Utilisez ce guide si vous êtes administrateur d’un espace de travail ChatGPT ou utilisateur de ChatGPT Plus ou Pro et que vous configurez l’app Databricks Genie avec OAuth intégré ou le client OAuth de votre organisation.
OAuth intégré : Lorsque cette option est disponible dans ChatGPT et activée pour votre espace de travail Databricks, utilisez la connexion préconfigurée. Vous n’avez pas besoin de créer une app OAuth ni de saisir un identifiant client ou un secret client. Suivez les instructions de la section OAuth intégré ci-dessous.
Client OAuth personnalisé : Utilisez cette méthode si OAuth intégré n’est pas disponible ou si votre organisation exige son propre client OAuth. Suivez les instructions de la section Client OAuth personnalisé ci-dessous.
Ce que vous configurez
Vous créez une connexion à l’app Databricks pour votre compte ou espace de travail ChatGPT. Les deux méthodes nécessitent les informations du fournisseur Databricks demandées dans ChatGPT et les autorisations pour les ressources que vous prévoyez d’utiliser. Si vous utilisez un client OAuth personnalisé, préparez également :
Une connexion à une app OAuth Databricks créée dans la console de compte Databricks.
L’identifiant client et le secret client OAuth Databricks.
L’URL de rappel exacte copiée depuis ChatGPT.
Les portées Databricks correspondant aux fonctionnalités de l’app que vous souhaitez activer.
Toutes les informations du fournisseur Databricks demandées lors de la configuration dans ChatGPT, comme l’hôte de l’espace de travail, l’hôte du compte, l’identifiant du compte ou l’entrepôt.
Avant de commencer
Pour configurer un espace de travail, ouvrez la console d’administration, sélectionnez l’espace de travail ChatGPT souhaité, puis ouvrez Plugins. Sélectionnez Gérer les anciennes apps pour ouvrir la page Apps conservée. Pour la navigation dans l’espace de travail et l’accès aux anciennes apps, consultez Contrôles d’administration, sécurité et conformité pour les plugins et les apps.
Vous avez besoin des éléments suivants :
Un accès administrateur ou propriétaire à l’espace de travail ChatGPT, ou un compte ChatGPT Plus ou Pro.
Pour un client OAuth personnalisé, un accès administrateur au compte Databricks. Un accès administrateur à l’espace de travail peut suffire pour certaines tâches, mais les connexions aux apps personnalisées se configurent depuis la console de compte Databricks. Pour OAuth intégré, un administrateur Databricks doit vérifier que l’application ChatGPT est disponible et activée pour votre espace de travail.
Pour un client OAuth personnalisé, la console de compte Databricks ouverte dans un onglet distinct.
Pour un client OAuth personnalisé, l’écran de connexion Databricks Genie ouvert dans ChatGPT afin de copier l’URL de rappel exacte.
Un choix des fonctionnalités nécessaires à l’app : Genie et tableaux de bord IA/BI, accès élargi aux API Databricks ou app limitée aux API Databricks SQL. Un accès limité à SQL ne suffit pas pour les actions Genie ou de tableaux de bord.
Pour un client OAuth personnalisé, un emplacement sécurisé pour gérer le secret client Databricks.
Si votre compte ou espace de travail Databricks restreint l’accès au moyen d’une liste d’accès IP, d’un contrôle d’entrée basé sur le contexte, d’un pare-feu ou d’une autre politique réseau, l’aide d’un administrateur Databricks capable d’autoriser les plages d’adresses IP de sortie actuelles des apps ChatGPT.
Pour un client OAuth personnalisé, copiez l’URL de rappel exacte affichée dans ChatGPT.
Valeurs à préparer
Pour un client OAuth personnalisé, l’URL de rappel : copiez-la depuis la procédure de configuration de l’app dans ChatGPT.
Pour un client OAuth personnalisé, l’identifiant client OAuth Databricks.
Pour un client OAuth personnalisé, le secret client OAuth Databricks.
Pour un client OAuth personnalisé, les portées d’accès Databricks adaptées aux fonctionnalités de l’app. Pour une nouvelle connexion Genie/tableaux de bord affichant
ai-gateway,dashboardsetoffline_access, préparez ces portées. TOUTES les API (all-apisavecoffline_access) reste l’alternative plus ancienne et plus large. Utilisez SQL uniquement pour une app limitée aux API Databricks SQL.Les champs du compte ou de l’espace de travail Databricks demandés lors de la configuration dans ChatGPT.
OAuth intégré
Commencez par remplir les conditions préalables ci-dessus. Utilisez cette méthode uniquement si OAuth intégré est disponible dans ChatGPT et activé pour votre espace de travail Databricks.
Demandez à un administrateur Databricks de vérifier que l’application ChatGPT est disponible dans les paramètres d’intégration des applications de la console de compte et activée pour votre espace de travail. Si l’application ChatGPT ne figure pas dans votre console de compte Databricks, contactez votre responsable de compte Databricks pour savoir si la fonctionnalité est disponible pour votre compte.
Dans ChatGPT, passez au compte ou à l’espace de travail dans lequel l’application doit être disponible. Accédez à Paramètres > Plugins pour une configuration personnelle, ou à Console d’administration > Plugins en tant qu’administrateur ou propriétaire de l’espace de travail pour une configuration à l’échelle de celui-ci.
Sélectionnez Databricks Genie, puis Ajouter une connexion d’application.
Saisissez le Nom d’hôte de l’espace de travail (obligatoire) sans
https://ni chemin d’URL.ChatGPT déduit de ce nom d’hôte le point de terminaison MCP Genie local à l’espace de travail,
https://<workspace-host>/ai-gateway/mcp-services/system.ai.genie_one_mcp. Aucun point de terminaison MCP régional distinct n’est nécessaire.Sélectionnez Continuer, puis connectez-vous à Databricks et examinez la demande de consentement.
Poursuivez avec les sections Connexion et test et Gestion de l’accès ci-dessous, y compris les tests avec des membres autorisés et les vérifications d’accès à l’espace de travail.
Client OAuth personnalisé
Assurez-vous d’abord de remplir les prérequis ci-dessus. Utilisez cette méthode si OAuth intégré n’est pas disponible ou si votre organisation exige son propre client OAuth. Après la configuration, suivez les sections Connexion et tests et Gestion des accès ci-dessous.
Commencer la configuration OAuth personnalisée dans ChatGPT
Dans ChatGPT, passez au compte ou à l’espace de travail dans lequel l’application doit être disponible.
Accédez à Paramètres > Plugins pour une configuration personnelle, ou à Console d’administration > Plugins en tant qu’administrateur ou propriétaire de l’espace de travail pour une configuration à l’échelle de celui-ci.
Sélectionnez Databricks Genie dans Répertoire.
Sélectionnez Ajouter une connexion d’application.
Dans la boîte de dialogue Connecter Databricks Genie, repérez les champs ID client OAuth et Secret client OAuth. La saisie des identifiants dans ces champs visibles constitue la procédure pour un client personnalisé ; aucun sélecteur distinct n’est nécessaire.
Copiez l’URL de rappel depuis ChatGPT. Gardez cette boîte de dialogue ouverte.
Exemple d’URL de rappel :
https://chatgpt.com/connector/oauth/<callback_id>
Ne supprimez pas l’ID de rappel, n’ajoutez pas de barre oblique finale et ne remplacez pas l’URL par une URL ChatGPT générique. L’URL enregistrée dans Databricks doit correspondre exactement à l’URL de rappel affichée dans ChatGPT.
Créer une connexion à une app OAuth personnalisée dans Databricks
Ouvrez la console de compte Databricks correspondant à votre compte Databricks.
Dans la barre latérale gauche, ouvrez Paramètres.
Ouvrez l’onglet Connexions aux apps.
Sélectionnez Ajouter une connexion.
Saisissez un nom d’application, par exemple ChatGPT Databricks.
Dans URL de redirection, collez l’URL de rappel exacte copiée depuis ChatGPT.
Sous Portées d’accès, choisissez les portées nécessaires à l’app.
Pour une nouvelle connexion Genie/tableaux de bord affichant
ai-gateway,dashboardsetoffline_accessdans ChatGPT, autorisez ces mêmes portées dans l’app OAuth Databricks.TOUTES les API reste l’alternative plus ancienne et plus large pour un accès général aux API Databricks. Pour cette configuration, utilisez
all-apisetoffline_accessdans ChatGPT et assurez-vous que l’app OAuth Databricks autorise les deux. Privilégiez les portées granulaires affichées pour une nouvelle connexion Genie/tableaux de bord.Utilisez SQL uniquement pour une app limitée aux API Databricks SQL. Un accès limité à SQL ne suffit pas pour les actions Genie ou de tableaux de bord.
Assurez-vous que chaque portée indiquée par la suite dans ChatGPT est activée dans cette app OAuth Databricks. Databricks autorise automatiquement openid, email, profile et offline_access pour les apps créées dans l’interface utilisateur.
Conservez les durées de vie (TTL) des jetons par défaut de Databricks, sauf si votre organisation a une politique spécifique : 60 minutes pour le jeton d’accès et 10 080 minutes pour le jeton d’actualisation.
Activez Générer un secret client. ChatGPT a besoin d’un client OAuth confidentiel pour cette procédure.
Créez la connexion.
Copier les identifiants depuis Databricks
Dans la boîte de dialogue Connexion créée, copiez l’Identifiant client.
Copiez immédiatement le Secret client et stockez-le de manière sécurisée.
Si vous fermez la boîte de dialogue avant de copier le secret, créez ou renouvelez les identifiants de l’app OAuth et utilisez le nouveau secret.
Databricks n’affiche le secret qu’une seule fois. Traitez-le comme un identifiant d’authentification et ne l’incluez pas dans des captures d’écran, tickets, commentaires ou discussions.
Terminer la configuration OAuth personnalisée dans ChatGPT
Revenez à la boîte de dialogue Connecter Databricks Genie.
Saisissez l’ID client Databricks dans ID client OAuth.
Saisissez le secret client Databricks dans Secret client OAuth.
La saisie de ces identifiants permet d’utiliser votre client OAuth personnalisé ; aucun sélecteur distinct n’est nécessaire.
Dans Portées (facultatif), saisissez les portées requises pour le point de terminaison Databricks et les fonctionnalités de votre application. Elles doivent correspondre aux portées activées dans l’application OAuth Databricks.
Pour une nouvelle connexion Genie/tableaux de bord affichant
ai-gateway,dashboardsetoffline_access, conservez ces portées. Assurez-vous que l’application OAuth Databricks autorise les mêmes portées.ai-gatewayactive la connexion MCP Genie locale à l’espace de travail,dashboardsactive les actions sur les tableaux de bord IA/BI etoffline_accessactive les jetons d’actualisation.L’ancienne option plus large,
all-apisetoffline_access, reste prise en charge pour un accès plus étendu aux API, mais n’est pas recommandée pour cette connexion Genie/tableaux de bord. Si l’application Databricks autorise uniquementall-apis, mettez-la à jour ou recréez-la pour autoriserai-gateway,dashboardsetoffline_access. Si les portées granulaires ne sont pas disponibles, configurez explicitement ChatGPT avecall-apisetoffline_access, et assurez-vous que l’application Databricks autorise les deux. Ne demandez pas les trois portées granulaires dans ChatGPT si l’application Databricks autorise uniquementall-apis.Saisissez une portée par ligne ou séparez les portées par des virgules. Chaque portée indiquée dans ChatGPT doit être activée dans l’application OAuth Databricks.
Saisissez le Nom d’hôte de l’espace de travail (obligatoire) sans https:// ni chemin d’URL. Renseignez tous les autres champs obligatoires du fournisseur Databricks affichés lors de la configuration.
ChatGPT déduit de ce nom d’hôte le point de terminaison MCP Genie local à l’espace de travail,
https://<workspace-host>/ai-gateway/mcp-services/system.ai.genie_one_mcp. Aucun point de terminaison MCP régional distinct n’est nécessaire.Sélectionnez Continuer.
ChatGPT demande exactement les portées saisies dans Portées (facultatif). Il n’ajoute pas automatiquement de portées plus larges issues du modèle de configuration.
Connecter et tester
Effectuez les tests de connexion et les vérifications d’accès suivants, quelle que soit la méthode OAuth choisie.
Vérifiez les informations de l’app, ses actions et ses paramètres d’authentification.
Si vous êtes administrateur d’un espace de travail, activez l’app pour cet espace et définissez qui peut l’utiliser conformément à sa politique.
Lancez la procédure de connexion depuis ChatGPT en tant qu’utilisateur de test autorisé, puis connectez-vous à Databricks.
Vérifiez que le navigateur ouvre le compte ou l’espace de travail Databricks attendu.
Vérifiez les portées demandées, puis sélectionnez Autoriser.
Vérifiez que le navigateur revient à ChatGPT et que l’app apparaît comme connectée.
Exécutez une action de lecture à faible risque correspondant aux fonctionnalités de la connexion. Pour une connexion Genie, envoyez une requête Genie sur des données auxquelles l’utilisateur de test est autorisé à accéder. Pour les autres fonctionnalités prises en charge, récupérez les informations de l’utilisateur actuel ou interrogez une ressource Databricks SQL approuvée. Vérifiez que l’utilisateur dispose des autorisations requises sur les ressources Databricks ; les portées OAuth seules ne donnent pas accès aux données.
Si les actions d’écriture sont activées, effectuez un test avec un workflow Databricks présentant clairement un faible risque avant un déploiement plus large.
Pour une configuration d’espace de travail, demandez à un membre autorisé, sans droits d’administration, de se connecter et de répéter le test à faible risque.
Gérer les accès
Databricks et ChatGPT contribuent tous deux au contrôle des accès.
Dans ChatGPT, les administrateurs de l’espace de travail gèrent la disponibilité de l’app et la façon dont les membres peuvent l’utiliser. Dans Business, les administrateurs gèrent l’activation de l’app pour l’ensemble de l’espace de travail. Consultez les contrôles d’administration des apps Databricks (Paramètres de l’espace de travail > Apps ou Console d’administration > Plugins > Gérer les anciennes apps) pour les paramètres suivants :
Accès des utilisateurs, pour définir quels rôles de l’espace de travail peuvent utiliser l’app dans les espaces de travail Enterprise et Edu pris en charge.
Contrôle des actions, pour définir quelles actions Databricks sont activées.
Autorisations de l’app, pour définir quand ChatGPT demande l’accord des membres avant d’utiliser l’app.
Ces autorisations de l’app s’appliquent aux conversations ChatGPT. Les agents de l’espace de travail utilisent des contrôles propres à chaque agent, définis par son créateur, pour déterminer les actions d’app disponibles et les cas où leur approbation est demandée aux utilisateurs finaux. Pour le comportement des agents, consultez : Agents d’espace de travail ChatGPT pour Enterprise et Business.
Dans Databricks, les administrateurs gèrent quels utilisateurs peuvent autoriser l’app OAuth et à quelles ressources Databricks ces utilisateurs peuvent accéder. Les autorisations du fournisseur continuent de s’appliquer après l’activation de l’app dans ChatGPT.
Pour la navigation dans l’espace de travail, l’accès aux apps et les contrôles d’app propres à chaque offre, consultez : Contrôles d’administration, sécurité et conformité dans les apps.
Résoudre les problèmes de configuration de l’app Databricks
URI de redirection non concordant : Si vous utilisez un client OAuth personnalisé, vérifiez que la valeur URL de redirection dans Databricks correspond exactement à l’URL de rappel affichée dans ChatGPT, y compris son chemin et son identifiant de rappel. Ne supprimez pas l’identifiant de rappel, n’ajoutez pas de barre oblique finale et ne remplacez pas l’URL par une autre URL de redirection ChatGPT.
Secret manquant : Si vous utilisez un client OAuth personnalisé, les secrets Databricks ne sont affichés qu’une seule fois. Générez un nouveau secret client si vous ne l’avez pas copié.
App OAuth non disponible immédiatement : Databricks indique que le traitement des mises à jour des applications OAuth peut prendre jusqu’à 30 minutes.
Portée insuffisante ou non concordante : Si vous utilisez un client OAuth personnalisé, comparez les Portées (facultatif) dans ChatGPT avec les Portées d’accès de l’app OAuth Databricks. Toutes les portées demandées par ChatGPT doivent y être activées. Vérifiez que les portées prennent en charge le point de terminaison et les fonctionnalités que vous utilisez.
Pour une nouvelle connexion Genie/tableaux de bord affichant
ai-gateway,dashboardsetoffline_access, conservez ces portées dans ChatGPT et assurez-vous que l’app Databricks les autorise toutes les trois. Si l’app autorise uniquementall-apis, mettez-la à jour ou recréez-la pour autoriser les trois portées granulaires.Si les portées granulaires ne sont pas disponibles, utilisez l’alternative plus large prise en charge : configurez ChatGPT avec
all-apisetoffline_access, et assurez-vous que l’app Databricks autorise les deux. Une app qui autorise uniquementall-apisne correspond pas à une demande de ChatGPT portant surai-gateway,dashboardsetoffline_access. Un accès limité à SQL convient uniquement à une app restreinte aux API Databricks SQL ; il ne suffit pas pour les actions Genie ou de tableaux de bord.Échec des actions SQL : Pour une app limitée aux API Databricks SQL, vérifiez la portée SQL, la configuration de l’entrepôt et les autorisations Databricks.
Mauvais espace de travail ChatGPT : Créez et activez l’app dans l’espace de travail ChatGPT où les utilisateurs la connecteront.
Mauvais compte ou espace de travail Databricks : Vérifiez la valeur Nom d’hôte de l’espace de travail (obligatoire), puis recommencez la procédure de connexion et vérifiez que Databricks ouvre le compte ou l’espace de travail attendu.
Les utilisateurs ne peuvent pas se connecter : Vérifiez que l’utilisateur a accès à Databricks et qu’il est habilité à autoriser l’app OAuth. Dans Business, vérifiez que l’app est activée pour l’ensemble de l’espace de travail. Dans les espaces de travail Enterprise et Edu pris en charge, vérifiez également que le paramètre Accès des utilisateurs de ChatGPT autorise l’app.
La politique réseau de Databricks bloque l’app : Si Databricks n’autorise que certaines adresses IP sources, un administrateur Databricks doit mettre à jour les listes d’accès IP du compte ou de l’espace de travail concerné, les contrôles d’entrée basés sur le contexte, le pare-feu ou les autres règles réseau gérées par le client.
Autorisez les connexions entrantes depuis les plages d’adresses IP de sortie actuelles des apps ChatGPT.
Configurez cette liste d’autorisation dans Databricks ou dans la couche réseau gérée par le client. Elle est distincte de la liste d’adresses IP autorisées de l’espace de travail ChatGPT.
Les plages publiées peuvent changer. Automatisez les mises à jour à partir du JSON lorsque c’est possible.
Ne renouvelez pas le secret client et ne modifiez pas les portées OAuth pour contourner un blocage réseau. Vérifiez d’abord si Databricks rejette les adresses IP sources de l’app.