Descripción general
Los administradores del Área de trabajo pueden usar los controles de SharePoint para permitir colecciones de sitios aprobadas, bloquear determinadas colecciones de sitios y excluir archivos compatibles con determinadas etiquetas de confidencialidad de Microsoft Purview.
Una colección de sitios de SharePoint, también llamada SPSite, puede contener varios sitios. Una regla de colección se aplica a toda la colección, respetando los permisos de Microsoft que ya tiene cada usuario. No concede al usuario acceso a contenido al que no pueda acceder en Microsoft 365.
Las restricciones de sitios se aplican a las acciones compatibles de búsqueda, navegación, recuperación de archivos y lectura y escritura de SharePoint. El acceso a OneDrive se gestiona por separado.
Elige el modo de acceso que se ajuste a tu política:
Sitios permitidos: si la lista de permitidos no está vacía, los usuarios solo pueden acceder a las colecciones de sitios incluidas en ella a través de la aplicación.
Sitios bloqueados: los usuarios pueden acceder a las colecciones de sitios que no figuren en la lista de bloqueados, según sus permisos de Microsoft.
Solo una de las listas puede contener entradas a la vez. Una lista de permitidos vacía no bloquea todos los sitios. Cuando ambas listas están vacías, se eliminan las restricciones de sitios de SharePoint; los permisos de Microsoft y los demás controles configurados siguen aplicándose.
Disponibilidad
Los controles y la API de administración del Área de trabajo deben estar habilitados para tu Área de trabajo. Los controles disponibles incluyen listas de colecciones de sitios permitidas y bloqueadas, importaciones de sitios mediante CSV y exclusiones por etiquetas de confidencialidad.
Las reglas se aplican a colecciones de sitios completas. Estos controles de colecciones de sitios no permiten delimitar el acceso a sitios individuales, carpetas o archivos concretos ni incluyen la aplicación de Microsoft Sites.Selected.
Antes de empezar
Identifica las colecciones de sitios que tu organización quiere permitir o bloquear.
Obtén el GUID de cada colección. Un ID de sitio completo de Microsoft Graph contiene el GUID de la colección como valor central. La API de administración usa GUID de colección; el importador de CSV de la interfaz también puede extraerlos de los ID de sitio de Graph de tres componentes.
Habilita los permisos de Microsoft que requiere la aplicación de SharePoint tanto en la configuración de permisos de ChatGPT como en Microsoft Entra, incluidos
Sites.Read.AllyFiles.Read.All. Estos controles filtran el acceso en OpenAI; no sustituyen los permisos delegados de Microsoft.Para las exclusiones por etiquetas de confidencialidad, pide a tu administrador de Microsoft 365 o Purview el GUID inmutable de cada etiqueta sin cifrado.
Para la administración mediante la API, obtén el UUID de tu Área de trabajo, una clave de administración del Área de trabajo de ChatGPT y un token de Microsoft Graph si necesitas resolver URL de SharePoint. Las dos credenciales tienen finalidades distintas.
Acerca del OpenAI Cookbook
El OpenAI Cookbook es la colección pública de código de ejemplo y guías de OpenAI. Este artículo utiliza su guía de acceso a sitios de SharePoint y su script de administración en Python, ambos alojados en GitHub. Puedes abrir estos enlaces en tu navegador para leer los archivos. Para ejecutar el script, descárgalo y sigue las instrucciones de configuración y uso de comandos de la guía.
En este artículo, «Cookbook» se refiere a esa guía de SharePoint, y «utilidad del Cookbook», al script de Python enlazado. Usa estas referencias para consultar ejemplos de comandos y gestionar listas de permitidos mediante la API.
Configurar las credenciales para la administración mediante la API
Nota: debes ser administrador del Área de trabajo para poder crear claves de administración. Más información.
Crear una clave de administración del Área de trabajo de ChatGPT
Abre la consola de administración de ChatGPT y selecciona el Área de trabajo que quieras.
Ve a Credenciales y selecciona Claves de administración.
Crea una clave con permisos Restringidos y configura Aplicaciones como Escritura.
Guarda la clave de forma segura. Esta clave autoriza la consulta y modificación de la política de SharePoint de tu Área de trabajo.
El permiso necesario es chatgpt.enterprise.apps.write. Ten en cuenta que ni una clave de la Plataforma API ni un token de Microsoft Graph pueden sustituir una clave de administración del Área de trabajo de ChatGPT.
Para obtener más información, consulta: gestionar las claves de administración en la pestaña Credenciales. Para conocer las variables de entorno de credenciales del script y ver un ejemplo de introducción segura, consulta las instrucciones sobre credenciales del Cookbook.
Obtener un token de Microsoft Graph
Usa el proceso de autenticación de Microsoft aprobado por tu organización. Para realizar una consulta interactiva, si tu organización permite usar el Explorador de Graph:
Abre el Explorador de Microsoft Graph e inicia sesión con una cuenta de trabajo del inquilino que contiene los sitios de SharePoint.
Selecciona los permisos necesarios para leer los sitios, normalmente
Sites.Read.All, mediante Modificar permisos o Dar consentimiento a los permisos. Pide a tu administrador de Microsoft que apruebe el acceso si tu organización lo exige.Abre la pestaña Token de acceso y copia el token para usarlo con Microsoft Graph.
Para ver las instrucciones de Microsoft, consulta Trabajar con el Explorador de Graph.
El token de Graph permite obtener los identificadores correspondientes a las URL de SharePoint. La clave de administración de ChatGPT permite consultar o actualizar la política de ChatGPT. La utilidad del Cookbook solo necesita el token de Graph para los comandos que resuelven URL; para consultar o vaciar una lista de permitidos existente, basta con la clave de administración de ChatGPT.
No incluyas ninguna de las dos credenciales en sistemas de control de versiones, documentos compartidos, capturas de pantalla ni registros.
Buscar el GUID de una colección de sitios
Usar la URL del sitio de SharePoint
Abre el sitio de SharePoint tras iniciar sesión en Microsoft con una cuenta que tenga acceso a él.
Añade
/_api/site/idal final de la URL del sitio. Por ejemplo, usahttps://contoso.sharepoint.com/sites/Finance/_api/site/id.Copia el GUID que se devuelve en la respuesta.
Nota: los dominios e identificadores de ejemplo de este artículo son valores de muestra.
Usar Microsoft Graph
Microsoft Graph devuelve un ID de sitio con tres componentes separados por comas: el nombre de host, el GUID de la colección de sitios y el GUID del sitio. Usa el valor central para una regla de colección de sitios. Distintas URL de sitios pueden corresponder al mismo GUID de colección.
Para ver ejemplos de consultas e identificadores, consulta Comprender los identificadores de sitios de SharePoint. Para resolver varias URL sin cambiar la política de ChatGPT, usa las instrucciones de inspección del Cookbook y el script de administración en Python.
Para conocer los requisitos de consulta de Microsoft, consulta Obtener un sitio de SharePoint por su ruta.
Gestionar las colecciones de sitios permitidas y bloqueadas
Usar los controles del Área de trabajo
Abre los Controles de seguridad y protección de la aplicación de SharePoint en tu Área de trabajo.
En Modo de acceso, selecciona Sitios permitidos o Sitios bloqueados.
Añade las colecciones de sitios a la lista seleccionada. También puedes usar la carga de CSV que se describe a continuación.
Revisa los cambios y selecciona Guardar.
Comprueba la política guardada y prueba tu configuración.
Los sitios añadidos mediante la API de administración aparecen en los controles del Área de trabajo. Los sitios añadidos en la interfaz también están disponibles a través de la API. Puedes añadir o eliminar entradas por cualquiera de las dos vías; el método usado para añadir un sitio no te obliga a seguir usando ese método.
Cambiar entre sitios permitidos y bloqueados
Solo una de las listas puede contener entradas a la vez. Antes de añadir entradas en el otro modo, vacía la lista existente y guarda el cambio. Después, selecciona el otro modo, añade las colecciones que quieras y vuelve a guardar.
Vaciar la lista activa cambia el acceso en cuanto se guarda. Vaciar una lista de permitidos elimina su restricción de sitios; vaciar una lista de bloqueados elimina sus bloqueos. Planifica la transición con otros administradores, ya que el intervalo entre vaciar una lista y guardar la otra puede permitir accesos que la política final restringirá.
Cargar colecciones de sitios desde un CSV
La carga de CSV solo admite colecciones de sitios. Para excluir archivos por etiqueta de confidencialidad, añade los GUID de las etiquetas en Etiquetas de confidencialidad excluidas sin cifrado.
Abre Controles de seguridad y protección y selecciona el Modo de acceso que quieras.
Prepara un CSV con GUID de colecciones de sitios o con ID de sitio de Microsoft Graph de tres componentes. Usa un único formato de identificador en todo el archivo.
Selecciona Cargar archivo CSV y elige el archivo.
Revisa el resultado de la importación y la lista seleccionada. Resuelve los errores o las advertencias de las filas antes de continuar.
Selecciona Guardar para aplicar los cambios y comprueba la lista guardada.
Requisitos y funcionamiento del CSV:
Tamaño máximo del archivo: 1 MB.
Los encabezados son opcionales.
Usa un GUID de colección por fila o ID de sitio de Graph de tres componentes. Los tres componentes pueden ir entre comillas en un solo campo o repartidos en tres columnas.
Los ID de Graph de tres componentes se convierten en GUID de colección. Importar un ID de tres componentes no crea una regla para un sitio concreto.
Las importaciones añaden entradas a la lista seleccionada y conservan las existentes. Las colecciones duplicadas se unifican; el recuento de importación indica las colecciones recién añadidas.
Se rechazan los formatos mezclados y las filas con formato incorrecto. Si el archivo cargado solo contiene URL de sitios, se muestra una advertencia y no se añaden sitios. Obtén primero los GUID de colección correspondientes a las URL.
La carga solo modifica el borrador de la lista. No actualiza el acceso del Área de trabajo hasta que seleccionas Guardar.
La carga de CSV que se describe aquí permite gestionar colecciones de sitios. Configura las exclusiones por etiquetas de confidencialidad por separado.
Si tienes un CSV con URL de SharePoint, el flujo de trabajo con CSV de la utilidad del Cookbook permite resolverlas y gestionar una lista de permitidos mediante la API. La entrada site_url o url de la utilidad usa un formato y un flujo de trabajo distintos de los de la carga de identificadores en la interfaz.
Conocer los límites de la política y de las solicitudes
El límite predeterminado de la política es de 10 000 colecciones de sitios. Los límites superiores de la política del Área de trabajo, de hasta 120 000 colecciones de sitios, requieren que OpenAI los habilite; ponte en contacto con tu equipo de OpenAI antes de planificar una implementación más amplia.
Las operaciones individuales de modificación de la API y el script actual del Cookbook admiten hasta 10 000 GUID de colección por solicitud. Un límite superior de la política del Área de trabajo no aumenta este límite por solicitud. Cuenta las colecciones de sitios únicas, no las URL de origen: varias URL pueden hacer referencia a la misma colección.
Usar la API de administración del Área de trabajo
Usa el UUID de tu Área de trabajo y una clave de administración del Área de trabajo de ChatGPT con https://api.chatgpt.com.
Para ver comandos actualizados de listas de permitidos y ejemplos de solicitudes, consulta el Cookbook:
Previsualizar y añadir colecciones de sitios. Al añadir colecciones, se conservan las colecciones permitidas existentes.
Revisa la política actual antes de hacer cambios; después, vuelve a consultarla y prueba el acceso resultante. Eliminar la última colección permitida o vaciar la lista de permitidos elimina esa restricción de sitios. No envíes una solicitud de adición vacía salvo que quieras eliminar las restricciones de la lista de permitidos.
La utilidad pública del Cookbook actualmente gestiona solo listas de permitidos. No gestiona listas de bloqueados ni exclusiones por etiquetas de confidencialidad. Para esas tareas, usa los controles del Área de trabajo descritos anteriormente.
Excluir archivos con etiquetas de confidencialidad
Buscar el GUID de la etiqueta
Pide a tu administrador de Microsoft 365 o Purview el GUID inmutable de la etiqueta que quieras usar. Usa el GUID, no el nombre para mostrar de la etiqueta.
Un administrador puede obtener la lista de etiquetas mediante Microsoft Graph. El token necesita el permiso SensitivityLabel.Read o SensitivityLabels.Read.All, según corresponda. Busca el ID que corresponde al nombre de la etiqueta que quieras usar y comprueba su configuración de protección.
Para conocer los requisitos y ver ejemplos, consulta Obtener la lista de etiquetas de confidencialidad y Propiedades de las etiquetas de confidencialidad. Estos permisos de etiquetas son independientes del permiso de lectura de sitios que se usa para resolver URL de SharePoint.
Añadir exclusiones por etiquetas
Abre los Controles de seguridad y protección de la aplicación de SharePoint.
Introduce el GUID de cada etiqueta sin cifrado en Etiquetas de confidencialidad excluidas sin cifrado.
Guarda la configuración y haz una prueba con un archivo compatible que tenga la etiqueta excluida.
Los archivos con etiquetas compatibles que coincidan con las excluidas no aparecerán en los resultados de la aplicación de SharePoint. Los archivos con etiquetas que aplican cifrado ya se excluyen de forma predeterminada.
Probar tu configuración
Usa archivos y cuentas de prueba aprobados por tu organización. Antes de realizar las pruebas, confirma que la misma cuenta de Microsoft puede acceder a cada archivo directamente en SharePoint.
En el modo Sitios permitidos, con una lista que no esté vacía, comprueba el acceso a un archivo de una colección permitida y a otro de una colección que no figure en la lista. Solo debería poder accederse a la colección permitida a través de la aplicación.
En el modo Sitios bloqueados, comprueba el acceso a un archivo de una colección bloqueada y a otro de una colección no bloqueada. La colección bloqueada no debería estar disponible; la colección no bloqueada sigue sujeta a los permisos de Microsoft y a otros controles.
Comprueba un archivo de prueba compatible que tenga una etiqueta de confidencialidad excluida. No debería aparecer en los resultados de la aplicación.
Tras un cambio mediante la API, compara la lista guardada en la interfaz con la política que devuelve la API.
Tras cargar un CSV, guarda los cambios y vuelve a abrir los controles para confirmar que se han conservado las colecciones previstas.
Si los resultados no coinciden con la política prevista, comprueba el Área de trabajo, el modo de acceso seleccionado, la lista guardada, los GUID de las colecciones y de las etiquetas, la compatibilidad del tipo de archivo y los permisos de Microsoft del usuario. No vacíes una lista para intentar resolver un problema salvo que quieras aplicar el cambio de acceso resultante.
Si faltan controles o el acceso no es el esperado, consulta: cómo contactar con el soporte de OpenAI. No incluyas claves de administración ni tokens de Microsoft Graph en tu solicitud de soporte.
Conocer las limitaciones
Una regla de colección abarca toda la colección de sitios. No permite limitar el acceso a un subsitio, una carpeta o un archivo concretos.
Las restricciones de sitios de SharePoint no restringen automáticamente el acceso a OneDrive.
El filtrado por etiquetas de confidencialidad solo se aplica cuando Microsoft Graph proporciona metadatos de etiquetas compatibles, incluidos los documentos de Office y los archivos PDF y MP4 compatibles.
Los tipos de archivo no compatibles con las etiquetas de confidencialidad, como TXT y CSV, se consideran archivos sin etiquetar. Siguen siendo accesibles si los demás permisos lo permiten. Esta limitación de tipos de archivo es independiente de la carga de un CSV para configurar el acceso a los sitios.
Ni la carga de CSV ni la utilidad pública de ejemplo configuran exclusiones por etiquetas de confidencialidad. Este artículo no documenta ninguna API de gestión masiva de etiquetas.
Guardar una política o recibir una respuesta correcta de la API no sustituye las pruebas de acceso con la cuenta prevista.
Usar la utilidad de administración en Python
El código de ejemplo completo y los comandos se mantienen actualizados en el OpenAI Cookbook:
Usa Python 3.10 o una versión posterior. La utilidad usa la biblioteca estándar de Python. Lee la guía antes de ejecutarla y haz simulaciones para revisar los cambios.
La utilidad actual lee las credenciales de las variables de entorno; sigue las instrucciones de la guía para introducirlas de forma segura. Para vaciar una lista de permitidos, exige una confirmación explícita. Una eliminación puede ejecutarse sin esa confirmación, así que revísala primero con una simulación.
Para conocer el comportamiento de los reintentos y las claves de idempotencia opcionales, consulta Reintentar una actualización de la política de forma segura. Usa claves de idempotencia solo si el Área de trabajo las admite y revisa la política actual tras un fallo de resultado incierto.
La utilidad no habilita funciones del Área de trabajo ni verifica la aplicación de la política. Sus pruebas sin conexión usan llamadas simuladas a Microsoft Graph y a la API de administración de ChatGPT.
Los cambios que requieren varias solicitudes no son atómicos. Si la eliminación de varias colecciones falla a mitad del proceso, puede que las eliminaciones anteriores ya se hayan completado. Consulta la política actual antes de reintentarlo.
Preguntas frecuentes
¿Los controles de sitios sustituyen los permisos de Microsoft?
No. La aplicación sigue usando los permisos de Microsoft de cada usuario. OpenAI aplica el filtrado de sitios configurado antes de mostrar las respuestas al usuario y al modelo.
¿Una lista de permitidos vacía bloquea todos los sitios?
No. Una lista de permitidos vacía no significa «bloquear todo». Si una lista de bloqueados contiene entradas, esas colecciones siguen bloqueadas. Cuando ninguna lista contiene entradas, los permisos de Microsoft de los usuarios y los demás controles configurados determinan el acceso.
¿Se registran los cambios realizados mediante la API de administración?
Los cambios de política realizados mediante la API de administración se recogen en los registros de auditoría y cumplimiento del Área de trabajo.