Microsoft SharePoint 設定

如要成功將 Gemini Enterprise 連結至 Microsoft SharePoint，請完成下列設定步驟。

設定驗證和權限

您必須在 Microsoft Entra 系統管理中心設定驗證和權限。這項設定非常重要，可讓連接器存取及同步處理資料。

註冊 Microsoft SharePoint 連接器的 Microsoft Entra 應用程式

在 Gemini Enterprise 建立 Microsoft SharePoint 連接器前，請先註冊 Microsoft Entra 應用程式，以便安全存取。

如要在 Entra 中將 Gemini Enterprise 註冊為 OAuth 2.0 應用程式，請按照下列步驟操作：

  1. 前往 Microsoft Entra 系統管理中心。
  2. 在導覽選單中展開「Entra ID」，然後選取「App registrations」(應用程式註冊)。
  3. 在「App registrations」頁面中，點選「New registration」。

  4. 在「Register an application」(註冊應用程式) 頁面中，執行下列操作：

    1. 在「Name」(名稱) 欄位中，輸入應用程式名稱。
    2. 在「Supported account types」(支援的帳戶類型) 部分，選取「Accounts in this organizational directory only」(僅限這個組織目錄中的帳戶) (視租戶設定而定，也可能標示為「Single tenant only」(僅限單一租戶) 或「Single tenant only - MSFT」(僅限單一租戶 - MSFT))。這會限制只有您租戶或目錄中的使用者和訪客可以存取。
    3. 在「Redirect URI」(重新導向 URI) 部分執行下列操作：
      1. 在平台清單中選取「Web」。
      2. 在重新導向 URI 欄位中，輸入 https://vertexaisearch.cloud.google.com/console/oauth/sharepoint_oauth.html。
    4. 按一下「Register」。Microsoft Entra 會建立應用程式，並顯示應用程式的總覽頁面。

  5. 在應用程式導覽選單中，按一下「Authentication」。

  6. 按一下「Add redirect URI」。

  7. 在平台選取窗格中，執行下列操作：

    1. 選取「Web」。
    2. 在「Redirect URI」(重新導向 URI) 欄位中輸入 https://vertexaisearch.cloud.google.com/oauth-redirect。
    3. 按一下 [設定]。

新增資料擷取的聯合憑證

如果您使用「Data ingestion」(資料擷取) 做為連線模式，並使用「Federated credentials」(聯合憑證) 做為驗證方式，請執行下列操作：

  1. 在應用程式導覽選單中，按一下「Certificates & secrets」。
  2. 選取「Federated credentials」分頁標籤。
  3. 按一下「 新增憑證」。
  4. 從「Federated credential scenario」(聯合憑證情境) 清單中，選取「Other issuer」(其他核發者)。
  5. 在「Issuer」(核發者) 欄位中，輸入 https://accounts.google.com。
  6. 在「Subject identifier」(主體 ID) 欄位中，輸入從 Google Cloud 控制台取得的值。這個值是在資料部分的 Microsoft SharePoint 資料儲存庫建立期間產生。
  7. 在「Name」(名稱) 欄位中，輸入聯合憑證的專屬標籤。
  8. 點按「Add」(新增) 授予存取權。

建立 OAuth 2.0 設定

如要使用 OAuth 2.0 驗證方式建立連線，您必須從 Microsoft Entra 應用程式註冊頁面取得用戶端 ID、用戶端密鑰和租戶 ID。

取得用戶端 ID 和用戶端密鑰

  1. 如要取得用戶端 ID，請按照下列步驟操作：

    1. 在應用程式導覽選單中，選取「總覽」。
    2. 複製「應用程式 (用戶端) ID」。

  2. 如要取得應用程式的用戶端密鑰，請按照下列步驟操作：

    1. 在應用程式導覽選單中，選取「Certificates & secrets」。
    2. 按一下「新增用戶端密鑰」。
    3. 在用戶端密鑰窗格中，執行下列操作：
      1. 在「Description」(說明) 欄位中輸入 Secret 的說明。
      2. 在「Expires」(到期時間) 清單中，選取到期時間長度。
      3. 按一下「新增」。
    4. 複製「Value」(值) 欄中的用戶端密鑰。

取得執行個體 URI

執行個體 URI 採用下列其中一種格式：

  • 所有第一層網站：https://DOMAIN_OR_SERVER.sharepoint.com ，例如 mydomain.sharepoint.com。
  • 單一網站：https://DOMAIN_OR_SERVER.sharepoint.com/sites/WEBSITE ，例如 mydomain.sharepoint.com/sites/sample-site。

取得租戶 ID

您可以在 Microsoft Entra 系統管理中心的「總覽」頁面，找到「租戶 ID」方塊中的租戶 ID。

設定 Microsoft API 權限

如要為應用程式設定必要的 API 權限，請按照下列步驟操作：

  1. 前往應用程式頁面。

  2. 在應用程式導覽選單中，選取「API 權限」。

  3. 按一下「 新增權限」。

  4. 在「Request API permissions」窗格中，選取「Microsoft Graph」。

  5. 根據連線模式，搜尋並選取下列權限：

    如果連線模式為「Federated search」(聯合搜尋)，則不需要 Graph API 權限。

    如果連線模式為「Data ingestion」(資料擷取)，並使用「Federated credentials」(聯合憑證)：

    權限 類型 說明
    GroupMember.Read.All 應用程式 允許連接器在沒有登入使用者的情況下，讀取所有群組的成員資格和基本群組屬性。
    User.Read 委派型 允許連接器讀取已登入使用者的設定檔。此外，連接器也能讀取已登入使用者的基本公司資訊。
    網站控制選項
    選項 1：Sites.FullControl.All 應用程式 允許連接器完整控管所有網站集合。
    選項 2：Sites.Selected 應用程式 允許連接器存取部分網站集合。您可以在 SharePoint Online 中，設定特定網站集合和授予的權限。
    個人資料讀取選項
    選項 1：User.Read.All 應用程式 允許連接器讀取使用者個人資料。
    選項 2：User.ReadBasic.All 應用程式 允許連接器讀取組織中其他使用者的基本設定檔屬性。

    資料擷取連線模式搭配 OAuth 2.0 更新權杖：

    權限 類型 說明
    GroupMember.Read.All 應用程式 允許連接器在沒有登入使用者的情況下，讀取所有群組的成員資格和基本群組屬性。
    User.Read 委派型 允許連接器讀取已登入使用者的設定檔。此外，連接器也能讀取已登入使用者的基本公司資訊。
    User.Read.All 應用程式 允許連接器讀取使用者個人資料。
    網站控制選項
    選項 1：Sites.FullControl.All 應用程式 允許連接器完整控管所有網站集合。
    選項 2：Sites.Selected 應用程式 允許連接器存取部分網站集合。您可以在 SharePoint Online 中，設定特定網站集合和授予的權限。

    如果為「Federated search」(聯合搜尋) 或「Data ingestion」(資料擷取) 連線模式啟用「Actions」(動作)，請一併選取下列權限：

    權限 類型 說明
    Sites.ReadWrite.All 委派型 允許連接器代表登入的使用者，編輯或刪除所有網站集合中的文件和清單項目。
    Files.ReadWrite 委派型 允許連接器讀取 (下載)、建立 (上傳)、更新及刪除登入使用者的檔案。
    Files.ReadWrite.All 委派型 允許連接器讀取 (下載)、建立 (上傳)、更新及刪除登入使用者可存取的所有檔案。
    Sites.Manage.All 委派型 允許連接器代表使用者，在所有網站集合中建立或刪除文件庫和清單。

  6. 按一下 [Add Permissions] (新增權限)。

  7. 在「Request API permissions」窗格中，選取「Microsoft SharePoint」。

  8. 根據連線模式，搜尋並選取下列權限：

    如果是「Federated search」(聯合搜尋) 連線模式：

    權限 類型 說明
    Sites.Search.All 委派型 允許連接器代表目前登入的使用者執行搜尋查詢，以及讀取基本網站資訊。搜尋結果會根據使用者的權限顯示，而非應用程式的權限。
    AllSites.Read 委派型 允許連接器代表已登入的使用者，讀取所有網站集合中的文件和清單項目。

    如果連線模式為「Data ingestion」(資料擷取)，並使用「Federated credentials」(聯合憑證)：

    權限 類型 說明
    網站控制選項
    選項 1：Sites.FullControl.All 應用程式 允許連接器完整控管所有網站集合。
    選項 2：Sites.Selected 應用程式 允許連接器透過已登入的使用者，存取部分網站集合。您可以在 SharePoint Online 中，設定特定網站集合和授予的權限。

    資料擷取連線模式搭配 OAuth 2.0 更新權杖：

    權限 類型 說明
    網站控制選項
    選項 1：AllSites.FullControl 委派型 允許連接器代表已登入的使用者，完整控管所有網站集合。
    選項 2：Sites.Selected 委派型 允許連接器透過已登入的使用者，存取部分網站集合。您可以在 SharePoint Online 中，設定特定網站集合和授予的權限。

    如果為「Federated search」(聯合搜尋) 或「Data ingestion」(資料擷取) 連線模式啟用「Actions」(動作)，請一併選取下列權限：

    權限 類型 說明
    AllSites.Write 委派型 允許連接器代表登入的使用者，在所有網站集合中建立、讀取、更新、刪除、上傳及下載文件和清單項目。

  9. 按一下 [Add Permissions] (新增權限)。

  10. 授予管理員同意。請參閱「Grant tenant-wide administrator consent to an application」(授予應用程式全租戶管理員同意聲明) 這篇 Microsoft Entra 說明文件，瞭解如何授予同意聲明。

授予所選網站「fullcontrol」權限

如果選擇 Sites.Selected 選項，授予 Microsoft Graph 中所選網站 的控制權，則必須將 fullcontrol 權限授予 Gemini Enterprise 應用程式。方法如下：

  • PowerShell
  • Microsoft Graph

PowerShell

如要瞭解使用 PnP PowerShell 授予權限的一般語法，請參閱「使用 PnP PowerShell 授予權限」。

  1. 如要授予 FullControl 權限，請在 PowerShell 中執行下列指令：

    Grant-PnPAzureADAppSitePermission -AppId CLIENT_ID -DisplayName DISPLAY_NAME -Permissions FullControl -Site SITE_URL

    更改下列內容：

    • CLIENT_ID：Microsoft Entra 應用程式的用戶端 ID。
    • SITE_URL：SharePoint 網站的網址，例如 https://example.sharepoint.com/sites/ExampleSite1。
    • DISPLAY_NAME：Microsoft Entra 應用程式的顯示名稱。

Microsoft Graph

如要瞭解使用 Microsoft Graph 授予權限的整體程序，請參閱「使用 Microsoft Graph 授予權限」。

使用 Microsoft Graph Explorer 呼叫下列方法。只有網站擁有者可以呼叫這些方法。

  1. 取得網站 ID：

    GET `https://graph.microsoft.com/v1.0/sites/HOSTNAME:SITE_PATH`

    更改下列內容：

    • HOSTNAME：Sharepoint 網站的主機名稱，例如 example.sharepoint.com。
    • SITE_PATH：SharePoint 網站的路徑，例如 /sites/ExampleSite1 或 /teams/ExampleSite2。

  2. 將您在上一個步驟中擷取的網站 ID 存取權授予 fullcontrol。

    • 傳送下列 POST 要求：

         POST `https://graph.microsoft.com/v1.0/sites/SITE_ID/permissions`

    • 請使用下列要求主體：

      {
  "roles": ["fullControl"],
  "grantedToIdentities": [{
    "application": {
      "id": "CLIENT_ID",
      "displayName": "DISPLAY_NAME"
    }
  }]
}

      更改下列內容：

      • SITE_ID：您在先前步驟收到的 SharePoint 網站 ID。格式為 example.sharepoint.com,48332b69-85ab-0000-0000-dbb7132863e7,2d165439-0000-0000-b0fe-030b976868a0。
      • CLIENT_ID：Microsoft Entra 應用程式的用戶端 ID。
      • DISPLAY_NAME：Microsoft Entra 應用程式的顯示名稱。

疑難排解

本節說明如何解決 Microsoft SharePoint 連接器的常見問題。

使用者在連線時看到「需要管理員核准」

使用者首次從 Gemini Enterprise 網頁應用程式連結 Microsoft SharePoint 時，Microsoft 可能會顯示「Need admin approval」(需要管理員核准) 畫面。如果 Gemini Enterprise 要求管理員層級權限，或 Microsoft Entra 租用戶禁止使用者在未經租用戶管理員同意的情況下授權第三方應用程式，就會發生這種情況。

如要解決這個問題，管理員必須完成首次授權。 之後，租戶中的其他使用者不需經過核准畫面，即可連線。

  1. 請 Microsoft Entra ID 管理員 (須能授予全租戶同意聲明) 登入 Gemini Enterprise 網頁應用程式，並連結至 Microsoft SharePoint。

  2. 在權限畫面中，請管理員選取「Consent on behalf of your organization」(代表貴機構同意)，然後按一下「Accept」(接受)。

  3. 請使用者重新連線。

詳情請參閱 Microsoft Entra 說明文件中的「Grant tenant-wide admin consent」(授予全租戶管理員同意聲明)。