工作

Rovo接入Teams先别全开：共享账号需要14项最低权限

|作者: QUASA 编辑团队|2 分钟阅读| 1
Rovo接入Teams先别全开：共享账号需要14项最低权限

Rovo 接入 Microsoft Teams 不必先开放共享账号。用户无需管理员完成共享账号配置，就能在一对一私聊、群聊和频道中使用 Rovo；群聊和频道默认采用临时回复，只有提问者可见，由其决定是否发布到会话。

只有需要 Rovo 以固定身份向整个群聊或频道公开回复时，才要连接 Microsoft 365 租户、创建 Atlassian 服务账号，并授予14项最低 Classic OAuth 范围。Teams 应用安装、共享账号回复、Teamwork Graph 内容索引和应用级 AI 控制是四套不同设置，不能用一个“全开”动作代替分别审批。

先判断是否需要共享账号

Rovo 在 Teams 群聊中分别以临时模式私下回复和共享账号公开回复

普通协作和试点部署可以保留默认模式。在群聊或频道中，临时回复仅向提问者显示；提问者确认内容适合公开后，再主动发布到当前会话。这种模式不需要为公开回复建立共享身份。

共享账号适合必须直接给出公开答案的帮助频道或支持群组。此时 Rovo 使用 Atlassian 组织中的服务账号搜索并呈现 Jira、Confluence 信息，回复会直接出现在整个会话中；因此，服务账号能访问哪些应用和内容，就成为公开答案的数据边界。

  • 一对一私聊：无需共享账号配置即可使用 Rovo。
  • 群聊和频道的临时回复：默认仅提问者可见，由提问者决定是否发布。
  • 共享账号回复：使用固定服务账号获取 Atlassian 内容，并向群聊或频道公开答复。

三步配置共享账号与14项最低范围

管理员为 Rovo Teams 共享账号配置应用角色和14项最低 OAuth 范围

配置前要落实三个管理角色：Atlassian 组织管理员负责选择组织和站点、创建服务账号及 OAuth 凭据；连接 Microsoft 365 租户需要 Microsoft Entra 管理权限；授予 Teams 权限则需要 Microsoft Teams 管理员。角色可以由不同人员承担，Teams 管理员无需 Atlassian 账号即可通过授权链接完成同意。

Atlassian 的 Teams 配置说明 将共享账号部署分为三个必需步骤：连接 Atlassian 站点与 Microsoft 租户、授予 Teams 权限、安装应用；其中服务账号的 OAuth 2.0 凭据至少要启用以下14项 Classic 范围。

  1. 连接站点和租户。在管理员授权流程中选择正确的 Atlassian 组织，登录目标 Microsoft 365 租户，再选择已启用 Rovo 的 Atlassian 站点。应核对站点域名和 Tenant ID，避免把测试环境连接到生产租户。
  2. 创建专用服务账号。在 Atlassian Administration 的 Directory、Service accounts 中创建可识别的账号，只为 Rovo 需要读取的应用分配 User 角色。该账号必须能够访问团队实际使用的 Jira 和 Confluence 内容。
  3. 创建并回填 OAuth 凭据。选择 OAuth 2.0，将范围类型筛选为 Classic，启用下列范围，再把服务账号邮箱、Client ID 和 Client Secret 填回授权流程。Client ID 和 Client Secret 仅在创建时显示一次，应保存到组织认可的机密管理系统。
  • read:account
  • read:confluence-content.all
  • read:confluence-content.permission
  • read:confluence-content.summary
  • read:confluence-groups
  • read:confluence-props
  • read:confluence-space.summary
  • read:confluence-user
  • read:jira-user
  • read:jira-work
  • read:me
  • read:servicedesk-request
  • readonly:content.attachment:confluence
  • search:confluence

这14项是 Atlassian 服务账号凭据的最低 OAuth 范围，不是 Microsoft Graph 权限清单，也不表示账号自动获得全部 Jira 和 Confluence 内容。OAuth 范围决定凭据可以调用哪些能力，应用角色和原有内容权限则继续限制实际可见范围，两层都要检查。

Teams权限和应用安装单独审批

共享账号配置还要求七项 Microsoft 用户委派权限：email、offline_access、openid、profile、User.Read、ChannelMessage.Read.All 和 Chat.Read。它们由 Microsoft Teams 管理员代表整个租户同意，应与14项 Atlassian OAuth 范围分开登记，避免把两组权限误当成同一授权。

第三个必需步骤是在 Teams 管理中心安装或放行 Rovo。管理员可以在 Teams Apps、Manage apps、Rovo、Users and groups 中选择所有人或指定用户和组；若允许用户自行安装，也可以只向试点对象开放应用可用性。应用安装同样是私聊和临时回复的前提，但安装成功不代表共享账号已经配置完成。

完成配置后，可在试点群聊或频道中输入 @Rovo configure，选择 Shared account 并保存，再用不含敏感信息的问题验证公开回复。若该选项仍不可用，应依次检查目标站点是否启用 Rovo、凭据是否填写正确、Teams 管理员同意是否完成，以及服务账号能否访问预期内容。

内容索引不是安装共享账号的附带步骤

Teams 内容索引上线检查覆盖私聊、群聊及各类频道并收紧允许范围

Rovo for Teams 的回复配置与 Teamwork Graph 连接器是两件事。前者让用户在 Teams 中调用 Rovo；后者把 Microsoft Teams 数据同步到 Atlassian，用于建立索引和搜索。通过 Rovo 访问 Teams 数据时，运行时仍会采用用户自己的 Microsoft Teams 访问权限。

风险在于连接器的默认范围。Microsoft Teams 连接器文档 说明，连接器默认索引所有消息，包括一对一私聊、群聊、会议聊天以及公开、私有和共享频道；管理员可用 Team 和 Channel 的允许列表或禁止列表限制摄取对象，也可在首次设置时限定历史数据的回溯时间，而该时间限制之后不能修改。

上线前应直接审核索引范围，不能只确认私有频道在 Teams 中是否隐藏。允许列表和禁止列表控制的是特定 Team 与 Channel；官方页面没有给出用它们单独排除全部一对一私聊的办法。如果组织政策要求私信不得被摄取，而配置结果又无法证明这一要求已满足，就应暂缓启用 Teams 连接器，而不是把内容索引与共享账号一起上线。

AI开关不能代替数据权限治理

组织管理员可以在 Atlassian Administration 的 Rovo、Rovo access 中按应用管理 AI 支持的 Rovo 功能。若同一站点存在多个 Jira 系列应用，只阻止其中一个应用并不一定关闭该站点共用的 AI Search、Chat 或 Create 功能；所有相关应用都需要逐项检查。

Atlassian 的人工智能信任说明 明确区分了两类能力：管理员可以激活或停用应用内由 AI 支持的 Rovo 功能，但 Rovo Search 等非 AI 平台功能不能停用，Rovo 平台应用本身也不能移除。因此，关闭 AI 只能改变 AI 体验，不能替代服务账号最小权限、Teamwork Graph 索引范围和原始内容访问控制。

上线前按四条边界验收

  1. 回复边界：试点阶段保留临时回复，只在确实需要统一公开答案的群聊或频道启用共享账号。
  2. 账号边界：使用专用服务账号，只分配必要的应用角色、内容访问权和14项最低 Classic OAuth 范围，不以个人管理员账号充当共享身份。
  3. Microsoft边界：由相应管理员审批七项委派权限，并把 Rovo 应用限制在批准的用户或组内。
  4. 数据边界：独立决定是否启用 Teamwork Graph 连接器；启用前审查私聊、群聊、各类频道和历史时间窗口，无法满足私信排除要求时暂不建立索引。

更稳妥的部署顺序是：先向试点用户开放无需共享账号的回复模式，再为少数明确场景配置公开回复，最后单独决定是否索引 Teams 内容。这样，公开回复身份、Atlassian 数据权限、Microsoft 消息读取和 AI 控制都能分别审批和回退。

分享:

订阅我们的新闻通讯

将最新 Web3、AI 和加密货币新闻直接发送到您的邮箱。

0