קישור של Microsoft Entra ID

בדף הזה מוסבר איך לקשר את Microsoft Entra ID ל-Gemini Enterprise.

אחרי שמגדירים את מקור הנתונים ומייבאים נתונים בפעם הראשונה, מאגר הנתונים מסנכרן נתונים מהמקור הזה בתדירות שבוחרים במהלך ההגדרה.

הערה: אחרי שמקשרים את Microsoft Entra ID לאפליקציה, מומלץ מאוד להפעיל את Knowledge Graph כדי לשפר באופן משמעותי את איכות החיפוש עבור המשתמשים. מידע נוסף זמין במאמר Knowledge Graph: חיפוש חכם ומבוסס-הקשר.

גרסאות נתמכות

מחבר Entra ID תומך בכל הגרסאות המתארחות של Entra ID דרך Microsoft Graph API v1.0.

לפני שמתחילים

לפני שמגדירים את מאגר הנתונים ומייבאים נתונים, צריך לקבל מזהה לקוח וסוד לאימות, ולהגדיר את ההרשאות המינימליות הנדרשות לאפליקציה. בקטע הזה מוסבר איך לבצע את המשימות האלה.

הגדרת בקרת גישה ל-Entra ID

כדי לאכוף את בקרת הגישה למקורות נתונים ולאבטח את הנתונים ב-Gemini Enterprise, חשוב לוודא שהגדרתם את ספק הזהויות.

קבלת מזהה לקוח וסוד לקוח

1. יצירת אפליקציית Entra ID:

   1. נכנסים למרכז האדמינסטרציה של Microsoft Entra בתור אדמין ולוחצים על Application (אפליקציה).
   2. ברשימה הנפתחת Application (אפליקציה), לוחצים על App registrations (רישום אפליקציות).
   3. בדף App registrations (רישומי אפליקציות), לוחצים על New registration (רישום חדש).
   4. לוחצים על הוספת רישום חדש ומבצעים את הפעולות הבאות:
      • מזינים שם לאפליקציה.
      • בקטע Supported account types, בוחרים באפשרות Single tenant only - TENANT_NAME, כאשר TENANT_NAME הוא השם של הדייר ב-Microsoft Entra.
      • בקטע Redirect URI, מוסיפים כתובת URI להפניה אוטומטית באינטרנט שמפנה אל: https://login.microsoftonline.com/common/oauth2/nativeclient.
   5. לוחצים על הרשמה.

2. שמירת פרטי הכניסה:

   בחלון האפליקציה הרשומה, שומרים את הערכים הבאים לשימוש מאוחר יותר:

   1. משתמשים במזהה האפליקציה (הלקוח) כדי להגדיר את הפרמטר Client ID.
   2. משתמשים במזהה הספרייה (הדייר) כדי להגדיר את הפרמטר Azure Tenant.

3. יוצרים סוד לקוח:

   1. עוברים אל Certificates & secrets.
   2. לוחצים על New client secret ומציינים משך זמן.
   3. שומרים את סוד הלקוח ומעתיקים את הערך שלו לשימוש מאוחר יותר.

שומרים את הערך של סוד הלקוח

הגדרת ההרשאות המינימליות שנדרשות לאפליקציה

1. בחלון האפליקציה הרשומה, לוחצים על API permissions (הרשאות API).

2. בקטע Configured permissions (הרשאות שהוגדרו), בוחרים באפשרות Microsoft Graph ומגדירים את ההרשאות הבאות:

   • User.Read
   • User.Read.All (Application)

   אם רוצים להטמיע את profileCardAttributes, צריך להגדיר את ההרשאות הבאות:

   • People.Read.All (Application)
   • PeopleSettings.Read.All (Application)
   • PeopleSettings.Read.All (Delegated)

3. נותנים הסכמה של אדמין לכל ההרשאות שנוספו. כדי להשתמש בפרטי כניסה של לקוח בתהליך האימות, נדרשת הסכמה של אדמין.

הרשאות מינימליות

בטבלה הבאה מפורטות ההרשאות המינימליות שנדרשות כדי ליצור מחבר Entra ID:

הרשאה	הסיבה לשימוש	תיאור
User.Read	הטמעת נתונים	קריאת פרטי הארגון במהלך יצירת החיבור.
User.Read.All (Application)	הטמעת נתונים	קריאת כל המשתמשים בארגון.
People.Read.All (Application)	הטמעת נתונים	לקרוא את כל המידע הרלוונטי על אנשים, כמו אנשי קשר, של כל המשתמשים בארגון.
PeopleSettings.Read.All (Application)	הטמעת נתונים	קריאת הגדרות משתמשים של כל המשתמשים בארגון, כמו profileCardSettings.
PeopleSettings.Read.All (Delegated)	הטמעת נתונים	קריאת הגדרות משתמשים של כל המשתמשים בארגון, כמו profileCardSettings.

יצירת מאגר נתונים של Entra ID

כדי להשתמש במסוף Google Cloud כדי לסנכרן נתונים מ-Entra ID אל Gemini Enterprise , פועלים לפי השלבים הבאים:

1. נכנסים לדף Gemini Enterprise במסוף Google Cloud .

   ‫Gemini Enterprise

2. בתפריט הניווט, לוחצים על מאגרי נתונים.

3. לוחצים על יצירת מאגר נתונים.

4. בדף בחירת מקור נתונים, גוללים או מחפשים את Entra ID כדי לקשר את המקור של הצד השלישי.

5. בקטע הגדרות אימות, מזינים את מזהה הלקוח ואת סוד הלקוח.

6. בקטע אפשרויות מתקדמות:

   • אם צריך, לוחצים על הפעלת כתובות IP סטטיות. אחרי שיוצרים את המחבר, צריך להוסיף את כתובות ה-IP הסטטיות הרשומות לרשימת ההיתרים כדי שהרצות הסנכרון יצליחו. מידע נוסף מופיע במאמר בנושא הגדרת כתובת IP סטטית ליציאה.
   • כדי לאפשר למחבר לאחזר מאפייני הרחבה, שמשמשים להוספת מאפיין מותאם אישית לאובייקט בספרייה, מסמנים את תיבת הסימון Enable Extension Properties (הפעלת מאפייני הרחבה).

   • אם רוצים לסנן את פרטי המשתמשים שמיובאים, צריך לספק מסנן SQL מותאם אישית. המסנן חייב להיות מחרוזת SQL תקינה.

     המפתחות במחרוזת המסנן צריכים להתאים לשדות הבאים:

     • ‫Id (מזהה האובייקט של המשתמש ב-Microsoft Entra ID)
     • employeeType
     • onPremisesSyncEnabled
     • accountEnabled

     דוגמאות למסנני SQL תקינים:

     id = 'abc' AND accountEnabled = true
     
     employeeType='E' AND onPremisesSyncEnabled= true
     

     הערה: מידע על איתור id (מזהה האובייקט של המשתמש ב-Microsoft Entra ID) זמין במסמכים של Microsoft Entra ID.

   • בשדה Azure Tenant (דייר Azure), מזינים את מזהה הדייר ב-Azure שקיבלתם כשייצרתם אפליקציית Entra ID.

   • כדי להגביל את קצב השליחה של השאילתות שהמחבר שולח למופע של Entra ID, בשדה Max QPS מציינים את מספר השאילתות המקסימלי לשנייה. ערך ברירת המחדל הוא 80 QPS.

   • לוחצים על Continue.

7. בקטע בחירת ישויות שרוצים לסנכרן:

   • לוחצים על פרופילי משתמשים. כדי לסנן את הנתונים על סמך Id לצורך הטמעת נתונים, לוחצים על סינון ואז מבצעים את הפעולות הבאות:
     • כדי לציין נתונים שייכללו באינדקס החיפוש, בוחרים באפשרות Include in the index (הכללה באינדקס) ואז מציינים את מחרוזת המסנן בשדה Id (מזהה).
     • כדי לציין נתונים שיוחרגו מאינדקס החיפוש, בוחרים באפשרות החרגה מהאינדקס ואז מציינים את מחרוזת המסנן בשדה מזהה.
   • בוחרים את התדירות של סנכרון מלא.

8. לוחצים על המשך.

9. בקטע Configure your data connector (הגדרת מחבר הנתונים), בוחרים אזור לאחסון הנתונים.

10. מזינים שם למחבר הנתונים.

11. לוחצים על יצירה. ‫Gemini Enterprise יוצר את מאגר הנתונים ומציג את מאגרי הנתונים בדף מאגרי נתונים.

12. אם בחרתם באפשרות הפעלת כתובות IP סטטיות בקטע אפשרויות מתקדמות, תוכלו לראות את כתובות ה-IP הסטטיות הרשומות של המחבר ולהוסיף אותן לרשימת ההיתרים של Entra ID.

    1. עוברים לדף מאגרי נתונים ולוחצים על שם המחבר כדי לראות את הפרטים שלו בדף נתונים.
    2. בשדה כתובות IP סטטיות, לוחצים על הצגה ואישור של כתובות IP.
    3. מעתיקים את כתובות ה-IP הסטטיות של המחבר.
    4. במרכז הניהול של Microsoft Entra, מוסיפים את כתובות ה-IP הסטטיות למיקום עם שם או למיקום מהימן במסגרת מדיניות קיימת של גישה מותנית. מידע נוסף זמין במאמר בנושא גישה מותנית: הקצאת רשת.

בדיקת מצב המחבר

1. כדי לבדוק את סטטוס ההטמעה, עוברים לדף מאגרי נתונים ולוחצים על שם המחבר כדי לראות את הפרטים שלו בדף נתונים. הסטטוס של המחבר משתנה מ-Creating (יצירה) ל-Running (פועל) כשהוא מתחיל לסנכרן נתונים. כשההטמעה מסתיימת, הסטטוס משתנה לפעיל כדי לציין שהחיבור למקור הנתונים הוגדר וממתין לסנכרון המתוזמן הבא.

   בהתאם לגודל הנתונים, תהליך ההטמעה יכול להימשך כמה דקות או כמה שעות.

2. כשמצב המחבר משתנה לפעיל, עוברים לכרטיסייה ישות.

3. לוחצים על הישות userprofiles.

4. בודקים את מספר המסמכים שהועברו ומוודאים שהוא תואם למספר המשתמשים ב-Entra ID.

מאפייני המשתמש הרגילים הבאים נאספים כחלק מכל רשומת משתמש:

שם השדה בסכימה של Vertex AI	שם המאפיין ב-Entra ID
name.displayName	שם לתצוגה
name.familyName	שם משפחה
name.givenName	שם פרטי
name.username	השם הראשי של המשתמש
email.value	אימייל
employeeId	מזהה עובד
personId
employeeType	סוג העובד
hireDate	תאריך ההעסקה של העובד
department	מחלקה
organizations.jobTitle	תיאור התפקיד
organizations.location	מיקום המשרד
Phone	טלפון של העסק
managers.email, managers.personId	לא מאפיין ישיר (שרשרת ניהול ממנהל ישיר למנהל ברמה העליונה)
directManager.personId	לא מאפיין ישיר (personId של המנהל)
displayphoto.imagebinary.data	תמונת פרופיל בקידוד Base64

אם לאפליקציה ב-Entra ID יש את ההרשאות הנדרשות להוספת מאפיינים מותאמים אישית, היא מוסיפה עד 15 מאפיינים של כרטיס הפרופיל לכל רשומה. כברירת מחדל, אי אפשר לחפש את המאפיינים המותאמים אישית.

הגדרת מאפיינים שאפשר לחפש

כדי לאפשר חיפוש של מאפיינים מותאמים אישית, צריך לבצע את הפעולות הבאות:

1. בדף userprofiles, עוברים לכרטיסייה Schema.
2. לוחצים על Edit.

3. מבטלים את הסימון של המאפיינים, כמו כתובת, כדי שלא יהיה אפשר לאחזר, לחפש ולסרוק אותם, ואז לוחצים על שמירה.

   הלחצן עריכה נשאר לא פעיל למשך כמה דקות לפני שהוא מופעל מחדש.

4. כשהלחצן עריכה במצב פעיל, לוחצים על עריכה.

5. מסמנים את התיבות ניתן לאחזור, ניתן לחיפוש וניתן ליצירת אינדקס עבור המאפיינים המותאמים אישית הנדרשים.

6. מפעילים את החיפוש.

7. לוחצים על Save.

בדיקת מנוע החיפוש

אחרי שמגדירים את מנוע החיפוש, בודקים את היכולות שלו כדי לוודא שהוא מחזיר תוצאות מדויקות על סמך גישת המשתמש.

1. הפעלת אפליקציית אינטרנט:

   1. עוברים להגדרות השילוב של האפליקציה ומפעילים את המתג Enable the web app (הפעלת אפליקציית האינטרנט).

2. בדיקת אפליקציית אינטרנט:

   1. לצד הקישור לאפליקציית האינטרנט, לוחצים על Open (פתיחה) ונכנסים לחשבון כמשתמש.

   2. מוודאים שתוצאות החיפוש מוגבלות לפריטים שהמשתמש יכול לגשת אליהם.

תצוגה מקדימה של תוצאות חיפוש של אנשים

1. באפליקציית החיפוש, עוברים אל תצוגה מקדימה ומתחילים לחפש במסוף כשמשתמשים ב-IdP של Google.

   • לחלופין, אפשר לעבור לקישור שסופק ולהיכנס באמצעות ספק הזהויות כדי להתחיל לחפש.
   • תוצאות החיפוש מופיעות ככרטיסי אנשים, עם פרטי המשתמש כמו שם, תפקיד, כתובת אימייל ותמונת פרופיל.

2. לוחצים על כרטיס מידע אישי כדי לראות דף פרופיל מפורט, שכולל את הפרטים הבאים:

   • שם
   • תמונת פרופיל
   • תפקיד
   • מחלקה
   • שרשרת ניהול
   • עובדים ישירים

3. אם מאפיינים מותאמים אישית (מאפיינים של כרטיס הפרופיל) מוזנים למערכת ומוגדרים כמאפיינים שאפשר להוסיף לאינדקס, לחפש ולאחזר:

   • חיפוש לפי ערך מאפיין מותאם אישית מחזיר רק פרופילים של אנשים שמכילים את המאפיינים האלה.
   • מאפיינים מותאמים אישית מופיעים בתוצאות החיפוש, אבל אפשר לגשת אליהם רק דרך ה-API, ולא דרך ממשק המשתמש של Vertex Search.

הגדרת מאגר כוח העבודה ל-IdP שאינו של Google ללא SSO

1. אם העובדים שלכם משתמשים ב-IdP שאינו של Google, לא מוגדר SSO עם Google או שהם לא לקוחות Google Workspace, צריך להגדיר מאגר כוח אדם כמו שמתואר במאמר הגדרת אמצעי בקרה לגישה למקורות נתונים מותאמים אישית כדי לאפשר לעובדים לבצע חיפוש.

   מאגר כוח העבודה מאפשר לכם לנהל משתמשים מספקי זהויות חיצוניים, כמו Azure או Okta, ולאמת אותם במסוף Google Cloud .

2. כדי להגדיר את מאגר כוח העבודה ולאפשר למשתמשים גישה חלקה לאפליקציית האינטרנט, מבצעים את הפעולות הבאות:

   1. יוצרים מאגר כוח עבודה ברמת הארגון ב- Google Cloud באמצעות מדריך ההגדרה המתאים:

      1. הגדרת OIDC ב-Azure
      2. הגדרת SAML ב-Azure
      3. הגדרה של Okta ו-OIDC
      4. הגדרה של Okta ו-SAML

   2. מגדירים את מאגר העובדים ב-Gemini Enterprise > הגדרות לאזור שבו יוצרים את האפליקציה.

מגבלות קצב מומלצות

בטבלה הבאה מפורטות מגבלות הקצב המומלצות על סמך מספר המשתמשים. בקשות שחורגות מהמגבלות מוגבלות.

קבוצת מכסות	בקשות לשנייה
S (פחות מ-50 משתמשים)	105
M (50-500 משתמשים)	150
‫L (יותר מ-500 משתמשים)	240

מגבלות ידועות

אלה המגבלות הידועות של מחבר Entra ID:

• סנכרון מצטבר לא אפשרי.
• אין תמיכה ברשימות של בקרת גישה (ACL). כל המשתמשים נגישים בכל הארגון.
• אם מוסיפים פרויקט למערך של VPC Service Controls אחרי שיוצרים חיבור, סינכרון המחבר נכשל ומוצגת השגיאה הבאה: Connector is blocked due to the project being added to the VPC-SC perimeter. Please re-create the data store. צריך ליצור מחדש את מאגר הנתונים כדי לאפשר לו לפעול במערך של VPC Service Controls.

הודעות שגיאה

בטבלה הבאה מפורטות הודעות השגיאה שאתם עשויים לקבל כשאתם משתמשים במחבר Entra ID:

הודעת השגיאה	תיאור	פתרון בעיות
Authorization_RequestDenied אין הרשאות מספיקות להשלמת הפעולה.	חשבון המשתמש לא מכיל את ההיקפים הנדרשים לקריאת נתונים.	צריך לספק את ההיקפים הנדרשים לחשבון המשתמש שמשמש ליצירת החיבור.
לא הצלחנו לאחזר את פרטי טוקן ה-OAuth	פרטי הכניסה של הלקוח שסופקו במהלך הגדרת המחבר לא תקינים.	מוודאים את הפרטים הבאים: מוסיפים את סוד הלקוח שמתאים למזהה הלקוח. כשמגדירים את החיבור, מציינים את הערך של הסוד של הלקוח ולא את מזהה הסוד שלו. מזהה הדייר (tenant) תקין. סוד הלקוח לא פג. אם הסוד של הלקוח פג, צריך לערוך את החיבור ולציין את הסוד החדש של הלקוח.
המחבר נחסם כי הפרויקט נוסף להיקף של VPC-SC. צריך ליצור מחדש את מאגר הנתונים.	המחבר נוצר לפני שהפרויקט נוסף למערך של VPC Service Controls.	יוצרים מחדש את מאגר הנתונים כדי לאפשר לו לפעול בתוך גבולות הגזרה של VPC Service Controls.

השלבים הבאים

• כדי לצרף את מאגר הנתונים לאפליקציה, יוצרים אפליקציה ובוחרים את מאגר הנתונים לפי השלבים שמפורטים במאמר יצירת אפליקציה.

• כדי לראות תצוגה מקדימה של תוצאות החיפוש אחרי שמגדירים את האפליקציה ואת מאגר הנתונים, אפשר לעיין במאמר קבלת תוצאות חיפוש.