Diese Anleitung hilft dir, wenn du einen ChatGPT-Workspace verwaltest oder ChatGPT Plus oder Pro nutzt und den Databricks Genie-Konnektor mit integriertem OAuth oder dem OAuth-Client deiner Organisation einrichten möchtest.
Integriertes OAuth: Nutze die vorkonfigurierte Verbindung, wenn sie in ChatGPT verfügbar und für deinen Databricks-Workspace aktiviert ist. Du musst weder eine OAuth-App erstellen noch eine Client-ID oder ein Client-Geheimnis eingeben. Folge dem Abschnitt „Integriertes OAuth“ weiter unten.
Eigener OAuth-Client: Nutze diesen Weg, wenn integriertes OAuth nicht verfügbar ist oder deine Organisation einen eigenen OAuth-Client vorschreibt. Folge dem Abschnitt „Eigener OAuth-Client“ weiter unten.
Was du einrichtest
Du erstellst eine Databricks-App-Verbindung für dein ChatGPT-Konto oder deinen Workspace. Für beide Wege brauchst du die in ChatGPT angeforderten Databricks-Anbieterdaten und Berechtigungen für die Ressourcen, die du nutzen möchtest. Wenn du einen eigenen OAuth-Client verwendest, bereite außerdem Folgendes vor:
Eine Databricks-OAuth-App-Verbindung, die du in deiner Databricks Account Console erstellt hast.
Die OAuth-Client-ID und das Client-Geheimnis von Databricks.
Die exakt aus ChatGPT kopierte Callback-URL.
Databricks-Berechtigungsbereiche, die zu den Konnektorfunktionen passen, die du aktivieren möchtest.
Alle Databricks-Anbieterdaten, die bei der Einrichtung in ChatGPT angefordert werden, etwa Workspace-Host, Konto-Host, Konto-ID oder Warehouse.
Bevor du beginnst
Du brauchst:
Admin- oder Eigentümerrechte für einen ChatGPT-Workspace oder ein Konto mit ChatGPT Plus oder Pro.
Für einen eigenen OAuth-Client: Adminrechte für das Databricks-Konto. Für einige Aufgaben reichen möglicherweise Workspace-Adminrechte aus. Eigene App-Verbindungen werden jedoch in der Databricks Account Console konfiguriert. Für integriertes OAuth muss eine Person mit Databricks-Adminrechten prüfen, ob die ChatGPT-Anwendung für deinen Workspace verfügbar und aktiviert ist.
Für einen eigenen OAuth-Client: die Databricks Account Console in einem separaten Tab.
Für einen eigenen OAuth-Client: den geöffneten Verbindungsdialog für Databricks Genie in ChatGPT, damit du die exakte Callback-URL kopieren kannst.
Eine Entscheidung darüber, ob die App allgemeinen Zugriff auf die Databricks-APIs oder nur auf Databricks SQL benötigt.
Für einen eigenen OAuth-Client: einen sicheren Ort für den Umgang mit dem Databricks-Client-Geheimnis.
Falls dein Databricks-Konto oder -Workspace den Zugriff durch eine IP-Zugriffsliste, kontextbasierte Eingangskontrollen, eine Firewall oder eine andere Netzwerkrichtlinie einschränkt: Unterstützung von einer Person mit Databricks-Adminrechten, die die aktuellen IP-Bereiche für ausgehende Verbindungen der ChatGPT-Konnektoren zulassen kann.
Kopiere für einen eigenen OAuth-Client die exakte Callback-URL, die in ChatGPT angezeigt wird.
Werte, die du vorbereiten solltest
Für einen eigenen OAuth-Client: Callback-URL. Kopiere sie bei der Konnektoreinrichtung in ChatGPT.
Für einen eigenen OAuth-Client: die Databricks-OAuth-Client-ID.
Für einen eigenen OAuth-Client: das Databricks-OAuth-Client-Geheimnis.
Für einen eigenen OAuth-Client: Databricks-Zugriffsbereiche, die zu den Funktionen der App passen, etwa ALLE APIs oder SQL.
Angaben zum Databricks-Workspace oder -Konto, die bei der Einrichtung in ChatGPT angefordert werden.
Integriertes OAuth
Erfülle zuerst die oben genannten Voraussetzungen. Nutze diesen Weg nur, wenn integriertes OAuth in ChatGPT verfügbar und für deinen Databricks-Workspace aktiviert ist.
Bitte eine Person mit Databricks-Adminrechten zu prüfen, ob die ChatGPT-Anwendung in den Einstellungen für App-Integrationen der Account Console verfügbar und für deinen Workspace aktiviert ist. Wenn die ChatGPT-Anwendung in deiner Databricks Account Console nicht aufgeführt ist, frage bei deiner Ansprechperson für das Databricks-Konto nach, ob die Funktion für dein Konto verfügbar ist.
Wechsle in ChatGPT zu dem Konto oder Workspace, in dem die App verfügbar sein soll. Öffne für eine persönliche Einrichtung Einstellungen > Plugins. Für eine Workspace-Einrichtung öffnest du mit Admin- oder Eigentümerrechten Workspace-Einstellungen > Plugins.
Wähle Databricks Genie und dann App-Verbindung hinzufügen.
Gib den Workspace-Hostnamen (erforderlich) ohne
https://oder URL-Pfad ein.Wähle Weiter, melde dich dann bei Databricks an und prüfe die Einwilligungsanfrage.
Fahre mit den Abschnitten „Verbinden und testen“ und „Zugriff verwalten“ weiter unten fort, einschließlich der Tests mit zugelassenen Mitgliedern und der Workspace-Zugriffsprüfungen.
Eigener OAuth-Client
Erfülle zuerst die oben genannten Voraussetzungen. Nutze diesen Weg, wenn integriertes OAuth nicht verfügbar ist oder deine Organisation einen eigenen OAuth-Client vorschreibt. Führe nach der Einrichtung die Schritte unter „Verbinden und testen“ und „Zugriff verwalten“ weiter unten aus.
Einrichtung des eigenen OAuth-Clients in ChatGPT starten
Wechsle in ChatGPT zu dem Konto oder Workspace, in dem die App verfügbar sein soll.
Öffne für eine persönliche Einrichtung Einstellungen > Plugins. Für eine Workspace-Einrichtung öffnest du mit Admin- oder Eigentümerrechten Workspace-Einstellungen > Plugins.
Wähle Databricks Genie im Verzeichnis.
Wähle App-Verbindung hinzufügen.
Suche im Dialog Databricks Genie verbinden den Abschnitt zum OAuth-Client.
Kopiere die Callback-URL aus ChatGPT. Lass diesen Dialog geöffnet.
Beispiel für eine Callback-URL:
https://chatgpt.com/connector/oauth/<callback_id>
Entferne nicht die Callback-ID, füge keinen abschließenden Schrägstrich hinzu und ersetze die URL nicht durch eine allgemeine ChatGPT-URL. Die in Databricks registrierte URL muss exakt mit der in ChatGPT angezeigten Callback-URL übereinstimmen.
Eigene OAuth-App-Verbindung in Databricks erstellen
Öffne die Databricks Account Console für dein Databricks-Konto.
Öffne in der linken Seitenleiste die Einstellungen.
Öffne den Tab App-Verbindungen.
Wähle Verbindung hinzufügen.
Gib einen Anwendungsnamen ein, etwa ChatGPT Databricks Connector.
Füge unter Weiterleitungs-URLs die exakt aus ChatGPT kopierte Callback-URL ein.
Wähle unter Zugriffsbereiche die Berechtigungsbereiche aus, die die App benötigt.
Verwende ALLE APIs für eine allgemeine Databricks-App, die neben SQL weitere Databricks-APIs benötigt.
Verwende SQL nur für eine App, die auf Databricks SQL-APIs beschränkt ist.
Stelle sicher, dass jeder später in ChatGPT aufgeführte Berechtigungsbereich in dieser Databricks-OAuth-App aktiviert ist. Databricks erlaubt für Apps, die über die Benutzeroberfläche erstellt werden, automatisch openid, email, profile und offline_access.
Behalte für die Token-Gültigkeitsdauer (TTL) die Databricks-Standardwerte bei, sofern deine Organisation keine spezielle Richtlinie vorgibt: 60 Minuten für das Zugriffstoken und 10.080 Minuten für das Aktualisierungstoken.
Aktiviere Client-Geheimnis generieren. ChatGPT benötigt für diesen Ablauf einen vertraulichen OAuth-Client.
Erstelle die Verbindung.
Zugangsdaten aus Databricks kopieren
Kopiere im Dialog Verbindung erstellt die Client-ID.
Kopiere das Client-Geheimnis sofort und bewahre es sicher auf.
Wenn du den Dialog schließt, bevor du das Geheimnis kopiert hast, erstelle neue Zugangsdaten für die OAuth-App oder rotiere die vorhandenen und verwende das neue Geheimnis.
Databricks zeigt das Geheimnis nur einmal an. Behandle es wie andere Zugangsdaten und teile es nicht in Screenshots, Tickets, Kommentaren oder Chats.
Einrichtung des eigenen OAuth-Clients in ChatGPT abschließen
Kehre zum Dialog Databricks Genie verbinden zurück.
Gib die Databricks-Client-ID unter OAuth-Client-ID ein.
Gib das Databricks-Client-Geheimnis unter OAuth-Client-Geheimnis ein.
Gib unter Berechtigungsbereiche (optional) die Berechtigungsbereiche ein, die für den Databricks-Endpunkt und die Funktionen deiner App erforderlich sind. Stimme sie mit den Berechtigungsbereichen ab, die in der Databricks-OAuth-App aktiviert sind.
Gib einen Berechtigungsbereich pro Zeile ein oder trenne sie durch Kommas. Jeder in ChatGPT aufgeführte Berechtigungsbereich muss in der Databricks-OAuth-App aktiviert sein.
Gib den Workspace-Hostnamen (erforderlich) ohne https:// oder URL-Pfad ein. Fülle alle weiteren Pflichtfelder für den Anbieter Databricks aus, die bei der Einrichtung angezeigt werden.
Wähle Weiter.
ChatGPT fordert genau die Berechtigungsbereiche an, die unter Berechtigungsbereiche (optional) eingetragen sind. Es fügt nicht automatisch weitergehende Berechtigungsbereiche aus der Vorlage hinzu.
Verbinden und testen
Führe für beide OAuth-Wege die folgenden Verbindungstests und Zugriffsprüfungen durch.
Prüfe die Konnektordetails, Aktionen und Authentifizierungseinstellungen.
Wenn du den Workspace verwaltest, aktiviere den Konnektor für den Workspace und lege gemäß der Workspace-Richtlinie fest, wer ihn nutzen darf.
Starte den Verbindungsvorgang in ChatGPT mit einem zugelassenen Testkonto und melde dich dann bei Databricks an.
Prüfe, ob der Browser das erwartete Databricks-Konto oder den erwarteten Workspace öffnet.
Prüfe die angeforderten Berechtigungsbereiche und wähle dann Autorisieren.
Prüfe, ob der Browser zu ChatGPT zurückkehrt und der Konnektor als verbunden angezeigt wird.
Führe zuerst eine risikoarme Leseaktion aus, etwa das Abrufen aktueller Kontoinformationen oder das Abfragen einer freigegebenen Databricks SQL-Ressource.
Falls Schreibaktionen aktiviert sind, teste vor einer breiteren Einführung einen eindeutig risikoarmen Databricks-Workflow.
Bitte bei einer Workspace-Einrichtung ein zugelassenes Workspace-Mitglied ohne Adminrechte, die Verbindung herzustellen und den risikoarmen Test zu wiederholen.
Zugriff verwalten
Sowohl Databricks als auch ChatGPT tragen zur Zugriffskontrolle bei.
In ChatGPT legt die Workspace-Administration fest, ob die App verfügbar ist und wie Mitglieder sie nutzen können. In Business legt die Administration fest, ob die App für den gesamten Workspace aktiviert ist. Prüfe die Verwaltungseinstellungen der Databricks-App (Workspace-Einstellungen > Apps) für:
Nutzerzugriff, um festzulegen, welche Workspace-Rollen den Konnektor in unterstützten Enterprise- und Edu-Workspaces nutzen dürfen.
Aktionssteuerung, um festzulegen, welche Databricks-Aktionen aktiviert sind.
App-Berechtigungen, um festzulegen, wann ChatGPT Mitglieder vor der Nutzung des Konnektors um Zustimmung bittet.
Diese App-Berechtigungen gelten für ChatGPT-Unterhaltungen. Workspace Agents verwenden individuelle Einstellungen, die die Person festlegt, die den jeweiligen Agenten erstellt hat. Diese bestimmen, welche App-Aktionen verfügbar sind und wann die Personen, die den Agenten nutzen, um Genehmigung gebeten werden. Informationen zum Verhalten von Agenten findest du im Artikel ChatGPT Workspace Agents für Enterprise und Business.
In Databricks legt die Administration fest, wer die OAuth-App autorisieren darf und auf welche Databricks-Ressourcen diese Personen zugreifen können. Die Berechtigungen des Anbieters gelten auch nach der Aktivierung der App in ChatGPT weiter.
Informationen zu den App-Einstellungen der einzelnen Tarife findest du im Artikel Verwaltungseinstellungen, Sicherheit und Compliance in Apps.
Probleme bei der Einrichtung des Databricks-Konnektors beheben
Weiterleitungs-URI stimmt nicht überein: Wenn du einen eigenen OAuth-Client verwendest, prüfe, ob der Databricks-Wert unter Weiterleitungs-URLs exakt mit der in ChatGPT angezeigten Callback-URL übereinstimmt, einschließlich Pfad und Callback-ID. Entferne nicht die Callback-ID, füge keinen abschließenden Schrägstrich hinzu und setze keine andere ChatGPT-Weiterleitungs-URL ein.
Geheimnis fehlt: Wenn du einen eigenen OAuth-Client verwendest, beachte, dass Databricks Geheimnisse nur einmal anzeigt. Generiere ein neues Client-Geheimnis, wenn du es nicht kopiert hast.
OAuth-App nicht sofort verfügbar: Laut Databricks kann die Verarbeitung von Aktualisierungen an OAuth-Anwendungen bis zu 30 Minuten dauern.
Unzureichender oder nicht passender Berechtigungsbereich: Wenn du einen eigenen OAuth-Client verwendest, vergleiche Berechtigungsbereiche (optional) in ChatGPT mit Zugriffsbereiche in der Databricks-OAuth-App. Jeder von ChatGPT angeforderte Berechtigungsbereich muss dort aktiviert sein. Prüfe, ob die Berechtigungsbereiche den verwendeten Endpunkt und die Funktionen unterstützen, je nach Bedarf einschließlich allgemeinem API-Zugriff oder reinem SQL-Zugriff.
SQL-Aktionen schlagen fehl: Prüfe den Berechtigungsbereich SQL, die Warehouse-Konfiguration und die Databricks-Berechtigungen.
Falscher ChatGPT-Workspace: Erstelle und aktiviere den Konnektor in demselben ChatGPT-Workspace, in dem die Mitglieder ihn verbinden werden.
Falsches Databricks-Konto oder falscher Workspace: Prüfe den Wert unter Workspace-Hostname (erforderlich). Wiederhole dann die Anmeldung und prüfe, ob Databricks das erwartete Konto oder den erwarteten Workspace öffnet.
Verbindung lässt sich nicht herstellen: Prüfe, ob die betroffene Person Zugriff auf Databricks hat und die OAuth-App autorisieren darf. Prüfe in Business, ob die App für den gesamten Workspace aktiviert ist. Prüfe in unterstützten Enterprise- und Edu-Workspaces außerdem, ob die ChatGPT-Einstellung Nutzerzugriff den Konnektor erlaubt.
Die Databricks-Netzwerkrichtlinie blockiert den Konnektor: Wenn Databricks nur bestimmte Quell-IP-Adressen zulässt, muss eine Person mit Databricks-Adminrechten die entsprechenden IP-Zugriffslisten des Kontos oder Workspaces, kontextbasierten Eingangskontrollen, Firewall-Einstellungen oder andere vom Unternehmen verwaltete Netzwerkregeln aktualisieren.
Erlaube eingehende Verbindungen aus den aktuellen IP-Bereichen für ausgehende Verbindungen der ChatGPT-Konnektoren.
Konfiguriere diese Freigabe in Databricks oder in der vom Unternehmen verwalteten Netzwerkebene. Sie ist von der IP-Freigabeliste des ChatGPT-Workspaces unabhängig.
Die veröffentlichten Bereiche können sich ändern. Automatisiere Aktualisierungen anhand der JSON-Datei, wenn möglich.
Rotiere nicht das Client-Geheimnis und ändere nicht die OAuth-Berechtigungsbereiche, um eine Netzwerkblockade zu umgehen. Prüfe zuerst, ob Databricks die Quell-IP-Adressen des Konnektors ablehnt.