Oversikt
Administratorer for arbeidsområder kan bruke SharePoint-kontroller til å tillate godkjente områdesamlinger, blokkere valgte områdesamlinger og utelate støttede filer med valgte følsomhetsetiketter fra Microsoft Purview.
En SharePoint-områdesamling, også kalt en SPSite, kan inneholde flere områder. En samlingsregel gjelder for hele samlingen, innenfor rammene av hver brukers eksisterende Microsoft-tillatelser. Den gir ikke en bruker tilgang til innhold brukeren ikke har tilgang til i Microsoft 365.
Områdebegrensninger gjelder for støttede SharePoint-handlinger for søk, navigering, filhenting, lesing og skriving. Tilgang til OneDrive administreres separat.
Velg tilgangsmodusen som samsvarer med policyen din:
Tillatte områder: Når tillatelseslisten ikke er tom, har brukerne bare tilgang til de oppførte områdesamlingene gjennom appen.
Blokkerte områder: Brukerne har tilgang til områdesamlinger som ikke står på blokkeringslisten, innenfor rammene av Microsoft-tillatelsene sine.
Bare én liste kan inneholde oppføringer om gangen. En tom tillatelsesliste blokkerer ikke alle områder. Når begge listene er tomme, fjernes begrensningene for SharePoint-områder. Microsoft-tillatelser og andre konfigurerte kontroller gjelder fortsatt.
Tilgjengelighet
Kontrollene og arbeidsområdets Admin API må aktiveres for arbeidsområdet ditt. Tilgjengelige kontroller omfatter tillatelseslister og blokkeringslister for områdesamlinger, områdeimport fra CSV og utelatelser basert på følsomhetsetiketter.
Reglene gjelder for hele områdesamlinger. Avgrensning til enkeltområder, mapper eller filer og håndheving av Microsoft Sites.Selected inngår ikke i disse kontrollene for områdesamlinger.
Før du begynner
Finn ut hvilke områdesamlinger organisasjonen vil tillate eller blokkere.
Hent GUID-en for hver samling. En fullstendig område-ID fra Microsoft Graph inneholder samlingens GUID som den midterste verdien. Admin API bruker samlingenes GUID-er. CSV-importfunksjonen i brukergrensesnittet kan også hente dem ut fra tredelte område-ID-er fra Graph.
Aktiver Microsoft-tillatelsene som SharePoint-appen krever, både i ChatGPTs tillatelsesinnstillinger og i Microsoft Entra, inkludert
Sites.Read.AllogFiles.Read.All. Disse kontrollene filtrerer tilgang på OpenAI-siden. De erstatter ikke Microsofts delegerte tillatelser.For utelatelser basert på følsomhetsetiketter ber du Microsoft 365- eller Purview-administratoren om den uforanderlige GUID-en for hver etikett uten kryptering.
For API-administrasjon trenger du arbeidsområdets UUID, en administratornøkkel for ChatGPT-arbeidsområdet og et Microsoft Graph-tilgangstoken hvis du må slå opp SharePoint-URL-er. De to legitimasjonstypene har ulike formål.
Om OpenAI Cookbook
OpenAI Cookbook er OpenAIs offentlige samling av eksempelkode og veiledninger. Denne artikkelen bruker veiledningen for tilgang til SharePoint-områder og administrasjonsskriptet i Python fra samlingen. Begge ligger på GitHub. Du kan åpne disse lenkene i nettleseren for å lese filene. For å kjøre skriptet laster du det ned og følger veiledningens instruksjoner for oppsett og kommandoer.
I denne artikkelen viser «Cookbook» til denne SharePoint-veiledningen, og «Cookbook-verktøyet» viser til Python-skriptet det er lenket til. Bruk disse ressursene for kommandoeksempler og API-basert administrasjon av tillatelseslister.
Sett opp legitimasjon for API-administrasjon
Merk: Du må være administrator for arbeidsområdet for å kunne opprette administratornøkler. Les mer.
Opprett en administratornøkkel for ChatGPT-arbeidsområdet
Åpne ChatGPT-administrasjonskonsollen og velg ønsket arbeidsområde.
Gå til Legitimasjon og velg Administratornøkler.
Opprett en nøkkel med Begrensede tillatelser, og sett Apper til Skrive.
Oppbevar nøkkelen sikkert. Denne nøkkelen gir tillatelse til å lese og endre SharePoint-policyen for arbeidsområdet ditt.
Den påkrevde tillatelsen er chatgpt.enterprise.apps.write. Merk at verken en nøkkel fra OpenAIs API-plattform eller et Microsoft Graph-tilgangstoken kan erstatte en administratornøkkel for ChatGPT-arbeidsområdet.
For mer informasjon, se: Administrere administratornøkler i fanen Legitimasjon. Se Cookbooks instruksjoner for legitimasjon for skriptets miljøvariabler for legitimasjon og et eksempel på sikker inntasting.
Hent et Microsoft Graph-tilgangstoken
Bruk organisasjonens godkjente prosess for Microsoft-autentisering. For et interaktivt oppslag, hvis organisasjonen tillater Graph Explorer:
Åpne Microsoft Graph Explorer og logg på med en jobbkonto i leieren som inneholder SharePoint-områdene.
Velg tillatelsene som trengs for å lese områdene, vanligvis
Sites.Read.All, via Endre tillatelser eller Samtykk til tillatelser. Be Microsoft-administratoren om å godkjenne tilgangen hvis organisasjonen krever det.Åpne fanen Tilgangstoken og kopier tokenet for bruk med Microsoft Graph.
Se Arbeid med Graph Explorer for Microsofts instruksjoner.
Graph-tokenet brukes til å slå opp identifikatorer fra SharePoint-URL-er. ChatGPT-administratornøkkelen brukes til å lese eller oppdatere ChatGPT-policyen. Cookbook-verktøyet trenger Graph-tokenet bare for kommandoer som slår opp URL-er. For å lese eller tømme en eksisterende tillatelsesliste trengs bare ChatGPT-administratornøkkelen.
Ikke legg noen av legitimasjonstypene i versjonskontroll, delte dokumenter, skjermbilder eller logger.
Finn GUID-en til en områdesamling
Bruk URL-en til SharePoint-området
Åpne SharePoint-området mens du er logget på Microsoft med en konto som har tilgang til det.
Legg til
/_api/site/idpå slutten av områdets URL. Bruk for eksempelhttps://contoso.sharepoint.com/sites/Finance/_api/site/id.Kopier GUID-en som returneres i svaret.
Merk: Eksempeldomener og identifikatorer i denne artikkelen er plassholdere.
Bruk Microsoft Graph
Microsoft Graph returnerer en område-ID med tre kommadelt verdier: vertsnavnet, områdesamlingens GUID og områdets GUID. Bruk den midterste verdien i en regel for områdesamlingen. Ulike område-URL-er kan vise til samme områdesamlings-GUID.
Se Forstå identifikatorer for SharePoint-områder for eksempler på oppslag og identifikatorer. For å slå opp flere URL-er uten å endre ChatGPT-policyen kan du bruke inspeksjonsinstruksjonene i Cookbook og administrasjonsskriptet i Python.
Se Hent et SharePoint-område etter bane for Microsofts krav til oppslag.
Administrer tillatte og blokkerte områdesamlinger
Bruk kontrollene i arbeidsområdet
Åpne Trygghets- og sikkerhetskontroller for SharePoint-appen i arbeidsområdet ditt.
Under Tilgangsmodus velger du Tillatte områder eller Blokkerte områder.
Legg områdesamlingene til i den valgte listen. Du kan også bruke CSV-opplasting som beskrevet nedenfor.
Gjennomgå endringene og velg Lagre.
Kontroller den lagrede policyen og test konfigurasjonen.
Områder som legges til via Admin API, vises i kontrollene i arbeidsområdet. Områder som legges til i brukergrensesnittet, er også tilgjengelige via API-et. Du kan legge til eller fjerne oppføringer begge steder. Metoden som brukes til å legge til et område, binder det ikke til den metoden.
Bytt mellom tillatte og blokkerte områder
Bare én liste kan inneholde oppføringer om gangen. Før du legger til oppføringer i den andre modusen, må du tømme den eksisterende listen og lagre endringen. Velg deretter den andre modusen, legg til de ønskede samlingene og lagre på nytt.
Når du tømmer den aktive listen, endres tilgangen umiddelbart ved lagring. Tømming av en tillatelsesliste fjerner områdebegrensningen den angir. Tømming av en blokkeringsliste fjerner blokkeringene. Planlegg overgangen sammen med andre administratorer. I tidsrommet mellom tømming av den ene listen og lagring av den andre kan tilgang være tillatt som den endelige policyen vil begrense.
Last opp områdesamlinger fra CSV
CSV-opplasting støtter bare områdesamlinger. For å utelate filer basert på følsomhetsetikett legger du til etikettenes GUID-er under Utelatte følsomhetsetiketter uten kryptering.
Åpne Trygghets- og sikkerhetskontroller og velg ønsket Tilgangsmodus.
Klargjør en CSV-fil med områdesamlingenes GUID-er eller tredelte område-ID-er fra Microsoft Graph. Bruk samme identifikatorformat i hele filen.
Velg Last opp CSV-fil og velg filen.
Gjennomgå importresultatet og den valgte listen. Rett opp eventuelle radfeil eller advarsler før du fortsetter.
Velg Lagre for å ta i bruk endringene, og kontroller deretter den lagrede listen.
Krav til CSV og hvordan importen fungerer:
Maksimal filstørrelse: 1 MB.
Kolonneoverskrifter er valgfrie.
Bruk én samlings-GUID per rad, eller tredelte område-ID-er fra Graph. De tredelte ID-ene kan stå i anførselstegn i ett felt eller fordeles på tre kolonner.
Tredelte Graph-ID-er konverteres til samlings-GUID-er. Import av en tredelt ID oppretter ikke en regel for ett bestemt område.
Importer legger til oppføringer i den valgte listen og beholder eksisterende oppføringer. Duplikater av samlinger fjernes. Importantallet viser antall nye samlinger som er lagt til.
Blandede formater og feilformaterte rader avvises. En opplasting som bare inneholder område-URL-er, viser en advarsel og legger ikke til områder. Slå først opp samlingenes GUID-er fra URL-ene.
En opplasting endrer bare utkastet til listen. Den oppdaterer ikke tilgangen i arbeidsområdet før du velger Lagre.
CSV-opplastingen som beskrives her, administrerer områdesamlinger. Konfigurer utelatelser basert på følsomhetsetiketter separat.
Hvis du har en CSV-fil med SharePoint-URL-er, kan CSV-arbeidsflyten i Cookbook-verktøyet slå dem opp og administrere en tillatelsesliste via API-et. Inndataene site_url eller url bruker et annet format og en annen arbeidsflyt enn identifikatoropplastingen i brukergrensesnittet.
Forstå grenser for policyer og forespørsler
Standardgrensen for policyen er 10 000 områdesamlinger. Høyere policygrenser for arbeidsområdet, opptil 120 000 områdesamlinger, må aktiveres av OpenAI. Kontakt OpenAI-teamet ditt før du planlegger en større utrulling.
Enkeltstående API-endringsoperasjoner og det nåværende Cookbook-skriptet godtar opptil 10 000 samlings-GUID-er per forespørsel. En høyere policygrense for arbeidsområdet øker ikke grensen per forespørsel. Tell unike områdesamlinger, ikke kilde-URL-er: Flere URL-er kan vise til samme samling.
Bruk arbeidsområdets Admin API
Bruk arbeidsområdets UUID og administratornøkkelen for ChatGPT-arbeidsområdet med https://api.chatgpt.com.
Bruk Cookbook for oppdaterte tillatelseslistekommandoer og forespørselseksempler:
Forhåndsvis og legg til områdesamlinger. Når du legger til samlinger, beholdes de som allerede er tillatt.
Gjennomgå gjeldende policy før du gjør endringer. Les den deretter på nytt, og test tilgangen etter endringen. Hvis du fjerner den siste tillatte samlingen eller tømmer tillatelseslisten, fjernes områdebegrensningen. Ikke send en tom forespørsel om å legge til samlinger med mindre du vil fjerne begrensningene i tillatelseslisten.
Det offentlig tilgjengelige Cookbook-verktøyet administrerer foreløpig bare tillatelseslister. Det administrerer ikke blokkeringslister eller utelatelser basert på følsomhetsetiketter. Bruk kontrollene i arbeidsområdet som er beskrevet ovenfor, til disse oppgavene.
Utelat filer med følsomhetsetiketter
Finn etikettens GUID
Be Microsoft 365- eller Purview-administratoren om den uforanderlige GUID-en til den aktuelle etiketten. Bruk GUID-en, ikke visningsnavnet.
En administrator kan hente en liste over etiketter via Microsoft Graph. Tilgangstokenet trenger den relevante tillatelsen: SensitivityLabel.Read eller SensitivityLabels.Read.All. Finn ID-en som hører til navnet på den aktuelle etiketten, og kontroller beskyttelsesinnstillingene.
Se List opp følsomhetsetiketter og Egenskaper for følsomhetsetiketter for krav og eksempler. Disse etiketttillatelsene er atskilt fra tillatelsen til å lese områder som brukes til å slå opp SharePoint-URL-er.
Legg til etikettbaserte utelatelser
Åpne Trygghets- og sikkerhetskontroller for SharePoint-appen.
Skriv inn GUID-en for hver etikett uten kryptering under Utelatte følsomhetsetiketter uten kryptering.
Lagre konfigurasjonen og test en støttet fil med den utelatte etiketten.
Filer med samsvarende støttede etiketter utelates fra resultatene i SharePoint-appen. Filer med etiketter som bruker kryptering, er allerede utelatt som standard.
Test konfigurasjonen
Bruk testfiler og kontoer som er godkjent av organisasjonen din. Før du tester, må du bekrefte at den samme Microsoft-kontoen har tilgang til hver fil direkte i SharePoint.
I modusen Tillatte områder, med en liste som ikke er tom, kontrollerer du en fil i en tillatt samling og en fil i en samling som ikke står på listen. Bare den tillatte samlingen skal være tilgjengelig gjennom appen.
I modusen Blokkerte områder kontrollerer du en fil i en blokkert samling og en fil i en samling som ikke er blokkert. Den blokkerte samlingen skal være utilgjengelig. Tilgang til den ublokkerte samlingen er fortsatt underlagt Microsoft-tillatelser og andre kontroller.
Kontroller en støttet testfil med en utelatt følsomhetsetikett. Den skal ikke vises i appens resultater.
Etter en API-endring sammenligner du den lagrede listen i brukergrensesnittet med policyen som API-et returnerer.
Etter en CSV-opplasting lagrer du endringene og åpner kontrollene på nytt for å bekrefte at de ønskede samlingene ble beholdt.
Hvis resultatene avviker fra den tiltenkte policyen, kontrollerer du arbeidsområdet, valgt tilgangsmodus, den lagrede listen, samlingenes GUID-er, etikettenes GUID-er, støttet filtype og brukerens Microsoft-tillatelser. Ikke tøm en liste som et feilsøkingstiltak med mindre du ønsker tilgangsendringen det medfører.
For hjelp med manglende kontroller eller uventet tilgang, se: Kontakt OpenAI Support. Ikke ta med administratornøkler eller Microsoft Graph-tilgangstokener i støttehenvendelsen.
Forstå begrensningene
En samlingsregel gjelder for hele områdesamlingen. Den kan ikke begrense tilgang til et bestemt underområde, en bestemt mappe eller en bestemt fil.
Begrensninger for SharePoint-områder begrenser ikke automatisk tilgangen til OneDrive.
Filtrering etter følsomhetsetiketter gjelder bare der Microsoft Graph gjør støttede etikettmetadata tilgjengelige, blant annet for støttede Office-dokumenter, PDF- og MP4-filer.
Filtyper som ikke støtter følsomhetsetiketter, for eksempel TXT- og CSV-filer, behandles som filer uten etikett. De forblir tilgjengelige hvis tilgangen ellers er tillatt. Denne filtypebegrensningen er uavhengig av opplasting av en CSV-fil for å konfigurere områdetilgang.
CSV-opplasting og det offentlig tilgjengelige eksempelverktøyet konfigurerer ikke utelatelser basert på følsomhetsetiketter. Denne artikkelen dokumenterer ikke et API for masseadministrasjon av etiketter.
En lagret policy eller et vellykket API-svar erstatter ikke testing av tilgang med den aktuelle kontoen.
Bruk administrasjonsverktøyet i Python
Den fullstendige eksempelkoden og kommandoene vedlikeholdes i OpenAI Cookbook:
Bruk Python 3.10 eller nyere. Verktøyet bruker Pythons standardbibliotek. Les veiledningen før du kjører verktøyet, og bruk prøvekjøringer for å gjennomgå endringene.
Den nåværende versjonen av verktøyet leser legitimasjon fra miljøvariabler. Følg veiledningens instruksjoner for sikker inntasting. Det krever uttrykkelig bekreftelse for å tømme en tillatelsesliste. En fjerning kan utføres uten denne bekreftelsen, så gjennomgå den med en prøvekjøring først.
Se Prøv en policyoppdatering på nytt på en trygg måte for informasjon om nye forsøk og valgfrie idempotensnøkler. Bruk idempotensnøkler bare når arbeidsområdet støtter dem, og kontroller gjeldende policy etter en feil med uklart utfall.
Verktøyet aktiverer ikke funksjoner i arbeidsområdet og bekrefter ikke at policyen håndheves. De frakoblede testene bruker simulerte kall til Microsoft Graph og ChatGPT Admin API.
Endringer som omfatter flere forespørsler, er ikke atomiske. Hvis fjerning av flere samlinger mislykkes underveis, kan tidligere fjerninger allerede ha blitt utført. Les gjeldende policy før du prøver på nytt.
Vanlige spørsmål
Erstatter områdekontroller Microsoft-tillatelser?
Nei. Appen bruker fortsatt hver brukers Microsoft-tillatelser. OpenAI bruker den konfigurerte områdefiltreringen før svar vises til brukeren og modellen.
Blokkerer en tom tillatelsesliste alle områder?
Nei. En tom tillatelsesliste betyr ikke «blokker alle». Hvis en blokkeringsliste inneholder oppføringer, forblir disse samlingene blokkert. Når ingen av listene inneholder oppføringer, avgjøres tilgangen av brukernes Microsoft-tillatelser og andre konfigurerte kontroller.
Logges endringer via Admin API?
Policyendringer via Admin API registreres i arbeidsområdets revisjons- og samsvarslogger.