Utilisez ce guide si vous administrez un espace de travail ChatGPT ou utilisez ChatGPT Plus ou Pro et configurez l’application Databricks Genie avec OAuth intégré ou le client OAuth de votre organisation.
OAuth intégré : Lorsque cette option est disponible dans ChatGPT et activée pour votre espace de travail Databricks, utilisez la connexion préconfigurée. Vous n’avez pas besoin de créer une application OAuth ni de saisir un ID client ou un secret client. Suivez les instructions de la section OAuth intégré ci-dessous.
Client OAuth personnalisé : Utilisez cette méthode si OAuth intégré n’est pas disponible ou si votre organisation exige son propre client OAuth. Suivez les instructions de la section Client OAuth personnalisé ci-dessous.
Ce que vous configurez
Vous créez une connexion à l’application Databricks pour votre compte ou espace de travail ChatGPT. Les deux méthodes nécessitent les renseignements du fournisseur Databricks demandés dans ChatGPT et les autorisations pour les ressources que vous prévoyez utiliser. Si vous utilisez un client OAuth personnalisé, préparez aussi :
Une connexion à une application OAuth Databricks créée dans la console de compte Databricks.
L’ID client et le secret client OAuth Databricks.
L’URL de rappel exacte copiée depuis ChatGPT.
Les étendues Databricks correspondant aux fonctionnalités de l’application que vous souhaitez activer.
Tous les renseignements du fournisseur Databricks demandés lors de la configuration dans ChatGPT, comme l’hôte de l’espace de travail, l’hôte du compte, l’ID du compte ou l’entrepôt.
Avant de commencer
Pour configurer un espace de travail, ouvrez la console d’administration, sélectionnez l’espace de travail ChatGPT voulu, puis ouvrez Modules d’extension. Sélectionnez Gérer les anciennes applications pour ouvrir la page Applications conservée. Pour la navigation dans l’espace de travail et l’accès aux anciennes applications, consultez Contrôles d’administration, sécurité et conformité pour les modules d’extension et les applications.
Vous avez besoin des éléments suivants :
Un accès administrateur ou propriétaire à l’espace de travail ChatGPT, ou un compte ChatGPT Plus ou Pro.
Pour un client OAuth personnalisé, un accès administrateur au compte Databricks. Un accès administrateur à l’espace de travail peut suffire pour certaines tâches, mais les connexions d’applications personnalisées se configurent dans la console de compte Databricks. Pour OAuth intégré, un administrateur Databricks doit vérifier que l’application ChatGPT est disponible et activée pour votre espace de travail.
Pour un client OAuth personnalisé, la console de compte Databricks ouverte dans un onglet distinct.
Pour un client OAuth personnalisé, l’écran de connexion Databricks Genie ouvert dans ChatGPT afin de pouvoir copier l’URL de rappel exacte.
Une décision quant aux fonctionnalités requises pour l’application : Genie et les tableaux de bord AI/BI, un accès plus large aux API Databricks ou une application limitée aux API SQL de Databricks. L’accès SQL uniquement ne suffit pas pour les actions Genie ou de tableau de bord.
Pour un client OAuth personnalisé, un endroit sécurisé où gérer le secret client Databricks.
Si votre compte ou espace de travail Databricks restreint l’accès par une liste d’accès IP, un contrôle d’accès entrant basé sur le contexte, un pare-feu ou une autre politique réseau, l’aide d’un administrateur Databricks pouvant autoriser les plages d’adresses IP de sortie des applications ChatGPT actuelles.
Pour un client OAuth personnalisé, copiez l’URL de rappel exacte affichée dans ChatGPT.
Valeurs à préparer
Pour un client OAuth personnalisé, l’URL de rappel : copiez-la depuis le processus de configuration de l’application dans ChatGPT.
Pour un client OAuth personnalisé, l’ID client OAuth Databricks.
Pour un client OAuth personnalisé, le secret client OAuth Databricks.
Pour un client OAuth personnalisé, les étendues d’accès Databricks adaptées aux fonctionnalités de l’application. Pour une nouvelle connexion Genie/tableau de bord affichant
ai-gateway,dashboardsetoffline_access, préparez ces étendues. TOUTES les API (all-apisavecoffline_access) demeure l’ancienne option, plus large. Utilisez SQL uniquement pour une application limitée aux API SQL de Databricks.Les champs de l’espace de travail ou du compte Databricks demandés lors de la configuration dans ChatGPT.
OAuth intégré
Remplissez d’abord les conditions préalables ci-dessus. Utilisez cette méthode uniquement lorsque l’authentification OAuth intégrée est disponible dans ChatGPT et activée pour votre espace de travail Databricks.
Demandez à un administrateur Databricks de vérifier que l’application ChatGPT est disponible dans les paramètres d’intégration des applications de la console de compte et activée pour votre espace de travail. Si l’application ChatGPT ne figure pas dans votre console de compte Databricks, communiquez avec votre représentant de compte Databricks pour savoir si la fonctionnalité est disponible pour votre compte.
Dans ChatGPT, passez au compte ou à l’espace de travail où l’application doit être disponible. Accédez à Paramètres > Plugiciels pour une configuration personnelle ou à Console d’administration > Plugiciels en tant qu’administrateur ou propriétaire de l’espace de travail pour une configuration d’espace de travail.
Sélectionnez Databricks Genie, puis Ajouter une connexion d’application.
Saisissez le Nom d’hôte de l’espace de travail (obligatoire) sans
https://ni chemin d’URL.ChatGPT déduit le point de terminaison MCP Genie local à l’espace de travail,
https://<workspace-host>/ai-gateway/mcp-services/system.ai.genie_one_mcp, à partir de ce nom d’hôte. Aucun point de terminaison MCP régional distinct n’est nécessaire.Sélectionnez Continuer, puis connectez-vous à Databricks et examinez la demande de consentement.
Poursuivez avec les sections Connexion et test et Gestion de l’accès ci-dessous, y compris les tests avec les membres autorisés et les vérifications d’accès à l’espace de travail.
Client OAuth personnalisé
Remplissez d’abord les conditions préalables ci-dessus. Utilisez cette méthode si OAuth intégré n’est pas disponible ou si votre organisation exige son propre client OAuth. Après la configuration, suivez les instructions des sections Connecter et tester et Gérer l’accès ci-dessous.
Commencer la configuration OAuth personnalisée dans ChatGPT
Dans ChatGPT, passez au compte ou à l’espace de travail où l’application doit être disponible.
Accédez à Paramètres > Plugiciels pour une configuration personnelle ou à Console d’administration > Plugiciels en tant qu’administrateur ou propriétaire de l’espace de travail pour une configuration d’espace de travail.
Sélectionnez Databricks Genie dans Répertoire.
Sélectionnez Ajouter une connexion d’application.
Dans la boîte de dialogue Connecter Databricks Genie, repérez les champs ID client OAuth et Secret client OAuth. La saisie des identifiants dans ces champs visibles constitue le processus de configuration d’un client personnalisé; aucun sélecteur distinct n’est nécessaire.
Copiez l’URL de rappel depuis ChatGPT. Gardez cette boîte de dialogue ouverte.
Exemple d’URL de rappel :
https://chatgpt.com/connector/oauth/<callback_id>
Ne supprimez pas l’ID de rappel, n’ajoutez pas de barre oblique finale et ne remplacez pas l’URL par une URL ChatGPT générique. L’URL enregistrée dans Databricks doit correspondre exactement à l’URL de rappel affichée dans ChatGPT.
Créer une connexion à une application OAuth personnalisée dans Databricks
Ouvrez la console de compte Databricks pour votre compte Databricks.
Dans la barre latérale gauche, ouvrez Paramètres.
Ouvrez l’onglet Connexions d’applications.
Sélectionnez Ajouter une connexion.
Saisissez un nom d’application, par exemple ChatGPT Databricks.
Dans URL de redirection, collez l’URL de rappel exacte copiée depuis ChatGPT.
Sous Étendues d’accès, choisissez les étendues nécessaires à l’application.
Pour une nouvelle connexion Genie/tableau de bord affichant
ai-gateway,dashboardsetoffline_accessdans ChatGPT, autorisez ces mêmes étendues dans l’application OAuth Databricks.TOUTES les API demeure l’ancienne option, plus large, pour l’accès général aux API Databricks. Pour cette configuration, utilisez
all-apisetoffline_accessdans ChatGPT et assurez-vous que l’application OAuth Databricks autorise les deux. Privilégiez les étendues granulaires affichées pour une nouvelle connexion Genie/tableau de bord.Utilisez SQL uniquement pour une application limitée aux API SQL de Databricks. L’accès SQL uniquement ne suffit pas pour les actions Genie ou de tableau de bord.
Assurez-vous que chaque étendue indiquée par la suite dans ChatGPT est activée dans cette application OAuth Databricks. Databricks autorise automatiquement openid, email, profile et offline_access pour les applications créées dans l’interface utilisateur.
Conservez les durées de vie des jetons par défaut de Databricks, sauf si votre organisation a une politique particulière : 60 minutes pour le jeton d’accès et 10080 minutes pour le jeton d’actualisation.
Activez Générer un secret client. ChatGPT a besoin d’un client OAuth confidentiel pour ce processus.
Créez la connexion.
Copier les identifiants depuis Databricks
Dans la boîte de dialogue Connexion créée, copiez l’ID client.
Copiez immédiatement le Secret client et conservez-le en lieu sûr.
Si vous fermez la boîte de dialogue avant de copier le secret, créez ou renouvelez les identifiants de l’application OAuth et utilisez le nouveau secret.
Databricks n’affiche le secret qu’une seule fois. Traitez-le comme un identifiant d’accès et ne l’incluez pas dans des captures d’écran, des billets d’assistance, des commentaires ou des conversations.
Terminer la configuration OAuth personnalisée dans ChatGPT
Revenez à la boîte de dialogue Connecter Databricks Genie.
Saisissez l’ID client Databricks dans ID client OAuth.
Saisissez le secret client Databricks dans Secret client OAuth.
La saisie de ces identifiants permet d’utiliser votre client OAuth personnalisé; aucun sélecteur distinct n’est nécessaire.
Dans Portées (facultatif), saisissez les portées requises pour le point de terminaison Databricks et les fonctionnalités de votre application. Faites-les correspondre aux portées activées dans l’application OAuth Databricks.
Pour une nouvelle connexion Genie/tableaux de bord affichant
ai-gateway,dashboardsetoffline_access, conservez ces portées. Assurez-vous que l’application OAuth Databricks autorise les mêmes portées.ai-gatewayactive la connexion MCP Genie locale à l’espace de travail,dashboardsactive les actions des tableaux de bord AI/BI etoffline_accessactive les jetons d’actualisation.L’ancienne option plus étendue,
all-apisetoffline_access, reste prise en charge pour un accès élargi aux API, mais n’est pas privilégiée pour cette connexion Genie/tableaux de bord. Si l’application Databricks autorise uniquementall-apis, mettez-la à jour ou recréez-la pour autoriserai-gateway,dashboardsetoffline_access. Si les portées granulaires ne sont pas disponibles, configurez explicitement ChatGPT pour utiliserall-apisetoffline_accesset assurez-vous que l’application Databricks autorise les deux. Ne demandez pas les trois portées granulaires dans ChatGPT si l’application Databricks autorise uniquementall-apis.Saisissez une portée par ligne ou séparez les portées par des virgules. Chaque portée indiquée dans ChatGPT doit être activée dans l’application OAuth Databricks.
Saisissez le Nom d’hôte de l’espace de travail (obligatoire) sans https:// ni chemin d’URL. Remplissez tous les autres champs obligatoires du fournisseur Databricks affichés dans le processus de configuration.
ChatGPT déduit le point de terminaison MCP Genie local à l’espace de travail,
https://<workspace-host>/ai-gateway/mcp-services/system.ai.genie_one_mcp, à partir de ce nom d’hôte. Aucun point de terminaison MCP régional distinct n’est nécessaire.Sélectionnez Continuer.
ChatGPT demande exactement les portées saisies dans Portées (facultatif). Il n’ajoute pas automatiquement de portées plus étendues provenant du modèle de configuration.
Connecter et tester
Effectuez les tests de connexion et les vérifications d’accès suivants pour l’une ou l’autre des méthodes OAuth.
Examinez les détails de l’application, ses actions et ses paramètres d’authentification.
Si vous administrez un espace de travail, activez l’application pour cet espace et définissez qui peut l’utiliser selon la politique de l’espace de travail.
Lancez le processus de connexion depuis ChatGPT avec un compte utilisateur de test autorisé, puis connectez-vous à Databricks.
Vérifiez que le navigateur ouvre le compte ou l’espace de travail Databricks prévu.
Examinez les étendues demandées, puis sélectionnez Autoriser.
Vérifiez que le navigateur revient à ChatGPT et que l’application s’affiche comme connectée.
Exécutez une action de lecture à faible risque correspondant aux fonctionnalités de la connexion. Pour une connexion Genie, envoyez une requête Genie concernant des données auxquelles l’utilisateur de test est autorisé à accéder. Pour les autres fonctionnalités prises en charge, récupérez les renseignements de l’utilisateur actuel ou interrogez une ressource SQL Databricks approuvée. Vérifiez que l’utilisateur dispose des autorisations requises pour les ressources Databricks; les étendues OAuth seules n’accordent pas l’accès aux données.
Si les actions d’écriture sont activées, testez-les avec un flux de travail Databricks présentant clairement un faible risque avant un déploiement plus large.
Pour une configuration d’espace de travail, demandez à un membre autorisé sans rôle d’administrateur de se connecter et de répéter le test à faible risque.
Gérer l’accès
Databricks et ChatGPT contribuent tous deux au contrôle de l’accès.
Dans ChatGPT, les administrateurs d’espace de travail gèrent la disponibilité de l’application et la façon dont les membres peuvent l’utiliser. Dans Business, les administrateurs gèrent l’activation de l’application pour tout l’espace de travail. Consultez les contrôles d’administration des applications Databricks (Paramètres de l’espace de travail > Applications ou Console d’administration > Modules d’extension > Gérer les anciennes applications) pour :
Accès des utilisateurs, pour définir quels rôles de l’espace de travail peuvent utiliser l’application dans les espaces de travail Enterprise et Edu pris en charge.
Contrôle des actions, pour définir quelles actions Databricks sont activées.
Autorisations de l’application, pour définir quand ChatGPT demande l’accord des membres avant d’utiliser l’application.
Ces autorisations de l’application s’appliquent aux conversations ChatGPT. Les agents d’espace de travail utilisent des contrôles propres à chaque agent, définis par son créateur, pour déterminer quelles actions d’application sont disponibles et quand les utilisateurs finaux doivent les approuver. Pour le comportement des agents, consultez : Agents d’espace de travail ChatGPT pour Enterprise et Business.
Dans Databricks, les administrateurs gèrent les utilisateurs pouvant autoriser l’application OAuth et les ressources Databricks auxquelles ces utilisateurs peuvent accéder. Les autorisations du fournisseur continuent de s’appliquer après l’activation de l’application dans ChatGPT.
Pour la navigation dans l’espace de travail, l’accès aux applications et les contrôles d’application propres à chaque forfait, consultez : Contrôles d’administration, sécurité et conformité dans les applications.
Dépannage de la configuration de l’application Databricks
URI de redirection non concordant : Si vous utilisez un client OAuth personnalisé, vérifiez que la valeur URL de redirection dans Databricks correspond exactement à l’URL de rappel affichée dans ChatGPT, y compris son chemin et son ID de rappel. Ne supprimez pas l’ID de rappel, n’ajoutez pas de barre oblique finale et ne remplacez pas l’URL par une autre URL de redirection ChatGPT.
Secret manquant : Si vous utilisez un client OAuth personnalisé, les secrets Databricks ne sont affichés qu’une seule fois. Générez un nouveau secret client si vous ne l’avez pas copié.
Application OAuth non disponible immédiatement : Selon Databricks, le traitement des mises à jour d’applications OAuth peut prendre jusqu’à 30 minutes.
Étendue insuffisante ou non concordante : Si vous utilisez un client OAuth personnalisé, comparez les Étendues (facultatif) dans ChatGPT aux Étendues d’accès de l’application OAuth Databricks. Chaque étendue demandée par ChatGPT doit y être activée. Vérifiez que les étendues prennent en charge le point de terminaison et les fonctionnalités que vous utilisez.
Pour une nouvelle connexion Genie/tableau de bord affichant
ai-gateway,dashboardsetoffline_access, conservez ces étendues dans ChatGPT et assurez-vous que l’application Databricks autorise les trois. Si l’application autorise uniquementall-apis, mettez-la à jour ou recréez-la pour autoriser les trois étendues granulaires.Si les étendues granulaires ne sont pas disponibles, utilisez l’option plus large prise en charge : configurez ChatGPT avec
all-apisetoffline_access, et assurez-vous que l’application Databricks autorise les deux. Une application qui autorise uniquementall-apisne correspond pas à une demande de ChatGPT pourai-gateway,dashboardsetoffline_access. L’accès SQL uniquement convient seulement à une application limitée aux API SQL de Databricks; il ne suffit pas pour les actions Genie ou de tableau de bord.Échec des actions SQL : Pour une application limitée aux API SQL de Databricks, vérifiez l’étendue SQL, la configuration de l’entrepôt et les autorisations Databricks.
Mauvais espace de travail ChatGPT : Créez et activez l’application dans l’espace de travail ChatGPT où les utilisateurs la connecteront.
Mauvais compte ou espace de travail Databricks : Vérifiez la valeur Nom d’hôte de l’espace de travail (obligatoire), puis répétez le processus de connexion et vérifiez que Databricks ouvre le compte ou l’espace de travail prévu.
Les utilisateurs ne peuvent pas se connecter : Vérifiez que l’utilisateur a accès à Databricks et peut autoriser l’application OAuth. Dans Business, vérifiez que l’application est activée pour tout l’espace de travail. Dans les espaces de travail Enterprise et Edu pris en charge, vérifiez aussi que le paramètre Accès des utilisateurs de ChatGPT autorise l’application.
La politique réseau Databricks bloque l’application : Si Databricks n’autorise que certaines adresses IP sources, un administrateur Databricks doit mettre à jour les listes d’accès IP du compte ou de l’espace de travail concerné, les contrôles d’accès entrant basés sur le contexte, le pare-feu ou d’autres règles réseau gérées par le client.
Autorisez les connexions entrantes provenant des plages d’adresses IP de sortie des applications ChatGPT actuelles.
Configurez cette liste d’autorisation dans Databricks ou dans la couche réseau gérée par le client. Elle est distincte de la liste d’adresses IP autorisées de l’espace de travail ChatGPT.
Les plages publiées peuvent changer. Automatisez les mises à jour à partir du fichier JSON lorsque c’est possible.
Ne renouvelez pas le secret client et ne modifiez pas les étendues OAuth pour contourner un blocage réseau. Vérifiez d’abord si Databricks rejette les adresses IP sources de l’application.