ServiceNow 配置

为联合连接器设置 OAuth

如需执行联邦搜索和操作，您只需设置 OAuth 授权代码授权流程。这会提供实时发现和任务执行所需的客户端密钥。

1. 依次前往全部 > 系统 OAuth > 应用注册。
2. 依次点击新建 > 入站集成体验 > 新建集成。
3. 填写必填字段：
   1. 集成名称：为 OAuth 凭证输入一个不重复的名称，例如“Gemini Enterprise OAuth 操作”。
   2. 有效：选中相应复选框。
   3. 授权类型：选择 OAuth 授权代码。
   4. 重定向网址：输入 https://vertexaisearch.cloud.google.com/console/oauth/default_oauth.html,https://vertexaisearch.cloud.google.com/oauth-redirect
   5. 范围和 API 访问权限政策：确保未选中仅允许访问所选范围内的 API 复选框。此外，请勿选择任何身份验证范围。如果留空，则可确保集成具有广泛范围。
4. 点击提交以创建凭证。
5. 提交后，点击记录名称即可查看客户端 ID 并取消遮盖客户端密钥。保存这些内容以备日后使用。

Table API 访问权限要求

为了让 LLM 成功提取结果，最终用户必须拥有系统角色（通常为 snc_internal 或自定义 REST 角色），以便他们能够访问 Table API 端点。

安全性和数据隐私权：最终用户身份验证

ServiceNow 连接器使用最终用户凭证通过 Table API 执行查询。使用最终用户凭据可确保搜索体验与 ServiceNow 界面保持严格的 1:1 安全对等。

安全模型

当查询发布到 ServiceNow Table API 时，连接器会在经过身份验证的用户的安全上下文中执行该查询：

• 身份一致性：由于连接器使用用户的凭据，系统会将 API 请求视为 ServiceNow 全局搜索栏中的查询。
• 继承的 ACL：ServiceNow 会在数据库级别评估所有访问控制列表 (ACL)。如果用户对某条记录没有读取权限，Table API 会针对该记录返回空结果或 403 错误。
• 用户条件强制执行：对于知识库 (kb_knowledge) 和目录项 (sc_cat_item)，ServiceNow 会应用用户条件。该 API 会自动滤除用户不符合“适用对象”要求的商品。

为提取连接器设置 OAuth

如需使用提取连接器同步和索引记录，您必须创建 OAuth 凭证并配置角色。

获取身份验证凭证

如需为使用入站集成的提取连接器创建 OAuth 凭证，您必须创建两组凭证：

1. 提取凭据：使用 OAuth 资源所有者密码凭据授权类型。
2. Actions 凭证：使用 OAuth 授权代码授权类型。

1. 创建提取凭证

1. 使用管理员凭证登录 PDI ServiceNow 实例。
2. 依次前往全部 > 系统 OAuth > 应用注册。
3. 点击 New（新建）。
4. 依次点击新的入站集成体验 > 新集成 > OAuth 资源所有者密码凭据授权类型。
5. 填写必填字段：
   1. 名称：输入一个唯一名称。
   2. 提供方名称：输入提供方名称。
   3. 有效：选中相应复选框。
   4. 范围和 API 安全性：确保未选中仅允许访问所选范围内的 API 复选框。
6. 点击提交。
7. 点击记录名称，即可查看客户端 ID 并取消遮盖客户端密钥。保存这些内容以备日后使用。

2. 创建 Actions 凭证

1. 依次前往全部 > 系统 OAuth > 应用注册，然后点击新建。
2. 依次点击全新入站集成体验 > 新建集成。
3. 填写必填字段：
   1. 集成名称：为 OAuth 凭证输入一个不重复的名称，例如“Gemini Enterprise OAuth 操作”。
   2. 有效：选中相应复选框。
   3. 授权类型：选择 OAuth 授权代码。
   4. 重定向网址：输入 https://vertexaisearch.cloud.google.com/oauth-redirect。
   5. 范围和 API 访问权限政策：确保未选中该复选框，并且不要选择任何身份验证范围。
4. 点击提交以创建凭证。
5. 点击记录名称，即可查看客户端 ID 并取消遮盖客户端密钥。保存这些内容以备日后使用。

设置用户账号并分配管理员权限

您可以使用默认的系统管理员账号，也可以创建新用户并将管理员角色分配给您的用户 ID。

分配管理员角色

如需将您的角色提升为 security_admin，请执行以下操作：

1. 以拥有管理员角色的用户身份登录您的 ServiceNow 实例。
2. 点击您的个人资料图标，然后选择提升角色。
3. 选择 security_admin，然后点击更新。

如需向其他用户授予 security_admin，请执行以下操作：

1. 选择全部，然后选择用户管理下的用户。
2. 找到并选择需要提升其角色的用户。
3. 在角色标签页中，点击修改。
4. 从集合中选择 security_admin，并将其添加到角色列表。

注意：具有 security_admin 角色的用户必须点击其个人资料图标，然后选择提升角色才能使用该角色。

设置用户角色和权限

如需在 Gemini Enterprise 中创建 ServiceNow 数据存储区，您需要向用户授予适当的角色和权限。

选择以下选项之一，为 ServiceNow 实例设置用户角色和权限：

• 创建实施 ACL 规则的自定义角色（推荐）
• 使用具有实体管理员权限的自定义角色
• 使用管理员角色

如需详细了解可见性和访问权限控制，请参阅突发事件可见性和访问权限控制。

创建实施 ACL 规则的自定义角色（推荐）

创建具有一组所需最低权限的自定义角色。此过程可提供对突发事件实体的最安全且限制最严格的访问权限。用户只能找到与自己直接关联的突发事件。

1. 依次前往全部 > 用户管理 > 角色。
2. 点击新建，输入名称，然后点击提交。
3. 依次前往系统安全性 > 访问权限控制 (ACL)。
4. 点击新建以创建新的 ACL 规则。
5. 重复以下步骤，直到您授予对所有必需表的访问权限：
   1. 以 sys_user_role 为例，了解如何授予表访问权限。
   2. 点击提交，然后选择相应角色。

必需的表访问权限

授予和验证 ACL 访问权限

连接器需要对 sc_cat_item 表的目录项字段具有 ACL 访问权限。

如需授予和验证访问权限，请执行以下操作：

1. 通过创建新的 ACL 规则并在表单的名称字段中手动输入 sc_cat_item.* 来授予明确的访问权限。

   

2. 验证 ACL 是否已更新。
3. 在搜索栏中输入 sys_security_acl_role_list.do。
4. 将角色设置为您要验证的角色。

   

5. 验证是否已向相应角色分配所需的 ACL。

使用具有实体管理员权限的自定义角色

对于希望避免分配过于强大权限的团队或组织，使用管理员角色可能并不合适。此方法提供了一个具有三项特定权限的角色，可授予所需的访问权限。

1. 依次前往全部 > 系统安全性 > 用户和群组 > 角色。
2. 选择新建，然后输入一个名称。
3. 点击提交。
4. 在列表中找到创建的角色。
5. 依次前往包含的角色 > 修改。

6. 向新创建的角色添加以下角色，然后点击保存：

   • catalog_admin
   • knowledge_admin
   • incident_manager

   

7. 确认更新后的角色。

   

使用管理员角色

您可以使用管理员角色拉取数据。使用实例配置的默认管理员角色，或通过执行以下操作创建具有管理员角色的新用户：

1. 依次前往全部 > 用户管理 > 用户。
2. 创建新用户。

3. 启用仅限 Web 服务访问。如果您选择仅限 Web 服务访问，则会创建非交互式用户。

   • 交互式用户可以使用标准凭证或 SSO 登录 ServiceNow 界面和服务门户，并拥有对界面页面和 API 端点的完全访问权限。
   • 非交互式用户的界面访问权限受限，只能授权程序化 API 连接以实现服务间集成。
4. 创建用户后，从用户列表中选择该用户。
5. 依次点击角色 > 修改。
6. 添加管理员。
7. 点击保存，向该用户添加一系列角色。
8. 点击设置密码，以自动生成密码并将其保存。

向用户授予角色

1. 依次前往全部 > 用户管理 > 用户。
2. 查找用户或创建新用户。如果没有可用用户，请依次前往系统安全性 > 用户和群组 > 用户。
3. 点击 New（新建）。
4. 在用户表中创建新的服务账号。请务必点击仅限 Web 服务访问。
5. 滚动到角色，然后点击修改。
6. 向其授予您创建的角色，并将其分配给用户。根据您在上一步中创建的角色类型，选择相应的角色并将其分配给用户。点击保存。
7. 查看实施 ACL 的自定义角色。
8. 获取用户的用户名和密码，然后点击设置密码。
9. 自动生成密码并将其保存以备后用。

突发事件可见性和访问权限控制

为了增强安全性并防止意外的数据泄露，ServiceNow 连接器对突发事件实体使用限制性访问权限控制。这样可确保最终用户只能查看与自己直接关联的突发事件。

在这种限制性方法中，连接器不会遵循基于角色的广泛突发事件查看权限。标准 ServiceNow 角色（例如 itil 和 sn_incident_read）可能会授予用户在 ServiceNow 界面中查看所有突发事件的权限，但在 Gemini Enterprise 中不会授予相同级别的访问权限。

拥有以下任一角色的用户具有全局突发事件查看权限，可以查看所有突发事件：

• admin
• incident_manager
• change_manager

其他用户仅能查看自己打开、重新打开、解决或关闭过的突发事件。如果用户满足以下条件，也可以查看突发事件：

• 在相应突发事件的分配组中。
• 与突发事件关联的来电者。
• 受让方。
• 在关注列表中。
• 在工作笔记列表中。
• 在其他受让方列表中。

此行为可防止 Gemini Enterprise 用户找到他们无权访问的突发事件。与更广泛的 ServiceNow 权限相比，由于存在额外的限制，此行为有时可能会阻止用户在 Gemini Enterprise 中找到他们在 ServiceNow 中有权访问的突发事件。