사내 AI 검색의 권한 동기화: 문서를 찾기 전에 확인할 것

커넥터 연결이 곧 전체 공개를 뜻하지는 않습니다

기업 AI가 여러 문서 저장소를 함께 검색하면서 접근 제어도 검색 품질의 일부가 되고 있습니다. Gemini Enterprise 공식 문서는 커스텀 데이터 소스의 ACL 구성을 다루고, Azure AI Search는 필터 방식과 일부 미리보기 권한 기능을 구분합니다. 지원하는 소스와 방식이 다르므로 이름이 비슷한 기능을 동일한 보장으로 해석하면 안 됩니다.

커넥터 계정이 계약 폴더를 읽을 수 있어도 모든 직원이 그 계약을 볼 수 있는 것은 아닙니다. 수집에 사용하는 서비스 계정과 질문자의 신원을 분리하고, 문서별로 허용되는 사용자·그룹을 결과 조회에 반영해야 합니다. 검색 결과를 만든 뒤 화면에서 제목만 숨기는 방식은 요약 단계의 노출을 막지 못합니다.

권한의 생성보다 회수 경로가 중요합니다

그룹 가입과 탈퇴, 외부 협력자의 계약 종료, 문서 공유 해제처럼 권한이 줄어드는 사건을 목록으로 만드세요. 원본 저장소, 신원 매핑, 검색 색인과 답변 캐시 중 어느 단계가 변경을 받아야 하는지 표시합니다. 각 단계의 갱신 지연과 캐시 유효기간이 겹칠 수 있으므로, 권한 회수가 최종 검색·답변에 반영되는 시점을 확인합니다.

동기화가 늦을 때의 동작도 합의해야 합니다. 일괄 갱신만 가능한 환경이라면 민감한 소스의 이용 범위를 좁히거나 조회 시 원본 권한을 재확인하는 방식을 검토할 수 있습니다. 시스템이 권한을 확인하지 못한 상태를 허용으로 간주하면 장애가 정보 노출로 바뀔 수 있습니다.

문서와 사용자의 이름을 안정적으로 연결합니다

이메일 주소만으로 서로 다른 테넌트의 사용자를 같은 사람으로 묶지 않도록 주의합니다. 계정의 안정적인 식별자, 그룹의 범위, 외부 계정의 유효 기간을 관리하세요. 문서를 다른 저장소로 이동하거나 복사할 때 원본 권한을 그대로 유지할지 새 권한을 적용할지도 정책으로 정합니다.

검색 기록에는 사용자가 볼 수 있는 자료의 원문을 필요 이상으로 남기지 않습니다. 조사에는 요청 ID, 적용된 권한 정책 버전, 제외 이유와 결과 문서 ID가 도움이 됩니다. 운영 로그의 열람 권한이 실제 문서 권한보다 넓어지지 않게 관리하는 일도 별도의 확인 항목입니다.

권한별 정답 집합으로 검수합니다

같은 질문을 일반 직원, 부서 관리자, 외부 협력자와 권한 없는 계정으로 실행해 보세요. 정답 여부뿐 아니라 보이지 않아야 하는 제목·문장·파일명이 답변에 섞이는지 확인합니다. 검수 결과에는 시험 계정, 원본 권한, 동기화 시각을 남겨 변경 전후의 차이를 추적할 수 있게 합니다.

• 수집 계정과 질문자 권한을 구분했는가
• 회수 사건이 캐시와 대화 재사용까지 전달되는가
• 권한 확인 실패 시 처리가 정해졌는가
• 허용·차단 사례가 모두 회귀 평가에 포함됐는가