סקירה כללית

מנהלי מערכת של ה-workspace יכולים להשתמש בבקרות SharePoint כדי לאפשר גישה לאוספי אתרים מאושרים, לחסום אוספי אתרים נבחרים ולהחריג קבצים נתמכים עם תוויות רגישות נבחרות של Microsoft Purview.

אוסף אתרים של SharePoint, המכונה גם SPSite, יכול להכיל כמה אתרים. כלל לאוסף חל על האוסף כולו, בכפוף להרשאות Microsoft הקיימות של כל משתמש. הוא אינו מעניק למשתמש גישה לתוכן שאין לו גישה אליו ב-Microsoft 365.

הגבלות האתרים חלות על פעולות נתמכות של חיפוש, עיון, אחזור קבצים וקריאה וכתיבה ב-SharePoint. הגישה ל-OneDrive מנוהלת בנפרד.

בחרו את מצב הגישה שתואם למדיניות שלכם:

• אתרים מורשים: כאשר רשימת המורשים אינה ריקה, משתמשים יכולים לגשת דרך האפליקציה רק לאוספי האתרים המופיעים בה.

• אתרים חסומים: משתמשים יכולים לגשת לאוספי אתרים שאינם מופיעים ברשימת החסומים, בכפוף להרשאות Microsoft שלהם.

רק רשימה אחת יכולה להכיל רשומות בכל רגע נתון. רשימת מורשים ריקה אינה חוסמת את כל האתרים. כאשר שתי הרשימות ריקות, ההגבלות על אתרי SharePoint מוסרות; הרשאות Microsoft ובקרות אחרות שהוגדרו עדיין חלות.

זמינות

כדי להשתמש בבקרות וב-Admin API של ה-workspace, יש להפעיל אותם עבור ה-workspace שלכם. הבקרות הזמינות כוללות רשימות של אוספי אתרים מורשים, רשימות של אוספי אתרים חסומים, ייבוא אתרים מ-CSV והחרגות לפי תוויות רגישות.

הכללים חלים על אוספי אתרים שלמים. הבקרות האלה לאוספי אתרים אינן כוללות הגבלת תחולה לאתר בודד, לתיקייה או לקובץ מסוימים, או אכיפה של Microsoft Sites.Selected.

לפני שמתחילים

• זהו את אוספי האתרים שהארגון שלכם רוצה לאפשר או לחסום את הגישה אליהם.

• השיגו את ה-GUID של כל אוסף. מזהה אתר מלא של Microsoft Graph מכיל את ה-GUID של האוסף כערך האמצעי שלו. ה-Admin API משתמש במזהי GUID של אוספים; כלי ייבוא ה-CSV בממשק המשתמש יכול גם לחלץ אותם משלשות מזהי אתר של Graph.

• אפשרו את הרשאות Microsoft הנדרשות לאפליקציית SharePoint הן בהגדרות ההרשאות של ChatGPT והן ב-Microsoft Entra, לרבות Sites.Read.All ו-Files.Read.All. הבקרות האלה מסננות את הגישה בצד של OpenAI; הן אינן מחליפות את ההרשאות המואצלות של Microsoft.

• להחרגות לפי תוויות רגישות, בקשו ממנהל המערכת של Microsoft 365 או Purview את ה-GUID הקבוע של כל תווית שברצונכם להחריג, כולל תוויות שמחילות הצפנה.

• לניהול דרך ה-API, השיגו את ה-UUID של ה-workspace, מפתח מנהל מערכת של ה-workspace ב-ChatGPT, ואסימון Microsoft Graph אם עליכם לאתר מזהים לפי כתובות URL של SharePoint. שני אמצעי ההזדהות משמשים למטרות שונות.

על OpenAI Cookbook

OpenAI Cookbook הוא המאגר הציבורי של OpenAI לקוד לדוגמה ולמדריכים. מאמר זה משתמש במדריך הגישה לאתרי SharePoint ובסקריפט הניהול ב-Python שבמאגר, ששניהם מאוחסנים ב-GitHub. אפשר לפתוח את הקישורים האלה בדפדפן כדי לקרוא את הקבצים. כדי להריץ את הסקריפט, הורידו אותו ופעלו לפי הוראות ההגדרה והפקודות שבמדריך.

לאורך המאמר, ״Cookbook״ מתייחס למדריך SharePoint הזה, ו״כלי העזר של ה-Cookbook״ מתייחס לסקריפט ה-Python המקושר. היעזרו במקורות האלה לדוגמאות לפקודות ולניהול רשימת מורשים באמצעות ה-API.

הגדרת פרטי הזדהות לניהול דרך ה-API

הערה: רק מנהלי מערכת של ה-workspace יכולים ליצור מפתחות מנהל מערכת. למידע נוסף.

יצירת מפתח מנהל מערכת של ה-workspace ב-ChatGPT

1. פתחו את מסוף הניהול של ChatGPT ובחרו את ה-workspace הרצוי.

2. עברו אל פרטי הזדהות ובחרו מפתחות מנהל מערכת.

3. צרו מפתח עם הרשאות מוגבלות והגדירו את אפליקציות ל-כתיבה.

4. שמרו את המפתח באופן מאובטח. המפתח הזה מאפשר לקרוא ולשנות את מדיניות SharePoint עבור ה-workspace שלכם.

ההרשאה הנדרשת היא chatgpt.enterprise.apps.write. שימו לב: מפתח של פלטפורמת API ואסימון Microsoft Graph אינם יכולים להחליף מפתח מנהל מערכת של ה-workspace ב-ChatGPT.

למידע נוסף, ראו: ניהול מפתחות מנהל מערכת בכרטיסייה ״פרטי הזדהות״. למידע על משתני הסביבה לפרטי ההזדהות של הסקריפט ולדוגמה להזנת קלט מאובטחת, ראו את ההוראות לפרטי הזדהות ב-Cookbook.

קבלת אסימון Microsoft Graph

השתמשו בתהליך האימות של Microsoft שאושר בארגון שלכם. לאיתור אינטראקטיבי, אם הארגון שלכם מתיר שימוש ב-Graph Explorer:

1. פתחו את Microsoft Graph Explorer והתחברו עם חשבון עבודה בדייר שמכיל את אתרי SharePoint.

2. בחרו את ההרשאות הדרושות לקריאת האתרים, בדרך כלל Sites.Read.All, באמצעות שינוי הרשאות או הסכמה להרשאות. בקשו ממנהל המערכת של Microsoft לאשר את הגישה אם הארגון שלכם דורש זאת.

3. פתחו את הכרטיסייה אסימון גישה והעתיקו את האסימון לשימוש עם Microsoft Graph.

להוראות של Microsoft, ראו עבודה עם Graph Explorer.

אסימון Graph משמש לאיתור מזהים לפי כתובות URL של SharePoint. מפתח מנהל המערכת של ChatGPT משמש לקריאה או לעדכון של מדיניות ChatGPT. כלי העזר של ה-Cookbook זקוק לאסימון Graph רק עבור פקודות שמאתרות מזהים לפי כתובות URL; קריאה או ריקון של רשימת מורשים קיימת דורשים רק את מפתח מנהל המערכת של ChatGPT.

אל תשמרו אף אחד משני אמצעי ההזדהות במערכת בקרת גרסאות, במסמכים משותפים, בצילומי מסך או ביומנים.

איתור GUID של אוסף אתרים

שימוש בכתובת ה-URL של אתר SharePoint

1. פתחו את אתר SharePoint כשאתם מחוברים ל-Microsoft באמצעות חשבון שיש לו גישה לאתר.

2. הוסיפו /_api/site/id לסוף כתובת ה-URL של האתר. לדוגמה, השתמשו בכתובת https://contoso.sharepoint.com/sites/Finance/_api/site/id.

3. העתיקו את ה-GUID שמוחזר בתגובה.

הערה: הדומיינים והמזהים שמופיעים בדוגמאות במאמר זה הם ערכי דמה.

שימוש ב-Microsoft Graph

Microsoft Graph מחזיר מזהה אתר שמורכב משלושה רכיבים המופרדים בפסיקים: שם המארח, ה-GUID של אוסף האתרים וה-GUID של האתר. השתמשו בערך האמצעי עבור כלל שחל על אוסף אתרים. כתובות URL שונות של אתרים עשויות להתאים לאותו GUID של אוסף אתרים.

לדוגמאות לאיתור ולמזהים, ראו הבנת מזהי אתרים ב-SharePoint. כדי לאתר את המזהים של כמה כתובות URL בלי לשנות את מדיניות ChatGPT, השתמשו בהוראות הבדיקה ב-Cookbook ובסקריפט הניהול ב-Python.

לדרישות האיתור של Microsoft, ראו קבלת אתר SharePoint לפי נתיב.

ניהול אוספי אתרים מורשים וחסומים

שימוש בבקרות ה-workspace

1. פתחו את בקרות הבטיחות והאבטחה של אפליקציית SharePoint ב-workspace שלכם.

2. תחת מצב גישה, בחרו אתרים מורשים או אתרים חסומים.

3. הוסיפו את אוספי האתרים לרשימה שנבחרה. אפשר גם להשתמש בהעלאת CSV, כמתואר בהמשך.

4. בדקו את השינויים ובחרו שמירה.

5. בדקו את המדיניות שנשמרה וערכו בדיקה של התצורה.

אתרים שנוספו דרך ה-Admin API מופיעים בבקרות ה-workspace. אתרים שנוספו בממשק המשתמש זמינים גם דרך ה-API. אפשר להוסיף או להסיר רשומות בשתי הדרכים; הוספת אתר בדרך מסוימת אינה מחייבת לנהל אותו רק באותה דרך.

מעבר בין אתרים מורשים לאתרים חסומים

רק רשימה אחת יכולה להכיל רשומות בכל רגע נתון. לפני הוספת רשומות במצב האחר, רוקנו את הרשימה הקיימת ושמרו את השינוי. לאחר מכן בחרו במצב האחר, הוסיפו את האוספים הרצויים ושמרו שוב.


ריקון הרשימה הפעילה משנה את הגישה מיד עם השמירה. ריקון רשימת מורשים מסיר את הגבלת האתרים שהיא מחילה; ריקון רשימת חסומים מסיר את החסימות שבה. תכננו את המעבר עם מנהלי מערכת אחרים, משום שבפרק הזמן שבין ריקון רשימה אחת לשמירת הרשימה האחרת עשויה להתאפשר גישה שהמדיניות הסופית שלכם תגביל.

העלאת אוספי אתרים מקובץ CSV

העלאת CSV תומכת באוספי אתרים בלבד. כדי להחריג קבצים לפי תווית רגישות, הוסיפו את מזהי ה-GUID של התוויות לרשימת ההחרגות לפי תוויות רגישות.

1. פתחו את בקרות הבטיחות והאבטחה ובחרו את מצב הגישה הרצוי.

2. הכינו קובץ CSV של מזהי GUID של אוספי אתרים או שלשות מזהי אתר של Microsoft Graph. השתמשו בפורמט מזהים אחיד בכל הקובץ.

3. בחרו העלאת קובץ CSV ובחרו את הקובץ.

4. בדקו את תוצאת הייבוא ואת הרשימה שנבחרה. טפלו בכל השגיאות או האזהרות לגבי השורות לפני שתמשיכו.

5. בחרו שמירה כדי להחיל את השינויים, ולאחר מכן בדקו את הרשימה שנשמרה.

דרישות ואופן הפעולה של ייבוא CSV:

• גודל קובץ מרבי: 1 MB.

• כותרות הן אופציונליות.

• השתמשו ב-GUID אחד של אוסף בכל שורה, או בשלשות מזהי אתר של Graph. אפשר להקיף שלשות במירכאות בשדה אחד או לפצל אותן לשלוש עמודות.

• שלשות של Graph מומרות למזהי GUID של אוספים. ייבוא שלשה אינו יוצר כלל שחל על אתר מסוים בלבד.

• הייבוא מוסיף רשומות לרשימה שנבחרה ושומר על הרשומות הקיימות. כפילויות של אוספים מוסרות; ספירת הייבוא מציינת את מספר האוספים החדשים שנוספו.

• שילוב של פורמטים שונים ושורות בפורמט שגוי נדחים. העלאת קובץ שמכיל רק כתובות URL של אתרים מציגה אזהרה ואינה מוסיפה אתרים. תחילה אתרו את מזהי ה-GUID של האוספים התואמים לכתובות ה-URL.

• ההעלאה משנה רק את טיוטת הרשימה. היא אינה מעדכנת את הגישה ב-workspace עד שתבחרו שמירה.

• העלאת ה-CSV המתוארת כאן משמשת לניהול אוספי אתרים. הגדירו החרגות לפי תוויות רגישות בנפרד.

אם יש לכם קובץ CSV של כתובות URL של SharePoint, תהליך העבודה עם CSV בכלי העזר של ה-Cookbook מאפשר לאתר את המזהים שלהן ולנהל רשימת מורשים דרך ה-API. הקלט שלו, site_url או url, משתמש בפורמט ובתהליך עבודה שונים מאלה של העלאת המזהים בממשק המשתמש.

הכרת מגבלות המדיניות והבקשות

מגבלת ברירת המחדל של המדיניות היא 10,000 אוספי אתרים. הגדלת מגבלת המדיניות של ה-workspace, עד ל-120,000 אוספי אתרים, מחייבת הפעלה על ידי OpenAI; פנו לצוות OpenAI שמלווה אתכם לפני תכנון פריסה רחבה יותר.

פעולות שינוי בודדות ב-API והסקריפט הנוכחי ב-Cookbook מקבלים עד 10,000 מזהי GUID של אוספים בכל בקשה. הגדלת מגבלת המדיניות של ה-workspace אינה מגדילה את המגבלה לכל בקשה. ספרו אוספי אתרים ייחודיים, ולא כתובות URL מקוריות: כמה כתובות URL יכולות להפנות לאותו אוסף.

שימוש ב-Admin API של ה-workspace

השתמשו ב-UUID של ה-workspace ובמפתח מנהל המערכת של ה-workspace ב-ChatGPT מול https://api.chatgpt.com.

לפקודות מתוחזקות לניהול רשימת מורשים ולדוגמאות לבקשות, השתמשו ב-Cookbook:

• קריאת רשימת המורשים הקיימת.

• תצוגה מקדימה והוספה של אוספי אתרים. הוספות שומרות על האוספים המורשים הקיימים.

• הסרת אוסף אתרים.

• ריקון רשימת המורשים.

בדקו את המדיניות הנוכחית לפני ביצוע שינויים, ולאחר מכן קראו אותה שוב ובדקו את הגישה בפועל. הסרת האוסף המורשה האחרון או ריקון רשימת המורשים מסירים את הגבלת האתרים הזו. אל תשלחו בקשת הוספה ריקה, אלא אם בכוונתכם להסיר את ההגבלות של רשימת המורשים.

כלי העזר הציבורי של ה-Cookbook מנהל כרגע רשימות מורשים בלבד. הוא אינו מנהל רשימות חסומים או החרגות לפי תוויות רגישות. למשימות אלה, השתמשו בבקרות ה-workspace המתוארות לעיל.

החרגת קבצים עם תוויות רגישות

איתור ה-GUID של התווית

בקשו ממנהל המערכת של Microsoft 365 או Purview את ה-GUID הקבוע של התווית הרצויה. השתמשו ב-GUID ולא בשם התצוגה של התווית.

מנהל מערכת יכול לקבל רשימה של התוויות דרך Microsoft Graph. לאסימון נדרשת ההרשאה המתאימה: SensitivityLabel.Read או SensitivityLabels.Read.All. התאימו את שם התווית הרצויה למזהה שלה ובדקו את הגדרות ההגנה שלה.

לדרישות ולדוגמאות, ראו קבלת רשימת תוויות רגישות ומאפייני תוויות רגישות. הרשאות התוויות האלה נפרדות מהרשאת קריאת האתרים המשמשת לאיתור מזהים לפי כתובות URL של SharePoint.

הוספת החרגות לפי תוויות

1. פתחו את בקרות הבטיחות והאבטחה של אפליקציית SharePoint.

2. ברשימת ההחרגות לפי תוויות רגישות, הזינו את ה-GUID של כל תווית שברצונכם להחריג, כולל תוויות שמחילות הצפנה.

3. שמרו את התצורה ובדקו קובץ נתמך עם התווית שהוחרגה.

קבצים עם תוויות נתמכות התואמות לרשימה אינם נכללים בתוצאות של אפליקציית SharePoint. תוכן של קבצים מוצפנים מוחרג כברירת מחדל. גישה לקבצים מוצפנים נתמכים דורשת גם גישה מתקדמת לקבצים (fetch_advanced) וגם הסכמת מנהל מערכת ב-Microsoft Entra, כמתואר בשאלות הנפוצות בהמשך. החרגות לפי תוויות והרשאות Microsoft של המשתמש המחובר עדיין חלות.

בדיקת התצורה

השתמשו בקובצי בדיקה ובחשבונות שאושרו על ידי הארגון שלכם. לפני הבדיקה, ודאו שאותו חשבון Microsoft יכול לגשת לכל קובץ ישירות ב-SharePoint.

1. במצב אתרים מורשים עם רשימה שאינה ריקה, בדקו קובץ באוסף מורשה וקובץ באוסף שאינו מופיע ברשימה. רק האוסף המורשה אמור להיות נגיש דרך האפליקציה.

2. במצב אתרים חסומים, בדקו קובץ באוסף חסום וקובץ באוסף שאינו חסום. האוסף החסום לא אמור להיות נגיש; הגישה לאוסף שאינו חסום עדיין כפופה להרשאות Microsoft ולבקרות אחרות.

3. בדקו קובץ בדיקה נתמך שנושא תווית רגישות שהוחרגה. הוא לא אמור להופיע בתוצאות האפליקציה.

4. לאחר שינוי דרך ה-API, השוו בין הרשימה השמורה בממשק המשתמש לבין המדיניות שה-API מחזיר.

5. לאחר העלאת CSV, שמרו את השינויים ופתחו שוב את הבקרות כדי לוודא שהאוספים הרצויים נשמרו.

אם התוצאות אינן תואמות למדיניות הרצויה, בדקו את ה-workspace, מצב הגישה שנבחר, הרשימה השמורה, מזהי ה-GUID של האוספים ושל התוויות, סוג הקובץ הנתמך והרשאות Microsoft של המשתמש. אל תרוקנו רשימה כחלק מפתרון בעיות, אלא אם שינוי הגישה שיתקבל הוא אכן כוונתכם.

לעזרה עם בקרות חסרות או גישה בלתי צפויה, ראו: יצירת קשר עם התמיכה של OpenAI. אל תכללו מפתחות מנהל מערכת או אסימוני Microsoft Graph בפנייה לתמיכה.

הכרת המגבלות

• כלל לאוסף אתרים חל על אוסף האתרים כולו. לא ניתן להשתמש בו כדי להגביל גישה לתת-אתר, לתיקייה או לקובץ מסוימים.

• הגבלות על אתרי SharePoint אינן מגבילות אוטומטית את הגישה ל-OneDrive.

• סינון לפי תוויות רגישות חל רק כאשר Microsoft Graph חושף מטא-נתונים נתמכים של תוויות, לרבות במסמכי Office ובקובצי PDF ו-MP4 נתמכים.

• סוגי קבצים שאינם תומכים בתוויות רגישות, כגון קובצי TXT ו-CSV, נחשבים לקבצים ללא תווית. הם נשארים נגישים אם הגישה אליהם מותרת לפי שאר ההגדרות. מגבלה זו על סוגי קבצים אינה קשורה להעלאת קובץ CSV לצורך הגדרת גישה לאתרים.

• העלאת CSV וכלי העזר הציבורי לדוגמה אינם מגדירים החרגות לפי תוויות רגישות. מאמר זה אינו מתעד API לניהול תוויות בכמות גדולה.

• שמירת מדיניות או תגובת API מוצלחת אינן תחליף לבדיקת הגישה באמצעות החשבון המיועד.

שימוש בכלי הניהול ב-Python

קוד הדוגמה המלא והפקודות מתוחזקים ב-OpenAI Cookbook:

• מדריך הניהול.

• סקריפט הניהול ב-Python.

• קובץ בדיקות ללא חיבור לרשת.

השתמשו ב-Python בגרסה 3.10 ואילך. הכלי משתמש בספרייה הסטנדרטית של Python. קראו את המדריך לפני הפעלת הכלי, והשתמשו בהרצות ניסיון כדי לבדוק את השינויים בלי להחיל אותם.

הגרסה הנוכחית של הכלי קוראת פרטי הזדהות ממשתני סביבה; פעלו לפי ההוראות במדריך להזנת קלט מאובטחת. נדרש אישור מפורש כדי לרוקן רשימת מורשים. פעולת הסרה יכולה להתבצע ללא האישור הזה, לכן בדקו אותה תחילה בהרצת ניסיון.

למידע על אופן הפעולה של ניסיונות חוזרים ועל מפתחות אידמפוטנטיות אופציונליים, ראו ניסיון חוזר לעדכון מדיניות באופן בטוח. השתמשו במפתחות אידמפוטנטיות רק אם ה-workspace תומך בהם, ובדקו את המדיניות הנוכחית לאחר כשל שתוצאתו אינה ברורה.

הכלי אינו מפעיל תכונות של ה-workspace ואינו מוודא שהמדיניות נאכפת. הבדיקות שלו ללא חיבור לרשת משתמשות בקריאות מדומות ל-Microsoft Graph ול-Admin API של ChatGPT.

שינויים המורכבים מכמה בקשות אינם אטומיים. אם הסרה של כמה אוספים נכשלת באמצע, ייתכן שחלק מהאוספים כבר הוסרו בהצלחה. קראו את המדיניות הנוכחית לפני ניסיון חוזר.

שאלות נפוצות

האם כדאי להוסיף לרשימת ההחרגות תוויות רגישות שמחילות הצפנה?

כן. הוסיפו את כל תוויות הרגישות של Microsoft Purview שברצונכם ש-ChatGPT יחריג את הקבצים הנושאים אותן, כולל תוויות שמחילות הצפנה.

תוכן של קבצים מוצפנים מוחרג כברירת מחדל. כדי לאפשר גישה לקבצים מוצפנים נתמכים, מנהל מערכת של ה-workspace צריך להפעיל גישה מתקדמת לקבצים (fetch_advanced), ומנהל מערכת של Microsoft Entra צריך לתת הסכמה להרשאות Microsoft הנדרשות. הפעלת הפעולה ללא השלמת הסכמת מנהל המערכת אינה מספיקה.

גם לאחר ההגדרה, ChatGPT יכול לאחזר תוכן מוצפן רק כאשר למשתמש המחובר יש הרשאה לגשת לקובץ ולפענח אותו. קבצים עם תוויות שמופיעות ברשימת ההחרגות שלכם נשארים מוחרגים. הפעלת גישה מתקדמת לקבצים או מתן הסכמת מנהל מערכת אינם עוקפים את ההחרגות לפי תוויות או את הרשאות Microsoft של המשתמש.

האם בקרות האתרים מחליפות את הרשאות Microsoft?

לא. האפליקציה עדיין משתמשת בהרשאות Microsoft של כל משתמש. OpenAI מחילה את סינון האתרים שהוגדר לפני שהתגובות מוצגות למשתמש ולמודל.

האם רשימת מורשים ריקה חוסמת את כל האתרים?

לא. רשימת מורשים ריקה אינה משמעה ״חסימת הכול״. אם רשימת החסומים מכילה רשומות, האוספים האלה נשארים חסומים. כאשר אף אחת מהרשימות אינה מכילה רשומות, הגישה נקבעת לפי הרשאות Microsoft של המשתמשים ולפי בקרות אחרות שהוגדרו.

האם שינויים דרך ה-Admin API נרשמים ביומן?

שינויי מדיניות דרך ה-Admin API מתועדים ביומני הביקורת והתאימות של ה-workspace.