדיקת מנוע החיפוש

אחרי שמגדירים את מנוע החיפוש, בודקים את היכולות שלו כדי לוודא שהוא מחזיר תוצאות מדויקות על סמך הגישה של המשתמשים.

1. הפעלת אפליקציית האינטרנט:

   1. עוברים להגדרות של שילוב האפליקציה ומפעילים את האפשרות Enable the web app (הפעלת אפליקציית האינטרנט).

2. אפליקציית אינטרנט לבדיקה:

   1. לוחצים על פתיחה לצד הקישור לאפליקציית האינטרנט ונכנסים כמשתמשים.

   2. מוודאים שתוצאות החיפוש מוגבלות לפריטים שהמשתמש יכול לגשת אליהם.

תצוגה מקדימה של תוצאות החיפוש של אנשים

1. באפליקציית החיפוש, עוברים אל תצוגה מקדימה ומתחילים לחפש במסוף כשמשתמשים ב-Google IdP.

   • אפשר גם להיכנס לקישור שסופק ולהיכנס באמצעות ה-IdP כדי להתחיל לחפש.
   • תוצאות החיפוש מופיעות ככרטיסי מידע אישי, שבהם מוצגים פרטי המשתמש כמו שם, תפקיד, אימייל ותמונת פרופיל.

2. לוחצים על כרטיס מידע אישי כדי לראות דף פרופיל מפורט, שכולל את הפרטים הבאים:

   • שם
   • תמונת פרופיל
   • תפקיד
   • מחלקה
   • שרשרת ניהול
   • עובדים ישירים

3. אם מאפיינים מותאמים אישית (מאפיינים של כרטיס פרופיל) נטמעים וניתן להוסיף אותם לאינדקס, לחפש אותם ולאחזר אותם:

   • חיפוש לפי ערך מאפיין מותאם אישית מחזיר רק פרופילים אישיים שמכילים את המאפיינים האלה.
   • מאפיינים מותאמים אישית מופיעים בתוצאות החיפוש, אבל אפשר לגשת אליהם רק דרך ה-API, ולא דרך ממשק המשתמש של Vertex Search.

הגדרת מאגר כוח העבודה ל-IdP שאינו של Google בלי SSO

1. אם העובדים שלכם משתמשים ב-IdP שאינו של Google, אין להם SSO עם Google או שהם לא לקוחות של Google Workspace, אתם צריכים להגדיר מאגר של כוח עבודה כמו שמתואר במאמר הגדרת אמצעי בקרת גישה למקורות נתונים בהתאמה אישית כדי לאפשר חיפוש של עובדים.

   מאגר כוח העבודה מאפשר לנהל ולאמת משתמשים מספקי זהויות חיצוניים, כמו Azure או Okta, במסוף Google Cloud .

2. כדי להגדיר את מאגר כוח העבודה ולהפעיל את אפליקציית האינטרנט לגישה חלקה של משתמשים:

   1. יוצרים מאגר זהויות של כוח עבודה ברמת הארגון ב- Google Cloud במיקום global, לפי ההוראות במדריך ההגדרה המתאים:

      1. הגדרת Azure OIDC
      2. הגדרת Azure SAML
      3. הגדרת Okta ו-OIDC
      4. הגדרת Okta ו-SAML

   2. ב-Gemini Enterprise, עוברים אל הגדרות > אימות. בוחרים את האזור שבו יצרתם את האפליקציה (global,‏ us או eu) ומגדירים את מאגר כוח העבודה הגלובלי.

מגבלות קצב מומלצות

בטבלה הבאה מפורטות מגבלות הקצב המומלצות לפי מספר המשתמשים. בקשות שחורגות מהמגבלות מוגבלות.

קבוצת מכסות	בקשות לשנייה
קטן (פחות מ-50 משתמשים)	105
בינוני (50-500 משתמשים)	150
גדול (יותר מ-500 משתמשים)	240

מגבלות ידועות

אלה המגבלות הידועות של המחבר של Entra ID:

• אין תמיכה בסנכרון מצטבר.
• אין תמיכה ברשימות של בקרת גישה (ACL). כל המשתמשים נגישים בכל הארגון.
• אם מוסיפים פרויקט להיקף של VPC Service Controls אחרי שיוצרים חיבור, הפעלת הסנכרון של המחבר נכשלת ומופיעה השגיאה הבאה: Connector is blocked due to the project being added to the VPC-SC perimeter. Please re-create the data store. כדי לאפשר למאגר הנתונים לפעול בהיקף של VPC Service Controls, צריך ליצור אותו מחדש.

הודעות שגיאה

בטבלה הבאה מפורטות הודעות השגיאה שעשויות להופיע כשמשתמשים במחבר של Entra ID:

הודעת השגיאה	תיאור	פתרון בעיות
Authorization_RequestDenied אין מספיק הרשאות כדי להשלים את הפעולה.	חשבון המשתמש לא מכיל את ההיקפים הנדרשים לקריאת נתונים.	מספקים את ההיקפים הנדרשים לחשבון המשתמש שמשמש ליצירת החיבור.
אחזור המידע של טוקן OAuth נכשל	פרטי הכניסה של הלקוח שסופקו במהלך הגדרת המחבר לא תקינים.	בודקים את הפרטים הבאים: סוד הלקוח שתואם למזהה הלקוח. כשמגדירים את החיבור, צריך לציין את הערך של סוד הלקוח ולא את מזהה הסוד שלו. מזהה הדייר (tenant) תקין. התוקף של סוד הלקוח לא פג. אם פג התוקף של סוד הלקוח, צריך לערוך את החיבור ולציין את סוד הלקוח החדש.
המחבר חסום כי הפרויקט נוסף למתחם VPC-SC. צריך ליצור מחדש את מאגר הנתונים.	המחבר נוצר לפני שהפרויקט נוסף להיקף של VPC Service Controls.	יוצרים מחדש את מאגר הנתונים כדי לאפשר לו לפעול בתוך המתחם ההיקפי של VPC Service Controls.

השלבים הבאים

• כדי לצרף את מאגר הנתונים לאפליקציה, יוצרים אפליקציה ובוחרים את מאגר הנתונים לפי השלבים שמפורטים במאמר יצירת אפליקציה.

• כדי לראות איך תוצאות החיפוש ייראו אחרי שתגדירו את האפליקציה ואת מאגר הנתונים, עיינו במאמר קבלת תוצאות חיפוש.