Découvrez comment gérer l’accès aux sites SharePoint et exclure les fichiers pris en charge portant certaines étiquettes de confidentialité dans ChatGPT.

Présentation

Les administrateurs de l’espace de travail peuvent utiliser les contrôles SharePoint pour autoriser les collections de sites approuvées, bloquer certaines collections et exclure les fichiers pris en charge portant certaines étiquettes de confidentialité Microsoft Purview.

Une collection de sites SharePoint, également appelée SPSite, peut contenir plusieurs sites. Une règle de collection s’applique à l’ensemble de la collection, sous réserve des autorisations Microsoft existantes de chaque utilisateur. Elle n’accorde pas à un utilisateur l’accès à un contenu auquel il ne peut pas accéder dans Microsoft 365.

Les restrictions sur les sites s’appliquent aux actions SharePoint prises en charge : recherche, navigation, récupération de fichiers et lecture/écriture. L’accès à OneDrive est géré séparément.

Choisissez le mode d’accès qui correspond à votre politique :

Sites autorisés : Avec une liste d’autorisation non vide, les utilisateurs peuvent accéder uniquement aux collections de sites répertoriées via l’application.
Sites bloqués : Les utilisateurs peuvent accéder aux collections de sites autres que celles de la liste de blocage, sous réserve de leurs autorisations Microsoft.

Une seule liste peut contenir des entrées à la fois. Une liste d’autorisation vide ne bloque pas tous les sites. Lorsque les deux listes sont vides, les restrictions sur les sites SharePoint sont supprimées ; les autorisations Microsoft et les autres contrôles configurés continuent de s’appliquer.

Disponibilité

Les contrôles et l’API d’administration de l’espace de travail doivent être activés pour votre espace de travail. Les contrôles disponibles comprennent les listes d’autorisation et de blocage de collections de sites, les importations de sites par CSV et les exclusions par étiquette de confidentialité.

Les règles s’appliquent à des collections de sites entières. Le ciblage précis d’un site, d’un dossier ou d’un fichier individuel et l’application de Microsoft Sites.Selected ne sont pas inclus dans ces contrôles de collections de sites.

Avant de commencer

Identifiez les collections de sites que votre organisation souhaite autoriser ou bloquer.
Obtenez le GUID de chaque collection. Un ID de site Microsoft Graph complet contient le GUID de la collection comme valeur du milieu. L’API d’administration utilise les GUID de collection ; l’outil d’importation CSV de l’interface peut aussi les extraire des triplets d’ID de site Graph.
Activez les autorisations Microsoft requises par l’application SharePoint dans les paramètres d’autorisation de ChatGPT et dans Microsoft Entra, notamment Sites.Read.All et Files.Read.All. Ces contrôles filtrent l’accès côté OpenAI ; ils ne remplacent pas les autorisations déléguées de Microsoft.
Pour les exclusions par étiquette de confidentialité, demandez à votre administrateur Microsoft 365 ou Purview le GUID immuable de chaque étiquette sans chiffrement.
Pour l’administration via l’API, obtenez l’UUID de votre espace de travail, une clé d’administration de l’espace de travail ChatGPT et un jeton Microsoft Graph si vous devez résoudre des URL SharePoint. Les deux identifiants d’authentification ont des fonctions différentes.

À propos de l’OpenAI Cookbook

L’OpenAI Cookbook est le recueil public d’exemples de code et de guides d’OpenAI. Cet article utilise son guide d’accès aux sites SharePoint et son script d’administration Python, tous deux hébergés sur GitHub. Vous pouvez ouvrir ces liens dans votre navigateur pour lire les fichiers. Pour exécuter le script, téléchargez-le et suivez les instructions de configuration et de commande du guide.

Dans cet article, « Cookbook » désigne ce guide SharePoint et « utilitaire du Cookbook » désigne le script Python accessible via le lien. Utilisez ces références pour les exemples de commandes et la gestion des listes d’autorisation via l’API.

Configurer les identifiants d’authentification pour l’administration via l’API

Remarque : vous devez être administrateur de l’espace de travail pour pouvoir créer des clés d’administration. En savoir plus.

Créer une clé d’administration de l’espace de travail ChatGPT

Ouvrez la console d’administration ChatGPT et sélectionnez l’espace de travail souhaité.
Accédez à Identifiants d’authentification et sélectionnez Clés d’administration.
Créez une clé avec des autorisations Restreintes et définissez Applications sur Écriture.
Conservez la clé en lieu sûr. Cette clé autorise la lecture et la modification de la politique SharePoint de votre espace de travail.

L’autorisation requise est chatgpt.enterprise.apps.write. Notez qu’une clé de la Plateforme API et un jeton Microsoft Graph ne peuvent pas remplacer une clé d’administration de l’espace de travail ChatGPT.

Pour en savoir plus, consultez : Gérer les clés d’administration dans l’onglet Identifiants d’authentification. Pour les variables d’environnement d’authentification du script et un exemple de saisie sécurisée, consultez les instructions d’authentification du Cookbook.

Obtenir un jeton Microsoft Graph

Utilisez le processus d’authentification Microsoft approuvé par votre organisation. Pour une recherche interactive, si votre organisation autorise l’Explorateur Graph :

Ouvrez l’Explorateur Microsoft Graph et connectez-vous avec un compte professionnel du locataire qui contient les sites SharePoint.
Sélectionnez les autorisations nécessaires à la lecture des sites, généralement Sites.Read.All, via Modifier les autorisations ou Consentir aux autorisations. Demandez à votre administrateur Microsoft d’approuver l’accès si votre organisation l’exige.
Ouvrez l’onglet Jeton d’accès et copiez le jeton pour l’utiliser avec Microsoft Graph.

Pour les instructions de Microsoft, consultez Utiliser l’Explorateur Graph.

Le jeton Graph résout les URL SharePoint en identifiants. La clé d’administration ChatGPT permet de lire ou de mettre à jour la politique ChatGPT. L’utilitaire du Cookbook a besoin du jeton Graph uniquement pour les commandes qui résolvent des URL ; la lecture ou le vidage d’une liste d’autorisation existante nécessite seulement la clé d’administration ChatGPT.

Ne placez aucun de ces identifiants d’authentification dans un système de gestion de versions, des documents partagés, des captures d’écran ou des journaux.

Trouver le GUID d’une collection de sites

Utiliser l’URL du site SharePoint

Ouvrez le site SharePoint en étant connecté à Microsoft avec un compte autorisé à y accéder.
Ajoutez /_api/site/id à la fin de l’URL du site. Par exemple, utilisez https://contoso.sharepoint.com/sites/Finance/_api/site/id.
Copiez le GUID renvoyé dans la réponse.

Remarque : les domaines et identifiants utilisés en exemple dans cet article sont fictifs.

Utiliser Microsoft Graph

Microsoft Graph renvoie un ID de site composé de trois éléments séparés par des virgules : le nom d’hôte, le GUID de la collection de sites et le GUID du site. Utilisez la valeur du milieu pour une règle de collection de sites. Différentes URL de sites peuvent correspondre au même GUID de collection.

Pour des exemples de recherche et d’identifiants, consultez Comprendre les identifiants de sites SharePoint. Pour résoudre plusieurs URL sans modifier la politique ChatGPT, utilisez les instructions d’inspection du Cookbook et le script d’administration Python.

Pour connaître les exigences de Microsoft en matière de recherche, consultez Obtenir un site SharePoint à partir de son chemin.

Gérer les collections de sites autorisées et bloquées

Utiliser les contrôles de l’espace de travail

Ouvrez les Contrôles de sûreté et de sécurité de l’application SharePoint dans votre espace de travail.
Sous Mode d’accès, sélectionnez Sites autorisés ou Sites bloqués.
Ajoutez les collections de sites à la liste sélectionnée. Vous pouvez aussi utiliser l’importation de CSV décrite ci-dessous.
Vérifiez vos modifications et sélectionnez Enregistrer.
Vérifiez la politique enregistrée et testez votre configuration.

Les sites ajoutés via l’API d’administration apparaissent dans les contrôles de l’espace de travail. Les sites ajoutés dans l’interface sont aussi disponibles via l’API. Vous pouvez ajouter ou supprimer des entrées depuis l’une ou l’autre interface ; la méthode utilisée pour ajouter un site n’impose pas de réutiliser cette même méthode.

Passer des sites autorisés aux sites bloqués, ou inversement

Une seule liste peut contenir des entrées à la fois. Avant d’ajouter des entrées dans l’autre mode, videz la liste existante et enregistrez cette modification. Sélectionnez ensuite l’autre mode, ajoutez les collections souhaitées et enregistrez à nouveau.

Vider la liste active modifie l’accès dès l’enregistrement. Vider une liste d’autorisation supprime sa restriction sur les sites ; vider une liste de blocage supprime ses blocages. Planifiez la transition avec les autres administrateurs, car l’intervalle entre le vidage d’une liste et l’enregistrement de l’autre peut autoriser des accès que votre politique finale restreindra.

Importer des collections de sites depuis un CSV

L’importation de CSV prend uniquement en charge les collections de sites. Pour exclure des fichiers par étiquette de confidentialité, ajoutez les GUID des étiquettes sous Étiquettes de confidentialité exclues sans chiffrement.

Ouvrez les Contrôles de sûreté et de sécurité et sélectionnez le Mode d’accès souhaité.
Préparez un CSV contenant des GUID de collections de sites ou des triplets d’ID de site Microsoft Graph. Utilisez un seul format d’identifiant dans tout le fichier.
Sélectionnez Importer un fichier CSV et choisissez le fichier.
Vérifiez le résultat de l’importation et la liste sélectionnée. Corrigez les erreurs ou avertissements concernant les lignes avant de continuer.
Sélectionnez Enregistrer pour appliquer les modifications, puis vérifiez la liste enregistrée.

Exigences et comportement du CSV :

Taille maximale du fichier : 1 Mo.
Les en-têtes sont facultatifs.
Utilisez un GUID de collection par ligne, ou des triplets d’ID de site Graph. Les triplets peuvent être placés entre guillemets dans un seul champ ou répartis sur trois colonnes.
Les triplets Graph sont convertis en GUID de collection. L’importation d’un triplet ne crée pas de règle ciblant un site précis.
Les importations complètent la liste sélectionnée et conservent les entrées existantes. Les collections en double sont dédupliquées ; le nombre d’éléments importés indique les collections nouvellement ajoutées.
Les formats mixtes et les lignes mal formées sont rejetés. L’importation d’un fichier contenant uniquement des URL de sites affiche un avertissement et n’ajoute aucun site. Résolvez d’abord les URL en GUID de collection.
Une importation ne modifie que la liste provisoire. Elle ne met pas à jour l’accès dans l’espace de travail tant que vous ne sélectionnez pas Enregistrer.
L’importation de CSV décrite ici permet de gérer les collections de sites. Configurez séparément les exclusions par étiquette de confidentialité.

Si vous disposez d’un CSV d’URL SharePoint, le workflow CSV de l’utilitaire du Cookbook peut les résoudre et gérer une liste d’autorisation via l’API. Son entrée site_url ou url utilise un format et un workflow différents de l’importation d’identifiants dans l’interface.

Comprendre les limites de politique et de requête

La limite de politique par défaut est de 10 000 collections de sites. Des limites de politique plus élevées pour l’espace de travail, jusqu’à 120 000 collections de sites, nécessitent une activation par OpenAI ; contactez votre équipe OpenAI avant de planifier un déploiement plus important.

Les opérations de modification individuelles de l’API et le script actuel du Cookbook acceptent jusqu’à 10 000 GUID de collection par requête. Une limite de politique plus élevée pour l’espace de travail n’augmente pas cette limite par requête. Comptez les collections de sites uniques, et non les URL sources : plusieurs URL peuvent désigner la même collection.

Utiliser l’API d’administration de l’espace de travail

Utilisez l’UUID de votre espace de travail et votre clé d’administration de l’espace de travail ChatGPT avec https://api.chatgpt.com.

Pour des commandes de liste d’autorisation et des exemples de requêtes tenus à jour, utilisez le Cookbook :

Consulter la liste d’autorisation existante.
Prévisualiser et ajouter des collections de sites. Les ajouts conservent les collections déjà autorisées.
Supprimer une collection de sites.
Vider la liste d’autorisation.

Examinez la politique actuelle avant d’effectuer des modifications, puis consultez-la à nouveau et testez l’accès qui en résulte. Supprimer la dernière collection autorisée ou vider la liste d’autorisation supprime cette restriction sur les sites. N’envoyez pas de requête d’ajout vide, sauf si vous souhaitez supprimer les restrictions de la liste d’autorisation.

L’utilitaire public du Cookbook gère actuellement uniquement les listes d’autorisation. Il ne gère ni les listes de blocage ni les exclusions par étiquette de confidentialité. Utilisez les contrôles de l’espace de travail décrits ci-dessus pour ces tâches.

Exclure des fichiers portant des étiquettes de confidentialité

Trouver le GUID de l’étiquette

Demandez à votre administrateur Microsoft 365 ou Purview le GUID immuable de l’étiquette souhaitée. Utilisez le GUID, et non son nom d’affichage.

Un administrateur peut répertorier les étiquettes via Microsoft Graph. Le jeton doit disposer de l’autorisation applicable : SensitivityLabel.Read ou SensitivityLabels.Read.All. Associez le nom de l’étiquette souhaitée à son ID et vérifiez ses paramètres de protection.

Pour les exigences et des exemples, consultez Répertorier les étiquettes de confidentialité et Propriétés des étiquettes de confidentialité. Ces autorisations liées aux étiquettes sont distinctes de l’autorisation de lecture des sites utilisée pour résoudre les URL SharePoint.

Ajouter des exclusions par étiquette

Ouvrez les Contrôles de sûreté et de sécurité de l’application SharePoint.
Saisissez le GUID de chaque étiquette sans chiffrement sous Étiquettes de confidentialité exclues sans chiffrement.
Enregistrez la configuration et testez un fichier pris en charge portant l’étiquette exclue.

Les fichiers portant les étiquettes correspondantes prises en charge sont exclus des résultats de l’application SharePoint. Les fichiers portant des étiquettes qui appliquent un chiffrement sont déjà exclus par défaut.

Tester votre configuration

Utilisez des fichiers et des comptes de test approuvés par votre organisation. Avant le test, vérifiez que le même compte Microsoft peut accéder à chaque fichier directement dans SharePoint.

En mode Sites autorisés avec une liste non vide, vérifiez un fichier dans une collection autorisée et un fichier dans une collection non répertoriée. Seule la collection autorisée doit être accessible via l’application.
En mode Sites bloqués, vérifiez un fichier dans une collection bloquée et un fichier dans une collection non bloquée. La collection bloquée doit être inaccessible ; la collection non bloquée reste soumise aux autorisations Microsoft et aux autres contrôles.
Vérifiez un fichier de test pris en charge portant une étiquette de confidentialité exclue. Il ne doit pas apparaître dans les résultats de l’application.
Après une modification via l’API, comparez la liste enregistrée dans l’interface à la politique renvoyée par l’API.
Après l’importation d’un CSV, enregistrez les modifications et rouvrez les contrôles pour vérifier que les collections prévues ont été conservées.

Si les résultats diffèrent de la politique prévue, vérifiez l’espace de travail, le mode d’accès sélectionné, la liste enregistrée, les GUID des collections et des étiquettes, le type de fichier pris en charge et les autorisations Microsoft de l’utilisateur. Ne videz pas une liste à des fins de dépannage, sauf si vous souhaitez la modification d’accès qui en résulte.

Pour obtenir de l’aide en cas de contrôles manquants ou d’accès inattendu, consultez : Contacter l’assistance OpenAI. N’incluez pas de clés d’administration ni de jetons Microsoft Graph dans votre demande d’assistance.

Comprendre les limites

Une règle de collection couvre l’ensemble de la collection de sites. Elle ne peut pas limiter l’accès à un sous-site, un dossier ou un fichier en particulier.
Les restrictions sur les sites SharePoint ne restreignent pas automatiquement l’accès à OneDrive.
Le filtrage par étiquette de confidentialité s’applique uniquement lorsque Microsoft Graph expose les métadonnées d’étiquette prises en charge, notamment pour les documents Office et les fichiers PDF et MP4 pris en charge.
Les types de fichiers non pris en charge pour les étiquettes de confidentialité, comme les fichiers TXT et CSV, sont considérés comme non étiquetés. Ils restent accessibles si l’accès est par ailleurs autorisé. Cette limite liée au type de fichier est indépendante de l’importation d’un CSV pour configurer l’accès aux sites.
L’importation de CSV et l’utilitaire d’exemple public ne configurent pas les exclusions par étiquette de confidentialité. Cet article ne décrit pas d’API de gestion des étiquettes en masse.
Une politique enregistrée ou une réponse d’API réussie ne dispense pas de tester l’accès avec le compte prévu.

Utiliser l’utilitaire d’administration Python

Le code d’exemple complet et les commandes sont tenus à jour dans l’OpenAI Cookbook :

Utilisez Python 3.10 ou une version ultérieure. L’utilitaire utilise la bibliothèque standard de Python. Lisez le guide avant de l’exécuter et utilisez des simulations pour examiner les modifications.

L’utilitaire actuel lit les identifiants d’authentification dans les variables d’environnement ; suivez les instructions de saisie sécurisée du guide. Il exige une confirmation explicite pour vider une liste d’autorisation. Une suppression peut s’exécuter sans cette confirmation ; examinez-la donc d’abord à l’aide d’une simulation.

Pour le comportement des nouvelles tentatives et les clés d’idempotence facultatives, consultez Réessayer une mise à jour de politique en toute sécurité. Utilisez les clés d’idempotence uniquement si l’espace de travail les prend en charge, et inspectez la politique actuelle après un échec ambigu.

L’utilitaire n’active pas les fonctionnalités de l’espace de travail et ne vérifie pas l’application des règles. Ses tests hors ligne utilisent des appels simulés à Microsoft Graph et à l’API d’administration ChatGPT.

Les modifications effectuées en plusieurs requêtes ne sont pas atomiques. Si la suppression de plusieurs collections échoue en cours d’exécution, les suppressions précédentes peuvent déjà avoir réussi. Consultez la politique actuelle avant de réessayer.

FAQ

Les contrôles des sites remplacent-ils les autorisations Microsoft ?

Non. L’application utilise toujours les autorisations Microsoft de chaque utilisateur. OpenAI applique le filtrage des sites configuré avant que les réponses ne soient présentées à l’utilisateur et au modèle.

Une liste d’autorisation vide bloque-t-elle tous les sites ?

Non. Une liste d’autorisation vide ne signifie pas « tout bloquer ». Si une liste de blocage contient des entrées, ces collections restent bloquées. Lorsqu’aucune des listes ne contient d’entrées, les autorisations Microsoft des utilisateurs et les autres contrôles configurés déterminent l’accès.

Les modifications effectuées via l’API d’administration sont-elles journalisées ?

Les modifications de politique effectuées via l’API d’administration sont consignées dans les journaux d’audit et de conformité de l’espace de travail.

Gérer l’accès aux sites SharePoint et les exclusions par étiquette de confidentialité