Databricks-App-Vorlage in ChatGPT einrichten

Hier erfährst du, wie ChatGPT-Workspace-Admins und Personen mit ChatGPT Plus oder ChatGPT Pro Databricks über den OAuth-Client ihrer Organisation verbinden können.

Diese Anleitung ist für dich, wenn du einen ChatGPT-Workspace administrierst oder ChatGPT Plus oder Pro nutzt und die Databricks Genie-App mit integriertem OAuth oder dem OAuth-Client deiner Organisation einrichten möchtest.

Integriertes OAuth: Nutze die vorkonfigurierte Verbindung, wenn sie in ChatGPT verfügbar und für deinen Databricks-Workspace aktiviert ist. Du musst weder eine OAuth-App erstellen noch eine Client-ID oder ein Client-Geheimnis eingeben. Folge dem Abschnitt „Integriertes OAuth“ weiter unten.
Benutzerdefinierter OAuth-Client: Nutze diesen Weg, wenn integriertes OAuth nicht verfügbar ist oder deine Organisation einen eigenen OAuth-Client erfordert. Folge dem Abschnitt „Benutzerdefinierter OAuth-Client“ weiter unten.

Was du einrichtest

Du erstellst eine Verbindung zur Databricks-App für dein ChatGPT-Konto oder deinen Workspace. Für beide Wege benötigst du die in ChatGPT abgefragten Databricks-Anbieterangaben und Berechtigungen für die Ressourcen, die du nutzen möchtest. Wenn du einen benutzerdefinierten OAuth-Client verwendest, bereite außerdem Folgendes vor:

Eine Databricks-OAuth-App-Verbindung, die du in deiner Databricks Account Console erstellt hast.
Die Databricks-OAuth-Client-ID und das zugehörige Client-Geheimnis.
Die exakt aus ChatGPT kopierte Callback-URL.
Databricks-Scopes, die den App-Funktionen entsprechen, die du aktivieren möchtest.
Alle Databricks-Anbieterangaben, die bei der Einrichtung in ChatGPT abgefragt werden, etwa Workspace-Host, Konto-Host, Konto-ID oder Warehouse.

Bevor du beginnst

Öffne für die Einrichtung in einem Workspace die Admin-Konsole, wähle den gewünschten ChatGPT-Workspace aus und öffne „Plugins“. Wähle „Legacy-Apps verwalten“, um die weiterhin verfügbare Apps-Seite zu öffnen. Informationen zur Navigation im Workspace und zum Zugriff auf Legacy-Apps findest du im Artikel Admin-Steuerung, Sicherheit und Compliance für Plugins und Apps.

Du benötigst:

Admin- oder Inhaberrechte für den ChatGPT-Workspace oder ein Konto mit ChatGPT Plus oder Pro.
Für einen benutzerdefinierten OAuth-Client: Adminrechte für das Databricks-Konto. Für einige Aufgaben reichen möglicherweise Workspace-Adminrechte aus. Benutzerdefinierte App-Verbindungen werden jedoch in der Databricks Account Console konfiguriert. Für integriertes OAuth muss eine Person mit Databricks-Adminrechten prüfen, ob die ChatGPT-Anwendung für deinen Workspace verfügbar und aktiviert ist.
Für einen benutzerdefinierten OAuth-Client: die in einem separaten Tab geöffnete Databricks Account Console.
Für einen benutzerdefinierten OAuth-Client: die in ChatGPT geöffnete Verbindungsseite für Databricks Genie, damit du die exakte Callback-URL kopieren kannst.
Eine Entscheidung darüber, welche Funktionen die App benötigt: Genie und KI/BI-Dashboards, umfassenderen Zugriff auf Databricks-APIs oder eine App, die auf Databricks SQL-APIs beschränkt ist. Reiner SQL-Zugriff reicht für Genie- oder Dashboard-Aktionen nicht aus.
Für einen benutzerdefinierten OAuth-Client: einen sicheren Ort für den Umgang mit dem Databricks-Client-Geheimnis.
Falls dein Databricks-Konto oder -Workspace den Zugriff über eine IP-Zugriffsliste, eine kontextbasierte Eingangskontrolle, eine Firewall oder eine andere Netzwerkrichtlinie einschränkt: Unterstützung durch eine Person mit Databricks-Adminrechten, die die aktuellen IP-Bereiche für ausgehende Verbindungen von ChatGPT-Apps freigeben kann.

Kopiere für einen benutzerdefinierten OAuth-Client die in ChatGPT angezeigte Callback-URL exakt.

Werte, die du vorbereiten solltest

Für einen benutzerdefinierten OAuth-Client: die Callback-URL. Kopiere sie aus dem Einrichtungsprozess für die App in ChatGPT.
Für einen benutzerdefinierten OAuth-Client: die Databricks-OAuth-Client-ID.
Für einen benutzerdefinierten OAuth-Client: das Databricks-OAuth-Client-Geheimnis.
Für einen benutzerdefinierten OAuth-Client: Databricks-Zugriffsscopes, die zu den Funktionen der App passen. Wenn für eine neue Genie-/Dashboard-Verbindung ai-gateway, dashboards und offline_access angezeigt werden, bereite diese Scopes vor. ALLE APIs (all-apis mit offline_access) bleibt die ältere Alternative mit umfassenderem Zugriff. Verwende SQL nur für eine App, die auf Databricks SQL-APIs beschränkt ist.
Angaben zum Databricks-Workspace oder -Konto, die bei der Einrichtung in ChatGPT abgefragt werden.

Integriertes OAuth

Erfülle zuerst die oben genannten Voraussetzungen. Nutze diesen Weg nur, wenn integriertes OAuth in ChatGPT verfügbar und für deinen Databricks-Workspace aktiviert ist.

Bitte eine Person mit Databricks-Adminrechten zu prüfen, ob die ChatGPT-Anwendung in den Einstellungen für App-Integrationen der Databricks Account Console verfügbar und für deinen Workspace aktiviert ist. Wenn die ChatGPT-Anwendung nicht in deiner Databricks Account Console aufgeführt ist, frage bei deiner Ansprechperson für das Databricks-Konto nach, ob die Funktion für dein Konto verfügbar ist.
Wechsle in ChatGPT zu dem Konto oder Workspace, in dem die App verfügbar sein soll. Gehe für eine persönliche Einrichtung zu Einstellungen > Plugins. Für eine Workspace-Einrichtung öffnest du mit Admin- oder Inhaberrechten für den Workspace Admin-Konsole > Plugins.
Wähle Databricks Genie und dann App-Verbindung hinzufügen.
Gib unter Workspace-Hostname (erforderlich) den Hostnamen ohne https:// oder URL-Pfad ein.
ChatGPT leitet aus diesem Hostnamen den Workspace-lokalen Genie-MCP-Endpunkt https://<workspace-host>/ai-gateway/mcp-services/system.ai.genie_one_mcp ab. Ein separater regionaler MCP-Endpunkt ist nicht nötig.
Wähle Weiter, melde dich dann bei Databricks an und prüfe die Einwilligungsanfrage.

Fahre mit den folgenden Abschnitten „Verbinden und testen“ und „Zugriff verwalten“ fort, einschließlich der Tests mit zugelassenen Mitgliedern und der Prüfung des Workspace-Zugriffs.

Eigener OAuth-Client

Erfülle zuerst die oben genannten Voraussetzungen. Wähle diesen Weg, wenn integriertes OAuth nicht verfügbar ist oder deine Organisation einen eigenen OAuth-Client voraussetzt. Führe nach der Einrichtung die Schritte unter „Verbinden und testen“ und „Zugriff verwalten“ weiter unten aus.

Benutzerdefinierte OAuth-Einrichtung in ChatGPT starten

Wechsle in ChatGPT zu dem Konto oder Workspace, in dem die App verfügbar sein soll.
Gehe für eine persönliche Einrichtung zu Einstellungen > Plugins. Für eine Workspace-Einrichtung öffnest du mit Admin- oder Inhaberrechten für den Workspace Admin-Konsole > Plugins.
Wähle im Verzeichnis die App Databricks Genie.
Wähle App-Verbindung hinzufügen.
Suche im Dialog Databricks Genie verbinden die Felder OAuth-Client-ID und OAuth-Client-Geheimnis. Durch die Eingabe der Zugangsdaten in diese sichtbaren Felder richtest du einen benutzerdefinierten Client ein. Eine separate Auswahl ist nicht nötig.
Kopiere die Callback-URL aus ChatGPT. Lass diesen Dialog geöffnet.

ChatGPT Connect Databricks Genie dialog showing the callback URL field and OAuth client settings.

Beispiel für eine Callback-URL:

https://chatgpt.com/connector/oauth/<callback_id>

Entferne weder die Callback-ID noch füge einen abschließenden Schrägstrich hinzu. Ersetze die URL auch nicht durch eine allgemeine ChatGPT-URL. Die in Databricks registrierte URL muss exakt mit der in ChatGPT angezeigten Callback-URL übereinstimmen.

Eine benutzerdefinierte OAuth-App-Verbindung in Databricks erstellen

Öffne die Databricks Account Console für dein Databricks-Konto.
Öffne in der linken Seitenleiste Einstellungen.
Öffne den Tab App-Verbindungen.
Wähle Verbindung hinzufügen.
Gib einen Anwendungsnamen ein, zum Beispiel ChatGPT Databricks.
Füge unter Weiterleitungs-URLs die exakt aus ChatGPT kopierte Callback-URL ein.
Wähle unter Zugriffsscopes die Scopes aus, die die App benötigt.
Wenn in ChatGPT für eine neue Genie-/Dashboard-Verbindung ai-gateway, dashboards und offline_access angezeigt werden, lasse dieselben Scopes in der Databricks-OAuth-App zu.
ALLE APIs bleibt die ältere Alternative mit umfassenderem Zugriff für den allgemeinen Zugriff auf Databricks-APIs. Verwende für diese Konfiguration all-apis und offline_access in ChatGPT und stelle sicher, dass die Databricks-OAuth-App beide zulässt. Verwende für eine neue Genie-/Dashboard-Verbindung vorzugsweise die angezeigten granularen Scopes.
Verwende SQL nur für eine App, die auf Databricks SQL-APIs beschränkt ist. Reiner SQL-Zugriff reicht für Genie- oder Dashboard-Aktionen nicht aus.
Stelle sicher, dass jeder später in ChatGPT aufgeführte Scope in dieser Databricks-OAuth-App aktiviert ist. Databricks lässt openid, email, profile und offline_access automatisch für Apps zu, die über die Benutzeroberfläche erstellt werden.
Behalte die Databricks-Standardwerte für die Token-Gültigkeitsdauer (TTL) bei, sofern deine Organisation keine eigene Richtlinie vorgibt: 60 Minuten für das Zugriffstoken und 10.080 Minuten für das Aktualisierungstoken.
Aktiviere Client-Geheimnis generieren. ChatGPT benötigt für diesen Ablauf einen vertraulichen OAuth-Client.
Erstelle die Verbindung.

Databricks OAuth connection settings showing redacted client ID and redirect URL, access scopes, and the client-secret option.

Zugangsdaten aus Databricks kopieren

Kopiere im Dialog Verbindung erstellt die Client-ID.
Kopiere das Client-Geheimnis sofort und speichere es sicher.
Wenn du den Dialog schließt, bevor du das Geheimnis kopiert hast, erstelle oder erneuere die Zugangsdaten der OAuth-App und verwende das neue Geheimnis.

Databricks zeigt das Geheimnis nur einmal an. Behandle es wie Zugangsdaten und nimm es nicht in Screenshots, Tickets, Kommentare oder Chats auf.

Benutzerdefinierte OAuth-Einrichtung in ChatGPT abschließen

Kehre zum Dialog Databricks Genie verbinden zurück.
Gib die Databricks-Client-ID unter OAuth-Client-ID ein.
Gib das Databricks-Client-Geheimnis unter OAuth-Client-Geheimnis ein.
Durch die Eingabe dieser Zugangsdaten wird dein benutzerdefinierter OAuth-Client verwendet. Eine separate Auswahl ist nicht nötig.
Gib unter Scopes (optional) die Scopes ein, die für den Databricks-Endpunkt und die Funktionen deiner App erforderlich sind. Stimme sie mit den Scopes ab, die in der Databricks-OAuth-App aktiviert sind.
Wenn bei einer neuen Genie-/Dashboard-Verbindung ai-gateway, dashboards und offline_access angezeigt werden, behalte diese Scopes bei. Stelle sicher, dass die Databricks-OAuth-App dieselben Scopes zulässt. ai-gateway ermöglicht die Workspace-lokale Genie-MCP-Verbindung, dashboards ermöglicht AI/BI-Dashboard-Aktionen und offline_access ermöglicht die Nutzung von Refresh-Tokens.
Die ältere, umfassendere Alternative aus all-apis und offline_access wird weiterhin für einen breiteren API-Zugriff unterstützt, ist für diese Genie-/Dashboard-Verbindung aber nicht die bevorzugte Wahl. Wenn die Databricks-App nur all-apis zulässt, aktualisiere sie oder erstelle sie neu, damit sie ai-gateway, dashboards und offline_access zulässt. Wenn granulare Scopes nicht verfügbar sind, lege in ChatGPT ausdrücklich all-apis und offline_access fest und stelle sicher, dass die Databricks-App beide zulässt. Fordere die drei granularen Scopes nicht in ChatGPT an, wenn die Databricks-App nur all-apis zulässt.
Gib einen Scope pro Zeile ein oder trenne die Scopes durch Kommas. Jeder in ChatGPT aufgeführte Scope muss in der Databricks-OAuth-App aktiviert sein.
Gib unter Workspace-Hostname (erforderlich) den Hostnamen ohne https:// oder URL-Pfad ein. Fülle alle weiteren Pflichtfelder für den Anbieter Databricks aus, die bei der Einrichtung angezeigt werden.
ChatGPT leitet aus diesem Hostnamen den Workspace-lokalen Genie-MCP-Endpunkt https://<workspace-host>/ai-gateway/mcp-services/system.ai.genie_one_mcp ab. Ein separater regionaler MCP-Endpunkt ist nicht nötig.
Wähle Weiter.

ChatGPT fordert genau die Scopes an, die unter Scopes (optional) eingetragen sind. Umfassendere Scopes aus der Vorlage werden nicht automatisch hinzugefügt.

ChatGPT Connect Databricks Genie dialog showing a mock workspace hostname, mock client ID, masked secret, and scopes.

Verbinden und testen

Führe für beide OAuth-Wege die folgenden Verbindungstests und Zugriffsprüfungen durch.

Prüfe die App-Details, Aktionen und Authentifizierungseinstellungen.
Wenn du den Workspace administrierst, aktiviere die App für den Workspace und lege gemäß der Workspace-Richtlinie fest, wer sie nutzen darf.
Starte den Verbindungsprozess in ChatGPT mit einem zugelassenen Testkonto und melde dich dann bei Databricks an.
Prüfe, ob der Browser das erwartete Databricks-Konto oder den erwarteten Workspace öffnet.
Prüfe die angeforderten Scopes und wähle dann Autorisieren.
Prüfe, ob der Browser zu ChatGPT zurückkehrt und die App als verbunden angezeigt wird.
Führe eine risikoarme Leseaktion aus, die zu den Funktionen der Verbindung passt. Sende bei einer Genie-Verbindung eine Genie-Anfrage zu Daten, auf die das Testkonto zugreifen darf. Rufe bei anderen unterstützten Funktionen Informationen zum aktuell angemeldeten Konto ab oder frage eine freigegebene Databricks SQL-Ressource ab. Prüfe, ob die Person die erforderlichen Berechtigungen für Databricks-Ressourcen hat. OAuth-Scopes allein gewähren keinen Zugriff auf Daten.
Wenn Schreibaktionen aktiviert sind, teste sie vor der breiteren Einführung mit einem eindeutig risikoarmen Databricks-Workflow.
Bitte bei der Einrichtung für einen Workspace ein zugelassenes Workspace-Mitglied ohne Adminrechte, die Verbindung herzustellen und den risikoarmen Test zu wiederholen.

Zugriff verwalten

Databricks und ChatGPT tragen beide zur Zugriffssteuerung bei.

In ChatGPT legen Personen mit Workspace-Adminrechten fest, ob die App verfügbar ist und wie Mitglieder sie nutzen können. Bei Business legen Personen mit Adminrechten fest, ob die App für den gesamten Workspace aktiviert ist. Prüfe in der Admin-Steuerung für Databricks-Apps (Workspace-Einstellungen > Apps oder Admin-Konsole > Plugins > Legacy-Apps verwalten) die folgenden Einstellungen:

Nutzerzugriff, um festzulegen, welche Workspace-Rollen die App in unterstützten Enterprise- und Edu-Workspaces verwenden dürfen.
Aktionssteuerung, um festzulegen, welche Databricks-Aktionen aktiviert sind.
App-Berechtigungen, um festzulegen, wann ChatGPT Mitglieder vor der Verwendung der App um Erlaubnis bittet.

Diese App-Berechtigungen gelten für ChatGPT-Unterhaltungen. Workspace Agents verwenden individuelle Einstellungen, die von der Person festgelegt werden, die den jeweiligen Agenten erstellt hat. Diese bestimmen, welche App-Aktionen verfügbar sind und wann die nutzenden Personen um Zustimmung gebeten werden. Informationen zum Verhalten von Agenten findest du im Artikel ChatGPT Workspace Agents für Enterprise und Business.

In Databricks legen Personen mit Adminrechten fest, wer die OAuth-App autorisieren darf und auf welche Databricks-Ressourcen diese Personen zugreifen können. Die Berechtigungen des Anbieters gelten auch nach der Aktivierung der App in ChatGPT weiterhin.

Informationen zur Navigation im Workspace, zum App-Zugriff und zu den je nach Plan verfügbaren App-Steuerungsoptionen findest du im Artikel Admin-Steuerung, Sicherheit und Compliance in Apps.

Probleme beim Einrichten der Databricks-App beheben

Weiterleitungs-URI stimmt nicht überein: Wenn du einen benutzerdefinierten OAuth-Client verwendest, prüfe, ob der Wert unter Weiterleitungs-URLs in Databricks exakt mit der in ChatGPT angezeigten Callback-URL übereinstimmt, einschließlich Pfad und Callback-ID. Entferne nicht die Callback-ID, füge keinen abschließenden Schrägstrich hinzu und ersetze die URL nicht durch eine andere ChatGPT-Weiterleitungs-URL.
Geheimnis fehlt: Wenn du einen benutzerdefinierten OAuth-Client verwendest, beachte, dass Databricks Geheimnisse nur einmal anzeigt. Generiere ein neues Client-Geheimnis, falls es nicht kopiert wurde.
OAuth-App nicht sofort verfügbar: Laut Databricks kann die Verarbeitung von Aktualisierungen an OAuth-Anwendungen bis zu 30 Minuten dauern.
Unzureichende oder nicht übereinstimmende Scopes: Wenn du einen benutzerdefinierten OAuth-Client verwendest, vergleiche Scopes (optional) in ChatGPT mit Zugriffsscopes in der Databricks-OAuth-App. Jeder von ChatGPT angeforderte Scope muss dort aktiviert sein. Prüfe, ob die Scopes den Endpunkt und die Funktionen unterstützen, die du verwendest.
Wenn für eine neue Genie-/Dashboard-Verbindung ai-gateway, dashboards und offline_access angezeigt werden, behalte diese Scopes in ChatGPT bei und stelle sicher, dass die Databricks-App alle drei zulässt. Wenn die App nur all-apis zulässt, aktualisiere sie oder erstelle sie neu, sodass sie die drei granularen Scopes zulässt.
Wenn granulare Scopes nicht verfügbar sind, nutze die unterstützte Alternative mit umfassenderem Zugriff: Lege in ChatGPT all-apis und offline_access fest und stelle sicher, dass die Databricks-App beide zulässt. Eine App, die nur all-apis zulässt, entspricht nicht einer ChatGPT-Anfrage nach ai-gateway, dashboards und offline_access. Reiner SQL-Zugriff eignet sich nur für eine App, die auf Databricks SQL-APIs beschränkt ist. Für Genie- oder Dashboard-Aktionen reicht er nicht aus.
SQL-Aktionen schlagen fehl: Prüfe bei einer App, die auf Databricks SQL-APIs beschränkt ist, den Scope SQL, die Warehouse-Konfiguration und die Databricks-Berechtigungen.
Falscher ChatGPT-Workspace: Erstelle und aktiviere die App in dem ChatGPT-Workspace, in dem die Mitglieder sie verbinden werden.
Falsches Databricks-Konto oder falscher Workspace: Prüfe den Wert unter Workspace-Hostname (erforderlich). Melde dich dann erneut an und prüfe, ob Databricks das erwartete Konto oder den erwarteten Workspace öffnet.
Personen können keine Verbindung herstellen: Prüfe, ob die jeweilige Person Zugriff auf Databricks hat und die OAuth-App autorisieren darf. Prüfe bei Business, ob die App für den gesamten Workspace aktiviert ist. Prüfe in unterstützten Enterprise- und Edu-Workspaces außerdem, ob die App in ChatGPT unter Nutzerzugriff zugelassen ist.
Databricks-Netzwerkrichtlinie blockiert die App: Wenn Databricks nur bestimmte Quell-IP-Adressen zulässt, muss eine Person mit Databricks-Adminrechten die betreffenden IP-Zugriffslisten für das Konto oder den Workspace, kontextbasierte Eingangskontrollen, die Firewall oder andere vom Kundenunternehmen verwaltete Netzwerkregeln aktualisieren.
- Lasse eingehende Verbindungen aus den aktuellen IP-Bereichen für ausgehende Verbindungen von ChatGPT-Apps zu.
- Konfiguriere diese Freigabe in Databricks oder auf der vom Kundenunternehmen verwalteten Netzwerkebene. Sie ist unabhängig von der IP-Freigabeliste des ChatGPT-Workspaces.
- Die veröffentlichten Bereiche können sich ändern. Automatisiere Aktualisierungen anhand der JSON-Datei, wenn möglich.
- Erneuere nicht das Client-Geheimnis und ändere nicht die OAuth-Scopes, um eine Netzwerkblockade zu umgehen. Prüfe zuerst, ob Databricks die Quell-IP-Adressen der App zurückweist.