Descripción general
Los administradores del Área de trabajo pueden usar los controles de SharePoint para permitir colecciones de sitios aprobadas, bloquear determinadas colecciones de sitios y excluir archivos compatibles con determinadas etiquetas de confidencialidad de Microsoft Purview.
Una colección de sitios de SharePoint, también llamada SPSite, puede contener varios sitios. Una regla de colección se aplica a toda la colección, respetando los permisos de Microsoft que ya tiene cada usuario. No concede al usuario acceso a contenido al que no pueda acceder en Microsoft 365.
Las restricciones de sitios se aplican a las acciones compatibles de búsqueda, navegación, recuperación de archivos y lectura y escritura de SharePoint. El acceso a OneDrive se gestiona por separado.
Elige el modo de acceso que se ajuste a tu política:
Sitios permitidos: si la lista de permitidos no está vacía, los usuarios solo pueden acceder a las colecciones de sitios incluidas en ella a través de la aplicación.
Sitios bloqueados: los usuarios pueden acceder a las colecciones de sitios que no figuren en la lista de bloqueados, según sus permisos de Microsoft.
Solo una de las listas puede contener entradas a la vez. Una lista de permitidos vacía no bloquea todos los sitios. Cuando ambas listas están vacías, se eliminan las restricciones de sitios de SharePoint; los permisos de Microsoft y los demás controles configurados siguen aplicándose.
Disponibilidad
Los controles y la API de administración del Área de trabajo deben estar habilitados para tu Área de trabajo. Los controles disponibles incluyen listas de colecciones de sitios permitidas y bloqueadas, importaciones de sitios mediante CSV y exclusiones por etiquetas de confidencialidad.
Las reglas se aplican a colecciones de sitios completas. Estos controles de colecciones de sitios no permiten delimitar el acceso a sitios individuales, carpetas o archivos concretos ni incluyen la aplicación de Microsoft Sites.Selected.
Antes de empezar
Identifica las colecciones de sitios que tu organización quiere permitir o bloquear.
Obtén el GUID de cada colección. Un identificador de sitio completo de Microsoft Graph contiene el GUID de la colección como valor central. La API de administración usa GUID de colección; el importador de CSV de la interfaz también puede extraerlos de los identificadores de sitio de Graph de tres valores.
Habilita los permisos de Microsoft que requiere la aplicación de SharePoint tanto en la configuración de permisos de ChatGPT como en Microsoft Entra, incluidos
Sites.Read.AllyFiles.Read.All. Estos controles filtran el acceso en OpenAI; no sustituyen a los permisos delegados de Microsoft.Para configurar las exclusiones de etiquetas de confidencialidad, pide a tu administrador de Microsoft 365 o Purview el GUID inmutable de cada etiqueta que quieras excluir, incluidas las que aplican cifrado.
Para la administración mediante la API, obtén el UUID de tu Área de trabajo, una clave de administrador del Área de trabajo de ChatGPT y un token de Microsoft Graph si necesitas obtener los identificadores correspondientes a las URL de SharePoint. Las dos credenciales tienen finalidades distintas.
Acerca del OpenAI Cookbook
El OpenAI Cookbook es la colección pública de código de ejemplo y guías de OpenAI. Este artículo utiliza su guía de acceso a sitios de SharePoint y su script de administración en Python, ambos alojados en GitHub. Puedes abrir estos enlaces en tu navegador para leer los archivos. Para ejecutar el script, descárgalo y sigue las instrucciones de configuración y uso de comandos de la guía.
En este artículo, «Cookbook» se refiere a esa guía de SharePoint, y «utilidad del Cookbook», al script de Python enlazado. Usa estas referencias para consultar ejemplos de comandos y gestionar listas de permitidos mediante la API.
Configurar las credenciales para la administración mediante la API
Nota: debes ser administrador del Área de trabajo para poder crear claves de administración. Más información.
Crear una clave de administración del Área de trabajo de ChatGPT
Abre la consola de administración de ChatGPT y selecciona el Área de trabajo que quieras.
Ve a Credenciales y selecciona Claves de administración.
Crea una clave con permisos Restringidos y configura Aplicaciones como Escritura.
Guarda la clave de forma segura. Esta clave autoriza la consulta y modificación de la política de SharePoint de tu Área de trabajo.
El permiso necesario es chatgpt.enterprise.apps.write. Ten en cuenta que ni una clave de la Plataforma API ni un token de Microsoft Graph pueden sustituir una clave de administración del Área de trabajo de ChatGPT.
Para obtener más información, consulta: gestionar las claves de administración en la pestaña Credenciales. Para conocer las variables de entorno de credenciales del script y ver un ejemplo de introducción segura, consulta las instrucciones sobre credenciales del Cookbook.
Obtener un token de Microsoft Graph
Usa el proceso de autenticación de Microsoft aprobado por tu organización. Para realizar una consulta interactiva, si tu organización permite usar el Explorador de Graph:
Abre el Explorador de Microsoft Graph e inicia sesión con una cuenta de trabajo del inquilino que contiene los sitios de SharePoint.
Selecciona los permisos necesarios para leer los sitios, normalmente
Sites.Read.All, mediante Modificar permisos o Dar consentimiento a los permisos. Pide a tu administrador de Microsoft que apruebe el acceso si tu organización lo exige.Abre la pestaña Token de acceso y copia el token para usarlo con Microsoft Graph.
Para ver las instrucciones de Microsoft, consulta Trabajar con el Explorador de Graph.
El token de Graph permite obtener los identificadores correspondientes a las URL de SharePoint. La clave de administración de ChatGPT permite consultar o actualizar la política de ChatGPT. La utilidad del Cookbook solo necesita el token de Graph para los comandos que resuelven URL; para consultar o vaciar una lista de permitidos existente, basta con la clave de administración de ChatGPT.
No incluyas ninguna de las dos credenciales en sistemas de control de versiones, documentos compartidos, capturas de pantalla ni registros.
Buscar el GUID de una colección de sitios
Usar la URL del sitio de SharePoint
Abre el sitio de SharePoint tras iniciar sesión en Microsoft con una cuenta que tenga acceso a él.
Añade
/_api/site/idal final de la URL del sitio. Por ejemplo, usahttps://contoso.sharepoint.com/sites/Finance/_api/site/id.Copia el GUID que se devuelve en la respuesta.
Nota: los dominios e identificadores de ejemplo de este artículo son valores de muestra.
Usar Microsoft Graph
Microsoft Graph devuelve un ID de sitio con tres componentes separados por comas: el nombre de host, el GUID de la colección de sitios y el GUID del sitio. Usa el valor central para una regla de colección de sitios. Distintas URL de sitios pueden corresponder al mismo GUID de colección.
Para ver ejemplos de consultas e identificadores, consulta Comprender los identificadores de sitios de SharePoint. Para resolver varias URL sin cambiar la política de ChatGPT, usa las instrucciones de inspección del Cookbook y el script de administración en Python.
Para conocer los requisitos de consulta de Microsoft, consulta Obtener un sitio de SharePoint por su ruta.
Gestionar colecciones de sitios permitidas y bloqueadas
Usar los controles del Área de trabajo
Abre los Controles de seguridad y protección de la aplicación de SharePoint en tu Área de trabajo.
En Modo de acceso, selecciona Sitios permitidos o Sitios bloqueados.
Añade las colecciones de sitios a la lista seleccionada. También puedes usar la carga de archivos CSV que se describe a continuación.
Revisa los cambios y selecciona Guardar.
Comprueba la política guardada y prueba tu configuración.
Los sitios añadidos mediante la API de administración aparecen en los controles del Área de trabajo. Los sitios añadidos en la interfaz también están disponibles a través de la API. Puedes añadir o eliminar entradas por cualquiera de las dos vías; el método usado para añadir un sitio no te obliga a seguir usando ese mismo método.
Cambiar entre sitios permitidos y bloqueados
Solo una de las listas puede contener entradas a la vez. Antes de añadir entradas en el otro modo, vacía la lista existente y guarda el cambio. Después, selecciona el otro modo, añade las colecciones que quieras y vuelve a guardar.
Si vacías la lista activa, el acceso cambia en cuanto guardas. Vaciar una lista de sitios permitidos elimina la restricción de acceso a esos sitios; vaciar una lista de sitios bloqueados elimina los bloqueos. Planifica la transición con otros administradores, porque durante el intervalo entre vaciar una lista y guardar la otra puede permitirse un acceso que la política definitiva restringirá.
Cargar colecciones de sitios desde un CSV
La carga de archivos CSV solo admite colecciones de sitios. Para excluir archivos por etiqueta de confidencialidad, añade los GUID de las etiquetas a la lista de exclusión de etiquetas de confidencialidad.
Abre los Controles de seguridad y protección y selecciona el Modo de acceso que quieras.
Prepara un CSV con los GUID de las colecciones de sitios o con los identificadores de sitio de Microsoft Graph, compuestos por tres valores. Usa un único formato de identificador en todo el archivo.
Selecciona Cargar archivo CSV y elige el archivo.
Revisa el resultado de la importación y la lista seleccionada. Resuelve los errores o advertencias de las filas antes de continuar.
Selecciona Guardar para aplicar los cambios y, después, comprueba la lista guardada.
Requisitos y funcionamiento de la carga de CSV:
Tamaño máximo del archivo: 1 MB.
Las cabeceras son opcionales.
Usa un GUID de colección por fila, o bien identificadores de sitio de Graph de tres valores. Los tres valores pueden incluirse entre comillas en un solo campo o repartirse entre tres columnas.
Los identificadores de Graph de tres valores se convierten en GUID de colección. Importar un identificador de tres valores no crea una regla para un sitio concreto.
Las importaciones añaden entradas a la lista seleccionada y conservan las existentes. Se eliminan las colecciones duplicadas; el recuento de importación indica las colecciones nuevas añadidas.
Se rechazan los archivos que mezclan formatos y las filas con un formato incorrecto. Si cargas un archivo que solo contiene URL de sitios, se muestra una advertencia y no se añade ningún sitio. Primero obtén los GUID de colección correspondientes a las URL.
La carga solo modifica el borrador de la lista. No actualiza el acceso del Área de trabajo hasta que seleccionas Guardar.
La carga de archivos CSV que se describe aquí sirve para gestionar colecciones de sitios. Configura las exclusiones de etiquetas de confidencialidad por separado.
Si tienes un CSV con URL de SharePoint, el flujo de trabajo con CSV de la utilidad del Cookbook permite obtener sus identificadores y gestionar una lista de sitios permitidos a través de la API. Su entrada site_url o url usa un formato y un flujo de trabajo distintos de los de la carga de identificadores en la interfaz.
Entender los límites de la política y de las solicitudes
El límite predeterminado de la política es de 10 000 colecciones de sitios. Los límites superiores para la política del Área de trabajo, de hasta 120 000 colecciones de sitios, requieren que OpenAI los habilite; ponte en contacto con tu equipo de OpenAI antes de planificar un despliegue de mayor envergadura.
Las operaciones individuales de modificación de la API y el script actual del Cookbook aceptan hasta 10 000 GUID de colección por solicitud. Un límite superior para la política del Área de trabajo no aumenta este límite por solicitud. Cuenta las colecciones de sitios únicas, no las URL de origen: varias URL pueden hacer referencia a la misma colección.
Usar la API de administración del Área de trabajo
Usa el UUID de tu Área de trabajo y una clave de administrador del Área de trabajo de ChatGPT con https://api.chatgpt.com.
Consulta el Cookbook para ver comandos actualizados de gestión de listas de sitios permitidos y ejemplos de solicitudes:
Previsualizar y añadir colecciones de sitios. Las incorporaciones conservan las colecciones permitidas existentes.
Revisa la política actual antes de hacer cambios; después, vuelve a consultarla y prueba el acceso resultante. Eliminar la última colección permitida o vaciar la lista de sitios permitidos elimina esa restricción de acceso a los sitios. No envíes una solicitud de adición vacía, a menos que quieras eliminar las restricciones de la lista de sitios permitidos.
Actualmente, la utilidad pública del Cookbook gestiona solo listas de sitios permitidos. No gestiona listas de sitios bloqueados ni exclusiones de etiquetas de confidencialidad. Para esas tareas, usa los controles del Área de trabajo descritos anteriormente.
Excluir archivos con etiquetas de confidencialidad
Buscar el GUID de la etiqueta
Pide a tu administrador de Microsoft 365 o Purview el GUID inmutable de la etiqueta que quieras usar. Usa el GUID, no el nombre para mostrar de la etiqueta.
Un administrador puede obtener la lista de etiquetas mediante Microsoft Graph. El token necesita el permiso SensitivityLabel.Read o SensitivityLabels.Read.All, según corresponda. Busca el ID que corresponde al nombre de la etiqueta que quieras usar y comprueba su configuración de protección.
Para conocer los requisitos y ver ejemplos, consulta Obtener la lista de etiquetas de confidencialidad y Propiedades de las etiquetas de confidencialidad. Estos permisos de etiquetas son independientes del permiso de lectura de sitios que se usa para resolver URL de SharePoint.
Añadir exclusiones de etiquetas
Abre los Controles de seguridad y protección de la aplicación de SharePoint.
Introduce el GUID de cada etiqueta que quieras excluir, incluidas las que aplican cifrado, en la lista de exclusión de etiquetas de confidencialidad.
Guarda la configuración y haz una prueba con un archivo compatible que tenga la etiqueta excluida.
Los archivos con etiquetas compatibles que coincidan con las de la lista se excluyen de los resultados de la aplicación de SharePoint. El contenido de los archivos cifrados se excluye de forma predeterminada. El acceso a archivos cifrados compatibles requiere tanto el acceso avanzado a archivos (fetch_advanced) como el consentimiento del administrador de Microsoft Entra, tal como se describe en las preguntas frecuentes de abajo. Las exclusiones de etiquetas y los permisos de Microsoft del usuario conectado siguen aplicándose.
Probar tu configuración
Usa archivos y cuentas de prueba aprobados por tu organización. Antes de realizar las pruebas, confirma que la misma cuenta de Microsoft puede acceder a cada archivo directamente en SharePoint.
En el modo Sitios permitidos, con una lista que no esté vacía, comprueba el acceso a un archivo de una colección permitida y a otro de una colección que no figure en la lista. Solo debería poder accederse a la colección permitida a través de la aplicación.
En el modo Sitios bloqueados, comprueba el acceso a un archivo de una colección bloqueada y a otro de una colección no bloqueada. La colección bloqueada no debería estar disponible; la colección no bloqueada sigue sujeta a los permisos de Microsoft y a otros controles.
Comprueba un archivo de prueba compatible que tenga una etiqueta de confidencialidad excluida. No debería aparecer en los resultados de la aplicación.
Tras un cambio mediante la API, compara la lista guardada en la interfaz con la política que devuelve la API.
Tras cargar un CSV, guarda los cambios y vuelve a abrir los controles para confirmar que se han conservado las colecciones previstas.
Si los resultados no coinciden con la política prevista, comprueba el Área de trabajo, el modo de acceso seleccionado, la lista guardada, los GUID de las colecciones y de las etiquetas, la compatibilidad del tipo de archivo y los permisos de Microsoft del usuario. No vacíes una lista para intentar resolver un problema salvo que quieras aplicar el cambio de acceso resultante.
Si faltan controles o el acceso no es el esperado, consulta: cómo contactar con el soporte de OpenAI. No incluyas claves de administración ni tokens de Microsoft Graph en tu solicitud de soporte.
Conocer las limitaciones
Una regla de colección abarca toda la colección de sitios. No permite limitar el acceso a un subsitio, una carpeta o un archivo concretos.
Las restricciones de sitios de SharePoint no restringen automáticamente el acceso a OneDrive.
El filtrado por etiquetas de confidencialidad solo se aplica cuando Microsoft Graph proporciona metadatos de etiquetas compatibles, incluidos los documentos de Office y los archivos PDF y MP4 compatibles.
Los tipos de archivo no compatibles con las etiquetas de confidencialidad, como TXT y CSV, se consideran archivos sin etiquetar. Siguen siendo accesibles si los demás permisos lo permiten. Esta limitación de tipos de archivo es independiente de la carga de un CSV para configurar el acceso a los sitios.
Ni la carga de CSV ni la utilidad pública de ejemplo configuran exclusiones por etiquetas de confidencialidad. Este artículo no documenta ninguna API de gestión masiva de etiquetas.
Guardar una política o recibir una respuesta correcta de la API no sustituye las pruebas de acceso con la cuenta prevista.
Usar la utilidad de administración en Python
El código de ejemplo completo y los comandos se mantienen actualizados en el OpenAI Cookbook:
Usa Python 3.10 o una versión posterior. La utilidad usa la biblioteca estándar de Python. Lee la guía antes de ejecutarla y haz simulaciones para revisar los cambios.
La utilidad actual lee las credenciales de las variables de entorno; sigue las instrucciones de la guía para introducirlas de forma segura. Para vaciar una lista de permitidos, exige una confirmación explícita. Una eliminación puede ejecutarse sin esa confirmación, así que revísala primero con una simulación.
Para conocer el comportamiento de los reintentos y las claves de idempotencia opcionales, consulta Reintentar una actualización de la política de forma segura. Usa claves de idempotencia solo si el Área de trabajo las admite y revisa la política actual tras un fallo de resultado incierto.
La utilidad no habilita funciones del Área de trabajo ni verifica la aplicación de la política. Sus pruebas sin conexión usan llamadas simuladas a Microsoft Graph y a la API de administración de ChatGPT.
Los cambios que requieren varias solicitudes no son atómicos. Si la eliminación de varias colecciones falla a mitad del proceso, puede que las eliminaciones anteriores ya se hayan completado. Consulta la política actual antes de reintentarlo.
Preguntas frecuentes
¿Debo añadir a la lista de exclusión las etiquetas de confidencialidad que aplican cifrado?
Sí. Añade todas las etiquetas de confidencialidad de Microsoft Purview cuyos archivos quieras que ChatGPT excluya, incluidas las etiquetas que aplican cifrado.
El contenido de los archivos cifrados se excluye de forma predeterminada. Para habilitar el acceso a archivos cifrados compatibles, un administrador del Área de trabajo debe habilitar el acceso avanzado a archivos (fetch_advanced), y un administrador de Microsoft Entra debe dar su consentimiento para los permisos de Microsoft necesarios. No basta con habilitar la acción sin completar el proceso de consentimiento del administrador.
Incluso tras la configuración, ChatGPT solo puede recuperar contenido cifrado cuando el usuario conectado tiene permiso para acceder al archivo y descifrarlo. Los archivos con etiquetas incluidas en tu lista de exclusión siguen excluidos. Habilitar el acceso avanzado a archivos o conceder el consentimiento del administrador no anula las exclusiones de etiquetas ni los permisos de Microsoft del usuario.
¿Los controles de sitios sustituyen a los permisos de Microsoft?
No. La aplicación sigue usando los permisos de Microsoft de cada usuario. OpenAI aplica el filtrado de sitios configurado antes de mostrar las respuestas al usuario y al modelo.
¿Una lista de sitios permitidos vacía bloquea todos los sitios?
No. Una lista de sitios permitidos vacía no significa «bloquear todos». Si una lista de sitios bloqueados contiene entradas, esas colecciones siguen bloqueadas. Cuando ninguna de las listas contiene entradas, los permisos de Microsoft de los usuarios y los demás controles configurados determinan el acceso.
¿Se registran los cambios realizados mediante la API de administración?
Los cambios de política realizados mediante la API de administración quedan registrados en los registros de auditoría y cumplimiento del Área de trabajo.