ServiceNow 設定

為聯合連接器設定 OAuth

如要執行聯合搜尋和動作，只需設定 OAuth 授權碼授權流程。這會提供即時探索和工作執行所需的用戶端密鑰。

1. 依序前往「All」(全部) >「System OAuth」(系統 OAuth) >「Application registry」(應用程式註冊資料庫)。
2. 依序點選「新增」 >「傳入整合體驗」 >「新增整合」。
3. 填寫必填欄位：
   1. 整合名稱：輸入 OAuth 憑證的專屬名稱，例如 Gemini Enterprise OAuth Actions。
   2. Active：勾選核取方塊。
   3. 授權類型：選取「OAuth 授權碼」。
   4. 重新導向網址：輸入 https://vertexaisearch.cloud.google.com/console/oauth/default_oauth.html,https://vertexaisearch.cloud.google.com/oauth-redirect
   5. 範圍和 API 存取權政策：確認未勾選「僅允許存取所選範圍內的 API」核取方塊。此外，請勿選取任何「Auth scope」(驗證範圍)。將這個欄位留空，可確保整合範圍廣泛。
4. 按一下「Submit」(提交) 即可建立憑證。
5. 提交後，按一下記錄名稱即可查看「Client ID」(用戶端 ID)，並取消遮蓋「Client secret」(用戶端密鑰)。請儲存這些資訊，稍後會用到。

Table API 存取規定

使用者必須具備系統角色 (通常是 snc_internal 或自訂 REST 角色)，才能存取 Table API 端點，讓 LLM 順利擷取結果。

安全性和資料隱私權：使用者驗證

ServiceNow 連接器會使用使用者憑證，透過 Table API 執行查詢。使用使用者憑證，可確保搜尋體驗與 ServiceNow UI 保持嚴格的 1:1 安全性對等。

安全性模型

查詢發布至 ServiceNow Table API 時，連接器會在已驗證使用者的安全性環境中執行查詢：

• 身分對等：由於連接器使用使用者的憑證，系統會將 API 要求視為 ServiceNow 全域搜尋列中的查詢。
• 繼承的 ACL：ServiceNow 會評估資料庫層級的所有存取控管清單 (ACL)。如果使用者沒有記錄的讀取權限，Table API 會傳回空白結果或 403 錯誤。
• 使用者條件強制執行：ServiceNow 會對知識庫 (kb_knowledge) 和目錄項目 (sc_cat_item) 套用使用者條件。API 會自動篩除使用者不符合「適用對象」規定的項目。

設定擷取連接器的 OAuth

如要使用擷取連接器同步處理及建立記錄索引，您必須建立 OAuth 憑證並設定角色。

取得驗證憑證

如要使用傳入整合功能，為擷取連接器建立 OAuth 憑證，您必須建立兩組憑證：

1. 擷取憑證：使用 OAuth 資源擁有者密碼憑證授權類型。
2. 動作憑證：使用 OAuth 授權碼授權類型。

1. 建立擷取憑證

1. 使用管理員憑證登入 PDI ServiceNow 執行個體。
2. 依序前往「All」(全部) >「System OAuth」(系統 OAuth) >「Application registry」(應用程式註冊資料庫)。
3. 點選「New」(新增)。
4. 依序點選「New inbound integration experience」 >「New integration」 >「OAuth resource owner password credential grant type」。
5. 填寫必填欄位：
   1. 名稱：輸入不重複的名稱。
   2. Provider name：輸入供應商名稱。
   3. 有效：勾選核取方塊。
   4. 範圍和 API 安全性：確認未勾選「僅允許存取所選範圍內的 API」核取方塊。
6. 按一下「提交」。
7. 按一下記錄名稱，即可查看「Client ID」(用戶端 ID)，並取消遮蓋「Client secret」(用戶端密鑰)。請儲存這些資訊，稍後會用到。

2. 建立動作憑證

1. 依序前往「All」(全部) >「System OAuth」(系統 OAuth) >「Application registry」(應用程式註冊資料庫)，然後點選「New」(新增)。
2. 依序點選「New inbound integration experience」 >「New integration」。
3. 填寫必填欄位：
   1. 整合名稱：輸入 OAuth 憑證的專屬名稱，例如 Gemini Enterprise OAuth Actions。
   2. Active：勾選核取方塊。
   3. 授權類型：選取「OAuth 授權碼」。
   4. 「Redirect URL」(重新導向網址)：輸入 https://vertexaisearch.cloud.google.com/oauth-redirect。
   5. 範圍和 API 存取權政策：確認未勾選核取方塊，且未選取任何驗證範圍。
4. 按一下「Submit」(提交) 即可建立憑證。
5. 按一下記錄名稱，即可查看「Client ID」(用戶端 ID)，並取消遮蓋「Client secret」(用戶端密鑰)。請儲存這些資訊，稍後會用到。

設定使用者帳戶並指派管理員權限

您可以使用預設的系統管理員帳戶，也可以建立新使用者，並將管理員角色指派給使用者 ID。

指派管理員角色

如要將自己的角色升級為security_admin：

1. 以具備管理員角色的使用者身分，登入 ServiceNow 執行個體。
2. 按一下個人資料圖示，然後選取「Elevate role」(提升角色)。
3. 選取「security_admin」，然後點選「更新」。

如要將security_admin授予其他使用者，請按照下列步驟操作：

1. 依序選取「All」和「User Administration」下方的「Users」。
2. 找出並選取要提升角色的使用者。
3. 在「角色」分頁中，按一下「編輯」。
4. 從「Collection」中選取「security_admin」，並新增至「Roles List」。

注意：具備 security_admin 角色的使用者必須按一下個人資料圖示，然後選取「Elevate Role」(提升角色)，才能使用該角色。

設定使用者角色和權限

如要在 Gemini Enterprise 中建立 ServiceNow 資料儲存庫，您必須授予使用者適當的角色和權限。

選擇下列其中一個選項，為 ServiceNow 執行個體設定使用者角色和權限：

• 建立含有 ACL 規則的自訂角色 (建議)
• 使用含有實體管理員的自訂角色
• 使用管理員角色

如要進一步瞭解瀏覽權限和存取控管，請參閱「事件瀏覽權限和存取控管」。

建立含有 ACL 規則的自訂角色 (建議)

建立具有最低權限集的自訂角色。這個程序會提供最安全且限制最多的「事件」實體存取權。使用者只能找到與自己直接相關聯的事件。

1. 依序前往「All」(全部) >「User administration」(使用者管理) >「Roles」(角色)。
2. 按一下「新增」，輸入名稱，然後按一下「提交」。
3. 依序前往「System security」(系統安全性) >「Access control (ACL)」(存取控管 (ACL))。
4. 按一下「New」(新增)，建立新的 ACL 規則。
5. 重複以下步驟，直到授予所有必要資料表的存取權為止：
   1. 以 sys_user_role 為例，說明如何授予資料表存取權。
   2. 按一下「Submit」(提交)，然後選取角色。

必要的資料表存取權

授予及驗證 ACL 存取權

連接器需要 sc_cat_item 資料表目錄項目欄位的 ACL 存取權。

按照下列步驟，授予及驗證存取權：

1. 建立新的 ACL 規則，然後在表單的「Name」(名稱) 欄位手動輸入 sc_cat_item.*，即可授予明確存取權。

   

2. 確認 ACL 已更新。
3. 透過搜尋列前往 sys_security_acl_role_list.do。
4. 將「Role」(角色) 設為要驗證的角色。

   

5. 確認已將必要的 ACL 指派給角色。

使用含有實體管理員的自訂角色

如果團隊或組織不想指派過高的權限，可能不適合使用管理員角色。這個選項會提供具備三項特定權限的角色，來授予必要存取權。

1. 依序前往「All」(全部) >「System security」(系統安全性) >「Users and groups」(使用者和群組) >「Roles」(角色)。
2. 選取「新增」，然後輸入名稱。
3. 按一下「提交」。
4. 在清單中找出建立的角色。
5. 依序前往「Contains roles」(包含角色) >「Edit」(編輯)。

6. 將下列角色新增至新建立的角色，然後點按「Save」(儲存)：

   • catalog_admin
   • knowledge_admin
   • incident_manager

   

7. 確認更新後的角色。

   

使用管理員角色

管理員角色可用來提取資料。您可以使用為執行個體設定的預設管理員角色，也可以建立具有管理員角色的新使用者，方法如下：

1. 依序前往「All」(全部) >「User administration」(使用者管理) >「Users」(使用者)。
2. 建立新使用者。

3. 啟用「Web service access only」(僅限存取 Web 服務)。選取「Web service access only」(僅限存取 Web 服務) 時，您會建立非互動式使用者。

   • 互動式使用者可以使用標準憑證或單一登入 (SSO) 登入 ServiceNow UI 和服務入口網站，並完整存取 UI 頁面和 API 端點。
   • 非互動式使用者的 UI 存取權受限，且只能授權程式輔助 API 連線，用於服務對服務整合。
4. 建立完成後，即可從使用者清單中選取使用者。
5. 依序點選「Roles」(角色) >「Edit」(編輯)。
6. 新增「Admin」(管理員)。
7. 按一下「Save」(儲存)，即可為使用者新增角色清單。
8. 按一下「Set password」(設定密碼)，系統會自動生成密碼，請儲存。

將角色授予使用者

1. 依序前往「All」(全部) >「User administration」(使用者管理) >「Users」(使用者)。
2. 找出或建立新使用者。如果沒有可用的使用者，請依序前往「System security」(系統安全性) >「Users and groups」(使用者和群組) >「Users」(使用者)。
3. 點選「New」(新增)。
4. 在使用者表格中建立新的服務帳戶。請務必點選「Web service access only」(僅限存取 Web 服務)。
5. 捲動至「角色」，然後按一下「編輯」。
6. 授予您建立的角色，並指派給使用者。根據您在上一個步驟中建立的角色類型，選取適當的角色並指派給使用者。按一下 [儲存]。
7. 查看含有 ACL 的自訂角色。
8. 取得使用者的使用者名稱和密碼，然後按一下「Set password」(設定密碼)。
9. 自動產生密碼並儲存，供日後使用。

事件瀏覽權限和存取控管

為提升安全性及防止意外資料暴露，ServiceNow 連接器會對「事件」實體採用限制性存取控管措施。確保使用者只能查看與自己直接相關聯的事件。

由於採取這項限制性做法，針對事件瀏覽權限，連接器不會採用廣泛的角色式權限。標準 ServiceNow 角色 (例如 itil 和 sn_incident_read) 可能會授予使用者在 ServiceNow UI 中查看所有事件的權限，但在 Gemini Enterprise 中，這類角色不會授予相同層級的存取權。

具備下列任一角色的使用者擁有全域事件瀏覽權限，且可查看所有事件：

• admin
• incident_manager
• change_manager

其他使用者只能查看自己已開啟、重新開啟、解決或結案的事件。如果使用者符合下列條件，也可以查看事件：

• 在事件的指派群組中。
• 與事件相關聯的呼叫者。
• 身為指派對象。
• 在觀察清單中。
• 在工作附註清單中。
• 在其他指派對象清單中。

這樣一來，Gemini Enterprise 使用者就無法找到自己無權存取的事件。相較於廣泛的 ServiceNow 權限，由於此行為受到額外限制，使用者有時可能無法在 Gemini Enterprise 中找到他們在 ServiceNow 中有權存取的事件。