Skip to main content

Külső szolgáltatások előfeltételei

Készítsd elő ezeket a szolgáltatásokat, mielőtt az automatikus jogosultság-frissítés, az EcasRoot-ellenőrzések vagy a postafiók-visszaállítás futna. A valós konfigurációs értékeket szerver-oldali titkos tárolóban tartsd. Az alkalmazásregisztrációhoz lásd: Microsoft Graph beállítás, az alkalmazásjogosultságokhoz pedig: jogosultságkezelés.

Az adminisztrációs felület nem kér, nem jelenít meg és nem tárol S3- vagy OpenSearch-hitelesítő adatot. Az adatbázisban kezelt szolgáltatói titkok ebben a felületen az AI-szolgáltatókra vonatkoznak.

Microsoft Entra és Graph​

A bérlőkapcsolat alkalmazásának ezekre a Graph Application permissions jogosultságokra van szüksége, bérlői adminisztrátori hozzájárulással:

JogosultságCél
RoleManagement.Read.DirectoryAz aktív Global Administrator-hozzárendelések olvasása az EcasRoot számára
LicenseAssignment.Read.AllA bérlő subscribedSkus értékeinek olvasása
User.Read.AllFelhasználók, assignedLicenses és a támogatott tagsági adatok olvasása

Az alkalmazás API permissions oldalán add hozzá a hiányzó alkalmazásjogosultságokat, és adj hozzájárulást ehhez a bérlőhöz. A meglévő postafiók-jogosultságokat tartsd meg. Ehhez a csak olvasó jogosultság-munkafolyamathoz ne adj címtár-írási jogosultságot.

Az adminisztrátori Global Administrator-hozzárendelésnek aktívnak kell lennie. Egy PIM-ban jogosult, de inaktív szerepkör nem ad EcasRoot-jogot. A támogatott szerepkör-hozzárendelés bérlőszintű / hatókörű, közvetlenül vagy csoporton keresztül. A hozzájárulás módosítása után a támogatott, hatókörös futásidejű eljárással kérj friss szolgáltatói tokeneket.

A postafiók-visszaállítás nem töröl Microsoft-leveleket vagy -fiókokat. Nem igényel szélesebb postafiók-szolgáltatói jogosultságot. Az Exchange-korlátozásoknak továbbra is engedniük kell a hozzáférést azokhoz a postafiókokhoz, amelyekhez új onboarding-futás kell.

S3-kompatibilis tárolás​

A backend identitásának ezekre a műveletekre van szüksége az alkalmazás bucketjén belül:

MűveletAWS IAM-megfelelő vagy feltétel
ListObjectsV2s3:ListBucket
DeleteObjects3:DeleteObject
ListObjectVersionss3:ListBucketVersions, ha a verziókezelés be van kapcsolva
Verzió törléses3:DeleteObjectVersion, ha a verziókezelés be van kapcsolva
GetObject, PutObjectA meglévő import- és törzstárolási útvonalak igénylik

Korlátozd a hozzáférést az alkalmazás users/* és a régi email-bodies/* hatókörére. Állítsd be:

S3_ENDPOINT
S3_REGION
S3_ACCESS_KEY
S3_SECRET_KEY
S3_BUCKET_EMAIL_BODIES
S3_FORCE_PATH_STYLE

A hitelesítő adatokat szerveroldali konfigurációban tartsd, böngésző- vagy admin-válaszokon kívül. A visszaállításnak el kell távolítania az összes verziót és törlési jelölőt verziókezelt bucketben. Az egyszerű törlési jelölő nem teljes törlés.

Az Object Lock compliance megőrzési idő vagy a jogi visszatartás megakadályozhatja a visszaállítást. Az alapértelmezett visszaállítás blocked állapotot jelent, nem kerüli meg a megőrzést. A Governance bypass, vagyis a Governance módú megőrzés megkerülése, külön jogosultságot és az azt támogató munkafolyamatot igényel. A helyi fejlesztési SeaweedFS nem verziókezelt bucketet használ, amelyet a beállítási útvonala készít elő.

OpenSearch​

Korlátozd a szolgáltatási szerepkört a MailGen levelezési indexekre:

{OPENSEARCH_INDEX}
{OPENSEARCH_INDEX}-v2
{OPENSEARCH_INDEX}-v3
{OPENSEARCH_INDEX}-readiness

A visszaállításhoz keresési/számlálási jogosultság, az indices:data/write/delete/byquery jogosultság, az indices:admin/refresh jogosultság valamint olvasási jogosultság kell az index létezésének és feloldásának ellenőrzéséhez. A visszaállítás postafiók-dokumentumokat töröl, nem az egész indexet. Nem igényel cluster-admin vagy index-törlési jogosultságot.

Egy aktív REST-engedélyezőlistának engednie kell a POST /{index}/_delete_by_query, a GET vagy POST /{index}/_count, a POST /{index}/_refresh műveleteket és az indexlétezés-ellenőrzéseket.

Állítsd be a szerver endpointját, indexét és hitelesítő adatait:

OPENSEARCH_URL
OPENSEARCH_INDEX
OPENSEARCH_USERNAME
OPENSEARCH_PASSWORD

HTTP-jogosultsági forrás​

Ez a szakasz csak HTTP-alapú automatikus tagságra vonatkozik.

  • Add a hosztnevet a vesszővel elválasztott ECAS_ENTITLEMENT_ALLOWED_HOSTS értékhez.
  • Használj nyilvános IPv4 HTTPS-célt a 443-as porton.
  • Tíz másodpercen belül HTTP 200 választ adjon, legfeljebb 1024 bájttal.
  • Adjon vissza 1, 0, true, false, "true" vagy "false" értéket.
  • Az ismételt ellenőrzéseket idempotensen kezeld.

Az átirányítás, az URL-hitelesítő adat, a privát cím és a fájlbemenet nem támogatott. A szerver a USER_ID helyére a Microsoft Graph felhasználói azonosítót helyettesíti. A cURL-import konfigurációt elemez hálózati hívás nélkül. A tényleges végrehajtás továbbra is érvényesíti a célra és az engedélyezőlistára vonatkozó korlátokat.

Előellenőrzések​

Az alábbi backend-parancs valódi, eldobható S3- és OpenSearch-írásokat végez. Előbb készítsd elő a hatókörös hitelesítő adatokat. A konfigurált backend környezetből futtasd:

pnpm authorization:external-preflight

Az ellenőrzés megvizsgálja a Graph alkalmazásszerep-állításait, a Global Administrator olvashatóságát, a bérlő licenceit és a felhasználók assignedLicenses mezőjét. Létrehoz, listáz és eltávolít egy objektumot a users/__ecas_preflight__/probes/ alatt. Támogatott verziókezelésnél a próbaverziókat és jelölőket is eltávolítja. Az OpenSearch-takarítás egy véletlen ecasPreflightId azonosítót céloz a delete-by-query művelettel.

A sikerhez ready állapotok, próba-takarítás és sikeres kilépési kód kell. Hiba esetén csak az azonosított, megmaradt próbát nézd meg. Ne törölj széles előtagot vagy indexet. Állapotokat, biztonságos hibakódokat és hiányzó jogosultságneveket oszthatsz meg, hitelesítő adatot vagy tokent soha.