Panoramica
Gli amministratori dell'area di lavoro possono usare i controlli di SharePoint per consentire le raccolte siti approvate, bloccare determinate raccolte siti ed escludere i file supportati con determinate etichette di riservatezza di Microsoft Purview.
Una raccolta siti di SharePoint, chiamata anche SPSite, può contenere più siti. Una regola relativa a una raccolta si applica all'intera raccolta, nel rispetto delle autorizzazioni Microsoft esistenti di ciascun utente. Non concede a un utente l'accesso a contenuti a cui non può accedere in Microsoft 365.
Le restrizioni sui siti si applicano alle operazioni supportate di ricerca, navigazione, recupero di file e lettura/scrittura in SharePoint. L'accesso a OneDrive viene gestito separatamente.
Scegli la modalità di accesso che corrisponde al tuo criterio:
Siti consentiti: se l'elenco dei siti consentiti non è vuoto, gli utenti possono accedere tramite l'app solo alle raccolte siti elencate.
Siti bloccati: gli utenti possono accedere alle raccolte siti non presenti nell'elenco dei siti bloccati, nel rispetto delle loro autorizzazioni Microsoft.
Solo un elenco alla volta può contenere voci. Un elenco dei siti consentiti vuoto non blocca tutti i siti. Quando entrambi gli elenchi sono vuoti, le restrizioni sui siti SharePoint vengono rimosse; le autorizzazioni Microsoft e gli altri controlli configurati continuano ad applicarsi.
Disponibilità
I controlli e l'API di amministrazione dell'area di lavoro devono essere abilitati per la tua area di lavoro. I controlli disponibili includono elenchi di raccolte siti consentite, elenchi di raccolte siti bloccate, importazioni di siti da CSV ed esclusioni per etichette di riservatezza.
Le regole si applicano a intere raccolte siti. Questi controlli sulle raccolte siti non includono la limitazione a singoli siti, cartelle o file specifici né l'applicazione di Microsoft Sites.Selected.
Prima di iniziare
Individua le raccolte siti che la tua organizzazione vuole consentire o bloccare.
Procurati il GUID di ogni raccolta. Un ID sito completo di Microsoft Graph contiene il GUID della raccolta come valore centrale. L'API di amministrazione usa i GUID delle raccolte; lo strumento di importazione CSV dell'interfaccia può anche estrarli dagli ID sito di Graph composti da tre valori.
Abilita le autorizzazioni Microsoft richieste dall'app SharePoint sia nelle impostazioni delle autorizzazioni di ChatGPT sia in Microsoft Entra, incluse
Sites.Read.AlleFiles.Read.All. Questi controlli filtrano l'accesso lato OpenAI; non sostituiscono le autorizzazioni delegate di Microsoft.Per le esclusioni per etichette di riservatezza, chiedi all'amministratore di Microsoft 365 o Purview il GUID immutabile di ogni etichetta senza crittografia.
Per l'amministrazione tramite API, procurati l'UUID della tua area di lavoro, una chiave di amministrazione dell'area di lavoro ChatGPT e un token Microsoft Graph se devi risolvere gli URL di SharePoint. Le due credenziali hanno scopi diversi.
Informazioni sull'OpenAI Cookbook
L'OpenAI Cookbook è la raccolta pubblica di codice di esempio e guide di OpenAI. Questo articolo usa la sua guida all'accesso ai siti SharePoint e il suo script Python di amministrazione, entrambi ospitati su GitHub. Puoi aprire questi link nel browser per leggere i file. Per eseguire lo script, scaricalo e segui le istruzioni della guida per la configurazione e i comandi.
In questo articolo, “Cookbook” indica la guida a SharePoint e “utilità del Cookbook” indica lo script Python collegato. Consulta queste risorse per esempi di comandi e per gestire l'elenco dei siti consentiti tramite API.
Configurare le credenziali per l'amministrazione tramite API
Nota: devi essere un amministratore dell'area di lavoro per poter creare chiavi di amministrazione. Scopri di più.
Creare una chiave di amministrazione dell'area di lavoro ChatGPT
Apri la console di amministrazione di ChatGPT e seleziona l'area di lavoro desiderata.
Vai a Credenziali e seleziona Chiavi di amministrazione.
Crea una chiave con autorizzazioni Limitate e imposta App su Scrittura.
Conserva la chiave in modo sicuro. Questa chiave autorizza la lettura e la modifica del criterio di SharePoint per la tua area di lavoro.
L'autorizzazione richiesta è chatgpt.enterprise.apps.write. Tieni presente che né una chiave della Piattaforma API né un token Microsoft Graph possono sostituire una chiave di amministrazione dell'area di lavoro ChatGPT.
Per ulteriori informazioni, consulta: Gestire le chiavi di amministrazione nella scheda Credenziali. Per le variabili d'ambiente delle credenziali dello script e un esempio di inserimento sicuro, consulta le istruzioni sulle credenziali del Cookbook.
Ottenere un token Microsoft Graph
Usa la procedura di autenticazione Microsoft approvata dalla tua organizzazione. Per una ricerca interattiva, se la tua organizzazione consente l'uso di Graph Explorer:
Apri Microsoft Graph Explorer e accedi con un account aziendale nel tenant che contiene i siti SharePoint.
Seleziona le autorizzazioni necessarie per leggere i siti, in genere
Sites.Read.All, tramite Modifica autorizzazioni o Acconsenti alle autorizzazioni. Chiedi all'amministratore Microsoft di approvare l'accesso se la tua organizzazione lo richiede.Apri la scheda Token di accesso e copia il token da usare con Microsoft Graph.
Per le istruzioni di Microsoft, consulta Usare Graph Explorer.
Il token Graph permette di convertire gli URL di SharePoint negli identificatori corrispondenti. La chiave di amministrazione di ChatGPT permette di leggere o aggiornare il criterio di ChatGPT. L'utilità del Cookbook richiede il token Graph solo per i comandi che risolvono gli URL; per leggere o svuotare un elenco dei siti consentiti esistente serve solo la chiave di amministrazione di ChatGPT.
Non inserire nessuna delle due credenziali in sistemi di controllo del codice sorgente, documenti condivisi, screenshot o log.
Trovare il GUID di una raccolta siti
Usare l'URL del sito SharePoint
Apri il sito SharePoint dopo aver effettuato l'accesso a Microsoft con un account autorizzato ad accedervi.
Aggiungi
/_api/site/idalla fine dell'URL del sito. Ad esempio, usahttps://contoso.sharepoint.com/sites/Finance/_api/site/id.Copia il GUID restituito nella risposta.
Nota: i domini e gli identificatori di esempio in questo articolo sono segnaposto.
Usare Microsoft Graph
Microsoft Graph restituisce un ID sito con tre componenti separati da virgole: il nome host, il GUID della raccolta siti e il GUID del sito. Usa il valore centrale per una regola relativa a una raccolta siti. URL di siti diversi possono corrispondere allo stesso GUID di raccolta.
Per esempi di ricerca e di identificatori, consulta Comprendere gli identificatori dei siti SharePoint. Per risolvere più URL senza modificare il criterio di ChatGPT, usa le istruzioni di ispezione del Cookbook e lo script Python di amministrazione.
Per i requisiti di ricerca di Microsoft, consulta Ottenere un sito SharePoint tramite percorso.
Gestire le raccolte siti consentite e bloccate
Usare i controlli dell'area di lavoro
Apri i Controlli di sicurezza e protezione dell'app SharePoint nella tua area di lavoro.
In Modalità di accesso, seleziona Siti consentiti o Siti bloccati.
Aggiungi le raccolte siti all'elenco selezionato. Puoi anche usare il caricamento di CSV descritto di seguito.
Esamina le modifiche e seleziona Salva.
Controlla il criterio salvato e verifica la configurazione.
I siti aggiunti tramite l'API di amministrazione compaiono nei controlli dell'area di lavoro. I siti aggiunti nell'interfaccia sono disponibili anche tramite API. Puoi aggiungere o rimuovere voci con entrambi gli strumenti: il metodo usato per aggiungere un sito non ti vincola a usarlo anche in seguito.
Passare da siti consentiti a siti bloccati e viceversa
Solo un elenco alla volta può contenere voci. Prima di aggiungere voci nell'altra modalità, svuota l'elenco esistente e salva la modifica. Quindi seleziona l'altra modalità, aggiungi le raccolte desiderate e salva di nuovo.
Svuotare l'elenco attivo modifica l'accesso non appena si salva. Svuotare l'elenco dei siti consentiti rimuove la relativa restrizione sui siti; svuotare l'elenco dei siti bloccati rimuove i relativi blocchi. Pianifica il passaggio con gli altri amministratori, perché nell'intervallo tra lo svuotamento di un elenco e il salvataggio dell'altro potrebbero essere consentiti accessi che il criterio finale limiterà.
Caricare raccolte siti da un CSV
Il caricamento di CSV supporta solo le raccolte siti. Per escludere file in base all'etichetta di riservatezza, aggiungi i GUID delle etichette in Etichette di riservatezza escluse senza crittografia.
Apri i Controlli di sicurezza e protezione e seleziona la Modalità di accesso desiderata.
Prepara un CSV con i GUID delle raccolte siti o con gli ID sito di Microsoft Graph composti da tre valori. Usa un unico formato di identificatore in tutto il file.
Seleziona Carica file CSV e scegli il file.
Esamina il risultato dell'importazione e l'elenco selezionato. Risolvi eventuali errori o avvisi relativi alle righe prima di continuare.
Seleziona Salva per applicare le modifiche, quindi controlla l'elenco salvato.
Requisiti e comportamento dei CSV:
Dimensione massima del file: 1 MB.
Le intestazioni sono facoltative.
Usa un GUID di raccolta per riga oppure gli ID sito di Graph composti da tre valori. Le terne possono essere racchiuse tra virgolette in un unico campo oppure suddivise in tre colonne.
Le terne di Graph vengono convertite in GUID di raccolta. L'importazione di una terna non crea una regola per un singolo sito specifico.
Le importazioni aggiungono voci all'elenco selezionato e mantengono quelle esistenti. Le raccolte duplicate vengono deduplicate; il conteggio dell'importazione indica le raccolte appena aggiunte.
I formati misti e le righe non valide vengono rifiutati. Il caricamento di un file contenente solo URL di siti mostra un avviso e non aggiunge siti. Prima converti gli URL nei GUID delle raccolte corrispondenti.
Il caricamento modifica solo la bozza dell'elenco. Non aggiorna l'accesso nell'area di lavoro finché non selezioni Salva.
Il caricamento di CSV descritto qui gestisce le raccolte siti. Configura separatamente le esclusioni per etichette di riservatezza.
Se hai un CSV con URL di SharePoint, il flusso di lavoro CSV dell'utilità del Cookbook può risolverli e gestire un elenco dei siti consentiti tramite API. L'input site_url o url di questa utilità usa un formato e un flusso di lavoro diversi dal caricamento di identificatori nell'interfaccia.
Comprendere i limiti dei criteri e delle richieste
Il limite predefinito del criterio è di 10.000 raccolte siti. Limiti più elevati per i criteri dell'area di lavoro, fino a 120.000 raccolte siti, richiedono l'abilitazione da parte di OpenAI; contatta il tuo team OpenAI prima di pianificare una distribuzione su scala maggiore.
Le singole operazioni di modifica tramite API e l'attuale script del Cookbook accettano fino a 10.000 GUID di raccolta per richiesta. Un limite più elevato per i criteri dell'area di lavoro non aumenta questo limite per richiesta. Conta le raccolte siti univoche, non gli URL di origine: più URL possono fare riferimento alla stessa raccolta.
Usare l'API di amministrazione dell'area di lavoro
Usa l'UUID della tua area di lavoro e la chiave di amministrazione dell'area di lavoro ChatGPT con https://api.chatgpt.com.
Per comandi aggiornati relativi all'elenco dei siti consentiti ed esempi di richieste, consulta il Cookbook:
Visualizzare in anteprima e aggiungere raccolte siti. Le aggiunte mantengono le raccolte già consentite.
Esamina il criterio attuale prima di apportare modifiche, quindi rileggilo e verifica l'accesso risultante. Rimuovere l'ultima raccolta consentita o svuotare l'elenco dei siti consentiti elimina la relativa restrizione sui siti. Non inviare una richiesta di aggiunta vuota, a meno che tu non intenda rimuovere le restrizioni dell'elenco dei siti consentiti.
L'utilità pubblica del Cookbook gestisce attualmente solo gli elenchi dei siti consentiti. Non gestisce gli elenchi dei siti bloccati né le esclusioni per etichette di riservatezza. Per queste operazioni, usa i controlli dell'area di lavoro descritti sopra.
Escludere file con etichette di riservatezza
Trovare il GUID dell'etichetta
Chiedi all'amministratore di Microsoft 365 o Purview il GUID immutabile dell'etichetta desiderata. Usa il GUID, non il nome visualizzato.
Un amministratore può elencare le etichette tramite Microsoft Graph. Il token deve disporre dell'autorizzazione applicabile: SensitivityLabel.Read o SensitivityLabels.Read.All. Associa il nome dell'etichetta desiderata al relativo ID e controlla le sue impostazioni di protezione.
Per requisiti ed esempi, consulta Elencare le etichette di riservatezza e Proprietà delle etichette di riservatezza. Queste autorizzazioni relative alle etichette sono distinte dall'autorizzazione di lettura dei siti usata per risolvere gli URL di SharePoint.
Aggiungere esclusioni per etichetta
Apri i Controlli di sicurezza e protezione dell'app SharePoint.
Inserisci il GUID di ogni etichetta senza crittografia in Etichette di riservatezza escluse senza crittografia.
Salva la configurazione ed esegui un test con un file supportato a cui è applicata l'etichetta esclusa.
I file con etichette supportate corrispondenti vengono esclusi dai risultati dell'app SharePoint. I file con etichette che applicano la crittografia sono già esclusi per impostazione predefinita.
Verificare la configurazione
Usa file e account di test approvati dalla tua organizzazione. Prima di eseguire i test, conferma che lo stesso account Microsoft possa accedere a ciascun file direttamente in SharePoint.
In modalità Siti consentiti, con un elenco non vuoto, verifica un file in una raccolta consentita e un file in una raccolta non presente nell'elenco. Solo la raccolta consentita dovrebbe essere accessibile tramite l'app.
In modalità Siti bloccati, verifica un file in una raccolta bloccata e un file in una raccolta non bloccata. La raccolta bloccata non dovrebbe essere disponibile; quella non bloccata resta soggetta alle autorizzazioni Microsoft e agli altri controlli.
Verifica un file di test supportato a cui è applicata un'etichetta di riservatezza esclusa. Non dovrebbe comparire nei risultati dell'app.
Dopo una modifica tramite API, confronta l'elenco salvato nell'interfaccia con il criterio restituito dall'API.
Dopo aver caricato un CSV, salva le modifiche e riapri i controlli per confermare che le raccolte previste siano state mantenute.
Se i risultati non rispecchiano il criterio previsto, controlla l'area di lavoro, la modalità di accesso selezionata, l'elenco salvato, i GUID delle raccolte, i GUID delle etichette, il tipo di file supportato e le autorizzazioni Microsoft dell'utente. Non svuotare un elenco per risolvere un problema, a meno che tu non voglia la conseguente modifica dell'accesso.
Per assistenza su controlli mancanti o accessi imprevisti, consulta: Contattare l'assistenza OpenAI. Non includere chiavi di amministrazione o token Microsoft Graph nella richiesta di assistenza.
Comprendere le limitazioni
Una regola relativa a una raccolta copre l'intera raccolta siti. Non può limitare l'accesso a un sottosito, una cartella o un file specifico.
Le restrizioni sui siti SharePoint non limitano automaticamente l'accesso a OneDrive.
Il filtro per etichette di riservatezza si applica solo quando Microsoft Graph espone metadati delle etichette supportati, anche per documenti Office, PDF e file MP4 supportati.
I tipi di file che non supportano le etichette di riservatezza, come TXT e CSV, vengono trattati come privi di etichetta. Restano accessibili se consentito dagli altri controlli. Questa limitazione relativa al tipo di file è indipendente dal caricamento di un CSV per configurare l'accesso ai siti.
Il caricamento di CSV e l'utilità di esempio pubblica non configurano le esclusioni per etichette di riservatezza. Questo articolo non documenta un'API per la gestione in blocco delle etichette.
Il salvataggio di un criterio o una risposta API con esito positivo non sostituiscono una verifica dell'accesso con l'account previsto.
Usare l'utilità Python di amministrazione
Il codice di esempio completo e i comandi vengono mantenuti aggiornati nell'OpenAI Cookbook:
Usa Python 3.10 o versioni successive. L'utilità usa la libreria standard di Python. Leggi la guida prima di eseguirla e usa le simulazioni per esaminare le modifiche.
L'utilità attuale legge le credenziali dalle variabili d'ambiente; segui le istruzioni della guida per inserirle in modo sicuro. Per svuotare un elenco dei siti consentiti è richiesta una conferma esplicita. Una rimozione può essere eseguita senza tale conferma, quindi esaminala prima con una simulazione.
Per il comportamento dei nuovi tentativi e le chiavi di idempotenza facoltative, consulta Riprovare ad aggiornare un criterio in sicurezza. Usa le chiavi di idempotenza solo se l'area di lavoro le supporta e controlla il criterio attuale dopo un errore dall'esito ambiguo.
L'utilità non abilita le funzionalità dell'area di lavoro né verifica l'effettiva applicazione dei criteri. I suoi test offline usano chiamate simulate a Microsoft Graph e all'API di amministrazione di ChatGPT.
Le modifiche che comportano più richieste non sono atomiche. Se la rimozione di più raccolte si interrompe a metà per un errore, le rimozioni precedenti potrebbero essere già riuscite. Leggi il criterio attuale prima di riprovare.
Domande frequenti
I controlli sui siti sostituiscono le autorizzazioni Microsoft?
No. L'app continua a usare le autorizzazioni Microsoft di ciascun utente. OpenAI applica il filtro sui siti configurato prima che le risposte vengano mostrate all'utente e al modello.
Un elenco dei siti consentiti vuoto blocca tutti i siti?
No. Un elenco dei siti consentiti vuoto non significa “blocca tutto”. Se l'elenco dei siti bloccati contiene voci, quelle raccolte restano bloccate. Quando nessuno dei due elenchi contiene voci, l'accesso è determinato dalle autorizzazioni Microsoft degli utenti e dagli altri controlli configurati.
Le modifiche tramite l'API di amministrazione vengono registrate?
Le modifiche ai criteri effettuate tramite l'API di amministrazione vengono registrate nei log di audit e conformità dell'area di lavoro.