Общ преглед
Администраторите на работното пространство могат да използват контролите на SharePoint, за да разрешават одобрени колекции от сайтове, да блокират избрани колекции и да изключват поддържани файлове с избрани етикети за чувствителност на Microsoft Purview.
Колекцията от сайтове в SharePoint, наричана още SPSite, може да съдържа няколко сайта. Правилото за колекция се прилага към цялата колекция при спазване на съществуващите разрешения на всеки потребител в Microsoft. То не предоставя на потребителя достъп до съдържание, до което той няма достъп в Microsoft 365.
Ограниченията за сайтове се прилагат към поддържаните действия в SharePoint за търсене, разглеждане, извличане на файлове и четене/запис. Достъпът до OneDrive се управлява отделно.
Изберете режима на достъп, който съответства на вашата политика:
Разрешени сайтове: При непразен списък с разрешени колекции потребителите имат достъп чрез приложението само до включените в него колекции от сайтове.
Блокирани сайтове: Потребителите имат достъп до колекциите от сайтове извън списъка с блокирани колекции според разрешенията си в Microsoft.
Само един списък може да съдържа записи в даден момент. Празният списък с разрешени колекции не блокира всички сайтове. Когато и двата списъка са празни, ограниченията за сайтове в SharePoint се премахват; разрешенията в Microsoft и другите конфигурирани контроли продължават да се прилагат.
Наличност
Контролите и Admin API на работното пространство трябва да бъдат активирани за вашето работно пространство. Наличните контроли включват списъци с разрешени и блокирани колекции от сайтове, импортиране на сайтове от CSV и изключвания по етикети за чувствителност.
Правилата се прилагат към цели колекции от сайтове. Тези контроли за колекции от сайтове не включват ограничаване на обхвата до отделен сайт, папка или файл, нито прилагане на Microsoft Sites.Selected.
Преди да започнете
Определете кои колекции от сайтове вашата организация иска да разреши или блокира.
Получете GUID на всяка колекция. Пълният идентификатор на сайт в Microsoft Graph съдържа GUID на колекцията като средна стойност. Admin API използва GUID на колекции; инструментът за импортиране на CSV в потребителския интерфейс може да ги извлича и от тройките, съставящи идентификаторите на сайтове в Graph.
Активирайте необходимите за приложението SharePoint разрешения на Microsoft както в настройките за разрешения на ChatGPT, така и в Microsoft Entra, включително
Sites.Read.AllиFiles.Read.All. Тези контроли филтрират достъпа от страна на OpenAI; те не заменят делегираните разрешения на Microsoft.За изключванията по етикети за чувствителност поискайте от вашия администратор на Microsoft 365 или Purview неизменяемия GUID на всеки етикет без шифроване.
За администриране чрез API получете UUID на работното си пространство, администраторски ключ за работното пространство в ChatGPT и токен за Microsoft Graph, ако трябва да определяте идентификатори по URL адреси на SharePoint. Двата вида идентификационни данни имат различно предназначение.
За OpenAI Cookbook
OpenAI Cookbook е публичната колекция на OpenAI с примерен код и ръководства. Тази статия използва включените в нея ръководство за достъпа до сайтове в SharePoint и скрипт на Python за администриране, които са публикувани в GitHub. Можете да отворите тези връзки в браузъра си, за да прочетете файловете. За да изпълните скрипта, изтеглете го и следвайте инструкциите за настройка и команди в ръководството.
В тази статия „Cookbook“ означава посоченото ръководство за SharePoint, а „помощната програма от Cookbook“ — скрипта на Python от връзката. Използвайте тези източници за примерни команди и управление на списъци с разрешени колекции чрез API.
Настройте идентификационните данни за администриране чрез API
Забележка: трябва да сте администратор на работното пространство, за да можете да създавате администраторски ключове. Прочетете повече.
Създайте администраторски ключ за работното пространство в ChatGPT
Отворете администраторската конзола на ChatGPT и изберете желаното работно пространство.
Отидете на Идентификационни данни и изберете Администраторски ключове.
Създайте ключ с Ограничени разрешения и задайте Запис за Приложения.
Съхранявайте ключа на сигурно място. Този ключ разрешава четенето и промяната на политиката за SharePoint във вашето работно пространство.
Необходимото разрешение е chatgpt.enterprise.apps.write. Имайте предвид, че ключ за API платформата на OpenAI и токен за Microsoft Graph не могат да заменят администраторски ключ за работното пространство в ChatGPT.
За повече информация вижте: Управление на администраторски ключове в раздела „Идентификационни данни“. За променливите на средата с идентификационни данни за скрипта и пример за безопасно въвеждане вижте инструкциите за идентификационни данни в Cookbook.
Получете токен за Microsoft Graph
Използвайте одобрения от вашата организация процес за удостоверяване в Microsoft. За интерактивна справка, ако вашата организация разрешава Graph Explorer:
Отворете Microsoft Graph Explorer и влезте със служебен акаунт в клиента, който съдържа сайтовете в SharePoint.
Изберете необходимите разрешения за четене на сайтовете, обикновено
Sites.Read.All, чрез Промяна на разрешенията или Съгласие за разрешенията. Поискайте от вашия администратор на Microsoft да одобри достъпа, ако организацията ви го изисква.Отворете раздела Токен за достъп и копирайте токена за използване с Microsoft Graph.
За инструкциите на Microsoft вижте Работа с Graph Explorer.
Токенът за Graph служи за определяне на идентификатори по URL адреси на SharePoint. Администраторският ключ за ChatGPT служи за четене или актуализиране на политиката на ChatGPT. Помощната програма от Cookbook се нуждае от токена за Graph само за команди, които определят идентификатори по URL адреси; за четене или изчистване на съществуващ списък с разрешени колекции е нужен само администраторският ключ за ChatGPT.
Не включвайте нито един от двата вида идентификационни данни в системи за контрол на версиите, споделени документи, екранни снимки или регистрационни файлове.
Намерете GUID на колекция от сайтове
Използвайте URL адреса на сайта в SharePoint
Отворете сайта в SharePoint, след като влезете в Microsoft с акаунт, който има достъп до него.
Добавете
/_api/site/idв края на URL адреса на сайта. Например използвайтеhttps://contoso.sharepoint.com/sites/Finance/_api/site/id.Копирайте GUID, върнат в отговора.
Забележка: примерните домейни и идентификатори в тази статия са заместители.
Използвайте Microsoft Graph
Microsoft Graph връща идентификатор на сайт с три компонента, разделени със запетаи: името на хоста, GUID на колекцията от сайтове и GUID на сайта. Използвайте средната стойност за правило за колекция от сайтове. Различни URL адреси на сайтове могат да съответстват на един и същ GUID на колекция.
За примери за справки и идентификатори вижте Разбиране на идентификаторите на сайтове в SharePoint. За да определите идентификаторите за няколко URL адреса, без да променяте политиката на ChatGPT, използвайте инструкциите за проверка в Cookbook и скрипта на Python за администриране.
За изискванията на Microsoft за справки вижте Извличане на сайт в SharePoint по път.
Управлявайте разрешените и блокираните колекции от сайтове
Използвайте контролите на работното пространство
Отворете Контроли за безопасност и сигурност на приложението SharePoint във вашето работно пространство.
В Режим на достъп изберете Разрешени сайтове или Блокирани сайтове.
Добавете колекциите от сайтове към избрания списък. Можете да използвате и описаното по-долу качване на CSV.
Прегледайте промените и изберете Запазване.
Проверете запазената политика и тествайте конфигурацията си.
Сайтовете, добавени чрез Admin API, се показват в контролите на работното пространство. Сайтовете, добавени в потребителския интерфейс, са достъпни и чрез API. Можете да добавяте или премахвате записи и по двата начина; начинът, по който е добавен сайтът, не ограничава последващото му управление.
Превключвайте между разрешени и блокирани сайтове
Само един списък може да съдържа записи в даден момент. Преди да добавите записи в другия режим, изчистете съществуващия списък и запазете тази промяна. След това изберете другия режим, добавете желаните колекции и запазете отново.
Изчистването на активния списък променя достъпа веднага след запазване. Изчистването на списъка с разрешени колекции премахва ограничението за достъп само до тях; изчистването на списъка с блокирани колекции премахва блокирането им. Планирайте прехода с другите администратори, защото в интервала между изчистването на единия списък и запазването на другия може да е разрешен достъп, който окончателната ви политика ще ограничи.
Качете колекции от сайтове от CSV
Качването на CSV поддържа само колекции от сайтове. За да изключите файлове по етикет за чувствителност, добавете GUID на етикетите в Изключени етикети за чувствителност без шифроване.
Отворете Контроли за безопасност и сигурност и изберете желания Режим на достъп.
Подгответе CSV с GUID на колекции от сайтове или с тройки, съставящи идентификаторите на сайтове в Microsoft Graph. Използвайте един и същ формат на идентификаторите в целия файл.
Изберете Качване на CSV файл и посочете файла.
Прегледайте резултата от импортирането и избрания списък. Отстранете всички грешки или предупреждения за редовете, преди да продължите.
Изберете Запазване, за да приложите промените, след което проверете запазения списък.
Изисквания и поведение при работа с CSV:
Максимален размер на файла: 1 MB.
Заглавките не са задължителни.
Използвайте по един GUID на колекция на ред или тройки, съставящи идентификаторите на сайтове в Graph. Тройките могат да бъдат оградени с кавички в едно поле или разделени в три колони.
Тройките от Graph се преобразуват в GUID на колекции. Импортирането на тройка не създава правило за отделен сайт.
Импортирането добавя записи към избрания списък и запазва съществуващите. Дублиращите се колекции се обединяват в един запис; броят при импортиране отчита новодобавените колекции.
Смесените формати и неправилно форматираните редове се отхвърлят. При качване на файл, съдържащ само URL адреси на сайтове, се показва предупреждение и не се добавят сайтове. Първо определете GUID на колекциите по URL адресите.
Качването променя само черновата на списъка. То не актуализира достъпа в работното пространство, докато не изберете Запазване.
Описаното тук качване на CSV служи за управление на колекции от сайтове. Конфигурирайте изключванията по етикети за чувствителност отделно.
Ако имате CSV с URL адреси на SharePoint, процедурата за работа с CSV в помощната програма от Cookbook позволява да определите идентификаторите им и да управлявате списък с разрешени колекции чрез API. Входните данни site_url или url в нея използват различен формат и процедура от качването на идентификатори в потребителския интерфейс.
Запознайте се с лимитите за политиката и заявките
Лимитът на политиката по подразбиране е 10 000 колекции от сайтове. По-високите лимити на политиката за работното пространство — до 120 000 колекции от сайтове — изискват активиране от OpenAI; свържете се с вашия екип в OpenAI, преди да планирате по-мащабно внедряване.
Отделните операции за промяна чрез API и текущият скрипт от Cookbook приемат до 10 000 GUID на колекции в една заявка. По-високият лимит на политиката за работното пространство не увеличава този лимит за отделна заявка. Бройте уникалните колекции от сайтове, а не изходните URL адреси: няколко URL адреса могат да сочат към една и съща колекция.
Използвайте Admin API на работното пространство
Използвайте UUID на работното си пространство и администраторския му ключ за ChatGPT с https://api.chatgpt.com.
За актуални команди за списъка с разрешени колекции и примерни заявки използвайте Cookbook:
Преглед и добавяне на колекции от сайтове. Добавянето запазва съществуващите разрешени колекции.
Прегледайте текущата политика, преди да правите промени, след това я прочетете отново и тествайте получения достъп. Премахването на последната разрешена колекция или изчистването на списъка с разрешени колекции премахва това ограничение за сайтовете. Не изпращайте празна заявка за добавяне, освен ако не възнамерявате да премахнете ограниченията на списъка с разрешени колекции.
Публично достъпната помощна програма от Cookbook понастоящем управлява само списъци с разрешени колекции. Тя не управлява списъци с блокирани колекции или изключвания по етикети за чувствителност. За тези задачи използвайте описаните по-горе контроли на работното пространство.
Изключете файлове с етикети за чувствителност
Намерете GUID на етикета
Поискайте от вашия администратор на Microsoft 365 или Purview неизменяемия GUID на желания етикет. Използвайте GUID, а не показваното име на етикета.
Администраторът може да получи списък с етикетите чрез Microsoft Graph. Токенът трябва да има приложимото разрешение SensitivityLabel.Read или SensitivityLabels.Read.All. Намерете идентификатора, който съответства на името на желания етикет, и проверете настройките му за защита.
За изисквания и примери вижте Извличане на списък с етикети за чувствителност и Свойства на етикетите за чувствителност. Тези разрешения за етикети са отделни от разрешението за четене на сайтове, използвано за определяне на идентификатори по URL адреси на SharePoint.
Добавете изключвания по етикети
Отворете Контроли за безопасност и сигурност на приложението SharePoint.
Въведете GUID на всеки етикет без шифроване в Изключени етикети за чувствителност без шифроване.
Запазете конфигурацията и тествайте поддържан файл с изключения етикет.
Файловете със съответстващи поддържани етикети се изключват от резултатите на приложението SharePoint. Файловете с етикети, които прилагат шифроване, вече са изключени по подразбиране.
Тествайте конфигурацията си
Използвайте тестови файлове и акаунти, одобрени от вашата организация. Преди тестването потвърдете, че същият акаунт в Microsoft има достъп до всеки файл директно в SharePoint.
В режим Разрешени сайтове с непразен списък проверете файл в разрешена колекция и файл в колекция, която не е в списъка. Само разрешената колекция трябва да е достъпна чрез приложението.
В режим Блокирани сайтове проверете файл в блокирана колекция и файл в неблокирана колекция. Блокираната колекция трябва да е недостъпна; достъпът до неблокираната колекция продължава да зависи от разрешенията в Microsoft и другите контроли.
Проверете поддържан тестов файл с изключен етикет за чувствителност. Той не трябва да се показва в резултатите на приложението.
След промяна чрез API сравнете запазения списък в потребителския интерфейс с политиката, върната от API.
След качване на CSV запазете промените и отворете отново контролите, за да потвърдите, че желаните колекции са запазени.
Ако резултатите се различават от предвидената политика, проверете работното пространство, избрания режим на достъп, запазения списък, GUID на колекциите и етикетите, поддържания тип файл и разрешенията на потребителя в Microsoft. Не изчиствайте списък с цел отстраняване на проблем, освен ако не желаете произтичащата от това промяна в достъпа.
За помощ при липсващи контроли или неочакван достъп вижте: Свързване с поддръжката на OpenAI. Не включвайте администраторски ключове или токени за Microsoft Graph в заявката си до поддръжката.
Запознайте се с ограниченията
Правилото за колекция обхваща цялата колекция от сайтове. То не може да ограничи достъпа до конкретен подсайт, папка или файл.
Ограниченията за сайтове в SharePoint не ограничават автоматично достъпа до OneDrive.
Филтрирането по етикети за чувствителност се прилага само когато Microsoft Graph предоставя поддържани метаданни за етикетите, включително за поддържаните документи на Office, PDF и MP4 файлове.
Типовете файлове, за които не се поддържат етикети за чувствителност, като TXT и CSV, се третират като файлове без етикет. Те остават достъпни, ако достъпът е разрешен според останалите условия. Това ограничение за типовете файлове не е свързано с качването на CSV за конфигуриране на достъпа до сайтове.
Качването на CSV и публично достъпната примерна помощна програма не конфигурират изключвания по етикети за чувствителност. Тази статия не описва API за групово управление на етикети.
Запазената политика или успешният отговор от API не заменят тестването на достъпа с предвидения акаунт.
Използвайте помощната програма на Python за администриране
Пълният примерен код и командите се поддържат в OpenAI Cookbook:
Използвайте Python 3.10 или по-нова версия. Помощната програма използва стандартната библиотека на Python. Прочетете ръководството, преди да я стартирате, и използвайте пробно изпълнение без прилагане на промените, за да ги прегледате.
Текущата версия на помощната програма чете идентификационните данни от променливи на средата; следвайте инструкциите в ръководството за безопасното им въвеждане. Тя изисква изрично потвърждение за изчистване на списък с разрешени колекции. Премахването може да се изпълни без това потвърждение, затова първо го прегледайте чрез пробно изпълнение.
За поведението при повторен опит и незадължителните ключове за идемпотентност вижте Безопасен повторен опит за актуализиране на политика. Използвайте ключове за идемпотентност само когато работното пространство ги поддържа, и проверете текущата политика след неуспешна операция с неясен резултат.
Помощната програма не активира функции на работното пространство и не проверява дали правилата се прилагат. Офлайн тестовете ѝ използват симулирани извиквания към Microsoft Graph и ChatGPT Admin API.
Промените, извършвани чрез няколко заявки, не са атомарни. Ако премахването на няколко колекции се провали по средата, някои от предходните премахвания може вече да са завършили успешно. Прочетете текущата политика, преди да опитате отново.
Често задавани въпроси
Заменят ли контролите за сайтове разрешенията в Microsoft?
Не. Приложението продължава да използва разрешенията на всеки потребител в Microsoft. OpenAI прилага конфигурираното филтриране на сайтове, преди отговорите да бъдат предоставени на потребителя и модела.
Блокира ли празният списък с разрешени колекции всички сайтове?
Не. Празният списък с разрешени колекции не означава „блокиране на всички“. Ако списъкът с блокирани колекции съдържа записи, тези колекции остават блокирани. Когато нито един от списъците не съдържа записи, достъпът се определя от разрешенията на потребителите в Microsoft и другите конфигурирани контроли.
Регистрират ли се промените чрез Admin API?
Промените в политиката чрез Admin API се записват в регистрационните файлове за одит и съответствие на работното пространство.