Überblick

Workspace-Admins können über die SharePoint-Einstellungen genehmigte Websitesammlungen zulassen, ausgewählte Websitesammlungen sperren und unterstützte Dateien mit ausgewählten Microsoft Purview-Vertraulichkeitsbezeichnungen ausschließen.

Eine SharePoint-Websitesammlung, auch SPSite genannt, kann mehrere Websites enthalten. Eine Sammlungsregel gilt für die gesamte Sammlung. Dabei gelten weiterhin die bestehenden Microsoft-Berechtigungen der jeweiligen Person. Sie gewährt einer Person keinen Zugriff auf Inhalte, auf die diese in Microsoft 365 nicht zugreifen kann.

Websitebeschränkungen gelten für unterstützte SharePoint-Aktionen beim Suchen, Durchsuchen, Abrufen von Dateien sowie beim Lesen und Schreiben. Der OneDrive-Zugriff wird separat verwaltet.

Wähle den Zugriffsmodus, der zu deiner Richtlinie passt:

• Zugelassene Websites: Bei einer nicht leeren Zulassungsliste können Personen über die App nur auf die aufgeführten Websitesammlungen zugreifen.

• Gesperrte Websites: Personen können im Rahmen ihrer Microsoft-Berechtigungen auf alle Websitesammlungen zugreifen, die nicht auf der Sperrliste stehen.

Es kann immer nur eine Liste Einträge enthalten. Eine leere Zulassungsliste sperrt nicht alle Websites. Wenn beide Listen leer sind, werden die SharePoint-Websitebeschränkungen aufgehoben. Microsoft-Berechtigungen und andere konfigurierte Zugriffseinstellungen gelten weiterhin.

Verfügbarkeit

Die Einstellungen und die Admin API des Workspace müssen für deinen Workspace freigeschaltet sein. Zu den verfügbaren Funktionen gehören Zulassungslisten und Sperrlisten für Websitesammlungen, CSV-Websiteimporte und Ausschlüsse nach Vertraulichkeitsbezeichnungen.

Regeln gelten für ganze Websitesammlungen. Diese Einstellungen für Websitesammlungen umfassen weder eine gezielte Beschränkung auf einzelne Websites, Ordner oder Dateien noch die Durchsetzung von Microsoft Sites.Selected.

Bevor du beginnst

• Ermittle die Websitesammlungen, die deine Organisation zulassen oder sperren möchte.

• Beschaffe die GUID jeder Sammlung. Eine vollständige Microsoft Graph-Website-ID enthält die Sammlungs-GUID als mittleren Wert. Die Admin API verwendet Sammlungs-GUIDs. Der CSV-Importer in der Benutzeroberfläche kann diese auch aus dreiteiligen Graph-Website-IDs extrahieren.

• Aktiviere die für die SharePoint-App erforderlichen Microsoft-Berechtigungen sowohl in den Berechtigungseinstellungen von ChatGPT als auch in Microsoft Entra, einschließlich Sites.Read.All und Files.Read.All. Diese Einstellungen filtern den Zugriff auf der OpenAI-Seite. Sie ersetzen nicht die delegierten Berechtigungen von Microsoft.

• Bitte für Ausschlüsse nach Vertraulichkeitsbezeichnungen die für Microsoft 365 oder Purview zuständige Administration um die unveränderliche GUID jeder Bezeichnung ohne Verschlüsselung.

• Beschaffe für die Verwaltung per API deine Workspace-UUID und einen Admin-Schlüssel für den ChatGPT-Workspace sowie ein Microsoft Graph-Token, falls du SharePoint-URLs auflösen musst. Die beiden Zugangsdaten dienen unterschiedlichen Zwecken.

Über das OpenAI Cookbook

Das OpenAI Cookbook ist die öffentliche Sammlung von Beispielcode und Anleitungen von OpenAI. Dieser Artikel verwendet den darin enthaltenen Leitfaden zum Zugriff auf SharePoint-Websites und das Python-Verwaltungsskript. Beide werden auf GitHub gehostet. Du kannst diese Links in deinem Browser öffnen, um die Dateien zu lesen. Um das Skript auszuführen, lade es herunter und befolge die Anweisungen zur Einrichtung und zu den Befehlen im Leitfaden.

In diesem Artikel bezeichnet „Cookbook“ diesen SharePoint-Leitfaden und „Cookbook-Tool“ das verlinkte Python-Skript. Nutze diese Quellen für Befehlsbeispiele und die API-basierte Verwaltung von Zulassungslisten.

Zugangsdaten für die Verwaltung per API einrichten

Hinweis: Du benötigst Admin-Rechte im Workspace, um Admin-Schlüssel erstellen zu können. Mehr erfahren.

Einen Admin-Schlüssel für den ChatGPT-Workspace erstellen

1. Öffne die ChatGPT-Admin-Konsole und wähle den vorgesehenen Workspace aus.

2. Gehe zu Zugangsdaten und wähle Admin-Schlüssel aus.

3. Erstelle einen Schlüssel mit der Berechtigungseinstellung Eingeschränkt und setze Apps auf Schreiben.

4. Bewahre den Schlüssel sicher auf. Dieser Schlüssel berechtigt zum Lesen und Ändern der SharePoint-Richtlinie für deinen Workspace.

Die erforderliche Berechtigung lautet chatgpt.enterprise.apps.write. Beachte, dass weder ein Schlüssel der API-Plattform noch ein Microsoft Graph-Token einen Admin-Schlüssel für den ChatGPT-Workspace ersetzen kann.

Weitere Informationen findest du im Artikel Admin-Schlüssel auf der Registerkarte „Zugangsdaten“ verwalten. Die Umgebungsvariablen für die Zugangsdaten des Skripts und ein Beispiel für die sichere Eingabe findest du in der Anleitung zu Zugangsdaten im Cookbook.

Ein Microsoft Graph-Token beschaffen

Verwende das von deiner Organisation genehmigte Microsoft-Authentifizierungsverfahren. Für eine interaktive Abfrage, sofern deine Organisation Graph Explorer erlaubt:

1. Öffne Microsoft Graph Explorer und melde dich mit einem Geschäftskonto in dem Mandanten an, der die SharePoint-Websites enthält.

2. Wähle über Berechtigungen ändern oder Berechtigungen zustimmen die zum Lesen der Websites erforderlichen Berechtigungen aus, in der Regel Sites.Read.All. Bitte die für Microsoft zuständige Administration, den Zugriff zu genehmigen, falls deine Organisation dies verlangt.

3. Öffne die Registerkarte Zugriffstoken und kopiere das Token zur Verwendung mit Microsoft Graph.

Die Anweisungen von Microsoft findest du im Artikel Mit Graph Explorer arbeiten.

Mit dem Graph-Token werden SharePoint-URLs in Kennungen aufgelöst. Mit dem ChatGPT-Admin-Schlüssel wird die ChatGPT-Richtlinie gelesen oder aktualisiert. Das Cookbook-Tool benötigt das Graph-Token nur für Befehle, die URLs auflösen. Zum Lesen oder Leeren einer bestehenden Zulassungsliste ist nur der ChatGPT-Admin-Schlüssel erforderlich.

Speichere weder den Schlüssel noch das Token in der Versionsverwaltung, in geteilten Dokumenten, Screenshots oder Protokollen.

GUID einer Websitesammlung ermitteln

Die SharePoint-Website-URL verwenden

1. Öffne die SharePoint-Website, während du bei Microsoft mit einem Konto angemeldet bist, das darauf zugreifen kann.

2. Hänge /_api/site/id an die Website-URL an. Verwende zum Beispiel https://contoso.sharepoint.com/sites/Finance/_api/site/id.

3. Kopiere die in der Antwort zurückgegebene GUID.

Hinweis: Beispieldomains und Kennungen in diesem Artikel sind Platzhalter.

Microsoft Graph verwenden

Microsoft Graph gibt eine Website-ID mit drei durch Kommas getrennten Bestandteilen zurück: dem Hostnamen, der GUID der Websitesammlung und der GUID der Website. Verwende den mittleren Wert für eine Websitesammlungsregel. Unterschiedliche Website-URLs können derselben Sammlungs-GUID zugeordnet sein.

Beispiele für Abfragen und Kennungen findest du im Abschnitt SharePoint-Websitekennungen verstehen. Um mehrere URLs aufzulösen, ohne die ChatGPT-Richtlinie zu ändern, verwende die Prüfanleitung im Cookbook und das Python-Verwaltungsskript.

Die Anforderungen von Microsoft für Abfragen findest du im Artikel SharePoint-Website anhand eines Pfads abrufen.

Zugelassene und gesperrte Websitesammlungen verwalten

Workspace-Einstellungen verwenden

1. Öffne in deinem Workspace die Schutz- und Sicherheitseinstellungen der SharePoint-App.

2. Wähle unter Zugriffsmodus die Option Zugelassene Websites oder Gesperrte Websites aus.

3. Füge die Websitesammlungen zur ausgewählten Liste hinzu. Du kannst auch den unten beschriebenen CSV-Upload verwenden.

4. Prüfe deine Änderungen und wähle Speichern aus.

5. Prüfe die gespeicherte Richtlinie und teste deine Konfiguration.

Websites, die über die Admin API hinzugefügt werden, erscheinen in den Workspace-Einstellungen. Websites, die in der Benutzeroberfläche hinzugefügt werden, sind auch über die API verfügbar. Du kannst Einträge über beide Wege hinzufügen oder entfernen. Eine Website ist nicht an die Methode gebunden, mit der sie hinzugefügt wurde.

Zwischen zugelassenen und gesperrten Websites wechseln

Es kann immer nur eine Liste Einträge enthalten. Leere die bestehende Liste und speichere diese Änderung, bevor du im anderen Modus Einträge hinzufügst. Wähle dann den anderen Modus aus, füge die vorgesehenen Sammlungen hinzu und speichere erneut.


Wenn du die aktive Liste leerst, ändert sich der Zugriff sofort beim Speichern. Das Leeren einer Zulassungsliste hebt deren Websitebeschränkung auf. Das Leeren einer Sperrliste hebt deren Sperren auf. Plane den Wechsel mit anderen Admins. Zwischen dem Leeren der einen Liste und dem Speichern der anderen kann ein Zugriff möglich sein, den deine endgültige Richtlinie einschränken wird.

Websitesammlungen aus einer CSV-Datei hochladen

Der CSV-Upload unterstützt nur Websitesammlungen. Um Dateien nach Vertraulichkeitsbezeichnung auszuschließen, füge die Bezeichnungs-GUIDs unter Ausgeschlossene Vertraulichkeitsbezeichnungen ohne Verschlüsselung hinzu.

1. Öffne die Schutz- und Sicherheitseinstellungen und wähle den vorgesehenen Zugriffsmodus aus.

2. Erstelle eine CSV-Datei mit Websitesammlungs-GUIDs oder dreiteiligen Microsoft Graph-Website-IDs. Verwende in der gesamten Datei dasselbe Kennungsformat.

3. Wähle CSV-Datei hochladen und dann die Datei aus.

4. Prüfe das Importergebnis und die ausgewählte Liste. Behebe alle Fehler oder Warnungen zu einzelnen Zeilen, bevor du fortfährst.

5. Wähle Speichern aus, um die Änderungen anzuwenden, und prüfe anschließend die gespeicherte Liste.

CSV-Anforderungen und -Verhalten:

• Maximale Dateigröße: 1 MB.

• Spaltenüberschriften sind optional.

• Verwende pro Zeile eine Sammlungs-GUID oder eine dreiteilige Graph-Website-ID. Dreiteilige IDs können in Anführungszeichen in einem Feld stehen oder auf drei Spalten verteilt werden.

• Dreiteilige Graph-IDs werden in Sammlungs-GUIDs umgewandelt. Der Import einer dreiteiligen ID erstellt keine Regel für eine einzelne Website.

• Importe ergänzen die ausgewählte Liste und behalten vorhandene Einträge bei. Doppelte Sammlungen werden nur einmal übernommen. Die Importanzahl gibt die neu hinzugefügten Sammlungen an.

• Gemischte Formate und fehlerhafte Zeilen werden abgewiesen. Wenn ein Upload nur Website-URLs enthält, erscheint eine Warnung und es werden keine Websites hinzugefügt. Löse URLs zuerst in Sammlungs-GUIDs auf.

• Ein Upload ändert nur den Entwurf der Liste. Der Zugriff im Workspace wird erst aktualisiert, wenn du Speichern auswählst.

• Der hier beschriebene CSV-Upload dient zur Verwaltung von Websitesammlungen. Konfiguriere Ausschlüsse nach Vertraulichkeitsbezeichnungen separat.

Wenn du eine CSV-Datei mit SharePoint-URLs hast, kannst du mit dem CSV-Workflow des Cookbook-Tools die URLs auflösen und eine Zulassungsliste über die API verwalten. Die Eingabe über site_url oder url verwendet ein anderes Format und einen anderen Workflow als der Kennungsupload in der Benutzeroberfläche.

Richtlinien- und Anfragelimits verstehen

Das standardmäßige Richtlinienlimit beträgt 10.000 Websitesammlungen. Höhere Workspace-Richtlinienlimits von bis zu 120.000 Websitesammlungen müssen von OpenAI freigeschaltet werden. Kontaktiere dein OpenAI-Team, bevor du eine größere Bereitstellung planst.

Einzelne API-Änderungsoperationen und das aktuelle Cookbook-Skript akzeptieren bis zu 10.000 Sammlungs-GUIDs pro Anfrage. Ein höheres Workspace-Richtlinienlimit erhöht dieses Limit pro Anfrage nicht. Zähle eindeutige Websitesammlungen, nicht die Quell-URLs: Mehrere URLs können auf dieselbe Sammlung verweisen.

Die Admin API des Workspace verwenden

Verwende deine Workspace-UUID und deinen Admin-Schlüssel für den ChatGPT-Workspace mit https://api.chatgpt.com.

Aktuell gehaltene Befehle für Zulassungslisten und Anfragebeispiele findest du im Cookbook:

• Die vorhandene Zulassungsliste auslesen.

• Websitesammlungen in der Vorschau prüfen und hinzufügen. Beim Hinzufügen bleiben bereits zugelassene Sammlungen erhalten.

• Eine Websitesammlung entfernen.

• Die Zulassungsliste leeren.

Prüfe die aktuelle Richtlinie, bevor du Änderungen vornimmst. Lies sie danach erneut aus und teste den daraus resultierenden Zugriff. Wenn du die letzte zugelassene Sammlung entfernst oder die Zulassungsliste leerst, wird diese Websitebeschränkung aufgehoben. Sende nur dann eine leere Anfrage zum Hinzufügen, wenn du die Beschränkungen der Zulassungsliste aufheben möchtest.

Das öffentlich verfügbare Cookbook-Tool verwaltet derzeit nur Zulassungslisten. Es verwaltet weder Sperrlisten noch Ausschlüsse nach Vertraulichkeitsbezeichnungen. Verwende für diese Aufgaben die oben beschriebenen Workspace-Einstellungen.

Dateien mit Vertraulichkeitsbezeichnungen ausschließen

Die Bezeichnungs-GUID ermitteln

Bitte die für Microsoft 365 oder Purview zuständige Administration um die unveränderliche GUID der vorgesehenen Bezeichnung. Verwende die GUID, nicht den Anzeigenamen.

Admins können Bezeichnungen über Microsoft Graph auflisten. Das Token benötigt die jeweils zutreffende Berechtigung SensitivityLabel.Read oder SensitivityLabels.Read.All. Ordne den Namen der vorgesehenen Bezeichnung ihrer ID zu und prüfe ihre Schutzeinstellungen.

Anforderungen und Beispiele findest du in den Artikeln Vertraulichkeitsbezeichnungen auflisten und Eigenschaften von Vertraulichkeitsbezeichnungen. Diese Bezeichnungsberechtigungen sind von der Website-Leseberechtigung getrennt, die zum Auflösen von SharePoint-URLs verwendet wird.

Ausschlüsse nach Bezeichnungen hinzufügen

1. Öffne die Schutz- und Sicherheitseinstellungen der SharePoint-App.

2. Gib die GUID jeder Bezeichnung ohne Verschlüsselung unter Ausgeschlossene Vertraulichkeitsbezeichnungen ohne Verschlüsselung ein.

3. Speichere die Konfiguration und teste eine unterstützte Datei mit der ausgeschlossenen Bezeichnung.

Dateien mit übereinstimmenden unterstützten Bezeichnungen werden aus den Ergebnissen der SharePoint-App ausgeschlossen. Dateien mit Bezeichnungen, die eine Verschlüsselung anwenden, sind bereits standardmäßig ausgeschlossen.

Deine Konfiguration testen

Verwende Testdateien und Konten, die deine Organisation genehmigt hat. Vergewissere dich vor dem Test, dass dasselbe Microsoft-Konto direkt in SharePoint auf jede Datei zugreifen kann.

1. Prüfe im Modus Zugelassene Websites mit einer nicht leeren Liste je eine Datei in einer zugelassenen und einer nicht aufgeführten Sammlung. Nur die zugelassene Sammlung sollte über die App zugänglich sein.

2. Prüfe im Modus Gesperrte Websites je eine Datei in einer gesperrten und einer nicht gesperrten Sammlung. Die gesperrte Sammlung sollte nicht zugänglich sein. Für die nicht gesperrte Sammlung gelten weiterhin die Microsoft-Berechtigungen und andere Zugriffseinstellungen.

3. Prüfe eine unterstützte Testdatei mit einer ausgeschlossenen Vertraulichkeitsbezeichnung. Sie sollte nicht in den Ergebnissen der App erscheinen.

4. Vergleiche nach einer Änderung über die API die in der Benutzeroberfläche gespeicherte Liste mit der von der API zurückgegebenen Richtlinie.

5. Speichere nach einem CSV-Upload die Änderungen und öffne die Einstellungen erneut, um zu prüfen, ob die vorgesehenen Sammlungen übernommen wurden.

Wenn die Ergebnisse von der vorgesehenen Richtlinie abweichen, prüfe den Workspace, den ausgewählten Zugriffsmodus, die gespeicherte Liste, die Sammlungs-GUIDs, die Bezeichnungs-GUIDs, den unterstützten Dateityp und die Microsoft-Berechtigungen der jeweiligen Person. Leere eine Liste bei der Fehlerbehebung nur dann, wenn du die daraus resultierende Zugriffsänderung beabsichtigst.

Hilfe bei fehlenden Einstellungen oder unerwartetem Zugriff findest du im Artikel Den OpenAI-Support kontaktieren. Füge deiner Supportanfrage keine Admin-Schlüssel oder Microsoft Graph-Token bei.

Einschränkungen verstehen

• Eine Sammlungsregel gilt für die gesamte Websitesammlung. Sie kann den Zugriff nicht auf eine bestimmte Unterwebsite, einen Ordner oder eine Datei beschränken.

• Beschränkungen für SharePoint-Websites schränken den Zugriff auf OneDrive nicht automatisch ein.

• Die Filterung nach Vertraulichkeitsbezeichnungen greift nur dort, wo Microsoft Graph unterstützte Bezeichnungsmetadaten bereitstellt. Dazu gehören unterstützte Office-Dokumente sowie PDF- und MP4-Dateien.

• Dateitypen, die keine Vertraulichkeitsbezeichnungen unterstützen, etwa TXT- und CSV-Dateien, werden als Dateien ohne Bezeichnung behandelt. Sie bleiben zugänglich, sofern der Zugriff ansonsten zulässig ist. Diese Dateitypbeschränkung hat nichts mit dem Hochladen einer CSV-Datei zur Konfiguration des Websitezugriffs zu tun.

• Mit dem CSV-Upload und dem öffentlich verfügbaren Beispieltool lassen sich keine Ausschlüsse nach Vertraulichkeitsbezeichnungen konfigurieren. Dieser Artikel dokumentiert keine API zur Massenverwaltung von Bezeichnungen.

• Eine gespeicherte Richtlinie oder eine erfolgreiche API-Antwort ersetzt keinen Zugriffstest mit dem vorgesehenen Konto.

Das Python-Verwaltungstool verwenden

Der vollständige Beispielcode und die Befehle werden im OpenAI Cookbook gepflegt:

• Verwaltungsleitfaden.

• Python-Verwaltungsskript.

• Offline-Testdatei.

Verwende Python 3.10 oder neuer. Das Tool nutzt die Python-Standardbibliothek. Lies vor der Ausführung den Leitfaden und prüfe Änderungen mit Testläufen ohne tatsächliche Ausführung.

Das aktuelle Tool liest Zugangsdaten aus Umgebungsvariablen. Befolge die Anweisungen zur sicheren Eingabe im Leitfaden. Zum Leeren einer Zulassungsliste ist eine ausdrückliche Bestätigung erforderlich. Einträge können ohne diese Bestätigung entfernt werden. Prüfe das Entfernen daher zuerst mit einem Testlauf ohne tatsächliche Ausführung.

Informationen zu Wiederholungsversuchen und optionalen Idempotenzschlüsseln findest du im Abschnitt Eine Richtlinienaktualisierung sicher wiederholen. Verwende Idempotenzschlüssel nur, wenn der Workspace sie unterstützt, und prüfe die aktuelle Richtlinie nach einem Fehler mit unklarem Ergebnis.

Das Tool aktiviert keine Workspace-Funktionen und prüft nicht, ob die Richtlinie durchgesetzt wird. Die Offline-Tests des Tools verwenden simulierte Aufrufe von Microsoft Graph und der ChatGPT Admin API.

Änderungen über mehrere Anfragen sind nicht atomar. Wenn das Entfernen mehrerer Sammlungen unterwegs fehlschlägt, können zuvor verarbeitete Sammlungen bereits entfernt worden sein. Lies vor einem erneuten Versuch die aktuelle Richtlinie aus.

Häufig gestellte Fragen

Ersetzen die Website-Zugriffseinstellungen die Microsoft-Berechtigungen?

Nein. Die App verwendet weiterhin die Microsoft-Berechtigungen der jeweiligen Person. OpenAI wendet die konfigurierte Websitefilterung an, bevor Antworten der jeweiligen Person und dem Modell angezeigt werden.

Sperrt eine leere Zulassungsliste alle Websites?

Nein. Eine leere Zulassungsliste bedeutet nicht „alles sperren“. Wenn eine Sperrliste Einträge enthält, bleiben diese Sammlungen gesperrt. Wenn keine der beiden Listen Einträge enthält, bestimmen die Microsoft-Berechtigungen der jeweiligen Person und andere konfigurierte Zugriffseinstellungen den Zugriff.

Werden Änderungen über die Admin API protokolliert?

Richtlinienänderungen über die Admin API werden in den Audit- und Compliance-Protokollen des Workspace erfasst.