Panoramica

Gli amministratori dell'area di lavoro possono usare i controlli di SharePoint per consentire le raccolte siti approvate, bloccare determinate raccolte siti ed escludere i file supportati con determinate etichette di riservatezza di Microsoft Purview.

Una raccolta siti di SharePoint, chiamata anche SPSite, può contenere più siti. Una regola relativa a una raccolta si applica all'intera raccolta, nel rispetto delle autorizzazioni Microsoft esistenti di ciascun utente. Non concede a un utente l'accesso a contenuti a cui non può accedere in Microsoft 365.

Le restrizioni sui siti si applicano alle operazioni supportate di ricerca, navigazione, recupero di file e lettura/scrittura in SharePoint. L'accesso a OneDrive viene gestito separatamente.

Scegli la modalità di accesso che corrisponde al tuo criterio:

• Siti consentiti: se l'elenco dei siti consentiti non è vuoto, gli utenti possono accedere tramite l'app solo alle raccolte siti elencate.

• Siti bloccati: gli utenti possono accedere alle raccolte siti non presenti nell'elenco dei siti bloccati, nel rispetto delle loro autorizzazioni Microsoft.

Solo un elenco alla volta può contenere voci. Un elenco dei siti consentiti vuoto non blocca tutti i siti. Quando entrambi gli elenchi sono vuoti, le restrizioni sui siti SharePoint vengono rimosse; le autorizzazioni Microsoft e gli altri controlli configurati continuano ad applicarsi.

Disponibilità

I controlli e l'API di amministrazione dell'area di lavoro devono essere abilitati per la tua area di lavoro. I controlli disponibili includono elenchi di raccolte siti consentite, elenchi di raccolte siti bloccate, importazioni di siti da CSV ed esclusioni per etichette di riservatezza.

Le regole si applicano a intere raccolte siti. Questi controlli sulle raccolte siti non includono la limitazione a singoli siti, cartelle o file specifici né l'applicazione di Microsoft Sites.Selected.

Prima di iniziare

• Individua le raccolte siti che la tua organizzazione vuole consentire o bloccare.

• Procurati il GUID di ogni raccolta. Un ID sito completo di Microsoft Graph contiene il GUID della raccolta come valore centrale. L’API di amministrazione usa i GUID delle raccolte; lo strumento di importazione CSV dell’interfaccia utente può anche estrarli dalle terne degli ID sito di Graph.

• Abilita le autorizzazioni Microsoft richieste dall’app SharePoint sia nelle impostazioni delle autorizzazioni di ChatGPT sia in Microsoft Entra, incluse Sites.Read.All e Files.Read.All. Questi controlli filtrano l’accesso sul lato OpenAI; non sostituiscono le autorizzazioni delegate di Microsoft.

• Per le esclusioni per etichetta di riservatezza, chiedi all’amministratore di Microsoft 365 o Purview il GUID immutabile di ogni etichetta da escludere, incluse quelle che applicano la crittografia.

• Per l’amministrazione tramite API, procurati l’UUID dell’area di lavoro, una chiave di amministrazione dell’area di lavoro ChatGPT e un token di Microsoft Graph se devi risolvere gli URL di SharePoint. Le due credenziali hanno scopi diversi.

Informazioni sull'OpenAI Cookbook

L'OpenAI Cookbook è la raccolta pubblica di codice di esempio e guide di OpenAI. Questo articolo usa la sua guida all'accesso ai siti SharePoint e il suo script Python di amministrazione, entrambi ospitati su GitHub. Puoi aprire questi link nel browser per leggere i file. Per eseguire lo script, scaricalo e segui le istruzioni della guida per la configurazione e i comandi.

In questo articolo, “Cookbook” indica la guida a SharePoint e “utilità del Cookbook” indica lo script Python collegato. Consulta queste risorse per esempi di comandi e per gestire l'elenco dei siti consentiti tramite API.

Configurare le credenziali per l'amministrazione tramite API

Nota: devi essere un amministratore dell'area di lavoro per poter creare chiavi di amministrazione. Scopri di più.

Creare una chiave di amministrazione dell'area di lavoro ChatGPT

1. Apri la console di amministrazione di ChatGPT e seleziona l'area di lavoro desiderata.

2. Vai a Credenziali e seleziona Chiavi di amministrazione.

3. Crea una chiave con autorizzazioni Limitate e imposta App su Scrittura.

4. Conserva la chiave in modo sicuro. Questa chiave autorizza la lettura e la modifica del criterio di SharePoint per la tua area di lavoro.

L'autorizzazione richiesta è chatgpt.enterprise.apps.write. Tieni presente che né una chiave della Piattaforma API né un token Microsoft Graph possono sostituire una chiave di amministrazione dell'area di lavoro ChatGPT.

Per ulteriori informazioni, consulta: Gestire le chiavi di amministrazione nella scheda Credenziali. Per le variabili d'ambiente delle credenziali dello script e un esempio di inserimento sicuro, consulta le istruzioni sulle credenziali del Cookbook.

Ottenere un token Microsoft Graph

Usa la procedura di autenticazione Microsoft approvata dalla tua organizzazione. Per una ricerca interattiva, se la tua organizzazione consente l'uso di Graph Explorer:

1. Apri Microsoft Graph Explorer e accedi con un account aziendale nel tenant che contiene i siti SharePoint.

2. Seleziona le autorizzazioni necessarie per leggere i siti, in genere Sites.Read.All, tramite Modifica autorizzazioni o Acconsenti alle autorizzazioni. Chiedi all'amministratore Microsoft di approvare l'accesso se la tua organizzazione lo richiede.

3. Apri la scheda Token di accesso e copia il token da usare con Microsoft Graph.

Per le istruzioni di Microsoft, consulta Usare Graph Explorer.

Il token Graph permette di convertire gli URL di SharePoint negli identificatori corrispondenti. La chiave di amministrazione di ChatGPT permette di leggere o aggiornare il criterio di ChatGPT. L'utilità del Cookbook richiede il token Graph solo per i comandi che risolvono gli URL; per leggere o svuotare un elenco dei siti consentiti esistente serve solo la chiave di amministrazione di ChatGPT.

Non inserire nessuna delle due credenziali in sistemi di controllo del codice sorgente, documenti condivisi, screenshot o log.

Trovare il GUID di una raccolta siti

Usare l'URL del sito SharePoint

1. Apri il sito SharePoint dopo aver effettuato l'accesso a Microsoft con un account autorizzato ad accedervi.

2. Aggiungi /_api/site/id alla fine dell'URL del sito. Ad esempio, usa https://contoso.sharepoint.com/sites/Finance/_api/site/id.

3. Copia il GUID restituito nella risposta.

Nota: i domini e gli identificatori di esempio in questo articolo sono segnaposto.

Usare Microsoft Graph

Microsoft Graph restituisce un ID sito con tre componenti separati da virgole: il nome host, il GUID della raccolta siti e il GUID del sito. Usa il valore centrale per una regola relativa a una raccolta siti. URL di siti diversi possono corrispondere allo stesso GUID di raccolta.

Per esempi di ricerca e di identificatori, consulta Comprendere gli identificatori dei siti SharePoint. Per risolvere più URL senza modificare il criterio di ChatGPT, usa le istruzioni di ispezione del Cookbook e lo script Python di amministrazione.

Per i requisiti di ricerca di Microsoft, consulta Ottenere un sito SharePoint tramite percorso.

Gestisci le raccolte siti consentite e bloccate

Usa i controlli dell’area di lavoro

1. Apri i Controlli di sicurezza e protezione dell’app SharePoint nella tua area di lavoro.

2. In Modalità di accesso, seleziona Siti consentiti o Siti bloccati.

3. Aggiungi le raccolte siti all’elenco selezionato. Puoi anche usare il caricamento CSV descritto di seguito.

4. Verifica le modifiche e seleziona Salva.

5. Controlla i criteri salvati e testa la configurazione.

I siti aggiunti tramite l’API di amministrazione compaiono nei controlli dell’area di lavoro. I siti aggiunti nell’interfaccia utente sono disponibili anche tramite l’API. Puoi aggiungere o rimuovere voci tramite entrambe le interfacce: il metodo usato per aggiungere un sito non vincola le operazioni successive.

Passa dai siti consentiti ai siti bloccati e viceversa

Solo un elenco alla volta può contenere voci. Prima di aggiungere voci nell’altra modalità, svuota l’elenco esistente e salva la modifica. Poi seleziona l’altra modalità, aggiungi le raccolte desiderate e salva di nuovo.


Lo svuotamento dell’elenco attivo modifica l’accesso non appena viene salvato. Svuotare l’elenco dei siti consentiti rimuove la restrizione ai siti elencati; svuotare l’elenco dei siti bloccati rimuove i relativi blocchi. Pianifica il passaggio con gli altri amministratori: nell’intervallo tra lo svuotamento di un elenco e il salvataggio dell’altro potrebbero essere consentiti accessi che i criteri finali limiteranno.

Carica le raccolte siti da un file CSV

Il caricamento CSV supporta solo le raccolte siti. Per escludere i file in base all’etichetta di riservatezza, aggiungi i GUID delle etichette all’elenco di esclusione delle etichette di riservatezza.

1. Apri i Controlli di sicurezza e protezione e seleziona la Modalità di accesso desiderata.

2. Prepara un file CSV con i GUID delle raccolte siti o le terne che compongono gli ID sito di Microsoft Graph. Usa un unico formato di identificatore in tutto il file.

3. Seleziona Carica file CSV e scegli il file.

4. Verifica il risultato dell’importazione e l’elenco selezionato. Risolvi eventuali errori o avvisi relativi alle righe prima di continuare.

5. Seleziona Salva per applicare le modifiche, poi controlla l’elenco salvato.

Requisiti e funzionamento del caricamento CSV:

• Dimensione massima del file: 1 MB.

• Le intestazioni sono facoltative.

• Usa un GUID di raccolta per riga oppure le terne degli ID sito di Graph. Le terne possono essere racchiuse tra virgolette in un unico campo oppure suddivise in tre colonne.

• Le terne di Graph vengono convertite in GUID di raccolte. L’importazione di una terna non crea una regola specifica per il singolo sito.

• Le importazioni aggiungono voci all’elenco selezionato e mantengono quelle esistenti. Le raccolte duplicate vengono deduplicate; il conteggio dell’importazione indica le nuove raccolte aggiunte.

• I file con formati misti e le righe con formato non valido vengono rifiutati. Il caricamento di un file contenente solo URL di siti mostra un avviso e non aggiunge siti. Prima converti gli URL nei GUID delle raccolte corrispondenti.

• Il caricamento modifica solo la bozza dell’elenco. Non aggiorna l’accesso nell’area di lavoro finché non selezioni Salva.

• Il caricamento CSV descritto qui consente di gestire le raccolte siti. Configura separatamente le esclusioni per etichetta di riservatezza.

Se hai un file CSV di URL di SharePoint, il flusso di lavoro CSV dell’utilità del Cookbook può risolverli e gestire un elenco dei siti consentiti tramite l’API. L’input site_url o url di questa utilità usa un formato e un flusso di lavoro diversi dal caricamento degli identificatori nell’interfaccia utente.

Comprendi i limiti dei criteri e delle richieste

Il limite predefinito dei criteri è di 10.000 raccolte siti. Limiti più elevati per i criteri dell’area di lavoro, fino a 120.000 raccolte siti, richiedono l’abilitazione da parte di OpenAI; contatta il tuo team di riferimento OpenAI prima di pianificare un’implementazione più ampia.

Le singole operazioni di modifica tramite API e l’attuale script del Cookbook accettano fino a 10.000 GUID di raccolte per richiesta. Un limite più elevato per i criteri dell’area di lavoro non aumenta questo limite per richiesta. Conta le raccolte siti univoche, non gli URL di origine: più URL possono fare riferimento alla stessa raccolta.

Usa l’API di amministrazione dell’area di lavoro

Usa l’UUID dell’area di lavoro e la chiave di amministrazione dell’area di lavoro ChatGPT con https://api.chatgpt.com.

Per comandi aggiornati di gestione dell’elenco dei siti consentiti ed esempi di richieste, consulta il Cookbook:

• Leggi l’elenco dei siti consentiti esistente.

• Visualizza in anteprima e aggiungi raccolte siti. Le aggiunte mantengono le raccolte già consentite.

• Rimuovi una raccolta siti.

• Svuota l’elenco dei siti consentiti.

Verifica i criteri attuali prima di apportare modifiche, poi rileggili e testa gli accessi risultanti. Rimuovere l’ultima raccolta consentita o svuotare l’elenco dei siti consentiti elimina la restrizione ai siti elencati. Non inviare una richiesta di aggiunta vuota, a meno che tu non intenda rimuovere le restrizioni dell’elenco dei siti consentiti.

L’utilità pubblica del Cookbook attualmente gestisce solo gli elenchi dei siti consentiti. Non gestisce gli elenchi dei siti bloccati né le esclusioni per etichetta di riservatezza. Per queste operazioni, usa i controlli dell’area di lavoro descritti sopra.

Escludere file con etichette di riservatezza

Trovare il GUID dell'etichetta

Chiedi all'amministratore di Microsoft 365 o Purview il GUID immutabile dell'etichetta desiderata. Usa il GUID, non il nome visualizzato.

Un amministratore può elencare le etichette tramite Microsoft Graph. Il token deve disporre dell'autorizzazione applicabile: SensitivityLabel.Read o SensitivityLabels.Read.All. Associa il nome dell'etichetta desiderata al relativo ID e controlla le sue impostazioni di protezione.

Per requisiti ed esempi, consulta Elencare le etichette di riservatezza e Proprietà delle etichette di riservatezza. Queste autorizzazioni relative alle etichette sono distinte dall'autorizzazione di lettura dei siti usata per risolvere gli URL di SharePoint.

Aggiungi esclusioni per etichetta

1. Apri i Controlli di sicurezza e protezione dell’app SharePoint.

2. Nell’elenco di esclusione delle etichette di riservatezza, inserisci il GUID di ogni etichetta da escludere, incluse quelle che applicano la crittografia.

3. Salva la configurazione ed esegui un test con un file supportato a cui è applicata l’etichetta esclusa.

I file con etichette supportate presenti nell’elenco sono esclusi dai risultati dell’app SharePoint. Il contenuto dei file crittografati è escluso per impostazione predefinita. L’accesso ai file crittografati supportati richiede sia l’accesso avanzato ai file (fetch_advanced) sia il consenso di un amministratore di Microsoft Entra, come descritto nelle domande frequenti di seguito. Restano valide le esclusioni per etichetta e le autorizzazioni Microsoft dell’utente connesso.

Verificare la configurazione

Usa file e account di test approvati dalla tua organizzazione. Prima di eseguire i test, conferma che lo stesso account Microsoft possa accedere a ciascun file direttamente in SharePoint.

1. In modalità Siti consentiti, con un elenco non vuoto, verifica un file in una raccolta consentita e un file in una raccolta non presente nell'elenco. Solo la raccolta consentita dovrebbe essere accessibile tramite l'app.

2. In modalità Siti bloccati, verifica un file in una raccolta bloccata e un file in una raccolta non bloccata. La raccolta bloccata non dovrebbe essere disponibile; quella non bloccata resta soggetta alle autorizzazioni Microsoft e agli altri controlli.

3. Verifica un file di test supportato a cui è applicata un'etichetta di riservatezza esclusa. Non dovrebbe comparire nei risultati dell'app.

4. Dopo una modifica tramite API, confronta l'elenco salvato nell'interfaccia con il criterio restituito dall'API.

5. Dopo aver caricato un CSV, salva le modifiche e riapri i controlli per confermare che le raccolte previste siano state mantenute.

Se i risultati non rispecchiano il criterio previsto, controlla l'area di lavoro, la modalità di accesso selezionata, l'elenco salvato, i GUID delle raccolte, i GUID delle etichette, il tipo di file supportato e le autorizzazioni Microsoft dell'utente. Non svuotare un elenco per risolvere un problema, a meno che tu non voglia la conseguente modifica dell'accesso.

Per assistenza su controlli mancanti o accessi imprevisti, consulta: Contattare l'assistenza OpenAI. Non includere chiavi di amministrazione o token Microsoft Graph nella richiesta di assistenza.

Comprendere le limitazioni

• Una regola relativa a una raccolta copre l'intera raccolta siti. Non può limitare l'accesso a un sottosito, una cartella o un file specifico.

• Le restrizioni sui siti SharePoint non limitano automaticamente l'accesso a OneDrive.

• Il filtro per etichette di riservatezza si applica solo quando Microsoft Graph espone metadati delle etichette supportati, anche per documenti Office, PDF e file MP4 supportati.

• I tipi di file che non supportano le etichette di riservatezza, come TXT e CSV, vengono trattati come privi di etichetta. Restano accessibili se consentito dagli altri controlli. Questa limitazione relativa al tipo di file è indipendente dal caricamento di un CSV per configurare l'accesso ai siti.

• Il caricamento di CSV e l'utilità di esempio pubblica non configurano le esclusioni per etichette di riservatezza. Questo articolo non documenta un'API per la gestione in blocco delle etichette.

• Il salvataggio di un criterio o una risposta API con esito positivo non sostituiscono una verifica dell'accesso con l'account previsto.

Usare l'utilità Python di amministrazione

Il codice di esempio completo e i comandi vengono mantenuti aggiornati nell'OpenAI Cookbook:

• Guida all'amministrazione.

• Script Python di amministrazione.

• File dei test offline.

Usa Python 3.10 o versioni successive. L'utilità usa la libreria standard di Python. Leggi la guida prima di eseguirla e usa le simulazioni per esaminare le modifiche.

L'utilità attuale legge le credenziali dalle variabili d'ambiente; segui le istruzioni della guida per inserirle in modo sicuro. Per svuotare un elenco dei siti consentiti è richiesta una conferma esplicita. Una rimozione può essere eseguita senza tale conferma, quindi esaminala prima con una simulazione.

Per il comportamento dei nuovi tentativi e le chiavi di idempotenza facoltative, consulta Riprovare ad aggiornare un criterio in sicurezza. Usa le chiavi di idempotenza solo se l'area di lavoro le supporta e controlla il criterio attuale dopo un errore dall'esito ambiguo.

L'utilità non abilita le funzionalità dell'area di lavoro né verifica l'effettiva applicazione dei criteri. I suoi test offline usano chiamate simulate a Microsoft Graph e all'API di amministrazione di ChatGPT.

Le modifiche che comportano più richieste non sono atomiche. Se la rimozione di più raccolte si interrompe a metà per un errore, le rimozioni precedenti potrebbero essere già riuscite. Leggi il criterio attuale prima di riprovare.

Domande frequenti

Devo aggiungere all’elenco di esclusione le etichette di riservatezza che applicano la crittografia?

Sì. Aggiungi tutte le etichette di riservatezza di Microsoft Purview applicate ai file che vuoi escludere da ChatGPT, incluse quelle che applicano la crittografia.

Il contenuto dei file crittografati è escluso per impostazione predefinita. Per abilitare l’accesso ai file crittografati supportati, un amministratore dell’area di lavoro deve abilitare l’accesso avanzato ai file (fetch_advanced) e un amministratore di Microsoft Entra deve concedere il consenso per le autorizzazioni Microsoft richieste. Abilitare l’azione senza completare la procedura di consenso dell’amministratore non è sufficiente.

Anche dopo la configurazione, ChatGPT può recuperare contenuti crittografati solo se l’utente connesso dispone delle autorizzazioni per accedere al file e decrittografarlo. I file con etichette presenti nell’elenco di esclusione restano esclusi. L’abilitazione dell’accesso avanzato ai file o la concessione del consenso da parte dell’amministratore non prevalgono sulle esclusioni per etichetta o sulle autorizzazioni Microsoft dell’utente.

I controlli sui siti sostituiscono le autorizzazioni Microsoft?

No. L’app continua a usare le autorizzazioni Microsoft di ciascun utente. OpenAI applica il filtro sui siti configurato prima che le risposte vengano mostrate all’utente e al modello.

Un elenco dei siti consentiti vuoto blocca tutti i siti?

No. Un elenco dei siti consentiti vuoto non significa “blocca tutto”. Se l’elenco dei siti bloccati contiene voci, quelle raccolte restano bloccate. Quando entrambi gli elenchi sono vuoti, l’accesso è determinato dalle autorizzazioni Microsoft degli utenti e dagli altri controlli configurati.

Le modifiche apportate tramite l’API di amministrazione vengono registrate?

Le modifiche ai criteri apportate tramite l’API di amministrazione vengono registrate nei log di audit e conformità dell’area di lavoro.