Questa guida illustra ad amministratori Enterprise e responsabili IT il controllo degli accessi basato sui ruoli per i connettori nella pagina Impostazioni dell’organizzazione → Connettori, incluso l’interruttore Abilitato, gli elenchi di ruoli per singolo connettore, la procedura di abilitazione, il comportamento della migrazione e il valore predefinito a livello di organizzazione per i nuovi connettori.
Panoramica
Il controllo degli accessi basato sui ruoli ti consente di decidere quali ruoli della tua organizzazione possono usare ciascun connettore, in aggiunta al controllo già esistente che stabilisce se il connettore è disponibile per la tua organizzazione. Sostituisce il precedente modello «attivo per tutti o disattivato per tutti» con un’assegnazione mirata che segue la stessa struttura di ruoli e gruppi descritta in Ruoli e autorizzazioni Enterprise.
Ogni connettore ha due controlli indipendenti:
Abilitato: l’interruttore globale del connettore. Quando è disattivato, il connettore non è disponibile per nessun membro, indipendentemente dal ruolo. Quando è attivo, scegli tu chi può accedervi.
Accesso per ruolo: quando abiliti un connettore, scegli Tutti i membri, Admin o Ruoli selezionati. Tutti i membri concede l’accesso a tutti. Admin limita l’accesso ai membri con il ruolo Admin. Ruoli selezionati ti consente di limitare l’accesso a specifici ruoli personalizzati. Puoi assegnare i ruoli prima o dopo aver abilitato il connettore. Se scegli Ruoli selezionati durante l’abilitazione, dovrai specificare i ruoli dopo l’abilitazione. Un connettore abilitato è accessibile solo se gli è assegnato almeno un ruolo.
Un membro può accedere a un connettore solo quando il connettore è Abilitato e almeno uno dei ruoli assegnati al membro è incluso nel suo elenco di ruoli.
Per configurare questi controlli è necessaria l’autorizzazione di ruolo Manage connector defaults, descritta in Ruoli e autorizzazioni Enterprise.
Disponibilità: il controllo degli accessi basato sui ruoli per i connettori è disponibile nei piani Enterprise sottoscritti tramite il team commerciale. Anche i ruoli personalizzati, la gestione dei gruppi e la sincronizzazione dei gruppi di directory SCIM dipendono dal piano della tua organizzazione.
Se ti interessa, prenota una demo con il nostro team commerciale.
Perché è importante
Limita l’ambito dei dati sensibili. Concedi Snowflake a un ruolo di analisi dei dati, Microsoft 365 a un team di gestione della conoscenza e Salesforce alle operazioni commerciali, senza esporli a tutta l’organizzazione.
Esegui progetti pilota graduali. Abilita prima un nuovo connettore per un ruolo pilota, raccogli feedback, quindi amplia l’accesso aggiungendo altri ruoli.
Resta allineato a SCIM e ai gruppi. Poiché l’accesso dipende dai ruoli, le assegnazioni di gruppi e SCIM effettuate nel tuo provider di identità vengono applicate automaticamente.
Prima di iniziare
Sei un amministratore, oppure il tuo ruolo include l’autorizzazione Manage connector defaults.
Hai accesso a Impostazioni dell’organizzazione → Connettori sul web.
Il connettore che vuoi configurare è già stato aggiunto alla tua organizzazione.
Come funzionano i controlli
Ruoli di base: Tutti i membri e Admin
Ogni organizzazione dispone di due ruoli di base che puoi aggiungere all’elenco di ruoli di un connettore.
Tutti i membri — concede l’accesso a tutti i membri dell’organizzazione.
Admin — concede l’accesso solo agli amministratori dell’organizzazione. Quando Accesso generale è impostato su Ruoli selezionati, Admin appare sempre in Ruoli con accesso, con una casella di controllo per attivarne o disattivarne l’accesso.
Puoi aggiungere all’elenco uno dei due ruoli di base da solo, entrambi insieme oppure insieme ai ruoli personalizzati creati per la tua organizzazione.
Quando Tutti i membri è nell’elenco, ogni membro ha già accesso, quindi gli eventuali ruoli personalizzati nello stesso elenco sono ridondanti. Perplexity non rimuove questi ruoli personalizzati: se in seguito rimuovi Tutti i membri, il connettore torna a utilizzarli invece di diventare inaccessibile.
Ad esempio, se l’elenco di ruoli di un connettore è Tutti i membri + Analisi dei dati:
Finché Tutti i membri è nell’elenco, tutti nell’organizzazione hanno accesso.
Se rimuovi Tutti i membri, mantengono l’accesso solo i membri del ruolo Analisi dei dati.
Gli amministratori mantengono sempre un accesso latente per configurare qualsiasi connettore Abilitato, anche quando il ruolo Admin non è nel suo elenco di ruoli. L’accesso in fase di esecuzione, ovvero la possibilità di usare effettivamente il connettore in una sessione, richiede comunque che Admin sia nell’elenco.
Abilitare un connettore senza concedere l’accesso
Scegliendo Ruoli selezionati, il connettore viene attivato senza aggiungere alcun ruolo. Il connettore resta abilitato, ma nessun membro può usarlo finché non aggiungi almeno un ruolo.
Scegliendo Tutti i membri o Admin, l’accesso viene concesso immediatamente all’abilitazione del connettore.
Come viene determinato l’accesso
Quando un membro prova a usare un connettore, Perplexity verifica:
Il connettore è Abilitato? In caso contrario, l’accesso viene bloccato.
Almeno uno dei ruoli del membro è nell’elenco di ruoli del connettore? In caso affermativo, l’accesso è consentito.
Altrimenti, l’accesso viene bloccato con un motivo chiaro.
Il controllo viene applicato lato server, prima dell’avvio del runtime dell’agente, quindi le chiamate ai connettori bloccate non consumano crediti né avviano una sandbox. Il controllo si applica in modo coerente all’agente, alla CLI, alle attività pianificate e a qualsiasi utilizzo dei connettori nell’ambito di un progetto o di un Brain.
Procedura dettagliata
Abilitare un connettore e concedere l’accesso
Vai a Impostazioni dell’organizzazione → Connettori.
Seleziona il connettore che vuoi abilitare.
Attiva il connettore. Si apre una finestra di dialogo che chiede chi deve avere accesso.
Scegli Tutti i membri, Admin o Ruoli selezionati.
Seleziona Abilita.
Se hai scelto Ruoli selezionati, apri il connettore e aggiungi i ruoli che devono avere accesso.
Scegliendo Tutti i membri o Admin, l’accesso viene concesso immediatamente. Scegliendo Ruoli selezionati, il connettore resta abilitato senza accesso per ruolo finché non aggiungi uno o più ruoli. Se annulli la finestra di dialogo, il connettore resta disabilitato.
Aggiungere un ruolo a un connettore Abilitato
Apri il connettore da Impostazioni dell’organizzazione → Connettori.
Nella scheda Accesso, assicurati che Accesso generale sia impostato su Ruoli selezionati.
Nel campo Cerca un ruolo… sotto Ruoli con accesso, cerca il ruolo a cui vuoi concedere l’accesso.
Seleziona il ruolo per aggiungerlo a Ruoli con accesso.
I membri del ruolo appena aggiunto ottengono l’accesso immediatamente.
Rimuovere un ruolo da un connettore Abilitato
Apri il connettore da Impostazioni dell’organizzazione → Connettori.
Nella scheda Accesso, in Ruoli con accesso, individua il ruolo che vuoi rimuovere.
Deseleziona la casella di controllo accanto al ruolo. Una finestra di dialogo di conferma indica il ruolo e il connettore.
Seleziona Rimuovi accesso.
I membri di quel ruolo perdono l’accesso immediatamente, a meno che non siano coperti anche da un altro ruolo nell’elenco.
Disabilitare un connettore
Apri il connettore da Impostazioni dell’organizzazione → Connettori.
Disattiva il connettore per disabilitarlo. La finestra di dialogo di conferma indica il nome del connettore, elenca i ruoli che perderanno l’accesso e segnala che le impostazioni dei ruoli verranno salvate.
Seleziona Disabilita.
Il connettore è ora Disabilitato e nessun membro dell’organizzazione può usarlo. Le sue impostazioni dei ruoli vengono salvate, quindi se in seguito riattivi il connettore, gli stessi ruoli riottengono l’accesso.
Impostare il valore predefinito globale per i nuovi connettori
Il valore predefinito globale stabilisce cosa succede quando Perplexity rilascia un nuovo connettore nella tua organizzazione. Impostalo una sola volta a livello di organizzazione.
Vai a Impostazioni dell’organizzazione → Connettori.
Individua l’impostazione Nuovi connettori nella parte superiore della pagina, sotto Consenti ai membri di aggiungere connettori personalizzati. Determina se i connettori aggiunti di recente a Perplexity sono abilitati fin dall’inizio per la tua organizzazione.
Apri il menu a discesa e scegli una delle seguenti opzioni:
Abilitato per tutti i membri — il nuovo connettore arriva Abilitato con Tutti i membri nel suo elenco di ruoli.
Abilitato per gli admin — il nuovo connettore arriva Abilitato con Admin nel suo elenco di ruoli.
Disabilitato — il nuovo connettore arriva Disabilitato con un elenco di ruoli vuoto. Un amministratore deve abilitarlo per ruoli specifici o per tutti i membri prima che chiunque possa usarlo.
Valore predefinito consigliato per le organizzazioni Enterprise: Disabilitato. In questo modo i nuovi connettori vengono esaminati da un amministratore prima che i membri possano usarli.
Come verificare che abbia funzionato
Nella scheda Accesso del connettore, Ruoli con accesso elenca i ruoli previsti e il relativo conteggio corrisponde al numero di ruoli che hai aggiunto.
I membri i cui ruoli sono nell’elenco possono usare il connettore. I membri i cui ruoli non sono nell’elenco vedono un messaggio chiaro che indica che non hanno accesso.
I registri di controllo dell’organizzazione registrano abilitazioni, disabilitazioni e modifiche ai ruoli nell’evento Connettori corrispondente.
Comportamento della migrazione al lancio
Quando la tua organizzazione passa al controllo degli accessi basato sui ruoli per i connettori, i connettori esistenti vengono migrati come segue.
I connettori attualmente disabilitati restano Disabilitati con un elenco di ruoli vuoto. Un amministratore deve abilitare ciascun connettore per ruoli specifici o per tutti i membri prima che chiunque possa usarlo.
I connettori attualmente abilitati vengono migrati come Abilitati con Tutti i membri come unico ruolo nell’elenco. I ruoli personalizzati non vengono aggiunti retroattivamente all’elenco.
In questo modo, dal primo giorno, i membri mantengono lo stesso accesso di prima e gli amministratori hanno un punto di partenza pulito per restringere l’accesso. Per limitare un connettore già abilitato a ruoli specifici, rimuovi Tutti i membri e aggiungi i ruoli desiderati.
Esperienza dei membri
In Scopri, i connettori che un membro non può usare appaiono in grigio con un’icona a forma di lucchetto e il motivo al passaggio del mouse. I connettori che un membro non può usare vengono mostrati come non disponibili nella pagina del singolo connettore e non compaiono nei selettori dei connettori. Il messaggio dipende dallo stato del connettore:
Connettore Disabilitato — la scheda in Scopri e la pagina del plugin mostrano entrambe Disabilitato dalla tua organizzazione.
Connettore Abilitato, ma nessuno dei ruoli del membro è nell’elenco — la scheda in Scopri riporta «Not available to your role»; nella pagina del plugin il connettore mostra Non disponibile.
Limite del piano — il connettore mostra Upgrade richiesto con il suggerimento «Il tuo piano non include questo connettore».
Per ottenere l’accesso, i membri possono chiedere a un amministratore di aggiungere uno dei loro ruoli all’elenco di ruoli del connettore.
Se l’agente raggiunge un connettore bloccato durante una sessione, comunica al membro che il suo ruolo non ha accesso e suggerisce di rivolgersi a un amministratore.
Configurazioni comuni
La tabella seguente mostra tre criteri di accesso applicati comunemente dagli amministratori Enterprise.
| Criterio | Abilitato | Elenco di ruoli |
|---|---|---|
| Disponibile per tutta l’organizzazione | Sì | Tutti i membri |
| Disponibile solo per gli amministratori | Sì | Admin |
| Rollout pilota per un ruolo personalizzato | Sì | Analisi dei dati (ruolo personalizzato) |
Avvertenze da tenere presenti
Nessuna autorizzazione o negazione per singolo utente. L’accesso dipende dall’appartenenza ai ruoli. Non puoi consentire o negare l’accesso a un singolo membro indipendentemente dai suoi ruoli.
Basta un ruolo nell’elenco. I ruoli concedono l’accesso, non lo revocano mai. Un membro con due ruoli ha accesso al connettore se uno qualsiasi di questi ruoli è nell’elenco, quindi non puoi aggiungere un ruolo per consentire l’accesso e un secondo ruolo per bloccarlo.
Le autorizzazioni a livello di strumento sono separate. La possibilità per un membro di richiamare singoli strumenti all’interno di un connettore (ad esempio, l’invio su Slack rispetto alla ricerca su Slack) è regolata dalle autorizzazioni degli strumenti del connettore, configurate nella scheda Autorizzazioni degli strumenti di base. Il controllo degli accessi basato sui ruoli stabilisce chi può raggiungere un connettore; i controlli degli strumenti stabiliscono cosa viene eseguito al suo interno.
Tutti i membri prevale sui ruoli personalizzati. Quando Tutti i membri è nell’elenco, i ruoli personalizzati nello stesso elenco sono ridondanti. Vengono mantenuti in modo che, rimuovendo Tutti i membri, il connettore torni all’insieme di ruoli personalizzati configurato in precedenza.
L’eliminazione di un ruolo personalizzato ha effetto su tutti i connettori in cui compare quel ruolo. Se il ruolo è l’unica voce nell’elenco di ruoli di un connettore, il connettore resta Abilitato, ma nessuno può usarlo finché non aggiungi un altro ruolo.
I connettori disabilitati mantengono il proprio elenco di ruoli. Se disabiliti un connettore e in seguito lo riattivi, i ruoli che avevano accesso in precedenza riottengono l’accesso. Per cambiare chi ha accesso, modifica i ruoli nella scheda Accesso prima o dopo averlo riattivato.
Le autorizzazioni OAuth non vengono modificate dal controllo degli accessi basato sui ruoli. La rimozione di un ruolo da un connettore non revoca le autorizzazioni OAuth di terze parti già completate dai membri. Per revocare un’autorizzazione OAuth, disconnetti l’account in Plugin → Installati oppure revocala nella console di amministrazione del provider.
Connettori nei plugin
I plugin vengono introdotti gradualmente, a partire dai piani individuali e dalle organizzazioni Self-Serve Enterprise, e arriveranno presto anche nei piani Enterprise gestiti dal team commerciale. Fino ad allora, membri e amministratori continuano a usare Connectors e Skills.
Le autorizzazioni dei ruoli e l’interruttore Abilitato si applicano ai connettori anche all’interno dei plugin. Un plugin non può aggirare questi controlli né concedere l’accesso a un connettore.
Il plugin resta visibile nella pagina Plugin. Ogni connettore bloccato mostra Disabilitato dalla tua organizzazione o Non disponibile, oppure Upgrade richiesto in caso di limiti del piano. I membri possono installare il plugin e usare gli altri componenti. Per impedire ai membri di usare uno strumento, disabilita il connettore, non il plugin.
Risoluzione dei problemi
| Sintomo riscontrato | Causa più probabile | Come risolvere |
|---|---|---|
| Un membro non riesce a usare un connettore a cui dovrebbe avere accesso. | Nessuno dei ruoli del membro è nell’elenco di ruoli del connettore. | Apri il connettore e aggiungi un ruolo assegnato al membro, oppure aggiungi il membro a un ruolo già presente nell’elenco. |
| Un membro ha ancora accesso dopo che hai rimosso un ruolo. | Un altro ruolo nell’elenco del connettore lo copre ancora, oppure appartiene a un gruppo assegnato a un ruolo dell’elenco. | Controlla tutti i ruoli e i gruppi del membro e rimuovi l’assegnazione aggiuntiva, se opportuno. |
| Un connettore è Abilitato, ma nessuno può usarlo. | Il connettore è impostato su Ruoli selezionati senza ruoli selezionati, oppure il suo unico ruolo è stato eliminato. | Apri il connettore, quindi aggiungi un ruolo nella scheda Accesso oppure imposta Accesso generale su Tutti i membri. |
| Un connettore appena lanciato è disponibile per tutti prima che tu lo abbia esaminato. | L’impostazione Nuovi connettori dell’organizzazione è Abilitato per tutti i membri. | Imposta Nuovi connettori su Disabilitato in modo che i nuovi connettori arrivino Disabilitati e richiedano l’esame di un amministratore. |
| Un amministratore non può usare un connettore ma può configurarlo. | Il ruolo Admin non è nell’elenco di ruoli del connettore. | Aggiungi Admin all’elenco di ruoli per concedere l’accesso in fase di esecuzione, separatamente dall’accesso latente alla configurazione di cui gli amministratori dispongono già. |
| I membri di un gruppo sincronizzato tramite SCIM perdono l’accesso dopo una modifica nel provider di identità. | I membri del gruppo sono cambiati nel provider di identità e la modifica è stata sincronizzata. | Verifica l’appartenenza al gruppo nel tuo provider di identità. I gruppi sincronizzati tramite SCIM sono di sola lettura in Perplexity. |
Domande frequenti
Posso concedere un connettore a un singolo utente senza creare un ruolo?
Posso concedere un connettore a un singolo utente senza creare un ruolo?
No. L’accesso dipende dai ruoli e l’autorizzazione o la negazione per singolo utente non è attualmente disponibile. Crea un ruolo personalizzato per la responsabilità, assegnalo all’utente e aggiungi quel ruolo all’elenco di ruoli del connettore.
Posso bloccare un ruolo specifico su un connettore mentre altri ruoli mantengono l’accesso?
Posso bloccare un ruolo specifico su un connettore mentre altri ruoli mantengono l’accesso?
No. I ruoli nell’elenco concedono l’accesso e non è possibile aggiungere un ruolo come blocco. Se un membro ha due ruoli e uno dei due è nell’elenco, ha accesso. Per escludere un ruolo da un connettore, non inserirlo nell’elenco di ruoli.
I connettori disabilitati sono ancora visibili ai membri?
I connettori disabilitati sono ancora visibili ai membri?
Sì. I membri possono aprire la pagina di un connettore bloccato da un plugin che lo include. La pagina mostra Disabilitato dalla tua organizzazione, Non disponibile o Upgrade richiesto in caso di limiti del piano. In Scopri, i connettori che un membro non può usare appaiono in grigio con un’icona a forma di lucchetto e il motivo al passaggio del mouse. I connettori bloccati non compaiono nei selettori dei connettori.
Cosa succede ai connettori esistenti quando la mia organizzazione passa al controllo degli accessi basato sui ruoli per i connettori?
Cosa succede ai connettori esistenti quando la mia organizzazione passa al controllo degli accessi basato sui ruoli per i connettori?
Il primo giorno non cambia nulla per i membri. I connettori già disabilitati restano Disabilitati. I connettori già abilitati restano Abilitati, con Tutti i membri come unico ruolo nell’elenco, quindi tutti i membri che potevano usarli prima possono continuare a farlo. Per limitare uno di questi connettori a ruoli specifici, aprilo, imposta Accesso generale su Ruoli selezionati e aggiungi i ruoli che devono avere accesso.
Le modifiche ai ruoli e ai connettori vengono registrate nel registro di controllo?
Le modifiche ai ruoli e ai connettori vengono registrate nel registro di controllo?
Sì. Abilitazioni, disabilitazioni, aggiunte e rimozioni di ruoli e modifiche al valore predefinito globale vengono registrate nei registri di controllo dell’organizzazione. Consulta Audit Logs.
Il controllo degli accessi basato sui ruoli per i connettori si applica alla CLI, alle attività pianificate e ai progetti?
Il controllo degli accessi basato sui ruoli per i connettori si applica alla CLI, alle attività pianificate e ai progetti?
Sì. Il controllo viene applicato lato server e si applica in modo coerente alle sessioni dell’agente, alla CLI, alle attività pianificate e a qualsiasi utilizzo dei connettori nell’ambito di un progetto o di un Brain.
Chi può configurare il controllo degli accessi basato sui ruoli per i connettori?
Chi può configurare il controllo degli accessi basato sui ruoli per i connettori?
Gli amministratori e qualsiasi membro il cui ruolo includa l’autorizzazione Manage connector defaults. È la stessa autorizzazione usata per i controlli a livello di strumento del connettore.
Articoli correlati
Hai bisogno di ulteriore aiuto?
Contatta il tuo account team o contattaci tramite Help > Contact Support. Visita il Trust Center per la documentazione su sicurezza e conformità.