Découvrez comment gérer l’accès aux sites SharePoint et exclure les fichiers pris en charge portant certaines étiquettes de confidentialité dans ChatGPT.

Aperçu

Les administrateurs d’espace de travail peuvent utiliser les contrôles SharePoint pour autoriser les collections de sites approuvées, bloquer certaines collections de sites et exclure les fichiers pris en charge portant certaines étiquettes de confidentialité Microsoft Purview.

Une collection de sites SharePoint, aussi appelée SPSite, peut contenir plusieurs sites. Une règle de collection s’applique à l’ensemble de la collection, sous réserve des autorisations Microsoft existantes de chaque utilisateur. Elle n’accorde pas à un utilisateur l’accès à du contenu auquel il ne peut pas accéder dans Microsoft 365.

Les restrictions de sites s’appliquent aux actions SharePoint prises en charge : recherche, navigation, récupération de fichiers, lecture et écriture. L’accès à OneDrive est géré séparément.

Choisissez le mode d’accès qui correspond à votre politique :

Sites autorisés : Avec une liste d’autorisation non vide, les utilisateurs peuvent accéder uniquement aux collections de sites répertoriées par l’application.
Sites bloqués : Les utilisateurs peuvent accéder aux collections de sites autres que celles de la liste de blocage, sous réserve de leurs autorisations Microsoft.

Une seule liste peut contenir des entrées à la fois. Une liste d’autorisation vide ne bloque pas tous les sites. Lorsque les deux listes sont vides, les restrictions de sites SharePoint sont supprimées; les autorisations Microsoft et les autres contrôles configurés s’appliquent toujours.

Disponibilité

Les contrôles et l’API d’administration de l’espace de travail doivent être activés pour votre espace de travail. Les contrôles disponibles comprennent les listes d’autorisation et de blocage de collections de sites, les importations de sites par CSV et les exclusions par étiquette de confidentialité.

Les règles s’appliquent aux collections de sites entières. Le ciblage précis d’un site individuel, d’un dossier ou d’un fichier et l’application de Microsoft Sites.Selected ne sont pas inclus dans ces contrôles de collections de sites.

Avant de commencer

Déterminez les collections de sites que votre organisation souhaite autoriser ou bloquer.
Obtenez le GUID de chaque collection. Un identifiant de site Microsoft Graph complet contient le GUID de la collection comme valeur du milieu. L’API d’administration utilise les GUID de collections; l’outil d’importation CSV de l’interface peut aussi les extraire des triplets d’identifiants de sites Graph.
Activez les autorisations Microsoft requises par l’application SharePoint dans les paramètres d’autorisation de ChatGPT et dans Microsoft Entra, notamment Sites.Read.All et Files.Read.All. Ces contrôles filtrent l’accès du côté d’OpenAI; ils ne remplacent pas les autorisations déléguées de Microsoft.
Pour les exclusions par étiquette de confidentialité, demandez à votre administrateur Microsoft 365 ou Purview le GUID immuable de chaque étiquette sans chiffrement.
Pour l’administration par API, obtenez l’UUID de votre espace de travail, une clé d’administration d’espace de travail ChatGPT et un jeton Microsoft Graph si vous devez résoudre des URL SharePoint. Les deux informations d’identification ont des fonctions différentes.

À propos de l’OpenAI Cookbook

L’OpenAI Cookbook est la collection publique d’exemples de code et de guides d’OpenAI. Cet article utilise son guide d’accès aux sites SharePoint et son script d’administration Python, tous deux hébergés sur GitHub. Vous pouvez ouvrir ces liens dans votre navigateur pour lire les fichiers. Pour exécuter le script, téléchargez-le et suivez les instructions de configuration et de commande du guide.

Dans cet article, « Cookbook » désigne ce guide SharePoint, et « utilitaire du Cookbook » désigne le script Python accessible par le lien. Consultez ces références pour des exemples de commandes et pour gérer les listes d’autorisation par API.

Configurer les informations d’identification pour l’administration par API

Remarque : vous devez être administrateur de l’espace de travail pour créer des clés d’administration. En savoir plus.

Créer une clé d’administration d’espace de travail ChatGPT

Ouvrez la console d’administration de ChatGPT et sélectionnez l’espace de travail souhaité.
Accédez à Informations d’identification et sélectionnez Clés d’administration.
Créez une clé avec des autorisations Restreintes et réglez Applications sur Écriture.
Conservez la clé en lieu sûr. Cette clé autorise la lecture et la modification de la politique SharePoint de votre espace de travail.

L’autorisation requise est chatgpt.enterprise.apps.write. Notez que ni une clé de la Plateforme API ni un jeton Microsoft Graph ne peuvent remplacer une clé d’administration d’espace de travail ChatGPT.

Pour en savoir plus, consultez : Gérer les clés d’administration dans l’onglet Informations d’identification. Pour les variables d’environnement d’identification du script et un exemple de saisie sécurisée, consultez les instructions du Cookbook sur les informations d’identification.

Obtenir un jeton Microsoft Graph

Utilisez le processus d’authentification Microsoft approuvé par votre organisation. Pour une recherche interactive, si votre organisation autorise l’Explorateur Graph :

Ouvrez l’Explorateur Microsoft Graph et connectez-vous avec un compte professionnel du locataire qui contient les sites SharePoint.
Sélectionnez les autorisations nécessaires pour lire les sites, généralement Sites.Read.All, à l’aide de Modifier les autorisations ou de Consentir aux autorisations. Demandez à votre administrateur Microsoft d’approuver l’accès si votre organisation l’exige.
Ouvrez l’onglet Jeton d’accès et copiez le jeton pour l’utiliser avec Microsoft Graph.

Pour les instructions de Microsoft, consultez Utiliser l’Explorateur Graph.

Le jeton Graph sert à résoudre les URL SharePoint en identifiants. La clé d’administration de ChatGPT sert à lire ou à mettre à jour la politique de ChatGPT. L’utilitaire du Cookbook a besoin du jeton Graph uniquement pour les commandes qui résolvent des URL; la lecture ou le vidage d’une liste d’autorisation existante nécessite seulement la clé d’administration de ChatGPT.

Ne placez aucune de ces informations d’identification dans un système de gestion de versions, des documents partagés, des captures d’écran ou des journaux.

Trouver le GUID d’une collection de sites

Utiliser l’URL du site SharePoint

Ouvrez le site SharePoint en étant connecté à Microsoft avec un compte qui peut y accéder.
Ajoutez /_api/site/id à la fin de l’URL du site. Par exemple, utilisez https://contoso.sharepoint.com/sites/Finance/_api/site/id.
Copiez le GUID renvoyé dans la réponse.

Remarque : les domaines et les identifiants utilisés comme exemples dans cet article sont fictifs.

Utiliser Microsoft Graph

Microsoft Graph renvoie un identifiant de site composé de trois éléments séparés par des virgules : le nom d’hôte, le GUID de la collection de sites et le GUID du site. Utilisez la valeur du milieu pour une règle de collection de sites. Différentes URL de sites peuvent correspondre au même GUID de collection.

Pour des exemples de recherche et d’identifiants, consultez Comprendre les identifiants de sites SharePoint. Pour résoudre plusieurs URL sans modifier la politique de ChatGPT, utilisez les instructions d’inspection du Cookbook et le script d’administration Python.

Pour connaître les exigences de recherche de Microsoft, consultez Obtenir un site SharePoint à partir de son chemin.

Gérer les collections de sites autorisées et bloquées

Utiliser les contrôles de l’espace de travail

Ouvrez les Contrôles de sûreté et de sécurité de l’application SharePoint dans votre espace de travail.
Sous Mode d’accès, sélectionnez Sites autorisés ou Sites bloqués.
Ajoutez les collections de sites à la liste sélectionnée. Vous pouvez aussi utiliser le téléversement CSV décrit ci-dessous.
Examinez vos modifications et sélectionnez Enregistrer.
Vérifiez la politique enregistrée et testez votre configuration.

Les sites ajoutés par l’API d’administration apparaissent dans les contrôles de l’espace de travail. Les sites ajoutés dans l’interface sont aussi accessibles par l’API. Vous pouvez ajouter ou retirer des entrées par l’une ou l’autre interface; la méthode utilisée pour ajouter un site n’impose pas son utilisation ultérieure.

Passer des sites autorisés aux sites bloqués, ou inversement

Une seule liste peut contenir des entrées à la fois. Avant d’ajouter des entrées dans l’autre mode, videz la liste existante et enregistrez cette modification. Sélectionnez ensuite l’autre mode, ajoutez les collections prévues et enregistrez de nouveau.

Vider la liste active modifie l’accès dès l’enregistrement. Vider une liste d’autorisation supprime sa restriction de sites; vider une liste de blocage supprime ses blocages. Planifiez la transition avec les autres administrateurs, car l’intervalle entre le vidage d’une liste et l’enregistrement de l’autre peut permettre un accès que votre politique finale restreindra.

Téléverser des collections de sites à partir d’un fichier CSV

Le téléversement CSV prend uniquement en charge les collections de sites. Pour exclure des fichiers par étiquette de confidentialité, ajoutez les GUID des étiquettes sous Étiquettes de confidentialité exclues sans chiffrement.

Ouvrez les Contrôles de sûreté et de sécurité et sélectionnez le Mode d’accès souhaité.
Préparez un fichier CSV de GUID de collections de sites ou de triplets d’identifiants de sites Microsoft Graph. Utilisez un seul format d’identifiant dans tout le fichier.
Sélectionnez Téléverser un fichier CSV et choisissez le fichier.
Examinez le résultat de l’importation et la liste sélectionnée. Résolvez les erreurs ou les avertissements liés aux lignes avant de continuer.
Sélectionnez Enregistrer pour appliquer les modifications, puis vérifiez la liste enregistrée.

Exigences et comportement du format CSV :

Taille maximale du fichier : 1 Mo.
Les en-têtes sont facultatifs.
Utilisez un GUID de collection par ligne ou des triplets d’identifiants de sites Graph. Les triplets peuvent être placés entre guillemets dans un seul champ ou répartis sur trois colonnes.
Les triplets Graph sont convertis en GUID de collections. L’importation d’un triplet ne crée pas de règle ciblant un site précis.
Les importations ajoutent des entrées à la liste sélectionnée et préservent les entrées existantes. Les collections en double sont dédupliquées; le décompte d’importation indique les collections nouvellement ajoutées.
Les formats mixtes et les lignes mal formées sont rejetés. Le téléversement d’un fichier contenant uniquement des URL de sites affiche un avertissement et n’ajoute aucun site. Résolvez d’abord les URL en GUID de collections.
Un téléversement modifie uniquement la liste provisoire. Il ne met pas à jour l’accès de l’espace de travail tant que vous n’avez pas sélectionné Enregistrer.
Le téléversement CSV décrit ici sert à gérer les collections de sites. Configurez séparément les exclusions par étiquette de confidentialité.

Si vous avez un fichier CSV d’URL SharePoint, le flux de travail CSV de l’utilitaire du Cookbook peut les résoudre et gérer une liste d’autorisation par l’API. Son entrée site_url ou url utilise un format et un flux de travail différents du téléversement d’identifiants dans l’interface.

Comprendre les limites de politique et de requêtes

La limite de politique par défaut est de 10 000 collections de sites. Les limites de politique d’espace de travail plus élevées, jusqu’à 120 000 collections de sites, nécessitent une activation par OpenAI; communiquez avec votre équipe OpenAI avant de planifier un déploiement plus important.

Les mutations individuelles de l’API et le script actuel du Cookbook acceptent jusqu’à 10 000 GUID de collections par requête. Une limite de politique d’espace de travail plus élevée n’augmente pas cette limite par requête. Comptez les collections de sites uniques, et non les URL sources : plusieurs URL peuvent désigner la même collection.

Utiliser l’API d’administration de l’espace de travail

Utilisez l’UUID de votre espace de travail et votre clé d’administration d’espace de travail ChatGPT avec https://api.chatgpt.com.

Pour des commandes de liste d’autorisation et des exemples de requêtes tenus à jour, consultez le Cookbook :

Consulter la liste d’autorisation existante.
Prévisualiser et ajouter des collections de sites. Les ajouts préservent les collections déjà autorisées.
Retirer une collection de sites.
Vider la liste d’autorisation.

Examinez la politique actuelle avant d’apporter des modifications, puis consultez-la de nouveau et testez l’accès obtenu. Retirer la dernière collection autorisée ou vider la liste d’autorisation supprime cette restriction de sites. N’envoyez pas de requête d’ajout vide, sauf si vous souhaitez supprimer les restrictions de la liste d’autorisation.

L’utilitaire public du Cookbook gère actuellement uniquement les listes d’autorisation. Il ne gère pas les listes de blocage ni les exclusions par étiquette de confidentialité. Utilisez les contrôles de l’espace de travail décrits ci-dessus pour ces tâches.

Exclure des fichiers portant des étiquettes de confidentialité

Trouver le GUID de l’étiquette

Demandez à votre administrateur Microsoft 365 ou Purview le GUID immuable de l’étiquette souhaitée. Utilisez le GUID, et non son nom d’affichage.

Un administrateur peut répertorier les étiquettes à l’aide de Microsoft Graph. Le jeton doit disposer de l’autorisation applicable : SensitivityLabel.Read ou SensitivityLabels.Read.All. Associez le nom de l’étiquette souhaitée à son identifiant et vérifiez ses paramètres de protection.

Pour connaître les exigences et voir des exemples, consultez Répertorier les étiquettes de confidentialité et Propriétés des étiquettes de confidentialité. Ces autorisations d’étiquettes sont distinctes de l’autorisation de lecture des sites utilisée pour résoudre les URL SharePoint.

Ajouter des exclusions par étiquette

Ouvrez les Contrôles de sûreté et de sécurité de l’application SharePoint.
Saisissez le GUID de chaque étiquette sans chiffrement sous Étiquettes de confidentialité exclues sans chiffrement.
Enregistrez la configuration et testez un fichier pris en charge portant l’étiquette exclue.

Les fichiers portant des étiquettes prises en charge correspondantes sont exclus des résultats de l’application SharePoint. Les fichiers portant des étiquettes qui appliquent un chiffrement sont déjà exclus par défaut.

Tester votre configuration

Utilisez des fichiers et des comptes de test approuvés par votre organisation. Avant de tester, confirmez que le même compte Microsoft peut accéder à chaque fichier directement dans SharePoint.

En mode Sites autorisés avec une liste non vide, vérifiez un fichier dans une collection autorisée et un fichier dans une collection non répertoriée. Seule la collection autorisée devrait être accessible par l’application.
En mode Sites bloqués, vérifiez un fichier dans une collection bloquée et un fichier dans une collection non bloquée. La collection bloquée devrait être inaccessible; la collection non bloquée reste soumise aux autorisations Microsoft et aux autres contrôles.
Vérifiez un fichier de test pris en charge portant une étiquette de confidentialité exclue. Il ne devrait pas apparaître dans les résultats de l’application.
Après une modification par l’API, comparez la liste enregistrée dans l’interface avec la politique renvoyée par l’API.
Après un téléversement CSV, enregistrez les modifications et rouvrez les contrôles pour confirmer que les collections prévues ont été conservées.

Si les résultats diffèrent de la politique prévue, vérifiez l’espace de travail, le mode d’accès sélectionné, la liste enregistrée, les GUID des collections, les GUID des étiquettes, le type de fichier pris en charge et les autorisations Microsoft de l’utilisateur. Ne videz pas une liste à des fins de dépannage, sauf si vous souhaitez la modification d’accès qui en résulte.

Pour obtenir de l’aide concernant des contrôles manquants ou un accès inattendu, consultez : Communiquer avec l’assistance d’OpenAI. N’incluez pas de clés d’administration ni de jetons Microsoft Graph dans votre demande d’assistance.

Comprendre les limites

Une règle de collection couvre l’ensemble de la collection de sites. Elle ne peut pas limiter l’accès à un sous-site, à un dossier ou à un fichier en particulier.
Les restrictions de sites SharePoint ne restreignent pas automatiquement l’accès à OneDrive.
Le filtrage par étiquette de confidentialité s’applique uniquement lorsque Microsoft Graph expose des métadonnées d’étiquette prises en charge, notamment pour les documents Office et les fichiers PDF et MP4 pris en charge.
Les types de fichiers qui ne prennent pas en charge les étiquettes de confidentialité, comme les fichiers TXT et CSV, sont traités comme des fichiers sans étiquette. Ils restent accessibles si les autres autorisations le permettent. Cette limite liée au type de fichier est distincte du téléversement d’un fichier CSV pour configurer l’accès aux sites.
Le téléversement CSV et l’utilitaire d’exemple public ne configurent pas les exclusions par étiquette de confidentialité. Cet article ne documente pas d’API de gestion des étiquettes en lot.
Une politique enregistrée ou une réponse d’API réussie ne remplace pas un test d’accès avec le compte prévu.

Utiliser l’utilitaire d’administration Python

Le code d’exemple complet et les commandes sont tenus à jour dans l’OpenAI Cookbook :

Utilisez Python 3.10 ou une version ultérieure. L’utilitaire utilise la bibliothèque standard de Python. Lisez le guide avant de l’exécuter et utilisez des simulations pour examiner les modifications.

L’utilitaire actuel lit les informations d’identification dans des variables d’environnement; suivez les instructions de saisie sécurisée du guide. Il exige une confirmation explicite pour vider une liste d’autorisation. Un retrait peut s’exécuter sans cette confirmation; examinez-le donc d’abord à l’aide d’une simulation.

Pour connaître le comportement des nouvelles tentatives et les clés d’idempotence facultatives, consultez Réessayer une mise à jour de politique en toute sécurité. Utilisez des clés d’idempotence uniquement si l’espace de travail les prend en charge, et examinez la politique actuelle après un échec ambigu.

L’utilitaire n’active pas les fonctionnalités de l’espace de travail et ne vérifie pas l’application des règles. Ses tests hors ligne utilisent des appels simulés à Microsoft Graph et à l’API d’administration de ChatGPT.

Les modifications effectuées par plusieurs requêtes ne sont pas atomiques. Si le retrait de plusieurs collections échoue en cours d’exécution, les retraits précédents peuvent déjà avoir réussi. Consultez la politique actuelle avant de réessayer.

FAQ

Les contrôles de sites remplacent-ils les autorisations Microsoft?

Non. L’application utilise toujours les autorisations Microsoft de chaque utilisateur. OpenAI applique le filtrage de sites configuré avant que les réponses soient présentées à l’utilisateur et au modèle.

Une liste d’autorisation vide bloque-t-elle tous les sites?

Non. Une liste d’autorisation vide ne signifie pas « tout bloquer ». Si une liste de blocage contient des entrées, ces collections restent bloquées. Lorsqu’aucune liste ne contient d’entrées, les autorisations Microsoft des utilisateurs et les autres contrôles configurés déterminent l’accès.

Les modifications effectuées par l’API d’administration sont-elles journalisées?

Les modifications de politique effectuées par l’API d’administration sont consignées dans les journaux d’audit et de conformité de l’espace de travail.

Gérer l’accès aux sites SharePoint et les exclusions par étiquette de confidentialité