注意：此文档集适用于 Gemini Enterprise 的 Standard 版、Plus 版、随用随付版和一线员工版。如需查看 Business 版文档，请参阅 Gemini Enterprise - Business 版帮助中心。

Google 会使用 AI 技术将内容翻译成您偏好的语言。AI 翻译可能包含错误。

Microsoft SharePoint 配置

如需成功将 Gemini Enterprise 与 Microsoft SharePoint 连接，您必须完成以下配置步骤。

设置身份验证和权限

您需要在 Microsoft Entra 管理员中心设置身份验证和权限。这对于允许连接器访问和同步数据至关重要。

为 Microsoft SharePoint 连接器注册 Microsoft Entra 应用

在 Gemini Enterprise 中创建 Microsoft SharePoint 连接器之前，请注册 Microsoft Entra 应用以启用安全访问。

如需在 Entra 中将 Gemini Enterprise 注册为 OAuth 2.0 应用，请执行以下操作：

前往 Microsoft Entra 管理员中心。
在导航菜单中，展开 Entra ID ，然后选择应用注册 。
在应用注册页面上，选择新注册。
在注册应用 页面上，执行以下操作：
1. 在名称字段中，为应用输入名称。
2. 在支持的账号类型 部分，选择仅此组织目录中的账号 （也可能标记为仅限单租户 或仅限单租户 - MSFT ，具体取决于您的租户设置）。这会将访问权限限制为仅限您自己的租户或目录中的用户和访客。
3. 在 URI 重定向 部分，执行以下操作：
  1. 在平台列表中，选择 Web。
  2. 在重定向 URI 字段中，输入 https://vertexaisearch.cloud.google.com/console/oauth/sharepoint_oauth.html。
4. 点击注册。 Microsoft Entra 会创建您的应用，并显示应用的概览页面。
在应用导航菜单中，点击身份验证。
点击“添加”图标，然后选择添加重定向 URI 。
在平台选择窗格中，执行以下操作：
1. 选择网页。
2. 在 URI 重定向 字段中，输入 https://vertexaisearch.cloud.google.com/oauth-redirect。
3. 点击配置。

添加联合凭证以进行数据注入

如果您使用数据注入 作为连接模式，并使用联合凭证 作为身份验证方法，请执行以下操作：

在应用导航菜单中，点击证书和密钥 。
选择联合凭证 标签页。
点击“添加”图标，然后选择添加凭证 。
从联合凭证场景 列表中，选择其他颁发者 。
在颁发者 字段中，输入 https://accounts.google.com。
在主题标识符 字段中，输入从 Google Cloud 控制台中获取的值。此值是在数据部分创建 Microsoft SharePoint 数据存储区期间生成的。
在名称字段中，为联合凭证输入唯一标签。
点击添加以授予访问权限。

创建 OAuth 2.0 配置

如需使用 OAuth 2.0 身份验证方法创建连接，您需要从 Microsoft Entra 应用注册页面获取客户端 ID、客户端密钥和租户 ID。

获取客户端 ID 和客户端密钥

如需获取客户端 ID，请执行以下操作：
1. 在应用导航菜单中，选择概览。
2. 复制 Application (client) ID （应用 [客户端] ID）。
如需获取应用的客户端密钥，请执行以下操作：
1. 在应用导航菜单中，选择证书和密钥 。
2. 点击 新建客户端密钥。
3. 在客户端密钥窗格中，执行以下操作：
  1. 在说明字段中，输入密钥的说明。
  2. 在到期时间 列表中，选择到期时长。
  3. 点击 Add （添加）。
4. 从值列中复制客户端密钥。

获取实例 URI

实例 URI 采用以下格式之一：

对于所有第一级网站：https://DOMAIN_OR_SERVER.sharepoint.com，例如 mydomain.sharepoint.com。
对于单个网站：https://DOMAIN_OR_SERVER.sharepoint.com/sites/WEBSITE，例如 mydomain.sharepoint.com/sites/sample-site。

获取租户 ID

您可以在 Microsoft Entra 管理员中心的**租户 ID**框中找到租户 ID，该框位于**概览页面**上。

配置 Microsoft API 权限

如需为应用配置所需的 API 权限，请执行以下操作：

前往应用页面。
在应用导航菜单中，选择 API 权限 。
点击添加权限。
在请求 API 权限窗格中，选择 Microsoft Graph。

根据您的连接模式，搜索并选择以下权限：

对于联合搜索 连接模式，不需要 Graph API 权限。

对于采用联合凭证的数据注入连接模式：

权限	类型	说明
`GroupMember.Read.All`	应用	允许连接器在没有已登录用户的情况下读取所有群组的成员资格和基本群组属性。
`User.Read`	委派	允许连接器读取已登录用户的个人资料。它还允许连接器读取已登录用户的基本公司信息。
网站控制选项
选项 1：`Sites.FullControl.All`	应用	允许连接器完全控制所有网站集。
选项 2：`Sites.Selected`	应用	允许连接器访问部分网站集。您可以在 SharePoint Online 中配置特定的网站集和授予的权限。
个人资料读取选项
选项 1：`User.Read.All`	应用	允许连接器读取用户个人资料。
选项 2：`User.ReadBasic.All`	应用	允许连接器读取组织中其他用户的一组基本个人资料属性。

对于采用 OAuth 2.0 刷新令牌的数据注入连接模式：

权限	类型	说明
`GroupMember.Read.All`	应用	允许连接器在没有已登录用户的情况下读取所有群组的成员资格和基本群组属性。
`User.Read`	委派	允许连接器读取已登录用户的个人资料。它还允许连接器读取已登录用户的基本公司信息。
`User.Read.All`	应用	允许连接器读取用户个人资料。
网站控制选项
选项 1：`Sites.FullControl.All`	应用	允许连接器完全控制所有网站集。
选项 2：`Sites.Selected`	应用	允许连接器访问部分网站集。您可以在 SharePoint Online 中配置特定的网站集和授予的权限。

如果您为联合搜索 或数据注入 连接模式启用了操作，请同时选择以下权限：

权限	类型	说明
`Sites.ReadWrite.All`	委派	允许连接器代表已登录的用户修改或删除所有网站集中的文档和列表项。
`Files.ReadWrite`	委派	允许连接器读取（下载）、创建（上传）、更新和删除已登录用户的文档。
`Files.ReadWrite.All`	委派	允许连接器读取（下载）、创建（上传）、更新和删除已登录用户可以访问的所有文档。
`Sites.Manage.All`	委派	允许连接器代表用户在所有网站集中创建或删除文档库和列表。

点击添加权限。
在请求 API 权限 窗格中，选择 Microsoft SharePoint 。

根据您的连接模式，搜索并选择以下权限：

对于联合搜索 连接模式：

权限	类型	说明
`Sites.Search.All`	委派	允许连接器代表当前已登录的用户运行搜索查询并读取基本网站信息。搜索结果基于用户的权限，而不是应用的权限。
`AllSites.Read`	委派	允许连接器代表已登录的用户读取所有网站集中的文档和列表项。

对于采用联合凭证 的数据注入 连接模式：

权限	类型	说明
网站控制选项
选项 1：`Sites.FullControl.All`	应用	允许连接器完全控制所有网站集。
选项 2：`Sites.Selected`	应用	允许连接器在有已登录用户的情况下访问部分网站集。您可以在 SharePoint Online 中配置特定的网站集和授予的权限。

对于采用 OAuth 2.0 刷新令牌的数据注入连接模式：

权限	类型	说明
网站控制选项
选项 1：`AllSites.FullControl`	委派	允许连接器代表已登录的用户完全控制所有网站集。
选项 2：`Sites.Selected`	委派	允许连接器在有已登录用户的情况下访问部分网站集。您可以在 SharePoint Online 中配置特定的网站集和授予的权限。

如果您为联合搜索 或数据注入 连接模式启用了操作，请同时选择以下权限：

权限	类型	说明
`AllSites.Write`	委派	允许连接器代表已登录的用户在所有网站集中创建、读取、更新、删除、上传和下载文档和列表项。

点击添加权限 。
注意：使用 Sites.Selected 时，您必须授予 fullcontrol 所选网站的权限。此外，为了使此权限生效，您必须在 Gemini Enterprise 中创建 SharePoint 数据存储区时至少执行以下一项操作：
- 使用特定网站网址作为 SharePoint 连接器实例网址，例如 mydomain.sharepoint.com/sites/sample-site。
- 设置 Gemini Enterprise 数据存储区时，提供精确的 siteName 过滤条件。
授予管理员同意书。如需了解如何授予同意权，请参阅 Microsoft Entra 文档中的为租户范围的管理员授予对应用的同意权。
注意：
- 租户范围的管理员同意书（重要） ：您必须在 Microsoft Entra ID 中为注册的应用授予租户范围的管理员同意书。缺少管理员同意书是常见的故障点，会导致连接器无法进行身份验证。
- 双应用 ID ：请注意，Gemini Enterprise 对不同的功能使用不同的 Microsoft Entra 应用 ID。您需要一个应用 ID 用于后端“数据存储区”连接，还需要一个单独的应用 ID 用于启用聊天界面中的“从 OneDrive/SharePoint 上传”按钮。这两个应用都需要管理员同意书。

向所选网站授予 `fullcontrol` 权限

如果您选择 Sites.Selected 选项以授予对 Microsoft Graph 中所选网站的控制权限，则必须向 Gemini Enterprise 应用授予 fullcontrol 权限。您可以使用以下方法之一来执行此操作：

PowerShell
Microsoft Graph

PowerShell

如需查看使用 PnP PowerShell 授予权限的通用语法，请参阅使用 PnP PowerShell 授予权限。

如需授予 FullControl 权限，请在 PowerShell 中运行以下命令：
```
Grant-PnPAzureADAppSitePermission -AppId CLIENT_ID -DisplayName DISPLAY_NAME -Permissions FullControl -Site SITE_URL
```
替换以下内容：
- CLIENT_ID：Microsoft Entra 应用的客户端 ID。
- SITE_URL：SharePoint 网站的网址，例如 https://example.sharepoint.com/sites/ExampleSite1。
- DISPLAY_NAME：Microsoft Entra 应用的显示名称。

Microsoft Graph

如需了解使用 Microsoft Graph 授予权限的整个流程，请参阅使用 Microsoft Graph 授予权限。

使用 Microsoft Graph 探索器调用以下方法。这些方法只能由网站所有者调用。

获取网站 ID：
```
GET `https://graph.microsoft.com/v1.0/sites/HOSTNAME:SITE_PATH`
```
替换以下内容：
- HOSTNAME：SharePoint 网站的主机名，例如 example.sharepoint.com。
- SITE_PATH：SharePoint 网站的路径，例如 /sites/ExampleSite1 或 /teams/ExampleSite2。
向 fullcontrol 授予对您在上一步中检索到的 ID 所对应的网站的访问权限。
- 发送以下 POST 请求：
```
   POST `https://graph.microsoft.com/v1.0/sites/SITE_ID/permissions`
```
- 使用以下请求正文：
```
{
  "roles": ["fullControl"],
  "grantedToIdentities": [{
    "application": {
      "id": "CLIENT_ID",
      "displayName": "DISPLAY_NAME"
    }
  }]
}
```
  替换以下内容：
  - SITE_ID：您在上一步中收到的 SharePoint 网站的 ID。其格式为 example.sharepoint.com,48332b69-85ab-0000-0000-dbb7132863e7,2d165439-0000-0000-b0fe-030b976868a0。
  - CLIENT_ID：Microsoft Entra 应用的客户端 ID。
  - DISPLAY_NAME：Microsoft Entra 应用的显示名称。

问题排查

本部分介绍如何解决 Microsoft SharePoint 连接器的常见问题。

用户在连接时看到“需要管理员批准”

当用户首次从 Gemini Enterprise Web 应用连接到 Microsoft SharePoint 时，Microsoft 可能会显示需要管理员批准 屏幕。如果 Gemini Enterprise 请求管理员级权限，或者您的 Microsoft Entra 租户禁止用户在没有事先获得租户范围的管理员同意的情况下授权第三方应用，则会发生这种情况。

如需解决此问题，管理员必须完成首次授权。之后，您租户中的其他用户无需批准屏幕即可连接。

让可以授予租户范围的同意权的 Microsoft Entra ID 管理员登录 Gemini Enterprise Web 应用并连接到 Microsoft SharePoint。
在权限屏幕上，让管理员选择代表组织同意 ，然后点击接受。
让用户再次连接。

如需了解详情，请参阅 Microsoft Entra 文档中的授予租户范围的管理员同意权。