En esta página, se describe cómo establecer y definir una configuración de terceros antes de crear el almacén de datos de ServiceNow.
Requisitos previos
Para completar esta configuración, necesitas un [sitio de ServiceNow para la instancia de desarrollador personal (PDI)]. Esta instancia proporciona un entorno dedicado para configurar OAuth y los permisos.
- URL de la instancia: Debes tener una URL específica para tu entorno. Por ejemplo,
https://your-instance.service-now.com - Credenciales: Debes tener acceso de administrador a la instancia.
Crea una cuenta de ServiceNow
Si aún no tienes una cuenta o una PDI, sigue estos pasos para configurarlas:
Para crear una cuenta de ServiceNow en el sitio para desarrolladores, sigue estos pasos:
- Ve al portal para desarrolladores de ServiceNow y haz clic en Acceder.
- Selecciona ¿Eres un usuario nuevo? Obtén un ID de ServiceNow.
- Ingresa tu información y haz clic en Registrarse. Usa tu correo electrónico y verifica tu cuenta con el vínculo de confirmación que se envió a tu bandeja de entrada.
Para crear una instancia de desarrollador personal (PDI), sigue estos pasos:
- Accede a la cuenta del portal para desarrolladores de ServiceNow con tus credenciales de cuenta.
- Después de acceder, sigue las indicaciones del portal para solicitar una instancia. Después del aprovisionamiento, aparecerá un diálogo de confirmación que indicará que la instancia está lista.
- Guarda tus credenciales: Cuando la instancia esté lista, el portal proporcionará la URL de la instancia, el nombre de usuario de administrador y la contraseña de administrador. Guarda estos valores para los próximos pasos de configuración.
- Para acceder a tu nuevo entorno, haz clic en el botón Start Building en el encabezado del sitio para desarrolladores. Se abrirá tu instancia en una pestaña nueva.
Configuración de los parámetros
Para conectar Gemini Enterprise a ServiceNow, debes configurar una aplicación de OAuth 2.0 en tu instancia de ServiceNow. Los pasos de configuración dependen de si usas un conector de transferencia o un conector federado. Para obtener más información sobre las diferencias, consulta Tipos de conectores.
Para ver los pasos de configuración de tu conector, selecciónalo en el siguiente menú:
Configura OAuth para el conector federado
Para realizar búsquedas federadas y acciones, solo necesitas configurar el flujo de otorgamiento del código de autorización de OAuth. Esto proporciona el secreto del cliente necesario para el descubrimiento en tiempo real y la ejecución de tareas.
Para crear credenciales de OAuth para un conector federado, haz lo siguiente:- Navega a Todos > System OAuth > Registro de aplicaciones.
- Haz clic en Nuevo > Experiencia de integración entrante > Nueva integración.
- Completa los campos obligatorios:
- Nombre de la integración: Ingresa un nombre único para la credencial de OAuth, como Acciones de OAuth de Gemini Enterprise.
- Activo: Selecciona la casilla de verificación.
- Tipo de permiso: Selecciona Código de autorización de OAuth.
- URL de redireccionamiento: Ingresa
https://vertexaisearch.cloud.google.com/console/oauth/default_oauth.html,https://vertexaisearch.cloud.google.com/oauth-redirect - Política de acceso a la API y al permiso: Asegúrate de que la casilla de verificación Permitir el acceso solo a las APIs en el permiso seleccionado esté desmarcada. Además, no selecciones ningún Permiso de autenticación. Si dejas este campo en blanco, se garantiza que la integración tenga un alcance amplio.
- Haz clic en Enviar para crear la credencial.
- Después de enviarla, haz clic en el nombre del registro para ver el ID de cliente y desenmascarar el secreto del cliente. Guárdalos para usarlos luego.
Requisitos de acceso a la API de Table
Para que el LLM recupere los resultados correctamente, los usuarios finales deben tener el rol del sistema (por lo general, snc_internal o un rol de REST personalizado) que les permita acceder a los endpoints de la API de Table.
| Extremo | Tabla de ServiceNow | Datos recuperados |
|---|---|---|
/api/now/table/incident |
Incidente | Tickets, actualizaciones de estado y detalles de la resolución. |
/api/now/table/sc_catalog |
Catálogo | Definiciones y estructuras de los catálogos de servicios disponibles. |
/api/now/table/sc_cat_item |
Elemento del catálogo | Bienes o servicios individuales disponibles para solicitar. |
/api/now/table/sys_attachment |
Archivo adjunto | Metadatos de los archivos adjuntos a los registros (nombres y tamaños de los archivos) |
/api/now/table/kb_knowledge |
Conocimiento | Artículos, procedimientos y guías de solución de problemas publicados. |
Seguridad y privacidad de los datos: Autenticación de usuarios finales
El conector de ServiceNow usa credenciales de usuario final para realizar consultas con la API de Table. El uso de credenciales de usuario final garantiza que la experiencia de búsqueda mantenga una paridad de seguridad estricta de 1:1 con la IU de ServiceNow.
Modelo de seguridad
Cuando se publica una consulta en la API de Table de ServiceNow, el conector la ejecuta dentro del contexto de seguridad del usuario autenticado:
- Paridad de identidad: Debido a que el conector usa las credenciales del usuario, el sistema trata la solicitud a la API de la misma manera que una consulta en la barra de búsqueda global de ServiceNow.
- LCA heredadas: ServiceNow evalúa todas las listas de control de acceso (LCA) a nivel de la base de datos. Si un usuario no tiene permiso de lectura para un registro, la API de Table devuelve un resultado vacío o un error 403 para ese registro.
- Aplicación de criterios de usuario: Para los elementos de Knowledge (
kb_knowledge) y Catalog (sc_cat_item), ServiceNow aplica criterios de usuario. La API filtra automáticamente los elementos en los que el usuario no cumple con los requisitos de "Disponible para".
Configura OAuth para el conector de transferencia
Para sincronizar y, luego, indexar tus registros con el conector de transferencia, debes crear credenciales de OAuth y configurar roles.
Obtén credenciales de autenticación
Para crear credenciales de OAuth para un conector de transferencia con la integración entrante, debes crear dos conjuntos de credenciales:
- Credenciales de transferencia: Usa el tipo de otorgamiento de credenciales de contraseña del propietario de recursos de OAuth.
- Credenciales de acciones: Usa el tipo de permiso de código de autorización de OAuth.
1. Crea credenciales de transferencia
- Accede a la instancia de ServiceNow de PDI con tus credenciales de administrador.
- Navega a Todos > System OAuth > Registro de aplicaciones.
- Haz clic en Nuevo.
- Haz clic en Nueva experiencia de integración de entrada > Nueva integración > Tipo de otorgamiento de credenciales de contraseña del propietario de recursos de OAuth.
- Completa los campos obligatorios:
- Nombre: Ingresa un nombre único.
- Nombre del proveedor: Ingresa un nombre para el proveedor.
- Activo: Selecciona la casilla de verificación.
- Seguridad de las APIs y los permisos: Asegúrate de que la casilla de verificación Permitir el acceso solo a las APIs en el permiso seleccionado esté desmarcada.
- Haz clic en Enviar.
- Haz clic en el nombre del registro para ver el ID de cliente y desenmascarar el secreto del cliente. Guárdalos para usarlos luego.
2. Crea credenciales de Actions
- Navega a Todos > System OAuth > Registro de aplicaciones y haz clic en Nuevo.
- Haz clic en Nueva experiencia de integración de entrada > Nueva integración.
- Completa los campos obligatorios:
- Nombre de la integración: Ingresa un nombre único para la credencial de OAuth, como Acciones de OAuth de Gemini Enterprise.
- Activo: Selecciona la casilla de verificación.
- Tipo de permiso: Selecciona Código de autorización de OAuth.
- URL de redireccionamiento: Ingresa
https://vertexaisearch.cloud.google.com/oauth-redirect. - Política de acceso a la API y al permiso: Asegúrate de que la casilla de verificación esté desmarcada y no selecciones ningún permiso de Auth.
- Haz clic en Enviar para crear la credencial.
- Haz clic en el nombre del registro para ver el ID de cliente y desenmascarar el secreto del cliente. Guárdalos para usarlos luego.
Configura la cuenta de usuario y asigna permisos de administrador
Puedes usar la cuenta de administrador del sistema predeterminada o crear un usuario nuevo y asignarle el rol de administrador a tu ID de usuario.
Asigna el rol de administrador
Para elevar tu propio rol a security_admin, sigue estos pasos:
- Accede a tu instancia de ServiceNow como un usuario con el rol de administrador.
- Haz clic en el ícono de perfil y selecciona Elevate role.
- Selecciona security_admin y haz clic en Actualizar.
Para otorgar el rol de security_admin a otro usuario, sigue estos pasos:
- Selecciona Todos y, luego, Usuarios en Administración de usuarios.
- Busca y selecciona el usuario para el que necesitas elevar el rol.
- En la pestaña Roles, haz clic en Editar.
- Selecciona security_admin en Colección y agrégalo a la Lista de roles.
Nota: El usuario con el rol security_admin debe hacer clic en su ícono de perfil y seleccionar Elevate Role para usarlo.
Configura roles y permisos de usuarios
Para crear un almacén de datos de ServiceNow en Gemini Enterprise, debes otorgar los roles y permisos adecuados a los usuarios.
Elige una de las siguientes opciones para establecer los roles y permisos de los usuarios en tu instancia de ServiceNow:
- Crea un rol personalizado con reglas LCA (recomendado)
- Usa un rol personalizado con administradores de entidades
- Usa un rol de administrador
Para obtener más información sobre la visibilidad y el control de acceso, consulta Visibilidad de incidentes y control de acceso.
Crea un rol personalizado con reglas LCA (recomendado)
Crea un rol personalizado con el conjunto mínimo de permisos. Este procedimiento proporciona el acceso más seguro y restrictivo a la entidad incident. Los usuarios solo pueden encontrar los incidentes con los que están asociados directamente.
- Ve a Todos > Administración de usuarios > Roles.
- Haz clic en Nuevo, ingresa un nombre y haz clic en Enviar.
- Ve a Seguridad del sistema > Control de acceso (ACL).
- Haz clic en Nuevo para crear una regla LCA nueva.
- Repite los siguientes pasos hasta que otorgues acceso a todas las tablas requeridas:
- Usa
sys_user_rolecomo ejemplo para ver cómo se otorga el acceso a la tabla. - Haz clic en Enviar y selecciona el rol.
- Usa
Acceso obligatorio a la tabla
El conector necesita acceso a estas tablas para que se ejecute cada entidad.| Nombre de la tabla | Descripción |
|---|---|
incidente |
Muestra los incidentes en los resultados de la búsqueda. |
sc_cat_item |
Muestra los elementos del catálogo en los resultados de la búsqueda. |
sc_cat_item_user_criteria_mtom |
Muestra los usuarios que pueden acceder a los elementos del catálogo según los criterios del usuario. |
sc_cat_item_user_criteria_no_mtom |
Muestra los usuarios que no pueden acceder a los elementos del catálogo según los criterios del usuario. |
sc_cat_item_user_mtom |
Muestra qué usuarios pueden acceder a los elementos del catálogo. |
sc_cat_item_user_no_mtom |
Muestra los usuarios que no pueden acceder a los elementos del catálogo. |
kb_knowledge |
La lista de artículos de conocimiento que se pueden mostrar en los resultados de la búsqueda. |
kb_knowledge_base |
La lista de bases de conocimiento que se pueden mostrar en los resultados de la búsqueda. |
kb_uc_can_contribute_mtom |
Muestra quién puede contribuir a las bases de conocimiento según los criterios del usuario. |
kb_uc_can_read_mtom |
Muestra quién puede leer las bases de conocimiento según los criterios del usuario. |
kb_uc_cannot_read_mtom |
Muestra quién no puede leer las bases de conocimiento según los criterios del usuario. |
sys_user_role |
La lista de roles que se pueden asignar a los usuarios. |
sys_user_has_role |
La lista de roles asignados a los usuarios. |
sys_user_group |
La lista de segmentos de grupos de usuarios. |
sys_user_grmember |
Es la lista de miembros de los grupos. |
sys_user |
La lista de todos los usuarios. |
core_company |
La lista de todos los atributos de la empresa. |
cmn_location |
Es la lista de todos los atributos de ubicación. |
cmn_department |
La lista de todos los atributos de los departamentos. |
user_criteria |
La lista de registros de criterios del usuario. |
sp_portal |
URI del portal de vínculos en los resultados de la búsqueda. |
m2m_sp_portal_knowledge_base |
URI del portal de vínculos para los artículos de conocimiento en los resultados de la búsqueda. |
m2m_sp_portal_catalog |
URI del portal de vínculos para los elementos del catálogo en los resultados de la búsqueda. |
Otorga y verifica el acceso a la ACL
El conector requiere acceso a la ACL de los campos de los elementos del catálogo de la tabla sc_cat_item.
Para otorgar y verificar el acceso, haz lo siguiente:
-
Crea una regla LCA nueva y, luego, ingresa
sc_cat_item.*de forma manual en el campo Nombre del formulario para otorgar acceso explícito.
Ingresa sc_cat_item.* - Verifica que se hayan actualizado las ACL.
- Ve a
sys_security_acl_role_list.doen la barra de búsqueda. - Establece la opción Rol en el rol que deseas verificar.
Selecciona el rol que quieres verificar - Verifica que las ACL requeridas estén asignadas al rol.
Usa un rol personalizado con administradores de entidades
Usar el rol de administrador puede no ser adecuado para los equipos o las organizaciones que desean evitar asignar permisos demasiado potentes. Esta opción proporciona un rol con tres permisos específicos que otorgan el acceso requerido.
- Ve a Todos > Seguridad del sistema > Usuarios y grupos > Roles.
- Selecciona Nuevo y, luego, ingresa un nombre.
- Haz clic en Enviar.
- Busca el rol creado en la lista.
- Navega a Contains roles > Editar.
-
Agrega los siguientes roles al rol recién creado y, luego, haz clic en Guardar:
catalog_adminknowledge_adminincident_manager
Agrega roles y haz clic en el botón Guardar -
Confirma los roles actualizados.
Confirmar roles
Usa un rol de administrador
Puedes usar un rol de administrador para extraer datos. Usa el rol de administrador predeterminado configurado con la instancia o crea un usuario nuevo con un rol de administrador; para ello, haz lo siguiente:
- Ve a Todos > Administración de usuarios > Usuarios.
- Crea un usuario nuevo.
-
Habilita Solo acceso a servicios web. Cuando seleccionas Web service access only, creas un usuario no interactivo.
- Los usuarios interactivos pueden acceder a la IU y al portal de servicios de ServiceNow con credenciales estándar o SSO, con acceso completo a las páginas de la IU y los extremos de la API.
- Los usuarios no interactivos tienen acceso restringido a la IU y solo pueden autorizar conexiones de API programáticas para la integración de servicio a servicio.
- Después de crear el usuario, selecciónalo en la lista de usuarios.
- Haz clic en Roles > Editar.
- Agrega un administrador.
- Haz clic en Guardar para agregar una lista de roles al usuario.
- Haz clic en Establecer contraseña, genera una automáticamente y guárdala.
Otorga un rol a un usuario
- Ve a Todos > Administración de usuarios > Usuarios.
- Busca un usuario o crea uno nuevo. Si no hay ningún usuario disponible, ve a Seguridad del sistema > Usuarios y grupos > Usuarios.
- Haz clic en Nuevo.
- Crea una cuenta de servicio nueva en la tabla de usuarios. Asegúrate de hacer clic en Web service access only.
- Desplázate hasta Roles y haz clic en Editar.
- Otorga el rol que creaste y asígnaselo al usuario. Según el tipo de rol que creaste en el paso anterior, selecciona el adecuado y asígnalo al usuario. Haz clic en Guardar.
- Visualiza el rol personalizado con ACL.
- Obtén el nombre de usuario y la contraseña del usuario, y haz clic en Establecer contraseña.
- Genera automáticamente una contraseña y guárdala para usarla más adelante.
Visibilidad de incidentes y control de acceso
Para mejorar la seguridad y evitar la exposición accidental de datos, el conector de ServiceNow usa un control de acceso restrictivo para la entidad incident. Esto garantiza que los usuarios finales solo puedan ver los incidentes con los que están asociados directamente.
Como parte de este enfoque restrictivo, el conector no respeta los permisos amplios basados en roles para la visibilidad de los incidentes. Los roles estándar de ServiceNow, como itil y sn_incident_read, que pueden otorgar visibilidad a un usuario sobre todos los incidentes en la IU de ServiceNow, no otorgan el mismo nivel de acceso en Gemini Enterprise.
Los usuarios con cualquiera de los siguientes roles tienen visibilidad global de los incidentes y pueden ver todos los incidentes:
adminincident_managerchange_manager
Todos los demás usuarios solo pueden ver un incidente si lo abrieron, lo volvieron a abrir, lo resolvieron o lo cerraron. También pueden ver un incidente si se encuentran en las siguientes situaciones:
- El usuario está en el grupo de asignación del incidente.
- El usuario es el emisor asociado con el incidente.
- Un destinatario
- El usuario está en una lista de seguimiento.
- El usuario está en una lista de notas de trabajo.
- El usuario está en una lista de asignados adicionales.
Este comportamiento evita que un usuario de Gemini Enterprise encuentre un incidente al que no tiene acceso. Debido a las restricciones adicionales en comparación con los permisos más amplios de ServiceNow, este comportamiento puede impedir ocasionalmente que un usuario encuentre un incidente en Gemini Enterprise al que tiene acceso en ServiceNow.