Menghubungkan Microsoft Entra ID

Halaman ini menjelaskan cara menghubungkan Microsoft Entra ID ke Gemini Enterprise.

Setelah Anda menyiapkan sumber data dan mengimpor data untuk pertama kalinya, penyimpanan data akan menyinkronkan data dari sumber tersebut dengan frekuensi yang Anda pilih selama penyiapan.

Catatan: Setelah Anda menghubungkan Microsoft Entra ID ke aplikasi, Google sangat merekomendasikan agar Anda mengaktifkan Pustaka Pengetahuan untuk meningkatkan kualitas penelusuran secara signifikan bagi pengguna. Untuk mengetahui informasi selengkapnya, lihat Pustaka Pengetahuan: Mendukung penelusuran yang cerdas dan peka konteks.

Versi yang didukung

Konektor Entra ID mendukung semua versi Entra ID yang dihosting melalui Microsoft Graph API v1.0.

Sebelum memulai

Sebelum menyiapkan penyimpanan data dan mengimpor data, Anda harus mendapatkan client ID dan rahasia untuk autentikasi serta mengonfigurasi izin minimum yang diperlukan untuk aplikasi. Bagian ini memberikan informasi tentang cara menyelesaikan tugas-tugas ini.

Menyiapkan kontrol akses untuk Entra ID

Untuk menerapkan kontrol akses sumber data dan mengamankan data di Gemini Enterprise, pastikan Anda telah mengonfigurasi penyedia identitas.

Mendapatkan client ID dan rahasia klien

1. Buat aplikasi Entra ID:

   1. Login ke Microsoft Entra administrator center sebagai administrator, lalu klik Application.
   2. Di menu drop-down Application, klik App registrations.
   3. Di halaman App registrations, klik New registration.
   4. Klik Add new registration, lalu lakukan tindakan berikut:
      • Masukkan nama untuk aplikasi.
      • Di bagian Supported account types, pilih Single tenant only - TENANT_NAME, dengan TENANT_NAME adalah nama tenant Microsoft Entra Anda.
      • Di bagian Redirect URI, tambahkan URI pengalihan web yang mengarah ke: https://login.microsoftonline.com/common/oauth2/nativeclient.
   5. Klik Daftar.

2. Simpan kredensial:

   Di jendela aplikasi terdaftar, simpan nilai berikut untuk digunakan nanti:

   1. Gunakan Application (client) ID untuk menetapkan parameter Client ID.
   2. Gunakan Directory (tenant) ID untuk menetapkan parameter Azure Tenant.

3. Buat rahasia klien:

   1. Buka Certificates & secrets.
   2. Klik New client secret dan tentukan durasi.
   3. Simpan rahasia klien dan salin nilai rahasia klien untuk digunakan nanti.

Simpan nilai rahasia klien

Mengonfigurasi izin minimum yang diperlukan untuk aplikasi

1. Di jendela aplikasi terdaftar, klik API permissions.

2. Di bagian Configured permissions, pilih Microsoft Graph dan konfigurasi izin berikut:

   • User.Read
   • User.Read.All (Application)

   Jika Anda ingin menyerap profileCardAttributes, konfigurasikan izin berikut:

   • People.Read.All (Application)
   • PeopleSettings.Read.All (Application)
   • PeopleSettings.Read.All (Delegated)

3. Berikan izin admin untuk semua izin yang ditambahkan. Izin administrator diperlukan untuk menggunakan kredensial klien dalam alur autentikasi.

Izin minimum

Tabel berikut mencantumkan izin minimum yang Anda perlukan untuk membuat konektor Entra ID:

Izin	Alasan penggunaan	Deskripsi
User.Read	Penyerapan data	Membaca detail organisasi selama pembuatan koneksi.
User.Read.All (Application)	Penyerapan data	Membaca semua pengguna di organisasi.
People.Read.All (Application)	Penyerapan data	Membaca semua informasi orang yang relevan, seperti kontak, untuk semua pengguna dalam organisasi.
PeopleSettings.Read.All (Application)	Penyerapan data	Membaca konfigurasi pengguna untuk semua pengguna di organisasi, seperti profileCardSettings.
PeopleSettings.Read.All (Delegated)	Penyerapan data	Membaca konfigurasi pengguna untuk semua pengguna di organisasi, seperti profileCardSettings.

Membuat penyimpanan data Entra ID

Untuk menggunakan konsol Google Cloud guna menyinkronkan data dari Entra ID ke Gemini Enterprise , ikuti langkah-langkah berikut:

1. Di konsol Google Cloud , buka halaman Gemini Enterprise.

   Gemini Enterprise

2. Di menu navigasi, klik Penyimpanan Data.

3. Klik Buat Penyimpanan Data.

4. Di halaman Pilih sumber data, scroll atau telusuri Entra ID untuk menghubungkan sumber pihak ketiga Anda.

5. Di bagian Authentication settings, masukkan client ID dan rahasia klien.

6. Di bagian Opsi lanjutan:

   • Jika perlu, klik Aktifkan Alamat IP Statis. Setelah membuat konektor, Anda harus menambahkan IP statis yang terdaftar ke daftar yang diizinkan agar sinkronisasi berhasil. Untuk mengetahui informasi selengkapnya, lihat Mengonfigurasi egress IP statis.
   • Untuk mengaktifkan konektor agar dapat mengambil properti ekstensi, yang digunakan untuk menambahkan properti kustom ke objek direktori, centang kotak Enable Extension Properties.

   • Jika Anda ingin memfilter informasi pengguna yang diserap, berikan filter SQL kustom. Filter harus berupa string SQL yang valid.

     Kunci dalam string filter harus sesuai dengan kolom berikut:

     • Id (ID objek pengguna di Microsoft Entra ID)
     • employeeType
     • onPremisesSyncEnabled
     • accountEnabled

     Berikut adalah contoh filter SQL yang valid:

     id = 'abc' AND accountEnabled = true
     
     employeeType='E' AND onPremisesSyncEnabled= true
     

     Catatan: Untuk mengetahui informasi tentang cara menemukan id (ID objek pengguna di Microsoft Entra ID), lihat dokumentasi Microsoft Entra ID.

   • Di kolom Azure Tenant, masukkan ID tenant Azure yang Anda dapatkan saat membuat aplikasi Entra ID.

   • Untuk menerapkan pembatasan kapasitas pada kueri yang dikirim konektor ke instance Entra ID, di kolom Max QPS, tentukan kueri maksimum per detik. Nilai defaultnya adalah 80 QPS.

   • Klik Lanjutkan.

7. Di bagian Pilih entitas yang ingin Anda sinkronkan:

   • Klik Profil Pengguna. Untuk memfilter data berdasarkan Id untuk penyerapan data, klik Filter, lalu lakukan hal berikut:
     • Untuk menentukan data yang akan disertakan dalam indeks penelusuran, pilih Include in the index, lalu tentukan string filter di kolom Id.
     • Untuk menentukan data yang akan dikecualikan dari indeks penelusuran, pilih Exclude from the index, lalu tentukan string filter di kolom Id.
   • Pilih frekuensi Full sync.

8. Klik Lanjutkan.

9. Di Konfigurasi konektor data Anda, pilih region untuk penyimpanan data Anda.

10. Masukkan nama untuk konektor data Anda.

11. Klik Create. Gemini Enterprise akan membuat penyimpanan data Anda dan menampilkan penyimpanan data Anda di halaman Data Stores.

12. Jika Anda memilih Enable Static IP Addresses di bagian Advanced options, lihat alamat IP statis yang terdaftar untuk konektor dan tambahkan ke daftar yang diizinkan untuk Entra ID.

    1. Buka halaman Data Stores dan klik nama konektor Anda untuk melihat detailnya di halaman Data.
    2. Di kolom IP Statis, klik Lihat dan konfirmasi IP.
    3. Salin alamat IP statis untuk konektor.
    4. Di pusat administrator Microsoft Entra, tambahkan alamat IP statis ke lokasi bernama atau tepercaya dalam kebijakan akses bersyarat yang ada. Untuk mengetahui informasi selengkapnya, lihat Akses Bersyarat: Penetapan jaringan.

Memeriksa status konektor

1. Untuk memeriksa status penyerapan, buka halaman Data Stores dan klik nama konektor Anda untuk melihat detailnya di halaman Data. Connector state berubah dari Creating menjadi Running saat mulai menyinkronkan data. Setelah penyerapan selesai, status akan berubah menjadi Aktif untuk menunjukkan bahwa koneksi ke sumber data Anda telah disiapkan dan menunggu sinkronisasi terjadwal berikutnya.

   Bergantung pada ukuran data Anda, penyerapan dapat memerlukan waktu beberapa menit atau beberapa jam.

2. Saat status konektor berubah menjadi Active, buka tab Entity.

3. Klik entity userprofiles.

4. Periksa jumlah dokumen yang diserap dan pastikan jumlahnya cocok dengan jumlah pengguna di Entra ID.

Atribut pengguna standar berikut diserap sebagai bagian dari setiap data pengguna:

Nama kolom skema Vertex AI	Nama atribut Entra ID
name.displayName	Nama Tampilan
name.familyName	Nama Belakang
name.givenName	Nama Depan
name.username	Nama Utama Pengguna
email.value	Email
employeeId	ID Karyawan
personId
employeeType	Jenis karyawan
hireDate	Tanggal Mulai Kerja Karyawan
department	Departemen
organizations.jobTitle	Jabatan
organizations.location	Lokasi Kantor
Phone	Telepon bisnis
managers.email, managers.personId	Bukan atribut langsung (rantai manajemen dari manajer langsung hingga manajer tingkat atas)
directManager.personId	Bukan atribut langsung (personId pengelola)
displayphoto.imagebinary.data	Foto profil berenkode base64

Jika aplikasi Entra ID memiliki izin yang diperlukan untuk menyerap atribut kustom, aplikasi tersebut akan menyerap hingga 15 atribut kartu profil per data. Secara default, atribut kustom tidak dapat ditelusuri.

Mengonfigurasi atribut yang dapat ditelusuri

Agar atribut kustom dapat ditelusuri, lakukan hal berikut:

1. Di halaman userprofiles, buka tab Schema.
2. Klik Edit.

3. Batalkan pilihan atribut, seperti address, agar tidak dapat diambil, ditelusuri, dan diindeks, lalu klik Save.

   Tombol Edit akan tetap tidak aktif selama beberapa menit sebelum diaktifkan kembali.

4. Saat tombol Edit dalam status Active, klik Edit.

5. Centang kotak retrievable, searchable, and indexable untuk atribut kustom yang diperlukan.

6. Aktifkan penelusuran.

7. Klik Simpan.

Menguji mesin telusur

Setelah mengonfigurasi mesin telusur, uji kemampuannya untuk memverifikasi apakah mesin telusur menampilkan hasil yang akurat berdasarkan akses pengguna.

1. Aktifkan aplikasi web:

   1. Buka konfigurasi integrasi aplikasi dan aktifkan Enable the web app.

2. Menguji aplikasi web:

   1. Klik Open di samping link aplikasi web dan login sebagai pengguna.

   2. Pastikan hasil penelusuran dibatasi untuk item yang dapat diakses oleh pengguna.

Melihat pratinjau hasil penelusuran orang

1. Di aplikasi penelusuran, buka Preview dan mulai telusuri dalam konsol saat menggunakan IdP Google.

   • Atau, buka link yang disediakan dan login dengan IdP Anda untuk mulai menelusuri.
   • Hasil penelusuran muncul sebagai kartu personal, yang menampilkan detail pengguna seperti Nama, Jabatan, Email, dan Foto profil.

2. Klik kartu personal untuk melihat halaman profil mendetail, yang mencakup hal berikut:

   • Nama
   • Foto profil
   • Jabatan
   • Departemen
   • Rantai manajemen
   • Bawahan langsung

3. Jika atribut khusus (properti kartu profil) diserap dan dibuat dapat diindeks, ditelusuri, dan diambil:

   • Penelusuran berdasarkan nilai atribut khusus hanya menampilkan profil pribadi yang berisi atribut tersebut.
   • Atribut kustom muncul di hasil penelusuran, tetapi hanya dapat diakses melalui API, bukan antarmuka pengguna Vertex Search.

Mengonfigurasi workforce pool untuk IdP non-Google tanpa SSO

1. Jika karyawan Anda menggunakan IdP non-Google, tidak memiliki SSO dengan Google, atau bukan pelanggan Google Workspace, siapkan workforce pool seperti yang dijelaskan dalam Mengonfigurasi kontrol akses untuk sumber data kustom untuk mengaktifkan penelusuran karyawan.

   Kumpulan tenaga kerja memungkinkan Anda mengelola dan mengautentikasi pengguna dari penyedia identitas eksternal, seperti Azure atau Okta, dalam konsol Google Cloud .

2. Untuk mengonfigurasi workforce pool dan mengaktifkan aplikasi web untuk akses pengguna yang lancar, lakukan hal berikut:

   1. Buat workforce identity pool di level organisasi di Google Cloud di lokasi global dengan mengikuti panduan penyiapan yang sesuai:

      1. Penyiapan OIDC Azure
      2. Penyiapan SAML Azure
      3. Penyiapan Okta & OIDC
      4. Penyiapan Okta & SAML

   2. Di Gemini Enterprise, buka Settings > Authentication. Pilih region tempat Anda membuat aplikasi (global, us, atau eu), dan konfigurasikan kumpulan tenaga kerja global.

Batas kapasitas yang direkomendasikan

Tabel berikut mencantumkan batas kapasitas yang direkomendasikan berdasarkan jumlah pengguna. Permintaan yang melebihi batas akan di-throttle.

Grup kuota	Permintaan per detik
S (Kurang dari 50 pengguna)	105
M (50-500 pengguna)	150
L (Lebih dari 500 pengguna)	240

Batasan umum

Berikut adalah batasan umum untuk konektor Entra ID:

• Sinkronisasi inkremental tidak didukung.
• Daftar Kontrol Akses (ACL) tidak didukung. Semua pengguna dapat diakses di seluruh organisasi.
• Jika Anda menambahkan project ke perimeter Kontrol Layanan VPC setelah membuat koneksi, operasi sinkronisasi konektor akan gagal dengan error berikut: Connector is blocked due to the project being added to the VPC-SC perimeter. Please re-create the data store. Buat ulang penyimpanan data agar dapat berfungsi dalam perimeter Kontrol Layanan VPC.

Pesan error

Tabel berikut mencantumkan pesan error yang mungkin Anda dapatkan saat menggunakan konektor Entra ID:

Pesan error	Deskripsi	Pemecahan masalah
Authorization_RequestDenied Hak istimewa tidak memadai untuk menyelesaikan operasi.	Akun pengguna tidak berisi cakupan yang diperlukan untuk membaca data.	Berikan cakupan yang diperlukan ke akun pengguna yang digunakan untuk membuat koneksi.
Gagal mengambil informasi token OAuth	Kredensial klien yang diberikan saat mengonfigurasi konektor tidak valid.	Pastikan: Rahasia klien yang sesuai dengan client ID disediakan. Saat Anda mengonfigurasi koneksi, tentukan nilai rahasia klien, bukan ID rahasianya. Tenant ID valid. Rahasia klien belum habis masa berlakunya. Jika rahasia klien telah habis masa berlakunya, edit koneksi dan tentukan rahasia klien baru.
Konektor diblokir karena project ditambahkan ke perimeter VPC-SC. Buat ulang penyimpanan data.	Konektor dibuat sebelum project ditambahkan ke perimeter Kontrol Layanan VPC.	Buat ulang penyimpanan data agar dapat berfungsi dalam perimeter Kontrol Layanan VPC.

Langkah berikutnya

• Untuk melampirkan penyimpanan data ke aplikasi, buat aplikasi dan pilih penyimpanan data Anda dengan mengikuti langkah-langkah di bagian Membuat aplikasi.

• Untuk melihat pratinjau tampilan hasil penelusuran setelah aplikasi dan penyimpanan data Anda disiapkan, lihat Mendapatkan hasil penelusuran.