В этой статье администраторы Enterprise и ИТ-менеджеры узнают, как работает управление доступом на основе ролей для коннекторов на странице Настройки организации → Коннекторы: переключатель «Включён», списки ролей для каждого коннектора, процесс включения, перенос существующих настроек и значение по умолчанию для новых коннекторов на уровне всей организации.
Обзор
Управление доступом на основе ролей позволяет определять, какие роли в вашей организации могут использовать каждый коннектор, в дополнение к существующей настройке, которая определяет, доступен ли коннектор вашей организации вообще. Оно заменяет прежнюю модель «включено для всех или выключено для всех» точечным предоставлением доступа, которое следует той же структуре ролей и групп, что описана в статье Роли и разрешения Enterprise.
У каждого коннектора есть две независимые настройки:
Включён: глобальный переключатель коннектора. Если он выключен, коннектор недоступен ни одному участнику независимо от роли. Если он включён, вы выбираете, у кого будет доступ.
Доступ по ролям: при включении коннектора выберите Все участники, Admin или Выбранные роли. Вариант Все участники предоставляет доступ всем. Вариант Admin ограничивает доступ участниками с ролью Admin. Вариант Выбранные роли позволяет ограничить доступ определёнными пользовательскими ролями. Роли можно назначить до или после включения коннектора. Если при включении вы выбрали Выбранные роли, укажите роли после включения. Включённый коннектор доступен, только если ему назначена хотя бы одна роль.
Участник может пользоваться коннектором, только если коннектор включён и хотя бы одна из назначенных участнику ролей входит в список ролей этого коннектора.
Для настройки этих параметров требуется разрешение роли Manage connector defaults, описанное в статье Роли и разрешения Enterprise.
Доступность: управление доступом на основе ролей для коннекторов доступно на тарифах Enterprise с поддержкой отдела продаж. Пользовательские роли, управление группами и синхронизация групп каталога через SCIM также зависят от тарифа вашей организации.
Если вас это интересует, запланируйте демо с нашей командой продаж.
Почему это важно
Ограничивайте доступ к конфиденциальным данным. Предоставьте Snowflake роли специалистов по данным, Microsoft 365 — команде по управлению знаниями, а Salesforce — отделу операций с выручкой, не открывая их всем в организации.
Проводите поэтапные пилоты. Сначала включите новый коннектор для пилотной роли, соберите отзывы, а затем расширьте доступ, добавив другие роли.
Сохраняйте согласованность со SCIM и группами. Поскольку доступ определяется ролями, назначения групп и SCIM в вашем провайдере удостоверений применяются автоматически.
Перед началом работы
вы являетесь администратором или ваша роль включает разрешение Manage connector defaults.
у вас есть доступ к разделу Настройки организации → Коннекторы в веб-версии.
коннектор, который вы хотите настроить, уже добавлен в вашу организацию.
Как работают настройки
Базовые роли: «Все участники» и Admin
В каждой организации есть две базовые роли, которые можно добавить в список ролей коннектора.
Все участники — предоставляет доступ всем участникам организации.
Admin — предоставляет доступ только администраторам организации. Если для параметра Общий доступ выбрано значение Выбранные роли, роль Администраторы всегда отображается в разделе Роли с доступом с флажком, позволяющим включить или выключить её доступ.
Вы можете добавить в список любую из базовых ролей отдельно, обе вместе или вместе с пользовательскими ролями, созданными для вашей организации.
Если в списке есть Все участники, доступ уже есть у каждого участника, поэтому пользовательские роли в том же списке избыточны. Perplexity не удаляет эти пользовательские роли, поэтому, если позже вы удалите Все участники, коннектор будет использовать их и не станет недоступным.
Например, если список ролей коннектора — «Все участники» + «Анализ данных»:
пока в списке есть Все участники, доступ есть у всех в организации.
если удалить Все участники, доступ сохранят только участники с ролью Анализ данных.
Администраторы всегда сохраняют скрытый доступ для настройки любого включённого коннектора, даже если роли Admin нет в его списке ролей. Для доступа во время выполнения, то есть для фактического использования коннектора в сеансе, роль Admin по-прежнему должна быть в списке.
Включение коннектора без предоставления доступа
При выборе варианта Выбранные роли коннектор включается без добавления ролей. Коннектор остаётся включённым, но ни один участник не сможет им пользоваться, пока вы не добавите хотя бы одну роль.
При выборе варианта Все участники или Admin доступ предоставляется сразу после включения коннектора.
Как определяется доступ
Когда участник пытается воспользоваться коннектором, Perplexity проверяет:
Коннектор включён? Если нет, доступ блокируется.
Есть ли хотя бы одна из ролей участника в списке ролей коннектора? Если да, доступ разрешается.
В противном случае доступ блокируется с понятным указанием причины.
Проверка выполняется на стороне сервера до запуска среды выполнения агента, поэтому заблокированные вызовы коннекторов не расходуют кредиты и не запускают песочницу. Проверка единообразно применяется к агенту, CLI, запланированным задачам и любому использованию коннекторов в рамках проекта или Brain.
Пошаговая инструкция
Включение коннектора и предоставление доступа
Перейдите в раздел Настройки организации → Коннекторы.
Выберите коннектор, который хотите включить.
Включите коннектор. Откроется диалоговое окно с вопросом, кому предоставить доступ.
Выберите Все участники, Admin или Выбранные роли.
Нажмите Включить.
Если вы выбрали Выбранные роли, откройте коннектор и добавьте роли, которым нужен доступ.
При выборе варианта Все участники или Admin доступ предоставляется сразу. При выборе варианта Выбранные роли коннектор остаётся включённым без доступа по ролям, пока вы не добавите одну или несколько ролей. Если вы закроете диалоговое окно без подтверждения, коннектор останется отключённым.
Добавление роли во включённый коннектор
Откройте коннектор в разделе Настройки организации → Коннекторы.
На вкладке Доступ убедитесь, что для параметра Общий доступ выбрано значение Выбранные роли.
В поле Найти роль… под разделом Роли с доступом найдите роль, которой хотите предоставить доступ.
Выберите роль, чтобы добавить её в раздел Роли с доступом.
Участники добавленной роли сразу получают доступ.
Удаление роли из включённого коннектора
Откройте коннектор в разделе Настройки организации → Коннекторы.
На вкладке Доступ в разделе Роли с доступом найдите роль, которую хотите удалить.
Снимите флажок рядом с ролью. В диалоговом окне подтверждения указаны названия роли и коннектора.
Нажмите Удалить доступ.
Участники этой роли сразу теряют доступ, если только их не охватывает другая роль из списка.
Отключение коннектора
Откройте коннектор в разделе Настройки организации → Коннекторы.
Выключите коннектор, чтобы отключить его. В диалоговом окне подтверждения указаны название коннектора и роли, которые потеряют доступ, а также сообщается, что настройки ролей будут сохранены.
Нажмите Отключить.
Теперь коннектор отключён, и ни один участник организации не может им пользоваться. Настройки его ролей сохраняются, поэтому, если позже вы снова включите коннектор, те же роли снова получат доступ.
Глобальное значение по умолчанию для новых коннекторов
Глобальное значение по умолчанию определяет, что происходит, когда Perplexity добавляет в вашу организацию новый коннектор. Задайте его один раз на уровне организации.
Перейдите в раздел Настройки организации → Коннекторы.
Найдите параметр Новые коннекторы в верхней части страницы, под параметром Разрешить участникам добавлять пользовательские коннекторы. Он определяет, будут ли коннекторы, впервые добавленные в Perplexity, сразу включены для вашей организации.
Откройте раскрывающийся список и выберите один из вариантов:
Включено для всех участников — новый коннектор появляется включённым, и в его списке ролей указано Все участники.
Включено для администраторов — новый коннектор появляется включённым, и в его списке ролей указана роль Admin.
Отключено — новый коннектор появляется отключённым с пустым списком ролей. Прежде чем кто-либо сможет им пользоваться, администратор должен включить его для определённых ролей или для всех участников.
Рекомендуемое значение по умолчанию для организаций Enterprise: Отключено. Так новые коннекторы будут проверяться администратором до того, как участники смогут ими пользоваться.
Как убедиться, что всё работает
На вкладке Доступ коннектора в разделе Роли с доступом перечислены ожидаемые роли, а их число совпадает с числом добавленных вами ролей.
Участники, чьи роли есть в списке, могут пользоваться коннектором. Участники, чьих ролей нет в списке, видят понятное сообщение об отсутствии доступа.
В журналах аудита организации фиксируются включение, отключение и изменения ролей в соответствующем событии Коннекторы.
Перенос существующих настроек при запуске
Когда ваша организация переходит на управление доступом на основе ролей для коннекторов, существующие коннекторы переносятся следующим образом.
Коннекторы, которые сейчас отключены, остаются отключёнными с пустым списком ролей. Прежде чем кто-либо сможет ими пользоваться, администратор должен включить каждый коннектор для определённых ролей или для всех участников.
Коннекторы, которые сейчас включены, переносятся во включённое состояние с единственной ролью Все участники в списке. Пользовательские роли в список не переносятся.
Так в первый день сохраняется текущий охват участников, а у администраторов появляется чистая отправная точка для ограничения доступа. Чтобы ограничить уже включённый коннектор определёнными ролями, удалите Все участники и добавьте нужные роли.
Что видят участники
В разделе Обзор коннекторы, недоступные участнику, отображаются затенёнными со значком замка, а причина показывается при наведении курсора. Коннекторы, которыми участник не может пользоваться, отображаются как недоступные на отдельной странице коннектора и не появляются в окнах выбора коннекторов. Сообщение зависит от состояния коннектора:
Коннектор отключён — карточка в разделе Обзор и страница плагина показывают Отключено вашей организацией.
Коннектор включён, но ни одной из ролей участника нет в списке — карточка в разделе Обзор показывает «Not available to your role»; на странице плагина коннектор отображается как Недоступно.
Ограничение тарифа — коннектор показывает Требуется повышение тарифа с подсказкой «Ваш тариф не включает этот коннектор».
Чтобы получить доступ, участники могут попросить администратора добавить одну из их ролей в список ролей коннектора.
Если во время сеанса агент обращается к заблокированному коннектору, он сообщает участнику, что у его роли нет доступа, и предлагает обратиться к администратору.
Типовые конфигурации
В таблице ниже приведены три политики доступа, которые обычно применяют администраторы Enterprise.
| Политика | Включён | Список ролей |
|---|---|---|
| Доступен всей организации | Да | Все участники |
| Доступен только администраторам | Да | Admin |
| Пилотное развёртывание для пользовательской роли | Да | Анализ данных (пользовательская роль) |
Что нужно учитывать
Разрешить или запретить доступ отдельному пользователю нельзя. Доступ определяется принадлежностью к ролям. Нельзя разрешить или запретить доступ одному участнику независимо от его ролей.
Достаточно одной роли из списка. Роли предоставляют доступ, но никогда не отнимают его. Участник с двумя ролями имеет доступ к коннектору, если любая из этих ролей есть в списке, поэтому нельзя добавить одну роль, чтобы разрешить доступ, и другую, чтобы заблокировать его.
Разрешения на уровне инструментов настраиваются отдельно. Может ли участник вызывать отдельные инструменты коннектора (например, отправку сообщений в Slack или поиск в Slack), определяется разрешениями инструментов коннектора, которые настраиваются на вкладке Базовые разрешения инструментов. Управление доступом на основе ролей определяет, кто вообще может пользоваться коннектором, а настройки инструментов — что может выполняться внутри него.
«Все участники» имеет приоритет над пользовательскими ролями. Если в списке есть Все участники, пользовательские роли в том же списке избыточны. Они сохраняются, чтобы после удаления Все участники коннектор вернулся к ранее настроенному набору пользовательских ролей.
Удаление пользовательской роли затрагивает все коннекторы, в списках которых она есть. Если эта роль — единственная в списке ролей коннектора, коннектор останется включённым, но никто не сможет им пользоваться, пока вы не добавите другую роль.
Отключённые коннекторы сохраняют свой список ролей. Если вы отключите коннектор, а позже снова включите его, роли, у которых был доступ, снова его получат. Чтобы изменить круг пользователей с доступом, отредактируйте роли на вкладке Доступ до или после повторного включения.
Управление доступом на основе ролей не влияет на разрешения OAuth. Удаление роли из коннектора не отзывает разрешения OAuth сторонних сервисов, которые участники уже предоставили. Чтобы отозвать разрешение OAuth, отключите аккаунт в разделе Плагины → Установленные или отзовите его в консоли администратора поставщика.
Коннекторы в плагинах
Плагины внедряются постепенно, начиная с индивидуальных тарифов и организаций Self-Serve Enterprise, и скоро появятся в тарифах Enterprise, оформляемых через отдел продаж. До тех пор участники и администраторы продолжают пользоваться Connectors и Skills.
Разрешения ролей и переключатель Включён действуют и для коннекторов внутри плагинов. Плагин не может обойти эти ограничения или предоставить доступ к коннектору.
Плагин остаётся видимым на странице Плагины. Для каждого заблокированного коннектора отображается Отключено вашей организацией или Недоступно, а при ограничениях тарифа — Требуется повышение тарифа. Участники могут установить плагин и пользоваться другими его компонентами. Чтобы запретить участникам пользоваться инструментом, отключите коннектор, а не плагин.
Устранение неполадок
| Что вы видите | Наиболее вероятная причина | Как исправить |
|---|---|---|
| Участник не может пользоваться коннектором, который должен быть ему доступен. | Ни одной из ролей участника нет в списке ролей коннектора. | Откройте коннектор и добавьте роль, которая есть у участника, или добавьте участника в роль, которая уже есть в списке. |
| У участника остаётся доступ после удаления роли. | Его по-прежнему охватывает другая роль из списка коннектора, или он состоит в группе, которой назначена роль из списка. | Проверьте все роли и группы участника и при необходимости удалите дополнительное предоставление доступа. |
| Коннектор включён, но никто не может им пользоваться. | Для коннектора задано значение Выбранные роли, но роли не выбраны, или его единственная роль была удалена. | Откройте коннектор и добавьте роль на вкладке Доступ или переключите Общий доступ на Все участники. |
| Новый коннектор доступен всем ещё до того, как вы его проверили. | Для параметра организации Новые коннекторы задано значение Включено для всех участников. | Измените значение Новые коннекторы на Отключено, чтобы новые коннекторы появлялись отключёнными и требовали проверки администратором. |
| Администратор не может пользоваться коннектором, но может его настраивать. | Роли Admin нет в списке ролей коннектора. | Добавьте Admin в список ролей, чтобы предоставить доступ во время выполнения, помимо скрытого доступа к настройке, который у администраторов уже есть. |
| Участники группы, синхронизированной через SCIM, теряют доступ после изменения в провайдере удостоверений. | Состав группы изменился в провайдере удостоверений, и изменение было синхронизировано. | Проверьте состав группы в вашем провайдере удостоверений. Группы, синхронизированные через SCIM, доступны в Perplexity только для чтения. |
Часто задаваемые вопросы
Можно ли предоставить коннектор одному пользователю, не создавая роль?
Можно ли предоставить коннектор одному пользователю, не создавая роль?
Нет. Доступ определяется ролями, а разрешение или запрет для отдельных пользователей сейчас недоступны. Создайте пользовательскую роль для нужной функции, назначьте ей пользователя и добавьте эту роль в список ролей коннектора.
Можно ли заблокировать определённой роли доступ к коннектору, сохранив доступ для других ролей?
Можно ли заблокировать определённой роли доступ к коннектору, сохранив доступ для других ролей?
Нет. Роли в списке предоставляют доступ, и добавить роль в качестве блокирующей нельзя. Если у участника две роли и любая из них есть в списке, у него есть доступ. Чтобы роль не получила доступ к коннектору, не добавляйте её в список ролей.
Видят ли участники отключённые коннекторы?
Видят ли участники отключённые коннекторы?
Да. Участники могут открыть страницу заблокированного коннектора из плагина, в который он входит. На странице отображается Отключено вашей организацией, Недоступно или, при ограничениях тарифа, Требуется повышение тарифа. В разделе Обзор коннекторы, недоступные участнику, отображаются затенёнными со значком замка, а причина показывается при наведении курсора. Заблокированные коннекторы не появляются в окнах выбора коннекторов.
Что произойдёт с существующими коннекторами, когда моя организация перейдёт на управление доступом на основе ролей для коннекторов?
Что произойдёт с существующими коннекторами, когда моя организация перейдёт на управление доступом на основе ролей для коннекторов?
В первый день для участников ничего не изменится. Коннекторы, которые уже были отключены, останутся отключёнными. Коннекторы, которые уже были включены, останутся включёнными с единственной ролью Все участники в списке, поэтому каждый участник, который мог ими пользоваться раньше, сможет пользоваться ими и дальше. Чтобы ограничить такой коннектор определёнными ролями, откройте его, переключите Общий доступ на Выбранные роли и добавьте роли, которым нужен доступ.
Фиксируются ли изменения ролей и коннекторов в журнале аудита?
Фиксируются ли изменения ролей и коннекторов в журнале аудита?
Да. Включение, отключение, добавление и удаление ролей, а также изменения глобального значения по умолчанию фиксируются в журналах аудита организации. См. статью Журналы аудита.
Применяется ли управление доступом на основе ролей для коннекторов к CLI, запланированным задачам и проектам?
Применяется ли управление доступом на основе ролей для коннекторов к CLI, запланированным задачам и проектам?
Да. Проверка выполняется на стороне сервера и единообразно применяется к сеансам агента, CLI, запланированным задачам и любому использованию коннекторов в рамках проекта или Brain.
Кто может настраивать управление доступом на основе ролей для коннекторов?
Кто может настраивать управление доступом на основе ролей для коннекторов?
Администраторы, а также любой участник, роль которого включает разрешение Manage connector defaults. Это то же разрешение, которое используется для настроек коннектора на уровне инструментов.
Похожие статьи
Нужна дополнительная помощь?
Обратитесь к своей команде по работе с клиентами или свяжитесь с нами через Help > Contact Support. Посетите Trust Center, чтобы ознакомиться с документацией по безопасности и соответствию требованиям.