Verwenden Sie einen Azure KI-Suche-Indexer, um Microsoft Purview-Sensitivitätsbezeichnungen zu erfassen und Sicherheit auf Dokumentebene durchzusetzen (Vorschau)

Hinweis

Azure KI-Suche ist über das Azure Portal, REST-APIs und Azure SDKs verfügbar. Es unterstützt auch Foundry IQ, die verwaltete Wissensschicht, die Unternehmensinhalte in wiederverwendbare, berechtigungsfähige Wissensbasen für Agenten im Microsoft Foundry-Portal transformiert.

Wichtig

Diese Features und Funktionen sind Teil der REST-API 2026-05-01-Preview. Die 2026-05-01-preview wird Ihnen als Teil Ihres Azure-Abonnements zur Verfügung gestellt und unterliegt den für „Previews“ geltenden Bestimmungen in den Microsoft-Produktbestimmungen, dem Nachtrag zum Datenschutz für Microsoft-Produkte und -Dienste („DPA“) und den Ergänzenden Nutzungsbedingungen für Microsoft Azure-Vorschauen.

Die Vorschauversion 2026-05-01 unterstützt Verbindungen mit anderen Microsoft-Diensten und Diensten von Drittanbietern. Die Nutzung dieser Dienste unterliegt den jeweiligen Bestimmungen und kann dazu führen, dass Daten außerhalb der Azure-Compliancegrenze verarbeitet oder gespeichert werden und dass Daten in die Azure-Compliancegrenze fließen.

Die Vorschau 2026-05-01 kann keine Zugriffsberechtigungen ändern, die außerhalb der Vorschau von 2026-05-01 festgelegt wurden. Wenn Sie 2026-05-01-preview mit Inhalten mit Zugriffs- oder Berechtigungseinschränkungen verwenden, kommt es zu einer zeitlichen Verzögerung, bevor 2026-05-01-preview Änderungen an diesen Zugriffs- oder Berechtigungseinschränkungen erkennt.

Es liegt in Ihrer Verantwortung, zu verwalten, ob Ihre Daten außerhalb der Compliance- und geografischen Grenzen Ihrer Organisation und alle damit verbundenen Auswirkungen fließen und dass entsprechende Berechtigungen, Grenzen und Genehmigungen bereitgestellt werden.

Sie sind dafür verantwortlich, Anwendungen, die Sie im Kontext Ihrer spezifischen Anwendungsfälle erstellen, sorgfältig zu überprüfen und zu testen und alle geeigneten Entscheidungen und Anpassungen zu treffen. Diese Verantwortung umfasst die Implementierung Ihrer eigenen verantwortungsvollen KI-Gegenmaßnahmen, wie Metaprompts, Inhaltsfilter oder andere Sicherheitssysteme, und sicherzustellen, dass Ihre Anwendungen angemessene Qualität, Zuverlässigkeit, Sicherheit und Vertrauenswürdigkeitsstandards erfüllen. Weitere Informationen finden Sie im Azure KI-Suche Transparenzhinweis.

Azure KI-Suche unterstützt die automatische Extraktion von Vertraulichkeitsbezeichnungen von Microsoft Purview beim Indizieren auf Dokumentebene, wobei die auf Bezeichnungen basierende Zugriffskontrolle zum Abfragezeitpunkt durchgesetzt wird. Dieses Feature ist in der Vorschau verfügbar und ermöglicht Es Organisationen, Suchfunktionen mit vorhandenen informationsschutzrichtlinien auszurichten, die in Microsoft Purview definiert sind.

Mit der Indizierung von Vertraulichkeitsbezeichnungen extrahiert und speichert Azure KI-Suche Metadaten, die die Vertraulichkeitsstufe jedes Dokuments beschreiben. Außerdem erzwingt sie die bezeichnungsbasierte Zugriffssteuerung, um sicherzustellen, dass nur autorisierte Benutzer beschriftete Inhalte in Suchergebnissen anzeigen oder abrufen können.

Diese Funktionalität ist für die folgenden Datenquellen verfügbar:

Voraussetzungen

Konfigurieren Sie Microsoft Purview Vertraulichkeitsbezeichnungsrichtlinien, und wenden Sie sie vor der Indizierung auf Dokumente an.
Verfügen Sie über die Rollen "Globaler Administrator" oder "Administrator mit privilegierter Rolle" in Ihrem Microsoft Entra Mandanten, um dem Suchdienst Zugriff auf Purview-APIs und Vertraulichkeitsbezeichnungen zu gewähren.
Sowohl der Azure KI-Suche-Dienst als auch der Benutzer, der die Abfrage ausgibt, muss sich im gleichen Microsoft Entra Mandanten befinden.
Verwenden Sie Quelldokumente mit Dateitypen, die von Purview-Vertraulichkeitsbezeichnungen unterstützt werden und von Azure KI-Suche Indexern unterstützt werden.
Verwenden Sie die REST-API-Version 2026-05-01-preview oder ein gleichwertiges Vorschau-SDK-Paket.

Wichtig

Der Suchdienst muss seine vom System zugewiesene verwaltete Identität verwenden, um sich mit Microsoft Purview zu authentifizieren. Dieses Feature unterstützt keine vom Benutzer zugewiesenen verwalteten Identitäten.

Einschränkungen

Dieses Feature wird vom Azure-Portal nicht unterstützt.
AutoVervollständigen- und Vorschlags-APIs werden für Purview-fähige Indizes nicht unterstützt, da sie noch keine bezeichnungsbasierte Zugriffssteuerung erzwingen können.
Gastkonten und mandantenübergreifende Abfragen werden nicht unterstützt.
Vom Benutzer zugewiesene verwaltete Identitäten werden für Microsoft Purview Rollenzuweisungen nicht unterstützt. Nur die vom System zugewiesene verwaltete Identität des Diensts kann die für Content.SuperUser die UnifiedPolicy.Tenant.Read Bezeichnungsextraktion erforderlichen Rollen enthalten. Weisen Sie diese Rollen direkt der eigenen Identität des Diensts zu – sie führt die privilegierten EXTRACT Vorgänge (Lesen verschlüsselter Inhalte und Sicherheitsklassifizierungen) im Auftrag des Indexers aus. Siehe Schritt 1 und Schritt 3.
Die folgenden Indexer-Funktionen unterstützen keine Dokumente mit Vertraulichkeitskennzeichnungen. Wenn Sie eines dieser Features in einem Skillset oder Indexer verwenden, werden Dokumente mit Vertraulichkeitsbezeichnungen nicht verarbeitet.

Funktionsweise der Richtlinienerzwingung

Die Unterstützung von Vertraulichkeitskennzeichnungen erfolgt in zwei Phasen: Indizierung und Durchsetzung zur Abfragezeit.

Indizierung

Wenn Sie die Indizierung für einen Zeitplan konfigurieren, ruft der Indexer neue Dokumente und Aktualisierungen aus der Datenquelle ab. Für jedes Dokument wird Folgendes erfasst:

Dokumentinhalt
Die zugeordnete Vertraulichkeitskennzeichnung
Änderungen an Inhalten oder Bezeichnungen seit der letzten Ausführung des Indexers

Hinweis

Der Index spiegelt Änderungen an den Bezeichnungen von Quelldokumenten erst nach dem nächsten erfolgreichen Ausführen des Indexers wider.

Durchsetzung zur Abfragezeit

Zur Abfragezeit wertet Azure KI-Suche Vertraulichkeitskennzeichnungen aus und erzwingt Zugriffskontrolle auf Dokumentebene basierend auf dem Microsoft Entra ID Token des Benutzers und den Microsoft Purview Bezeichnungsrichtlinien. Nur Benutzer, die berechtigt sind, auf Inhalte mit LESE-Nutzungsrecht unter einer bestimmten Bezeichnung zuzugreifen, können entsprechende Dokumente in Suchergebnissen abrufen.

Autorisierte Administratoren können auch elevated read Anfragen ausgeben, die bezeichnungsbeschriftete Dokumente zurückgeben, die der aufrufende Benutzer normalerweise nicht sehen und einen Microsoft Purview Überwachungsprotokolleintrag für jedes zurückgegebene Dokument ausgeben würde. Der Zugriff mit erhöhten Leseberechtigungen erfordert die Rolle Mitwirkender an Suchindexdaten für den Suchdienst und die API-Version 2026-05-01-preview.

End-to-End-Beispiel

Die folgenden Bilder zeigen, wie Empfindlichkeitskennzeichnungen von der Erstellung zur Suchoberfläche fließen. In der ersten Abbildung wendet ein Benutzer die Bezeichnung Confidential auf ein Dokument in Microsoft Word an. Im zweiten Bild erzwingt ein Unternehmens-Chatbot die Anwendung dieser Bezeichnung zur Abfragezeit und blockiert Kopier- und Freigabeaktionen für vertrauliche Inhalte.

1. Verwaltete Identität für KI-Suche aktivieren

Aktivieren Sie eine vom System zugewiesene verwaltete Identität für Ihren Azure KI-Suche-Dienst – vom Benutzer zugewiesene verwaltete Identitäten werden für dieses Feature nicht unterstützt. Der Indexer verwendet diese Identität, um sich mit Microsoft Purview zu authentifizieren und Metadaten für Vertraulichkeitsbezeichnungen zu extrahieren. Sie muss auch die Rollenzuweisungen in Schritt 3 erhalten.

2. Aktivieren von RBAC für Ihren KI-Suchdienst

Aktivieren Sie die rollenbasierte Zugriffssteuerung (RBAC) für Ihren Azure KI-Suche-Dienst. Dieser Schritt ist erforderlich, damit inhaltsbezogene Vorgänge wie das Indizieren von Inhalten und abfragen des Indexes erfolgreich ausgeführt werden können. Bewahren Sie sowohl RBAC- als auch API-Schlüssel auf, um Unterbrechungen von Vorgängen zu vermeiden, die auf API-Schlüsseln basieren.

3. Zugriff gewähren, um Vertraulichkeitskennzeichnungen zu extrahieren

Der Zugriff auf Metadaten von Microsoft Purview-Empfindlichkeitsbezeichnungen umfasst hochprivilegierte Operationen, einschließlich des Lesens verschlüsselter Inhalte und Sicherheitsklassifizierungen. Um diese Funktion in Azure KI-Suche zu aktivieren, müssen Sie der verwalteten Identität des Diensts bestimmte Rollen gewähren – im Anschluss an die internen Governance- und Genehmigungsprozesse Ihrer Organisation.

Identifizieren Ihrer globalen oder privilegierten Rollenadministratoren

Wenn Sie bestimmen müssen, wer Berechtigungen für den Suchdienst autorisieren kann, können Sie aktive oder berechtigte globale Administratoren in Ihrem Microsoft Entra Mandanten suchen.

Suchen Sie im portal Azure nach Microsoft Entra ID.
Wählen Sie im linken Navigationsbereich "Rollen und Administratoren verwalten" >aus.
Suchen Sie nach der Rolle "Globaler Administrator" oder " Administrator mit privilegierter Rolle ", und wählen Sie sie aus.
Überprüfen Sie unter "Berechtigte Aufgaben " und " Aktive Aufgaben" die Liste der Administratoren, die zum Ausführen des Berechtigungseinrichtungsprozesses autorisiert sind.

Sichere Governance-Genehmigung

Binden Sie Ihre internen Sicherheits- oder Complianceteams ein, um die Anforderung zu überprüfen. Microsoft empfiehlt, den Standard-Governance- und Sicherheitsüberprüfungsprozess Ihres Unternehmens zu folgen, bevor Sie mit Rollenzuweisungen fortfahren.

Nach der Genehmigung müssen ein globaler Administrator oder ein Administrator mit privilegierten Rollen der vom System zugewiesenen verwalteten Identität von Azure KI-Suche die folgenden Rollen zuweisen:

Content.SuperUser – für die Bezeichnungs- und Inhaltsextraktion
UnifiedPolicy.Tenant.Read – für Purview-Richtlinien- und Bezeichnungsmetadatenzugriff

Zuweisen von Rollen über PowerShell

Hinweis

Weisen Sie diese Rollen nur der vom System zugewiesenen verwalteten Identität des Azure KI-Suche-Diensts zu – nicht einer vom Benutzer zugewiesenen verwalteten Identität, einem Dienstprinzipal oder einem einzelnen Benutzerkonto. Das PowerShell-Skript ruft die ID des verwalteten Identitätsobjekts automatisch aus der Dienstressource ab.

Ihr globaler Administrator oder Der Administrator mit privilegierter Rolle sollte das folgende PowerShell-Skript verwenden, um die erforderlichen Berechtigungen zu erteilen. Ersetzen Sie die Platzhalterwerte durch ihre tatsächlichen Abonnement-, Ressourcengruppen- und Suchdienstnamen.

Install-Module -Name Az -Scope CurrentUser
Install-Module -Name Microsoft.Entra -AllowClobber
Import-Module Az.Resources
Connect-Entra -Scopes 'Application.ReadWrite.All'

$resourceIdWithManagedIdentity = "subscriptions/<subscriptionId>/resourceGroups/<resourceGroup>/providers/Microsoft.Search/searchServices/<searchServiceName>"
$managedIdentityObjectId = (Get-AzResource -ResourceId $resourceIdWithManagedIdentity).Identity.PrincipalId

# Microsoft Information Protection (MIP)
$MIPResourceSP = Get-EntraServicePrincipal -Filter "appID eq '870c4f2e-85b6-4d43-bdda-6ed9a579b725'"
New-EntraServicePrincipalAppRoleAssignment -ServicePrincipalId $managedIdentityObjectId -Principal $managedIdentityObjectId -ResourceId $MIPResourceSP.Id -Id "8b2071cd-015a-4025-8052-1c0dba2d3f64"

# Microsoft Rights Management Services (MRMS) - Service Principal for policy read
$MRMSResourceSP = Get-EntraServicePrincipal -Filter "appID eq '00000012-0000-0000-c000-000000000000'"
New-EntraServicePrincipalAppRoleAssignment -ServicePrincipalId $managedIdentityObjectId -Principal $managedIdentityObjectId -ResourceId $MRMSResourceSP.Id -Id "7347eb49-7a1a-43c5-8eac-a5cd1d1c7cf0"

Die AppID-Rollen im bereitgestellten PowerShell-Skript sind den folgenden Azure Rollen zugeordnet:

AppID	Dienstprinzipal
`870c4f2e-85b6-4d43-bdda-6ed9a579b725`	Microsoft Info Protection-Synchronisierungsdienst
`00000012-0000-0000-c000-000000000000`	Microsoft Rights Management Services

4. Konfigurieren des Indexes zum Aktivieren der Purview-Vertraulichkeitsbezeichnung

Wenn Unterstützung für Vertraulichkeitsbezeichnungen erforderlich ist, legen Sie die purviewEnabled-Eigenschaft in Ihrer true auf fest.

Wichtig

Die purviewEnabled Eigenschaft muss auf true festgelegt werden, wenn der Index erstellt wird. Diese Einstellung ist dauerhaft und kann später nicht geändert werden.

Wenn purviewEnabled auf true festgelegt ist, werden für alle APIs für Dokumentvorgänge nur RBAC-Authentifizierung unterstützt.

Der API-Schlüsselzugriff ist auf die Abfrage des Indexschemas (Listen und Abruf) beschränkt.

PUT https://{service}.search.windows.net/indexes('{indexName}')?api-version=2026-05-01-preview
{
  "purviewEnabled": true,
  "fields": [
    {
      "name": "sensitivityLabel",
      "type": "Edm.String",
      "filterable": true,
      "sensitivityLabel": true,
      "retrievable": true
    }
  ]
}

5. Konfigurieren der Datenquelle

Um die Aufnahme von Vertraulichkeitsbezeichnungen zu ermöglichen, konfigurieren Sie die Datenquelle mit der Eigenschaft indexerPermissionOptions, die auf ["sensitivityLabel"] festgelegt ist.

{
  "name": "purview-sensitivity-datasource",
  "type": "azureblob", // < adjust type value according to the data source you are enabling this for: sharepoint, onelake, adlsgen2.
  "indexerPermissionOptions": [ "sensitivityLabel" ],
  "credentials": {
    "connectionString": <your-connection-string>;"
  },
  "container": {
    "name": "<container-name>"
  }
}

Die indexerPermissionOptions Eigenschaft weist den Indexer an, Metadaten für Vertraulichkeitsbezeichnungen während der Verarbeitung zu extrahieren und dem indizierten Dokument hinzuzufügen.

6. Konfigurieren von Indexprojektionen in Ihrem Skillset (falls zutreffend)

Wenn Ihr Indexer über ein Skillset verfügt und Sie das Aufteilen von Daten in Blöcke mit dem Text Split-Skill umsetzen, z. B. mit integrierter Vektorisierung, projizieren Sie die Vertraulichkeitsbezeichnung mithilfe von Indexprojektionen im Skillset auf jeden Block.

Informationen zur umfassenderen Regel, wann Berechtigungs- und ACL-Felder in Indexerfeldzuordnungen und Indexprojektionen gehören, finden Sie unter Auswählen, wo ACL-Felder aufgefüllt werden sollen.

Dieser Schritt ist sowohl für die Durchsetzung zur Abfragezeit als auch dafür erforderlich, dass die Antworten auf Agent-Abrufe pro Dokument für jedes Segment sensitivityLabelInfo enthalten. Ohne die Projektionszuordnung werden untergeordnete Segmentzeilen nicht ordnungsgemäß gefiltert.

PUT https://{service}.search.windows.net/skillsets/{skillset}?api-version=2026-05-01-preview
{
  "name": "my-skillset",
  "skills": [
    {
      "@odata.type": "#Microsoft.Skills.Text.SplitSkill",
      "name": "#split",
      "context": "/document",
      "inputs": [{ "name": "text", "source": "/document/content" }],
      "outputs": [{ "name": "textItems", "targetName": "chunks" }]
    }
    // ... (other skills such as embeddings, entity recognition, etc.)
  ],
  "indexProjections": {
    "selectors": [
      {
        "targetIndexName": "chunks-index",
        "parentKeyFieldName": "parentId",          // must exist in target index
        "sourceContext": "/document/chunks/*",     // match your split output path
        "mappings": [
          { "name": "chunkId",           "source": "/document/chunks/*/id" },     // if you create an id per chunk
          { "name": "content",           "source": "/document/chunks/*/text" },   // chunk text
          { "name": "parentId",          "source": "/document/id" },              // parent doc id
          { "name": "sensitivityLabel",  "source": "/document/metadata_sensitivity_label" } // <-- parent → child
        ]
      }
    ],
    "parameters": {
      "projectionMode": "skipIndexingParentDocuments"
    }
  }
}

7. Konfigurieren des Indexers

Definieren Sie Feldzuordnungen in Ihrer Indexerdefinition , um extrahierte Bezeichnungsmetadaten an die Indexfelder weiterzuleiten. Wenn ihre Datenquelle Bezeichnungsmetadaten unter einem anderen Feldnamen (z. B metadata_sensitivity_label) ausgibt, ordnen Sie sie explizit zu.

{
  "fieldMappings": [
    {
      "sourceFieldName": "metadata_sensitivity_label",
      "targetFieldName": "sensitivityLabel"
    }
  ]
}

Der Indexer indiziert automatisch Aktualisierungen von Vertraulichkeitsbezeichnungen, wenn änderungen an der Bezeichnung, dem Inhalt oder den Metadaten eines Dokuments während einer geplanten Indizierungsausführung erkannt werden. Konfigurieren Sie den Indexer für einen wiederkehrenden Zeitplan. Das minimale unterstützte Intervall beträgt alle 5 Minuten.

Nächste Schritte

Feedback

War diese Seite hilfreich?

Last updated on 2026-07-08

Verwenden Sie einen Azure KI-Suche-Indexer, um Microsoft Purview-Sensitivitätsbezeichnungen zu erfassen und Sicherheit auf Dokumentebene durchzusetzen (Vorschau)

Voraussetzungen

Einschränkungen

Funktionsweise der Richtlinienerzwingung

Indizierung

Durchsetzung zur Abfragezeit

End-to-End-Beispiel

1. Verwaltete Identität für KI-Suche aktivieren

2. Aktivieren von RBAC für Ihren KI-Suchdienst

3. Zugriff gewähren, um Vertraulichkeitskennzeichnungen zu extrahieren

Identifizieren Ihrer globalen oder privilegierten Rollenadministratoren

Sichere Governance-Genehmigung

Zuweisen von Rollen über PowerShell

4. Konfigurieren des Indexes zum Aktivieren der Purview-Vertraulichkeitsbezeichnung

5. Konfigurieren der Datenquelle

6. Konfigurieren von Indexprojektionen in Ihrem Skillset (falls zutreffend)

7. Konfigurieren des Indexers

Nächste Schritte

Feedback

Zusätzliche Ressourcen