Phân quyền tài liệu

Trước khi dùng một tài liệu cho ai đó, Genie kiểm tra hai điều: người đó có mở được kho tri thức không, và trong kho đó họ có được xem tài liệu này không. Bài này giải thích: ai thấy kho tri thức nào; cách giới hạn tài liệu, thư mục và thẻ cho một số người; quyền mang từ SharePoint, Teams và các nguồn khác kết hợp với quyền bạn đặt ra sao; cách cấp quyền có ngày kết thúc; và mức độ nhạy cảm của kho tri thức đóng vai trò gì. Người giới hạn tài liệu là quản trị viên kho tri thức, gồm người tạo kho cùng các Quản trị viên và Chủ sở hữu của workspace. Bộ quy tắc này áp dụng ở mọi nơi Genie hiển thị nội dung: danh sách tài liệu, tìm kiếm, câu trả lời, agent, trang Wiki, xem trước và tải xuống.

Ai thấy gì

Kho tri thức

Ai	Thấy kho tri thức nào	Làm được gì
Thành viên của workspace	Mọi kho tri thức trong workspace	Ai cũng đọc và hỏi được. Người đóng góp quản lý các kho do mình tạo; Quản trị viên và Chủ sở hữu quản lý tất cả.
Các workspace trong Không gian chung mà kho được chia sẻ tới	Kho đó, ở Tri thức → Được chia sẻ	Chỉ đọc: tìm kiếm và hỏi đáp. Có thể sửa: sửa được cả tài liệu, trừ người có vai trò Người xem trong workspace của chính họ (vẫn chỉ đọc). Chỉ workspace sở hữu kho mới đổi được cài đặt, chia sẻ hoặc xóa kho.
Các workspace bên dưới một workspace cha có bật chia sẻ xuống	Các kho mà quản trị viên của workspace cha đã chia sẻ cho Workspace con	Tìm kiếm và hỏi đáp, luôn chỉ đọc
Người dùng một agent được chia sẻ cho workspace của họ	Các kho tri thức của agent, chỉ thông qua agent đó	Chỉ đọc

• Trong một workspace không có danh sách thành viên riêng cho từng kho: thành viên nào cũng mở được mọi kho. Muốn giấu nội dung với một số thành viên, hãy giới hạn tài liệu, thư mục hoặc thẻ của nó (xem bên dưới), hoặc để nội dung ở một workspace riêng (xem Phòng ban lồng nhau).
• Chia sẻ không bao giờ nâng vai trò của bất kỳ ai. Nội dung không được chia sẻ ngang hay ngược lên: một workspace con không thấy kho của workspace ngang hàng, và workspace cha không đọc được kho của workspace con qua cơ chế chia sẻ xuống.
• Cách chia sẻ kho được hướng dẫn ở Kho tri thức. Quản trị viên hệ thống bật tính năng chia sẻ xuống workspace con cho workspace cha (xem Quản trị hệ thống).

Tài liệu

Trong một kho tri thức, ai mở được kho thì thấy mọi tài liệu, trừ khi:

• quản trị viên kho tri thức đã giới hạn tài liệu đó, thư mục chứa nó hoặc một thẻ của nó trong Genie (xem Giới hạn một tài liệu, thư mục hoặc thẻ), hoặc
• tài liệu đến từ một nguồn dữ liệu có mang quyền từ hệ thống nguồn (xem Quyền từ nguồn).

Người không được xem một tài liệu sẽ không nhận được gì từ tài liệu đó: tài liệu không xuất hiện trong danh sách, số đếm thư mục hay kết quả tìm kiếm; nội dung của nó không bao giờ đi vào câu trả lời hay công cụ của agent; trang Wiki viết từ tài liệu bị ẩn; và người đó không xem trước hay tải xuống được. Trong hội thoại được chia sẻ, trích dẫn tới tài liệu mà người xem không có quyền đọc sẽ hiện là bị giới hạn và không kèm tên tài liệu.

Một số cách truy cập Genie không gắn với một người cụ thể, nên chỉ nhận tài liệu không bị giới hạn: khóa API, tiện ích website và máy chủ MCP. Người trò chuyện qua Microsoft Teams hoặc Zalo thấy đúng những gì tài khoản Genie đã liên kết của họ được xem; khi chưa liên kết tài khoản, họ chỉ thấy tài liệu không bị giới hạn (xem Teams, Zalo và tiện ích website).

Giới hạn một tài liệu, thư mục hoặc thẻ

Quản trị viên kho tri thức có thể giới hạn nội dung. Tài liệu, thư mục và thẻ bị giới hạn có biểu tượng ổ khóa. Người được xem nội dung bị giới hạn cũng thấy biểu tượng này nhưng không bao giờ biết còn ai được xem; những người còn lại hoàn toàn không thấy nội dung đó.

Muốn giới hạn	Cách làm	Phạm vi áp dụng
Một tài liệu	Bấm vào tài liệu để mở, rồi mở mục Quyền xem	Tài liệu đó
Một thư mục	Trong cây Thư mục, bấm ⋯ cạnh thư mục, rồi chọn Quyền xem	Mọi tài liệu trong thư mục và các thư mục con, kể cả tài liệu thêm hoặc chuyển vào sau này
Một thẻ	Mở Bộ lọc phía trên danh sách tài liệu và bấm biểu tượng ổ khóa cạnh thẻ	Mọi tài liệu mang thẻ đó, kể cả tài liệu gắn thẻ sau này

Sau đó:

1. Chọn Chỉ những người dưới đây.

2. Chọn loại mục, điền giá trị rồi bấm Thêm. Lặp lại cho từng mục:

   Mục	Cho phép	Ví dụ
   Thành viên	Một thành viên của workspace	Hoàng Thu
   Nhóm	Thành viên có thuộc tính groups chứa nhóm này	Contoso-HR
   Vai trò	Thành viên có vai trò đó hoặc cao hơn, hiển thị dạng Người đóng góp trở lên	Quản trị viên trở lên
   Thuộc tính	Thành viên có thuộc tính mang giá trị này; khi so sánh khóa và giá trị, Genie không phân biệt chữ hoa, chữ thường	department = HR, branch = Đà Nẵng

   Muốn một mục chỉ có hiệu lực tạm thời, hãy chọn ngày ở Hết quyền vào ngày (không bắt buộc) trước khi bấm Thêm (xem Quyền truy cập tạm thời).

3. Bấm Lưu.

Ảnh chụp màn hình sẽ được bổ sungTài liệu khung lương của kho Nhân sự, chỉ phòng Nhân sự và quản trị viên được xemwebsite-docs/public/screenshots/vi/document-permissions.png

Tài liệu khung lương của kho Nhân sự, chỉ phòng Nhân sự và quản trị viên được xem

Ví dụ ở Contoso Việt Nam: trong kho Nhân sự, thư mục Bảng lương chỉ dành cho thành viên có thuộc tính department = HR. Hoàng Thu, trưởng phòng nhân sự, thấy thư mục và nhận câu trả lời từ đó. Võ Nam bên kinh doanh hoàn toàn không thấy thư mục này, và Genie không bao giờ trích dẫn nó cho anh.

Để bỏ giới hạn, mở lại mục Quyền xem, chọn Mọi người xem được kho tri thức rồi bấm Lưu.

Giá trị lấy từ đâu:

• Thuộc tính được đặt cho từng thành viên ở Cài đặt → Thành viên, hoặc do Microsoft Entra ID gửi tới khi đăng nhập nếu quản trị viên hệ thống đã ánh xạ (xem Thuộc tính thành viên).
• Mục Nhóm khớp với thuộc tính groups của thành viên: đặt thuộc tính này ở Thành viên, hoặc nhờ quản trị viên hệ thống ánh xạ nhóm từ hệ thống đăng nhập vào thuộc tính này (xem Thuộc tính hồ sơ SSO). Microsoft Entra ID gửi nhóm dưới dạng object ID, nên mục Nhóm phải dùng đúng giá trị mà thuộc tính đang chứa. Nếu không chắc, mục Thuộc tính như department = HR dễ kiểm tra hơn.

Các quy tắc kết hợp thế nào

• Trong một giới hạn, khớp một mục là đủ. Thư mục mở cho Contoso-HR và Lê Minh thì mọi người trong nhóm và Lê Minh đều xem được.
• Giữa các giới hạn, phải qua tất cả. Một tài liệu có thể chịu giới hạn của chính nó, của mọi thư mục chứa nó và của từng thẻ của nó. Người đọc phải qua hết. Tài liệu nằm trong thư mục bị giới hạn và mang thẻ bị giới hạn thì chỉ người qua được cả hai mới thấy.
• Quy tắc mang từ nguồn và quy tắc trong Genie cùng áp dụng. Khi tài liệu giữ quyền từ hệ thống nguồn, người đọc phải qua cả quy tắc mang sang lẫn quy tắc bạn đặt trong Genie (xem Quyền từ nguồn).
• Quản trị viên kho tri thức luôn thấy tất cả để quản lý được nội dung. Điều này áp dụng cả với quản trị viên của workspace cha khi workspace cha truyền quyền quản trị xuống.
• Giới hạn không có mục nào thì chỉ quản trị viên kho tri thức xem được nội dung.
• Di chuyển và đổi tên: giới hạn gắn với thư mục. Thư mục đổi tên vẫn giữ giới hạn, và tài liệu chuyển vào thư mục bị giới hạn cũng bị giới hạn theo.
• Người từ workspace khác (qua Không gian chung hoặc chia sẻ xuống) không có vai trò nào trong workspace của bạn và không mang thuộc tính thành viên do bạn đặt. Họ xem được nội dung nhờ mục Thành viên ghi đúng tên họ, hoặc nhờ mục Nhóm và Thuộc tính khớp với thuộc tính họ nhận khi đăng nhập. Mục Vai trò không bao giờ khớp với họ.

Quyền từ nguồn

Khi kho tri thức đồng bộ từ một nguồn dữ liệu, mọi tài liệu đồng bộ về đều hiện với tất cả những ai đọc được kho, trừ khi nguồn dữ liệu mang quyền từ nguồn. Khi bật Mang quyền từ nguồn ở bước Chiến lược của nguồn dữ liệu, mỗi tài liệu giữ nguyên danh sách người được đọc như trên hệ thống nguồn: một tệp SharePoint chỉ phòng nhân sự mở được thì trong Genie cũng chỉ phòng nhân sự thấy.

Tính năng này dùng được với SharePoint / OneDrive, Microsoft Teams, máy chủ tệp Windows, Power BI và Confluence, và mặc định tắt. Cách thiết lập được hướng dẫn trong Nguồn dữ liệu.

Cách đối chiếu người trên hệ thống nguồn với Genie:

Trên hệ thống nguồn	Trong Genie
Một người dùng Microsoft Entra ID	Thành viên workspace có cùng tài khoản Entra ID hoặc cùng email
Một nhóm Entra ID	Các thành viên của nhóm, kể cả nhóm lồng nhau; Genie đọc lại danh sách ở mỗi lần đồng bộ
Một kênh Teams	Kênh thường: thành viên của team. Kênh riêng tư hoặc kênh chia sẻ: thành viên riêng của kênh
"Everyone", "Everyone except external users", liên kết "People in your organization"	Không giới hạn: ai đọc được kho đều thấy
Liên kết "Anyone with the link"	Không giới hạn, và nhật ký đồng bộ có cảnh báo
Nhóm SharePoint như "HR Visitors"	Ánh xạ ở Nhóm SharePoint trong nguồn dữ liệu; nhóm "Owners" và "Members" của site gắn với một nhóm Microsoft 365 được ánh xạ tự động
Mọi trường hợp khác (không có tài khoản Genie, khách, nhóm không đọc được thành viên)	Bị từ chối, và được liệt kê trong nhật ký đồng bộ

Quyền mang từ nguồn kết hợp với quyền của bạn thế nào:

• Quy tắc mang sang áp dụng song song với mọi quy tắc bạn đặt trên cùng tài liệu, thư mục hoặc thẻ; người đọc phải qua cả hai. Hãy dùng quy tắc trong Genie để thu hẹp những gì nguồn cho phép, ví dụ chỉ để trưởng phòng nhân sự xem một tệp dù cả nhóm nhân sự mở được nó trên SharePoint. Quy tắc trong Genie không thể nới rộng phạm vi nguồn cho phép.
• Mục Quyền xem của tài liệu hiện quy tắc mang sang ở dạng chỉ đọc, phía trên quy tắc của bạn (Giới hạn thêm đặt trong Genie (áp dụng cả hai)). Muốn đổi quy tắc này, hãy sửa quyền trên hệ thống nguồn hoặc tắt Mang quyền từ nguồn.
• Thay đổi trên hệ thống nguồn (ai đó rời nhóm, quyền chia sẻ một tệp thay đổi) có hiệu lực trong Genie ở lần đồng bộ tiếp theo.
• Nếu tắt Mang quyền từ nguồn, Genie gỡ mọi quy tắc mang sang khi bạn lưu: ai đọc được kho đều thấy các tài liệu đồng bộ.
• Hộp thư Exchange không mang quyền từ nguồn được. Hãy đặt mỗi hộp thư dùng chung vào một kho riêng, hoặc giới hạn thư mục của hộp thư bằng quy tắc trong Genie.

Quyền truy cập tạm thời

Quyền truy cập có thể kết thúc vào một ngày định trước, chẳng hạn khi kiểm toán viên bên ngoài tham gia trong hai tuần. Bạn có thể đặt ngày kết thúc cho:

Quyền	Ở đâu	Ai đặt được
Một thành viên của workspace	Cài đặt → Thành viên: Hết quyền vào ngày khi mời, hoặc cột Thời hạn trong danh sách thành viên (xem Thành viên và đăng nhập)	Chủ sở hữu
Một kho tri thức chia sẻ vào Không gian chung	Cài đặt của kho → Chia sẻ: Chia sẻ đến ngày khi chia sẻ, hoặc cột Thời hạn trong danh sách chia sẻ	Quản trị viên kho tri thức
Một thành viên được dùng agent	Mục Ai được dùng của agent → Chỉ những người tôi chọn → Ngày hết quyền (không bắt buộc) (xem Agent và trợ lý mặc định)	Người sửa được agent
Một mục trong giới hạn tài liệu	Hết quyền vào ngày (không bắt buộc), cạnh từng mục trong phần Quyền xem	Quản trị viên kho tri thức

Cách hoạt động:

• Quyền còn hiệu lực đến hết ngày đã chọn. Không thể đặt ngày hết quyền cho Chủ sở hữu.
• Khi qua ngày đó, quyền dừng ngay: thành viên đã hết hạn không còn mở được workspace; Không gian chung không còn thấy kho có lượt chia sẻ đã hết hạn; thành viên hết quyền dùng agent không dùng được agent nữa; và mục giới hạn tài liệu đã hết hạn không còn cho người đó xem tài liệu.
• Mỗi ngày một lần, Genie gỡ những quyền đã hết hạn và ghi vào nhật ký kiểm toán. Nếu đã thiết lập email gửi đi, Genie còn gửi email báo cho người đã cấp quyền.
• Khi mục cuối cùng của một giới hạn tài liệu hết hạn, giới hạn vẫn còn đó: chỉ quản trị viên kho tri thức xem được nội dung cho đến khi có người sửa lại.
• Danh sách thành viên hiển thị thời gian còn lại (ví dụ Còn 5 ngày), và bộ lọc Sắp hết quyền liệt kê những thành viên hết quyền trong 30 ngày tới.

Mức độ nhạy cảm

Mỗi kho tri thức có một mức độ nhạy cảm: Công khai, Nội bộ (mặc định), Mật hoặc Tối mật. Mức này không ảnh hưởng đến việc ai đọc được kho, mà quyết định mô hình nào được nhận nội dung của kho, theo chính sách dữ liệu cho mô hình của nền tảng. Bài Mô hình và bảo vệ dữ liệu giải thích mỗi mức cho phép những gì.

Để đặt mức:

1. Mở Cài đặt của kho → Bảo vệ dữ liệu.
2. Ở Mức độ nhạy cảm, chọn mức. Trang sẽ liệt kê những mô hình của kho không còn được phép ở mức mới, nếu có.
3. Bấm Lưu và đóng.

Ai được đổi mức:

• Khi tạo kho, người tạo chọn được mức bất kỳ.
• Sau đó, người tạo kho có thể nâng mức; chỉ Quản trị viên hoặc Chủ sở hữu của workspace mới hạ được mức.
• Chỉ đổi được mức trong workspace sở hữu kho; người được chia sẻ kho không bao giờ đổi được.

Các mức khác Nội bộ hiện thành nhãn trong danh sách kho tri thức; trang của kho thì luôn hiện mức đang đặt. Mọi thay đổi đều được ghi vào nhật ký Hoạt động của kho.

Lưu ý

• Mọi thay đổi về giới hạn đều được ghi vào nhật ký Hoạt động của kho, kèm các mục được cấp, thay đổi và gỡ bỏ.
• Genie không viết lại câu trả lời trong hội thoại đã chia sẻ. Nếu người hỏi đọc được một tài liệu bị giới hạn, câu trả lời có thể trích nội dung đó, kể cả khi người được chia sẻ hội thoại không mở được nguồn. Hãy cẩn thận khi chia sẻ những hội thoại như vậy.
• Cột Số mục của một kho trong danh sách kho tri thức đếm mọi tài liệu, kể cả những tài liệu người đọc không được xem.
• Nhân bản không sao chép các giới hạn của kho.
• Kho hỏi đáp FAQ không giới hạn được theo từng mục.
• Agent làm việc theo quyền của người hỏi: agent chỉ dùng tài liệu người đó có quyền xem, bất kể ai tạo agent.
• Bộ lọc metadata chỉ thu hẹp phạm vi tìm kiếm, không bao giờ cấp quyền xem tài liệu (xem Trường và bộ lọc metadata).

Trang liên quan

• Kho tri thức
• Nguồn dữ liệu
• Thành viên và đăng nhập
• Mô hình và bảo vệ dữ liệu
• Tổng quan quản trị
• Hỏi tài liệu (hướng dẫn sử dụng)