Oversigt

Administratorer for arbejdsområder kan bruge SharePoint-kontroller til at tillade godkendte grupper af websteder, blokere udvalgte grupper af websteder og udelukke understøttede filer med udvalgte Microsoft Purview-følsomhedsmærkater.

En gruppe af SharePoint-websteder, også kaldet et SPSite, kan indeholde flere websteder. En grupperegel gælder for hele gruppen under hensyntagen til den enkelte brugers eksisterende Microsoft-tilladelser. Den giver ikke en bruger adgang til indhold, som vedkommende ikke har adgang til i Microsoft 365.

Webstedsbegrænsninger gælder for understøttet søgning, browsing, filhentning samt læse- og skrivehandlinger i SharePoint. Adgang til OneDrive administreres separat.

Vælg den adgangstilstand, der passer til din politik:

• Tilladte websteder: Når tilladelseslisten ikke er tom, kan brugerne kun få adgang til de angivne grupper af websteder via appen.

• Blokerede websteder: Brugerne kan få adgang til andre grupper af websteder end dem på blokeringslisten, i det omfang deres Microsoft-tilladelser tillader det.

Kun én liste kan indeholde poster ad gangen. En tom tilladelsesliste blokerer ikke alle websteder. Når begge lister er tomme, fjernes begrænsningerne for SharePoint-websteder. Microsoft-tilladelser og andre konfigurerede kontroller gælder stadig.

Tilgængelighed

Kontrollerne og arbejdsområdets Admin API skal være aktiveret for dit arbejdsområde. De tilgængelige kontroller omfatter tilladelseslister og blokeringslister for grupper af websteder, import af websteder fra CSV og udelukkelser baseret på følsomhedsmærkater.

Reglerne gælder for hele grupper af websteder. Disse kontroller for grupper af websteder omfatter ikke afgrænsning til enkelte websteder, mapper eller filer eller håndhævelse af Microsoft Sites.Selected.

Før du begynder

• Find de grupper af websteder, som din organisation vil tillade eller blokere.

• Hent GUID'et for hver gruppe. Et fuldt Microsoft Graph-websteds-id indeholder gruppens GUID som den midterste værdi. Admin API bruger gruppe-GUID'er. CSV-importfunktionen i brugergrænsefladen kan også udtrække dem fra tredelte Graph-websteds-id'er.

• Aktivér de Microsoft-tilladelser, som SharePoint-appen kræver, både i ChatGPTs tilladelsesindstillinger og i Microsoft Entra, herunder Sites.Read.All og Files.Read.All. Disse kontroller filtrerer adgangen på OpenAI-siden. De erstatter ikke Microsofts delegerede tilladelser.

• Hvis du vil konfigurere udelukkelser baseret på følsomhedsmærkater, skal du bede din Microsoft 365- eller Purview-administrator om det uforanderlige GUID for hver mærkat uden kryptering.

• Til API-administration skal du skaffe dit arbejdsområdes UUID, en administratornøgle til ChatGPT-arbejdsområdet og et Microsoft Graph-token, hvis du har brug for at slå SharePoint-URL'er op. De to legitimationsoplysninger har forskellige formål.

Om OpenAI Cookbook

OpenAI Cookbook er OpenAI's offentlige samling af eksempelkode og vejledninger. Denne artikel bruger samlingens vejledning til SharePoint-webstedsadgang og administrationsscript i Python, som begge ligger på GitHub. Du kan åbne disse links i din browser for at læse filerne. Hvis du vil køre scriptet, skal du downloade det og følge vejledningens anvisninger til opsætning og kommandoer.

I hele denne artikel henviser »Cookbook« til denne SharePoint-vejledning, og »Cookbook-værktøjet« henviser til det Python-script, der er linket til. Brug disse ressourcer til at finde kommandoeksempler og vejledning i API-baseret administration af tilladelseslister.

Konfigurer legitimationsoplysninger til API-administration

Bemærk: Du skal være administrator for et arbejdsområde for at kunne oprette administratornøgler. Læs mere.

Opret en administratornøgle til ChatGPT-arbejdsområdet

1. Åbn ChatGPT-administrationskonsollen, og vælg det ønskede arbejdsområde.

2. Gå til Legitimationsoplysninger, og vælg Administratornøgler.

3. Opret en nøgle med tilladelsesniveauet Begrænset, og indstil Apps til Skriv.

4. Opbevar nøglen sikkert. Denne nøgle giver adgang til at læse og ændre SharePoint-politikken for dit arbejdsområde.

Den påkrævede tilladelse er chatgpt.enterprise.apps.write. Bemærk, at hverken en nøgle til API-platform eller et Microsoft Graph-token kan erstatte en administratornøgle til ChatGPT-arbejdsområdet.

Læs mere i Administration af administratornøgler under fanen Legitimationsoplysninger. Se scriptets miljøvariabler til legitimationsoplysninger og et eksempel på sikker indtastning i Cookbooks vejledning til legitimationsoplysninger.

Hent et Microsoft Graph-token

Brug din organisations godkendte proces til Microsoft-godkendelse. Hvis din organisation tillader Graph Explorer, kan du foretage et interaktivt opslag sådan:

1. Åbn Microsoft Graph Explorer, og log ind med en arbejdskonto i den lejer, der indeholder SharePoint-webstederne.

2. Vælg de tilladelser, der kræves for at læse webstederne, typisk Sites.Read.All, via Rediger tilladelser eller Giv samtykke til tilladelser. Bed din Microsoft-administrator om at godkende adgangen, hvis din organisation kræver det.

3. Åbn fanen Adgangstoken, og kopiér tokenet til brug med Microsoft Graph.

Se Microsofts vejledning i Arbejd med Graph Explorer.

Graph-tokenet bruges til at slå SharePoint-URL'er op og finde deres identifikatorer. ChatGPT-administratornøglen bruges til at læse eller opdatere ChatGPT-politikken. Cookbook-værktøjet har kun brug for Graph-tokenet til kommandoer, der slår URL'er op. Læsning eller rydning af en eksisterende tilladelsesliste kræver kun ChatGPT-administratornøglen.

Gem ingen af de to legitimationsoplysninger i versionsstyring, delte dokumenter, skærmbilleder eller logfiler.

Find GUID'et for en gruppe af websteder

Brug SharePoint-webstedets URL

1. Åbn SharePoint-webstedet, mens du er logget ind på Microsoft med en konto, der har adgang til det.

2. Føj /_api/site/id til slutningen af webstedets URL. Brug for eksempel https://contoso.sharepoint.com/sites/Finance/_api/site/id.

3. Kopiér det GUID, der returneres i svaret.

Bemærk: Domæner og identifikatorer i denne artikels eksempler er pladsholdere.

Brug Microsoft Graph

Microsoft Graph returnerer et websteds-id med tre kommaseparerede dele: værtsnavnet, webstedsgruppens GUID og webstedets GUID. Brug den midterste værdi til en regel for en gruppe af websteder. Forskellige websteds-URL'er kan pege på det samme GUID for en gruppe.

Se eksempler på opslag og identifikatorer i Forstå identifikatorer for SharePoint-websteder. Hvis du vil slå flere URL'er op uden at ændre ChatGPT-politikken, kan du bruge vejledningen til inspektion i Cookbook og administrationsscriptet i Python.

Se Microsofts krav til opslag i Hent et SharePoint-websted via dets sti.

Administrer tilladte og blokerede grupper af websteder

Brug arbejdsområdets kontroller

1. Åbn SharePoint-appens Sikkerhedskontroller i dit arbejdsområde.

2. Under Adgangstilstand skal du vælge Tilladte websteder eller Blokerede websteder.

3. Føj grupperne af websteder til den valgte liste. Du kan også bruge CSV-upload som beskrevet nedenfor.

4. Gennemgå dine ændringer, og vælg Gem.

5. Kontrollér den gemte politik, og test din konfiguration.

Websteder, der tilføjes via Admin API, vises i arbejdsområdets kontroller. Websteder, der tilføjes i brugergrænsefladen, er også tilgængelige via API'en. Du kan tilføje eller fjerne poster begge steder. Et websted er ikke bundet til den metode, det blev tilføjet med.

Skift mellem tilladte og blokerede websteder

Kun én liste kan indeholde poster ad gangen. Før du tilføjer poster i den anden tilstand, skal du rydde den eksisterende liste og gemme ændringen. Vælg derefter den anden tilstand, tilføj de ønskede grupper, og gem igen.


Hvis du rydder den aktive liste, ændres adgangen, så snart du gemmer. Når du rydder en tilladelsesliste, fjernes dens webstedsbegrænsning. Når du rydder en blokeringsliste, fjernes dens blokeringer. Planlæg overgangen sammen med andre administratorer. I tidsrummet mellem rydningen af den ene liste og lagringen af den anden kan der være adgang, som den endelige politik vil begrænse.

Upload grupper af websteder fra CSV

CSV-upload understøtter kun grupper af websteder. Hvis du vil udelukke filer efter følsomhedsmærkat, skal du tilføje mærkaternes GUID'er under Udelukkede følsomhedsmærkater uden kryptering.

1. Åbn Sikkerhedskontroller, og vælg den ønskede Adgangstilstand.

2. Klargør en CSV-fil med GUID'er for grupper af websteder eller tredelte websteds-id'er fra Microsoft Graph. Brug samme identifikatorformat i hele filen.

3. Vælg Upload CSV-fil, og vælg filen.

4. Gennemgå importresultatet og den valgte liste. Ret eventuelle rækkefejl, og håndter advarsler, før du fortsætter.

5. Vælg Gem for at anvende ændringerne, og kontrollér derefter den gemte liste.

Krav til og funktion af CSV-import:

• Maksimal filstørrelse: 1 MB.

• Kolonneoverskrifter er valgfrie.

• Brug ét gruppe-GUID pr. række eller tredelte Graph-websteds-id'er. Tredelte id'er kan stå i anførselstegn i ét felt eller fordeles over tre kolonner.

• Tredelte Graph-id'er konverteres til gruppe-GUID'er. Import af et tredelt id opretter ikke en regel for netop det enkelte websted.

• Importer føjer poster til den valgte liste og bevarer eksisterende poster. Dubletter af grupper fjernes. Importantallet viser antallet af nytilføjede grupper.

• Blandede formater og forkert formaterede rækker afvises. En upload, der kun indeholder websteds-URL'er, viser en advarsel og tilføjer ingen websteder. Slå først URL'erne op for at finde gruppernes GUID'er.

• En upload ændrer kun kladden til listen. Den opdaterer ikke adgangen i arbejdsområdet, før du vælger Gem.

• Den CSV-upload, der er beskrevet her, administrerer grupper af websteder. Konfigurer udelukkelser baseret på følsomhedsmærkater separat.

Hvis du har en CSV-fil med SharePoint-URL'er, kan Cookbook-værktøjets CSV-arbejdsgang slå dem op og administrere en tilladelsesliste via API'en. Dets site_url- eller url-input bruger et andet format og en anden arbejdsgang end upload af identifikatorer i brugergrænsefladen.

Forstå grænser for politikker og anmodninger

Standardgrænsen for en politik er 10.000 grupper af websteder. Højere politikgrænser for arbejdsområder, op til 120.000 grupper af websteder, skal aktiveres af OpenAI. Kontakt dit OpenAI-team, før du planlægger en større udrulning.

Enkelte API-ændringskald og det nuværende Cookbook-script accepterer op til 10.000 gruppe-GUID'er pr. anmodning. En højere politikgrænse for arbejdsområdet hæver ikke denne grænse pr. anmodning. Tæl unikke grupper af websteder, ikke kilde-URL'er: Flere URL'er kan henvise til den samme gruppe.

Brug arbejdsområdets Admin API

Brug dit arbejdsområdes UUID og administratornøglen til dit ChatGPT-arbejdsområde med https://api.chatgpt.com.

Find vedligeholdte kommandoer til tilladelseslister og eksempler på anmodninger i Cookbook:

• Læs den eksisterende tilladelsesliste.

• Forhåndsvis og tilføj grupper af websteder. Tilføjelser bevarer eksisterende tilladte grupper.

• Fjern en gruppe af websteder.

• Ryd tilladelseslisten.

Gennemgå den aktuelle politik, før du foretager ændringer. Læs den derefter igen, og test den resulterende adgang. Hvis du fjerner den sidste tilladte gruppe eller rydder tilladelseslisten, fjernes denne webstedsbegrænsning. Send ikke en tom tilføjelsesanmodning, medmindre du ønsker at fjerne tilladelseslistens begrænsninger.

Det offentlige Cookbook-værktøj administrerer i øjeblikket kun tilladelseslister. Det administrerer ikke blokeringslister eller udelukkelser baseret på følsomhedsmærkater. Brug arbejdsområdets kontroller, som er beskrevet ovenfor, til disse opgaver.

Udeluk filer med følsomhedsmærkater

Find mærkatens GUID

Bed din Microsoft 365- eller Purview-administrator om den ønskede mærkats uforanderlige GUID. Brug GUID'et, ikke mærkatens viste navn.

En administrator kan hente en liste over mærkater via Microsoft Graph. Tokenet skal have den relevante tilladelse: SensitivityLabel.Read eller SensitivityLabels.Read.All. Find det id, der svarer til den ønskede mærkats navn, og kontrollér dens beskyttelsesindstillinger.

Se krav og eksempler i Hent en liste over følsomhedsmærkater og Egenskaber for følsomhedsmærkater. Disse mærkattilladelser er adskilt fra den læsetilladelse til websteder, der bruges til at slå SharePoint-URL'er op.

Tilføj udelukkelser baseret på mærkater

1. Åbn SharePoint-appens Sikkerhedskontroller.

2. Indtast GUID'et for hver mærkat uden kryptering under Udelukkede følsomhedsmærkater uden kryptering.

3. Gem konfigurationen, og test en understøttet fil med den udelukkede mærkat.

Filer med matchende understøttede mærkater udelukkes fra SharePoint-appens resultater. Filer med mærkater, der anvender kryptering, er allerede udelukket som standard.

Test din konfiguration

Brug testfiler og konti, der er godkendt af din organisation. Kontrollér før testen, at den samme Microsoft-konto har direkte adgang til hver fil i SharePoint.

1. I tilstanden Tilladte websteder med en liste, der ikke er tom, skal du kontrollere en fil i en tilladt gruppe og en fil i en gruppe, der ikke er på listen. Kun den tilladte gruppe bør være tilgængelig via appen.

2. I tilstanden Blokerede websteder skal du kontrollere en fil i en blokeret gruppe og en fil i en gruppe, der ikke er blokeret. Den blokerede gruppe bør være utilgængelig. Gruppen, der ikke er blokeret, er fortsat underlagt Microsoft-tilladelser og andre kontroller.

3. Kontrollér en understøttet testfil med en udelukket følsomhedsmærkat. Den bør ikke vises i appens resultater.

4. Efter en API-ændring skal du sammenligne den gemte liste i brugergrænsefladen med den politik, API'en returnerer.

5. Efter en CSV-upload skal du gemme ændringerne og åbne kontrollerne igen for at bekræfte, at de tilsigtede grupper er bevaret.

Hvis resultaterne afviger fra den tilsigtede politik, skal du kontrollere arbejdsområdet, den valgte adgangstilstand, den gemte liste, gruppernes GUID'er, mærkaternes GUID'er, den understøttede filtype og brugerens Microsoft-tilladelser. Ryd ikke en liste som led i fejlfinding, medmindre du ønsker den adgangsændring, det medfører.

Få hjælp til manglende kontroller eller uventet adgang her: Kontakt OpenAI Support. Medtag ikke administratornøgler eller Microsoft Graph-tokens i din supportanmodning.

Forstå begrænsningerne

• En grupperegel dækker hele gruppen af websteder. Den kan ikke begrænse adgangen til et bestemt underordnet websted, en bestemt mappe eller en bestemt fil.

• Begrænsninger for SharePoint-websteder begrænser ikke automatisk adgangen til OneDrive.

• Filtrering efter følsomhedsmærkater gælder kun, hvor Microsoft Graph stiller understøttede mærkatmetadata til rådighed, herunder for understøttede Office-dokumenter, PDF- og MP4-filer.

• Filtyper, der ikke understøtter følsomhedsmærkater, f.eks. TXT- og CSV-filer, behandles som filer uden mærkat. De forbliver tilgængelige, hvis adgangen ellers er tilladt. Denne begrænsning for filtyper er uafhængig af upload af en CSV-fil til konfiguration af webstedsadgang.

• Hverken CSV-upload eller det offentlige eksempelværktøj konfigurerer udelukkelser baseret på følsomhedsmærkater. Denne artikel dokumenterer ikke en API til masseadministration af mærkater.

• En gemt politik eller et vellykket API-svar kan ikke erstatte en test af adgangen med den tilsigtede konto.

Brug administrationsværktøjet i Python

Den komplette eksempelkode og kommandoerne vedligeholdes i OpenAI Cookbook:

• Administrationsvejledning.

• Administrationsscript i Python.

• Offline-testfil.

Brug Python 3.10 eller nyere. Værktøjet bruger Pythons standardbibliotek. Læs vejledningen, før du kører det, og brug prøvekørsler til at gennemgå ændringer.

Det nuværende værktøj læser legitimationsoplysninger fra miljøvariabler. Følg vejledningens anvisninger om sikker indtastning. Det kræver udtrykkelig bekræftelse at rydde en tilladelsesliste. En fjernelse kan gennemføres uden denne bekræftelse, så gennemgå den først med en prøvekørsel.

Se oplysninger om genforsøg og valgfrie idempotensnøgler i Gentag en politikopdatering sikkert. Brug kun idempotensnøgler, når arbejdsområdet understøtter dem, og kontrollér den aktuelle politik efter en fejl med uklart udfald.

Værktøjet aktiverer ikke funktioner i arbejdsområdet og kontrollerer ikke, om politikken håndhæves. Dets offline-tests bruger simulerede kald til Microsoft Graph og ChatGPT Admin API.

Ændringer, der kræver flere anmodninger, er ikke atomiske. Hvis fjernelsen af flere grupper fejler undervejs, kan tidligere fjernelser allerede være gennemført. Læs den aktuelle politik, før du prøver igen.

Ofte stillede spørgsmål

Erstatter webstedskontroller Microsoft-tilladelser?

Nej. Appen bruger stadig den enkelte brugers Microsoft-tilladelser. OpenAI anvender den konfigurerede webstedsfiltrering, før svar vises for brugeren og modellen.

Blokerer en tom tilladelsesliste alle websteder?

Nej. En tom tilladelsesliste betyder ikke »blokér alle«. Hvis en blokeringsliste indeholder poster, forbliver disse grupper blokeret. Når ingen af listerne indeholder poster, afgøres adgangen af brugernes Microsoft-tilladelser og andre konfigurerede kontroller.

Logføres ændringer via Admin API?

Politikændringer via Admin API registreres i arbejdsområdets revisions- og compliancelogning.