Descripción general
Los administradores del Espacio de trabajo pueden usar los controles de SharePoint para permitir colecciones de sitios aprobadas, bloquear colecciones de sitios seleccionadas y excluir archivos compatibles con determinadas etiquetas de confidencialidad de Microsoft Purview.
Una colección de sitios de SharePoint, también llamada SPSite, puede contener varios sitios. Una regla de colección se aplica a toda la colección y está sujeta a los permisos de Microsoft que ya tiene cada usuario. No concede al usuario acceso a contenido al que no puede acceder en Microsoft 365.
Las restricciones de sitios se aplican a las acciones compatibles de búsqueda, navegación, recuperación de archivos y lectura/escritura de SharePoint. El acceso a OneDrive se administra por separado.
Elige el modo de acceso que coincida con tu política:
Sitios permitidos: si la lista de permitidos no está vacía, los usuarios solo pueden acceder a las colecciones de sitios incluidas en ella a través de la app.
Sitios bloqueados: los usuarios pueden acceder a las colecciones de sitios que no estén en la lista de bloqueados, según sus permisos de Microsoft.
Solo una lista puede contener entradas a la vez. Una lista de permitidos vacía no bloquea todos los sitios. Cuando ambas listas están vacías, se eliminan las restricciones de sitios de SharePoint; los permisos de Microsoft y los demás controles configurados siguen aplicándose.
Disponibilidad
Los controles y la API de administración del Espacio de trabajo deben estar habilitados para tu Espacio de trabajo. Los controles disponibles incluyen listas de colecciones de sitios permitidas y bloqueadas, importación de sitios mediante CSV y exclusiones por etiquetas de confidencialidad.
Las reglas se aplican a colecciones de sitios completas. Estos controles de colecciones de sitios no permiten limitar el alcance a sitios individuales, carpetas o archivos específicos ni incluyen la aplicación de Microsoft Sites.Selected.
Antes de comenzar
Identifica las colecciones de sitios que tu organización quiere permitir o bloquear.
Obtén el GUID de cada colección. Un ID de sitio completo de Microsoft Graph contiene el GUID de la colección como valor del medio. La API de administración usa GUID de colecciones; el importador de CSV de la interfaz también puede extraerlos de ternas de ID de sitios de Graph.
Habilita los permisos de Microsoft que requiere la app de SharePoint tanto en la configuración de permisos de ChatGPT como en Microsoft Entra, incluidos
Sites.Read.AllyFiles.Read.All. Estos controles filtran el acceso del lado de OpenAI; no reemplazan los permisos delegados de Microsoft.Para las exclusiones por etiquetas de confidencialidad, pide a tu administrador de Microsoft 365 o Purview el GUID inmutable de cada etiqueta sin cifrado.
Para la administración mediante API, obtén el UUID de tu Espacio de trabajo, una clave de administrador del Espacio de trabajo de ChatGPT y un token de Microsoft Graph si necesitas resolver URL de SharePoint. Las dos credenciales tienen propósitos diferentes.
Acerca del Cookbook de OpenAI
El Cookbook de OpenAI es la colección pública de guías y código de ejemplo de OpenAI. Este artículo usa su guía de acceso a sitios de SharePoint y su script de administración en Python, ambos alojados en GitHub. Puedes abrir estos enlaces en tu navegador para leer los archivos. Para ejecutar el script, descárgalo y sigue las instrucciones de configuración y comandos de la guía.
En este artículo, “Cookbook” se refiere a esa guía de SharePoint, y “herramienta del Cookbook” se refiere al script de Python enlazado. Consulta estos recursos para ver ejemplos de comandos y administrar listas de permitidos mediante la API.
Configura las credenciales para la administración mediante API
Nota: necesitas ser administrador de un Espacio de trabajo para poder crear claves de administrador. Más información.
Crea una clave de administrador del Espacio de trabajo de ChatGPT
Abre la consola de administración de ChatGPT y selecciona el Espacio de trabajo que quieras administrar.
Ve a Credenciales y selecciona Claves de administrador.
Crea una clave con permisos Restringidos y establece Apps en Escritura.
Guarda la clave de forma segura. Esta clave autoriza la lectura y modificación de la política de SharePoint de tu Espacio de trabajo.
El permiso requerido es chatgpt.enterprise.apps.write. Ten en cuenta que ni una clave de la Plataforma API ni un token de Microsoft Graph pueden reemplazar una clave de administrador del Espacio de trabajo de ChatGPT.
Para obtener más información, consulta: administrar claves de administrador en la pestaña Credenciales. Para conocer las variables de entorno de credenciales del script y ver un ejemplo de ingreso seguro, consulta las instrucciones sobre credenciales del Cookbook.
Obtén un token de Microsoft Graph
Usa el proceso de autenticación de Microsoft aprobado por tu organización. Para hacer una búsqueda interactiva, si tu organización permite Graph Explorer:
Abre Microsoft Graph Explorer e inicia sesión con una cuenta de trabajo del inquilino que contiene los sitios de SharePoint.
Selecciona los permisos necesarios para leer los sitios, normalmente
Sites.Read.All, mediante Modificar permisos o Dar consentimiento a los permisos. Pide a tu administrador de Microsoft que apruebe el acceso si tu organización lo requiere.Abre la pestaña Token de acceso y copia el token para usarlo con Microsoft Graph.
Para ver las instrucciones de Microsoft, consulta Trabajar con Graph Explorer.
El token de Graph permite obtener los identificadores correspondientes a las URL de SharePoint. La clave de administrador de ChatGPT permite leer o actualizar la política de ChatGPT. La herramienta del Cookbook necesita el token de Graph solo para los comandos que resuelven URL; para leer o vaciar una lista de permitidos existente, solo se necesita la clave de administrador de ChatGPT.
No incluyas ninguna de las dos credenciales en sistemas de control de versiones, documentos compartidos, capturas de pantalla ni registros.
Busca el GUID de una colección de sitios
Usa la URL del sitio de SharePoint
Abre el sitio de SharePoint con una sesión iniciada en Microsoft con una cuenta que tenga acceso al sitio.
Agrega
/_api/site/idal final de la URL del sitio. Por ejemplo, usahttps://contoso.sharepoint.com/sites/Finance/_api/site/id.Copia el GUID devuelto en la respuesta.
Nota: los dominios e identificadores de ejemplo de este artículo son valores de referencia.
Usa Microsoft Graph
Microsoft Graph devuelve un ID de sitio con tres componentes separados por comas: el nombre de host, el GUID de la colección de sitios y el GUID del sitio. Usa el valor del medio para una regla de colección de sitios. Distintas URL de sitios pueden corresponder al mismo GUID de colección.
Para ver ejemplos de búsquedas e identificadores, consulta Información sobre los identificadores de sitios de SharePoint. Para resolver varias URL sin cambiar la política de ChatGPT, usa las instrucciones de inspección del Cookbook y el script de administración en Python.
Para conocer los requisitos de búsqueda de Microsoft, consulta Obtener un sitio de SharePoint por su ruta.
Administra las colecciones de sitios permitidas y bloqueadas
Usa los controles del Espacio de trabajo
Abre los Controles de seguridad y protección de la app de SharePoint en tu Espacio de trabajo.
En Modo de acceso, selecciona Sitios permitidos o Sitios bloqueados.
Agrega las colecciones de sitios a la lista seleccionada. También puedes usar la carga de CSV que se describe a continuación.
Revisa tus cambios y selecciona Guardar.
Revisa la política guardada y prueba tu configuración.
Los sitios agregados mediante la API de administración aparecen en los controles del Espacio de trabajo. Los sitios agregados en la interfaz también están disponibles a través de la API. Puedes agregar o eliminar entradas desde cualquiera de las dos interfaces; el método usado para agregar un sitio no te obliga a seguir usando ese mismo método.
Cambia entre sitios permitidos y bloqueados
Solo una lista puede contener entradas a la vez. Antes de agregar entradas en el otro modo, vacía la lista existente y guarda ese cambio. Luego selecciona el otro modo, agrega las colecciones previstas y vuelve a guardar.
Vaciar la lista activa cambia el acceso en cuanto guardas el cambio. Vaciar una lista de permitidos elimina su restricción de sitios; vaciar una lista de bloqueados elimina sus bloqueos. Planifica la transición con otros administradores, ya que el intervalo entre vaciar una lista y guardar la otra puede permitir accesos que tu política final restringirá.
Carga colecciones de sitios desde un CSV
La carga de CSV solo admite colecciones de sitios. Para excluir archivos por etiqueta de confidencialidad, agrega los GUID de las etiquetas en Etiquetas de confidencialidad sin cifrado excluidas.
Abre los Controles de seguridad y protección y selecciona el Modo de acceso que quieras usar.
Prepara un CSV con GUID de colecciones de sitios o ternas de ID de sitios de Microsoft Graph. Usa el mismo formato de identificador en todo el archivo.
Selecciona Cargar archivo CSV y elige el archivo.
Revisa el resultado de la importación y la lista seleccionada. Resuelve los errores o advertencias de las filas antes de continuar.
Selecciona Guardar para aplicar los cambios y luego revisa la lista guardada.
Requisitos y comportamiento del CSV:
Tamaño máximo del archivo: 1 MB.
Los encabezados son opcionales.
Usa un GUID de colección por fila o ternas de ID de sitios de Graph. Las ternas pueden ir entre comillas en un solo campo o dividirse en tres columnas.
Las ternas de Graph se convierten en GUID de colecciones. Importar una terna no crea una regla para un sitio específico.
Las importaciones agregan elementos a la lista seleccionada y conservan las entradas existentes. Se eliminan las colecciones duplicadas; el recuento de importación indica las colecciones recién agregadas.
Se rechazan las combinaciones de formatos y las filas con formato incorrecto. Si cargas un archivo que contiene solo URL de sitios, se muestra una advertencia y no se agregan sitios. Primero obtén los GUID de colección correspondientes a las URL.
Una carga solo modifica el borrador de la lista. No actualiza el acceso del Espacio de trabajo hasta que seleccionas Guardar.
La carga de CSV que se describe aquí administra colecciones de sitios. Configura las exclusiones por etiquetas de confidencialidad por separado.
Si tienes un CSV con URL de SharePoint, el flujo de trabajo con CSV de la herramienta del Cookbook puede resolverlas y administrar una lista de permitidos a través de la API. Su entrada site_url o url usa un formato y un flujo de trabajo distintos de la carga de identificadores en la interfaz.
Conoce los límites de la política y de las solicitudes
El límite predeterminado de la política es de 10 000 colecciones de sitios. Los límites de política superiores para el Espacio de trabajo, de hasta 120 000 colecciones de sitios, requieren que OpenAI los habilite; ponte en contacto con tu equipo de OpenAI antes de planificar una implementación más grande.
Las operaciones individuales de modificación de la API y el script actual del Cookbook aceptan hasta 10 000 GUID de colecciones por solicitud. Un límite de política superior para el Espacio de trabajo no aumenta este límite por solicitud. Cuenta las colecciones de sitios únicas, no las URL de origen: varias URL pueden hacer referencia a la misma colección.
Usa la API de administración del Espacio de trabajo
Usa el UUID de tu Espacio de trabajo y su clave de administrador de ChatGPT con https://api.chatgpt.com.
Para ver comandos actualizados de listas de permitidos y ejemplos de solicitudes, consulta el Cookbook:
Previsualizar y agregar colecciones de sitios. Al agregar colecciones, se conservan las colecciones permitidas existentes.
Revisa la política actual antes de hacer cambios; luego vuelve a consultarla y prueba el acceso resultante. Eliminar la última colección permitida o vaciar la lista de permitidos elimina esa restricción de sitios. No envíes una solicitud de adición vacía a menos que quieras eliminar las restricciones de la lista de permitidos.
La herramienta pública del Cookbook actualmente administra solo listas de permitidos. No administra listas de bloqueados ni exclusiones por etiquetas de confidencialidad. Usa los controles del Espacio de trabajo descritos anteriormente para esas tareas.
Excluye archivos con etiquetas de confidencialidad
Busca el GUID de la etiqueta
Pide a tu administrador de Microsoft 365 o Purview el GUID inmutable de la etiqueta que quieras usar. Usa el GUID, no el nombre para mostrar.
Un administrador puede obtener una lista de etiquetas a través de Microsoft Graph. El token necesita el permiso SensitivityLabel.Read o SensitivityLabels.Read.All, según corresponda. Identifica el ID que corresponde al nombre de la etiqueta que quieras usar y revisa su configuración de protección.
Para ver requisitos y ejemplos, consulta Obtener una lista de etiquetas de confidencialidad y Propiedades de las etiquetas de confidencialidad. Estos permisos de etiquetas son independientes del permiso de lectura de sitios usado para resolver las URL de SharePoint.
Agrega exclusiones por etiquetas
Abre los Controles de seguridad y protección de la app de SharePoint.
Ingresa el GUID de cada etiqueta sin cifrado en Etiquetas de confidencialidad sin cifrado excluidas.
Guarda la configuración y prueba un archivo compatible que tenga la etiqueta excluida.
Los archivos con etiquetas compatibles que coincidan con las excluidas no se incluyen en los resultados de la app de SharePoint. Los archivos con etiquetas que aplican cifrado ya se excluyen de forma predeterminada.
Prueba tu configuración
Usa archivos y cuentas de prueba aprobados por tu organización. Antes de hacer las pruebas, confirma que la misma cuenta de Microsoft pueda acceder a cada archivo directamente en SharePoint.
En el modo Sitios permitidos, con una lista que no esté vacía, prueba un archivo de una colección permitida y otro de una colección que no esté en la lista. Solo la colección permitida debería ser accesible a través de la app.
En el modo Sitios bloqueados, prueba un archivo de una colección bloqueada y otro de una colección no bloqueada. La colección bloqueada no debería estar disponible; la colección no bloqueada sigue sujeta a los permisos de Microsoft y otros controles.
Prueba un archivo de prueba compatible que tenga una etiqueta de confidencialidad excluida. No debería aparecer en los resultados de la app.
Después de un cambio mediante la API, compara la lista guardada en la interfaz con la política que devuelve la API.
Después de cargar un CSV, guarda los cambios y vuelve a abrir los controles para confirmar que se conservaron las colecciones previstas.
Si los resultados no coinciden con la política prevista, revisa el Espacio de trabajo, el modo de acceso seleccionado, la lista guardada, los GUID de las colecciones y etiquetas, el tipo de archivo compatible y los permisos de Microsoft del usuario. No vacíes una lista para solucionar problemas, a menos que quieras realizar el cambio de acceso resultante.
Para obtener ayuda si faltan controles o se produce un acceso inesperado, consulta: cómo contactar al soporte de OpenAI. No incluyas claves de administrador ni tokens de Microsoft Graph en tu solicitud de soporte.
Conoce las limitaciones
Una regla de colección abarca toda la colección de sitios. No puede limitar el acceso a un subsitio, una carpeta o un archivo en particular.
Las restricciones de sitios de SharePoint no restringen automáticamente el acceso a OneDrive.
El filtrado por etiquetas de confidencialidad solo se aplica cuando Microsoft Graph expone metadatos de etiquetas compatibles, incluidos los documentos de Office y archivos PDF y MP4 compatibles.
Los tipos de archivo no compatibles con las etiquetas de confidencialidad, como TXT y CSV, se consideran sin etiqueta. Siguen siendo accesibles si los demás permisos lo permiten. Esta limitación de tipos de archivo es independiente de la carga de un CSV para configurar el acceso a sitios.
Ni la carga de CSV ni la herramienta de ejemplo pública configuran exclusiones por etiquetas de confidencialidad. Este artículo no documenta una API de administración masiva de etiquetas.
Guardar una política u obtener una respuesta exitosa de la API no sustituye las pruebas de acceso con la cuenta prevista.
Usa la herramienta de administración en Python
El código de ejemplo completo y los comandos se mantienen actualizados en el Cookbook de OpenAI:
Usa Python 3.10 o una versión posterior. La herramienta usa la biblioteca estándar de Python. Lee la guía antes de ejecutarla y usa simulaciones para revisar los cambios.
La herramienta actual lee las credenciales de variables de entorno; sigue las instrucciones de la guía para ingresarlas de forma segura. Requiere confirmación explícita para vaciar una lista de permitidos. Una eliminación puede ejecutarse sin esa confirmación, así que revísala primero con una simulación.
Para conocer el comportamiento de los reintentos y las claves de idempotencia opcionales, consulta Reintentar una actualización de política de forma segura. Usa claves de idempotencia solo si el Espacio de trabajo las admite y revisa la política actual después de un error con resultado ambiguo.
La herramienta no habilita funciones del Espacio de trabajo ni verifica que las políticas se apliquen. Sus pruebas sin conexión usan llamadas simuladas a Microsoft Graph y a la API de administración de ChatGPT.
Los cambios que requieren varias solicitudes no son atómicos. Si la eliminación de varias colecciones falla a mitad del proceso, es posible que algunas ya se hayan eliminado correctamente. Consulta la política actual antes de reintentar.
Preguntas frecuentes
¿Los controles de sitios reemplazan los permisos de Microsoft?
No. La app sigue usando los permisos de Microsoft de cada usuario. OpenAI aplica el filtrado de sitios configurado antes de mostrar las respuestas al usuario y al modelo.
¿Una lista de permitidos vacía bloquea todos los sitios?
No. Una lista de permitidos vacía no significa “bloquear todo”. Si una lista de bloqueados contiene entradas, esas colecciones siguen bloqueadas. Cuando ninguna de las dos listas contiene entradas, los permisos de Microsoft de los usuarios y los demás controles configurados determinan el acceso.
¿Se registran los cambios de la API de administración?
Los cambios de política realizados mediante la API de administración se guardan en los registros de auditoría y cumplimiento del Espacio de trabajo.