Přehled

Správci pracovního prostoru mohou pomocí ovládacích prvků SharePointu povolit schválené kolekce webů, blokovat vybrané kolekce webů a vyloučit podporované soubory s vybranými popisky citlivosti Microsoft Purview.

Kolekce webů SharePoint, označovaná také jako SPSite, může obsahovat více webů. Pravidlo kolekce se vztahuje na celou kolekci a respektuje stávající oprávnění každého uživatele v Microsoftu. Neuděluje uživateli přístup k obsahu, ke kterému nemá přístup v Microsoft 365.

Omezení webů se vztahují na podporované operace vyhledávání, procházení, načítání souborů, čtení a zápisu v SharePointu. Přístup k OneDrivu se spravuje samostatně.

Vyberte režim přístupu, který odpovídá vašim zásadám:

• Povolené weby: Pokud seznam povolených není prázdný, uživatelé mají prostřednictvím aplikace přístup pouze k uvedeným kolekcím webů.

• Blokované weby: Uživatelé mají v rámci svých oprávnění Microsoftu přístup ke kolekcím webů, které nejsou na seznamu blokovaných.

Položky může v danou chvíli obsahovat pouze jeden seznam. Prázdný seznam povolených neblokuje všechny weby. Když jsou oba seznamy prázdné, omezení webů SharePoint se zruší. Oprávnění Microsoftu a další nakonfigurované ovládací prvky se uplatňují i nadále.

Dostupnost

Ovládací prvky a Admin API pracovního prostoru musí být pro váš pracovní prostor aktivovány. Dostupné ovládací prvky zahrnují seznamy povolených a blokovaných kolekcí webů, importy webů z CSV a vyloučení podle popisků citlivosti.

Pravidla se vztahují na celé kolekce webů. Tyto ovládací prvky pro kolekce webů nezahrnují omezení na konkrétní jednotlivé weby, složky či soubory ani vynucování oprávnění Microsoft Sites.Selected.

Než začnete

• Určete kolekce webů, které chce vaše organizace povolit nebo blokovat.

• Získejte GUID každé kolekce. Úplné ID webu v Microsoft Graph obsahuje GUID kolekce jako prostřední hodnotu. Admin API používá GUID kolekcí. Nástroj pro import CSV v uživatelském rozhraní je také dokáže získat z trojic tvořících ID webů v Graph.

• V nastavení oprávnění ChatGPT i v Microsoft Entra povolte oprávnění Microsoftu potřebná pro aplikaci SharePoint, včetně Sites.Read.All a Files.Read.All. Tyto ovládací prvky filtrují přístup na straně OpenAI. Nenahrazují delegovaná oprávnění Microsoftu.

• Pro vyloučení podle popisků citlivosti požádejte správce Microsoft 365 nebo Purview o neměnný GUID každého popisku bez šifrování.

• Pro správu přes API si opatřete UUID pracovního prostoru, klíč správce pracovního prostoru ChatGPT a token Microsoft Graph, pokud potřebujete zjistit identifikátory z adres URL SharePointu. Tyto dva přihlašovací údaje slouží k různým účelům.

O OpenAI Cookbook

OpenAI Cookbook je veřejná sbírka ukázkového kódu a příruček od OpenAI. Tento článek využívá její příručku pro přístup k webům SharePoint a skript pro správu v Pythonu, které jsou oba hostované na GitHubu. Soubory si můžete přečíst otevřením těchto odkazů v prohlížeči. Chcete-li skript spustit, stáhněte si ho a postupujte podle pokynů k nastavení a příkazům v příručce.

V tomto článku označuje „Cookbook“ tuto příručku pro SharePoint a „nástroj Cookbook“ odkazovaný skript v Pythonu. V těchto zdrojích najdete příklady příkazů a informace o správě seznamu povolených přes API.

Nastavení přihlašovacích údajů pro správu přes API

Poznámka: Klíče správce můžete vytvářet pouze jako správce pracovního prostoru. Další informace.

Vytvoření klíče správce pracovního prostoru ChatGPT

1. Otevřete konzoli pro správu ChatGPT a vyberte požadovaný pracovní prostor.

2. Přejděte do části Přihlašovací údaje a vyberte Klíče správce.

3. Vytvořte klíč s oprávněními nastavenými na Omezená a u položky Aplikace nastavte Zápis.

4. Klíč bezpečně uložte. Tento klíč opravňuje ke čtení a změnám zásad SharePointu pro váš pracovní prostor.

Požadované oprávnění je chatgpt.enterprise.apps.write. Upozorňujeme, že klíč Platformy API ani token Microsoft Graph nemohou nahradit klíč správce pracovního prostoru ChatGPT.

Další informace najdete v článku Správa klíčů správce na kartě Přihlašovací údaje. Proměnné prostředí pro přihlašovací údaje skriptu a příklad bezpečného zadávání najdete v pokynech k přihlašovacím údajům v příručce Cookbook.

Získání tokenu Microsoft Graph

Použijte postup ověřování Microsoftu schválený vaší organizací. Pokud vaše organizace povoluje Graph Explorer, při interaktivním vyhledávání postupujte takto:

1. Otevřete Microsoft Graph Explorer a přihlaste se pracovním účtem v tenantovi, který obsahuje weby SharePoint.

2. Pomocí možnosti Upravit oprávnění nebo Udělit souhlas s oprávněními vyberte oprávnění potřebná ke čtení webů, obvykle Sites.Read.All. Pokud to vaše organizace vyžaduje, požádejte správce Microsoftu o schválení přístupu.

3. Otevřete kartu Přístupový token a zkopírujte token pro použití s Microsoft Graph.

Pokyny Microsoftu najdete v části Práce s Graph Explorer.

Token Graph slouží ke zjištění identifikátorů z adres URL SharePointu. Klíč správce ChatGPT slouží ke čtení nebo aktualizaci zásad ChatGPT. Nástroj Cookbook potřebuje token Graph pouze pro příkazy, které zjišťují identifikátory z adres URL. Ke čtení nebo vyprázdnění stávajícího seznamu povolených stačí klíč správce ChatGPT.

Ani jeden z těchto přihlašovacích údajů neukládejte do systému správy verzí, sdílených dokumentů, snímků obrazovky ani protokolů.

Zjištění GUID kolekce webů

Použití adresy URL webu SharePoint

1. Otevřete web SharePoint, když jste přihlášeni k Microsoftu pomocí účtu, který k němu má přístup.

2. Na konec adresy URL webu přidejte /_api/site/id. Použijte například https://contoso.sharepoint.com/sites/Finance/_api/site/id.

3. Zkopírujte GUID vrácený v odpovědi.

Poznámka: Domény a identifikátory v příkladech v tomto článku jsou zástupné hodnoty.

Použití Microsoft Graph

Microsoft Graph vrací ID webu se třemi složkami oddělenými čárkami: názvem hostitele, GUID kolekce webů a GUID webu. Pro pravidlo kolekce webů použijte prostřední hodnotu. Různé adresy URL webů mohou odpovídat stejnému GUID kolekce.

Příklady vyhledávání a identifikátorů najdete v části Jak fungují identifikátory webů SharePoint. Chcete-li zjistit identifikátory pro více adres URL, aniž byste měnili zásady ChatGPT, použijte pokyny pro kontrolu adres v příručce Cookbook a skript pro správu v Pythonu.

Požadavky Microsoftu na vyhledávání najdete v části Získání webu SharePoint podle cesty.

Správa povolených a blokovaných kolekcí webů

Použití ovládacích prvků pracovního prostoru

1. V pracovním prostoru otevřete Ovládací prvky bezpečnosti a zabezpečení aplikace SharePoint.

2. V části Režim přístupu vyberte Povolené weby nebo Blokované weby.

3. Přidejte kolekce webů do vybraného seznamu. Můžete také nahrát soubor CSV, jak je popsáno níže.

4. Zkontrolujte změny a vyberte Uložit.

5. Zkontrolujte uložené zásady a otestujte konfiguraci.

Weby přidané přes Admin API se zobrazují v ovládacích prvcích pracovního prostoru. Weby přidané v uživatelském rozhraní jsou dostupné také přes API. Položky můžete přidávat i odebírat oběma způsoby. Způsob přidání webu vás neomezuje v tom, jak ho budete spravovat dál.

Přepínání mezi povolenými a blokovanými weby

Položky může v danou chvíli obsahovat pouze jeden seznam. Než přidáte položky v druhém režimu, vyprázdněte stávající seznam a tuto změnu uložte. Poté vyberte druhý režim, přidejte požadované kolekce a znovu uložte změny.


Vyprázdnění aktivního seznamu změní přístup okamžitě po uložení. Vyprázdněním seznamu povolených zrušíte omezení přístupu na uvedené weby. Vyprázdněním seznamu blokovaných zrušíte jejich blokování. Přechod naplánujte s ostatními správci. V době mezi vyprázdněním jednoho seznamu a uložením druhého může být povolen přístup, který budou konečné zásady omezovat.

Nahrání kolekcí webů ze souboru CSV

Nahrávání souborů CSV podporuje pouze kolekce webů. Chcete-li vyloučit soubory podle popisku citlivosti, přidejte GUID popisků v části Vyloučené popisky citlivosti bez šifrování.

1. Otevřete Ovládací prvky bezpečnosti a zabezpečení a vyberte požadovaný Režim přístupu.

2. Připravte soubor CSV s GUID kolekcí webů nebo s trojicemi tvořícími ID webů v Microsoft Graph. V celém souboru používejte jednotný formát identifikátorů.

3. Vyberte Nahrát soubor CSV a zvolte soubor.

4. Zkontrolujte výsledek importu a vybraný seznam. Než budete pokračovat, vyřešte případné chyby nebo upozornění u řádků.

5. Výběrem možnosti Uložit použijte změny a poté zkontrolujte uložený seznam.

Požadavky na CSV a chování importu:

• Maximální velikost souboru: 1 MB.

• Záhlaví jsou volitelná.

• Na každý řádek uveďte jeden GUID kolekce nebo jednu trojici tvořící ID webu v Graph. Trojice mohou být v uvozovkách v jednom poli nebo rozdělené do tří sloupců.

• Trojice z Graph se převádějí na GUID kolekcí. Importem trojice nevznikne pravidlo pro jeden konkrétní web.

• Import přidává položky do vybraného seznamu a zachovává ty stávající. Duplicitní kolekce se sloučí do jedné položky. Počet importovaných kolekcí udává počet nově přidaných kolekcí.

• Smíšené formáty a chybně formátované řádky jsou odmítnuty. Pokud nahraný soubor obsahuje pouze adresy URL webů, zobrazí se upozornění a žádné weby se nepřidají. Nejprve zjistěte GUID kolekcí odpovídající adresám URL.

• Nahráním se změní pouze návrh seznamu. Přístup v pracovním prostoru se nezmění, dokud nevyberete Uložit.

• Zde popsané nahrávání souborů CSV slouží ke správě kolekcí webů. Vyloučení podle popisků citlivosti nakonfigurujte samostatně.

Pokud máte soubor CSV s adresami URL SharePointu, můžete pomocí postupu pro práci s CSV v nástroji Cookbook zjistit odpovídající identifikátory a spravovat seznam povolených přes API. Jeho vstup site_url nebo url používá jiný formát a postup než nahrávání identifikátorů v uživatelském rozhraní.

Seznamte se s limity zásad a požadavků

Výchozí limit zásad je 10 000 kolekcí webů. Vyšší limity zásad pracovního prostoru, až do 120 000 kolekcí webů, musí povolit OpenAI. Než začnete plánovat rozsáhlejší nasazení, kontaktujte svůj tým OpenAI.

Jednotlivé operace změn přes API a aktuální skript Cookbook přijímají až 10 000 GUID kolekcí na jeden požadavek. Vyšší limit zásad pracovního prostoru tento limit na jeden požadavek nezvyšuje. Počítejte jedinečné kolekce webů, nikoli zdrojové adresy URL: více adres URL může odkazovat na stejnou kolekci.

Použití Admin API pracovního prostoru

Pro https://api.chatgpt.com použijte UUID svého pracovního prostoru a klíč správce pracovního prostoru ChatGPT.

Aktuální příkazy pro seznam povolených a příklady požadavků najdete v příručce Cookbook:

• Načtení stávajícího seznamu povolených.

• Náhled a přidání kolekcí webů. Přidáním se stávající povolené kolekce zachovají.

• Odebrání kolekce webů.

• Vyprázdnění seznamu povolených.

Před provedením změn zkontrolujte aktuální zásady. Poté je znovu načtěte a otestujte výsledný přístup. Odebráním poslední povolené kolekce nebo vyprázdněním seznamu povolených zrušíte omezení přístupu na uvedené weby. Neposílejte prázdný požadavek na přidání, pokud nechcete zrušit omezení daná seznamem povolených.

Veřejně dostupný nástroj Cookbook v současnosti spravuje pouze seznamy povolených. Nespravuje seznamy blokovaných ani vyloučení podle popisků citlivosti. Pro tyto úlohy použijte výše popsané ovládací prvky pracovního prostoru.

Vyloučení souborů s popisky citlivosti

Zjištění GUID popisku

Požádejte správce Microsoft 365 nebo Purview o neměnný GUID požadovaného popisku. Použijte GUID, nikoli zobrazovaný název.

Správce může vypsat popisky prostřednictvím Microsoft Graph. Token musí mít příslušné oprávnění SensitivityLabel.Read nebo SensitivityLabels.Read.All. Podle názvu požadovaného popisku vyhledejte jeho ID a zkontrolujte nastavení ochrany.

Požadavky a příklady najdete v částech Výpis popisků citlivosti a Vlastnosti popisku citlivosti. Tato oprávnění pro popisky jsou oddělená od oprávnění ke čtení webů, které se používá ke zjišťování identifikátorů z adres URL SharePointu.

Přidání vyloučených popisků

1. Otevřete Ovládací prvky bezpečnosti a zabezpečení aplikace SharePoint.

2. V části Vyloučené popisky citlivosti bez šifrování zadejte GUID každého popisku bez šifrování.

3. Uložte konfiguraci a otestujte podporovaný soubor s vyloučeným popiskem.

Soubory s odpovídajícími podporovanými popisky se z výsledků aplikace SharePoint vyloučí. Soubory s popisky, které používají šifrování, jsou již ve výchozím nastavení vyloučeny.

Otestování konfigurace

Použijte testovací soubory a účty schválené vaší organizací. Před testováním ověřte, že tentýž účet Microsoft má přístup ke každému souboru přímo v SharePointu.

1. V režimu Povolené weby s neprázdným seznamem ověřte soubor v povolené kolekci a soubor v kolekci, která na seznamu není. Prostřednictvím aplikace by měla být přístupná pouze povolená kolekce.

2. V režimu Blokované weby ověřte soubor v blokované kolekci a soubor v neblokované kolekci. Blokovaná kolekce by měla být nedostupná. Přístup k neblokované kolekci nadále podléhá oprávněním Microsoftu a dalším ovládacím prvkům.

3. Ověřte podporovaný testovací soubor s vyloučeným popiskem citlivosti. Neměl by se objevit ve výsledcích aplikace.

4. Po změně provedené přes API porovnejte uložený seznam v uživatelském rozhraní se zásadami vrácenými API.

5. Po nahrání souboru CSV uložte změny a znovu otevřete ovládací prvky. Ověřte, že požadované kolekce zůstaly v seznamu.

Pokud výsledky neodpovídají zamýšleným zásadám, zkontrolujte pracovní prostor, zvolený režim přístupu, uložený seznam, GUID kolekcí, GUID popisků, podporovaný typ souboru a oprávnění uživatele v Microsoftu. Při řešení potíží seznam nevyprazdňujte, pokud nechcete provést odpovídající změnu přístupu.

Pokud potřebujete pomoc s chybějícími ovládacími prvky nebo neočekávaným přístupem, přečtěte si: Kontaktování podpory OpenAI. Do žádosti o podporu nevkládejte klíče správce ani tokeny Microsoft Graph.

Seznamte se s omezeními

• Pravidlo kolekce se vztahuje na celou kolekci webů. Nelze jím omezit přístup na konkrétní podřízený web, složku nebo soubor.

• Omezení webů SharePoint automaticky neomezují přístup k OneDrivu.

• Filtrování podle popisků citlivosti se uplatňuje pouze tam, kde Microsoft Graph zpřístupňuje podporovaná metadata popisků, včetně podporovaných dokumentů Office a souborů PDF a MP4.

• Typy souborů, u kterých nejsou popisky citlivosti podporovány, například TXT a CSV, se považují za soubory bez popisku. Zůstávají přístupné, pokud je přístup jinak povolen. Toto omezení typů souborů nesouvisí s nahráváním souboru CSV pro konfiguraci přístupu k webům.

• Nahráním souboru CSV ani veřejně dostupným ukázkovým nástrojem nelze nakonfigurovat vyloučení podle popisků citlivosti. Tento článek nepopisuje API pro hromadnou správu popisků.

• Uložení zásad ani úspěšná odpověď API nenahrazují otestování přístupu pomocí zamýšleného účtu.

Použití nástroje pro správu v Pythonu

Úplný ukázkový kód a příkazy jsou průběžně aktualizovány v OpenAI Cookbook:

• Příručka pro správu.

• Skript pro správu v Pythonu.

• Soubor offline testů.

Použijte Python 3.10 nebo novější. Nástroj používá standardní knihovnu Pythonu. Před spuštěním si přečtěte příručku a změny si ověřte zkušebním spuštěním bez jejich provedení.

Aktuální verze nástroje načítá přihlašovací údaje z proměnných prostředí. Postupujte podle pokynů pro bezpečné zadávání v příručce. Vyprázdnění seznamu povolených vyžaduje výslovné potvrzení. Odebrání položek může proběhnout i bez tohoto potvrzení, proto ho nejprve zkontrolujte zkušebním spuštěním.

Informace o opakování požadavků a volitelných klíčích idempotence najdete v části Bezpečné opakování aktualizace zásad. Klíče idempotence používejte pouze tehdy, pokud je pracovní prostor podporuje. Po selhání s nejednoznačným výsledkem zkontrolujte aktuální zásady.

Nástroj neaktivuje funkce pracovního prostoru ani neověřuje vynucování zásad. Jeho offline testy používají simulovaná volání Microsoft Graph a ChatGPT Admin API.

Změny prováděné více požadavky nejsou atomické. Pokud odebírání více kolekcí selže v průběhu operace, některé kolekce už mohly být úspěšně odebrány. Před opakováním načtěte aktuální zásady.

Časté dotazy

Nahrazují ovládací prvky webů oprávnění Microsoftu?

Ne. Aplikace nadále používá oprávnění každého uživatele v Microsoftu. OpenAI uplatňuje nakonfigurované filtrování webů ještě předtím, než se odpovědi zpřístupní uživateli a modelu.

Blokuje prázdný seznam povolených všechny weby?

Ne. Prázdný seznam povolených neznamená „blokovat vše“. Pokud seznam blokovaných obsahuje položky, tyto kolekce zůstávají blokované. Když ani jeden seznam neobsahuje položky, přístup určují oprávnění uživatelů v Microsoftu a další nakonfigurované ovládací prvky.

Zaznamenávají se změny provedené přes Admin API do protokolu?

Změny zásad provedené přes Admin API se zaznamenávají do protokolů auditu a dodržování předpisů pracovního prostoru.