Leer hoe je toegang tot SharePoint-sites beheert en ondersteunde bestanden met geselecteerde vertrouwelijkheidslabels uitsluit in ChatGPT.

Overzicht

Werkruimtebeheerders kunnen met de SharePoint-instellingen goedgekeurde siteverzamelingen toestaan, geselecteerde siteverzamelingen blokkeren en ondersteunde bestanden met geselecteerde Microsoft Purview-vertrouwelijkheidslabels uitsluiten.

Een SharePoint-siteverzameling, ook wel een SPSite genoemd, kan meerdere sites bevatten. Een regel voor een siteverzameling geldt voor de hele siteverzameling, waarbij de bestaande Microsoft-machtigingen van elke gebruiker van kracht blijven. De regel geeft een gebruiker geen toegang tot inhoud waartoe die in Microsoft 365 geen toegang heeft.

Sitebeperkingen gelden voor ondersteunde SharePoint-acties: zoeken, bladeren, bestanden ophalen en lezen/schrijven. Toegang tot OneDrive wordt apart beheerd.

Kies de toegangsmodus die bij je beleid past:

Toegestane sites: Bij een niet-lege lijst met toegestane sites hebben gebruikers via de app alleen toegang tot de siteverzamelingen op die lijst.
Geblokkeerde sites: Gebruikers hebben toegang tot siteverzamelingen die niet op de blokkeerlijst staan, voor zover hun Microsoft-machtigingen dat toestaan.

Er kan maar één lijst tegelijk items bevatten. Een lege lijst met toegestane sites blokkeert niet alle sites. Als beide lijsten leeg zijn, worden de beperkingen voor SharePoint-sites opgeheven; Microsoft-machtigingen en andere geconfigureerde instellingen blijven van kracht.

Beschikbaarheid

De instellingen en de Admin API voor de werkruimte moeten voor je werkruimte worden ingeschakeld. De beschikbare opties omvatten lijsten met toegestane siteverzamelingen, blokkeerlijsten voor siteverzamelingen, site-import via CSV en uitsluitingen op basis van vertrouwelijkheidslabels.

Regels gelden voor hele siteverzamelingen. Deze instellingen voor siteverzamelingen ondersteunen geen afbakening tot een specifieke site, map of specifiek bestand, en ook geen afdwinging van Microsoft Sites.Selected.

Voordat je begint

Bepaal welke siteverzamelingen je organisatie wil toestaan of blokkeren.
Verzamel de GUID van elke siteverzameling. Een volledige Microsoft Graph-site-ID bevat de GUID van de siteverzameling als middelste waarde. De Admin API gebruikt GUID's van siteverzamelingen; de CSV-importfunctie in de gebruikersinterface kan deze ook uit driedelige Graph-site-ID's halen.
Schakel de vereiste Microsoft-machtigingen voor de SharePoint-app in, zowel in de machtigingsinstellingen van ChatGPT als in Microsoft Entra, waaronder Sites.Read.All en Files.Read.All. Deze instellingen filteren de toegang aan de kant van OpenAI; ze vervangen de gedelegeerde machtigingen van Microsoft niet.
Vraag voor uitsluitingen op basis van vertrouwelijkheidslabels je Microsoft 365- of Purview-beheerder om de onveranderlijke GUID van elk label zonder versleuteling.
Zorg voor beheer via de API dat je de UUID van je werkruimte, een beheerderssleutel voor de ChatGPT-werkruimte en, als je ID's voor SharePoint-URL's moet opzoeken, een Microsoft Graph-token hebt. De twee referenties hebben elk een ander doel.

Over het OpenAI Cookbook

Het OpenAI Cookbook is de openbare verzameling voorbeeldcode en handleidingen van OpenAI. Dit artikel gebruikt de bijbehorende handleiding voor toegang tot SharePoint-sites en het Python-beheerscript, die beide op GitHub staan. Je kunt deze links in je browser openen om de bestanden te lezen. Download het script om het uit te voeren en volg de instructies in de handleiding voor de installatie en opdrachten.

In dit artikel verwijst "Cookbook" naar die SharePoint-handleiding en "Cookbook-hulpprogramma" naar het gekoppelde Python-script. Gebruik deze bronnen voor opdrachtvoorbeelden en het beheer van lijsten met toegestane sites via de API.

Referenties instellen voor beheer via de API

Opmerking: je moet werkruimtebeheerder zijn om beheerderssleutels te kunnen maken. Meer informatie.

Een beheerderssleutel voor een ChatGPT-werkruimte maken

Open de ChatGPT-beheerconsole en selecteer de beoogde werkruimte.
Ga naar Referenties en selecteer Beheerderssleutels.
Maak een sleutel met Beperkte machtigingen en stel Apps in op Schrijven.
Bewaar de sleutel op een veilige plek. Deze sleutel geeft toestemming om het SharePoint-beleid voor je werkruimte te lezen en te wijzigen.

De vereiste machtiging is chatgpt.enterprise.apps.write. Let op: een sleutel voor het API-platform en een Microsoft Graph-token kunnen een beheerderssleutel voor een ChatGPT-werkruimte niet vervangen.

Zie voor meer informatie: Beheerderssleutels beheren op het tabblad Referenties. Zie de instructies voor referenties in het Cookbook voor de omgevingsvariabelen voor de referenties van het script en een voorbeeld van veilige invoer.

Een Microsoft Graph-token verkrijgen

Gebruik het Microsoft-verificatieproces dat je organisatie heeft goedgekeurd. Om interactief ID's op te zoeken, als je organisatie Graph Explorer toestaat:

Open Microsoft Graph Explorer en meld je aan met een werkaccount in de tenant die de SharePoint-sites bevat.
Selecteer via Machtigingen wijzigen of Toestemming geven voor machtigingen de machtigingen die nodig zijn om de sites te lezen, doorgaans Sites.Read.All. Vraag je Microsoft-beheerder om de toegang goed te keuren als je organisatie dat vereist.
Open het tabblad Toegangstoken en kopieer het token voor gebruik met Microsoft Graph.

Zie Werken met Graph Explorer voor de instructies van Microsoft.

Met het Graph-token zoek je ID's op aan de hand van SharePoint-URL's. Met de ChatGPT-beheerderssleutel lees je het ChatGPT-beleid of werk je het bij. Het Cookbook-hulpprogramma heeft het Graph-token alleen nodig voor opdrachten die ID's voor URL's opzoeken; voor het lezen of leegmaken van een bestaande lijst met toegestane sites is alleen de ChatGPT-beheerderssleutel nodig.

Neem geen van beide referenties op in versiebeheer, gedeelde documenten, schermafbeeldingen of logboeken.

De GUID van een siteverzameling vinden

De URL van de SharePoint-site gebruiken

Open de SharePoint-site terwijl je bij Microsoft bent aangemeld met een account dat toegang heeft tot de site.
Voeg /_api/site/id toe aan het einde van de site-URL. Gebruik bijvoorbeeld https://contoso.sharepoint.com/sites/Finance/_api/site/id.
Kopieer de GUID die in het antwoord wordt geretourneerd.

Opmerking: de voorbeelddomeinen en -ID's in dit artikel zijn plaatsaanduidingen.

Microsoft Graph gebruiken

Microsoft Graph retourneert een site-ID met drie door komma's gescheiden onderdelen: de hostnaam, de GUID van de siteverzameling en de GUID van de site. Gebruik de middelste waarde voor een regel voor een siteverzameling. Verschillende site-URL's kunnen naar dezelfde GUID van een siteverzameling verwijzen.

Zie SharePoint-site-ID's begrijpen voor voorbeelden van ID's en hoe je ze opzoekt. Gebruik de inspectie-instructies in het Cookbook en het Python-beheerscript om ID's voor meerdere URL's op te zoeken zonder het ChatGPT-beleid te wijzigen.

Zie Een SharePoint-site ophalen via het pad voor de vereisten van Microsoft voor het opzoeken.

Toegestane en geblokkeerde siteverzamelingen beheren

Werkruimte-instellingen gebruiken

Open de Veiligheids- en beveiligingsinstellingen van de SharePoint-app in je werkruimte.
Selecteer onder Toegangsmodus de optie Toegestane sites of Geblokkeerde sites.
Voeg de siteverzamelingen toe aan de geselecteerde lijst. Je kunt ook de hieronder beschreven CSV-upload gebruiken.
Controleer je wijzigingen en selecteer Opslaan.
Controleer het opgeslagen beleid en test je configuratie.

Sites die via de Admin API worden toegevoegd, verschijnen in de werkruimte-instellingen. Sites die in de gebruikersinterface worden toegevoegd, zijn ook via de API beschikbaar. Je kunt via beide interfaces items toevoegen of verwijderen; je zit niet vast aan de methode waarmee je een site hebt toegevoegd.

Wisselen tussen toegestane en geblokkeerde sites

Er kan maar één lijst tegelijk items bevatten. Maak de bestaande lijst leeg en sla die wijziging op voordat je items in de andere modus toevoegt. Selecteer vervolgens de andere modus, voeg de beoogde siteverzamelingen toe en sla opnieuw op.

Als je de actieve lijst leegmaakt, verandert de toegang zodra je opslaat. Door een lijst met toegestane sites leeg te maken, hef je de bijbehorende sitebeperking op; door een blokkeerlijst leeg te maken, hef je de blokkades op. Plan de overstap met andere beheerders, want tussen het leegmaken van de ene lijst en het opslaan van de andere kan toegang mogelijk zijn die je uiteindelijke beleid zal beperken.

Siteverzamelingen uploaden vanuit een CSV-bestand

CSV-upload ondersteunt alleen siteverzamelingen. Voeg de label-GUID's toe onder Uitgesloten vertrouwelijkheidslabels zonder versleuteling om bestanden op basis van hun vertrouwelijkheidslabel uit te sluiten.

Open Veiligheids- en beveiligingsinstellingen en selecteer de gewenste Toegangsmodus.
Maak een CSV-bestand met GUID's van siteverzamelingen of driedelige Microsoft Graph-site-ID's. Gebruik in het hele bestand dezelfde ID-indeling.
Selecteer CSV-bestand uploaden en kies het bestand.
Controleer het importresultaat en de geselecteerde lijst. Los eventuele fouten of waarschuwingen bij rijen op voordat je doorgaat.
Selecteer Opslaan om de wijzigingen toe te passen en controleer vervolgens de opgeslagen lijst.

Vereisten en werking van CSV-upload:

Maximale bestandsgrootte: 1 MB.
Kolomkoppen zijn optioneel.
Gebruik één GUID van een siteverzameling per rij, of driedelige Graph-site-ID's. Driedelige ID's kunnen tussen aanhalingstekens in één veld staan of over drie kolommen worden verdeeld.
Driedelige Graph-ID's worden omgezet in GUID's van siteverzamelingen. Het importeren van een driedelige ID maakt geen regel voor één specifieke site aan.
Bij het importeren worden items aan de geselecteerde lijst toegevoegd en blijven bestaande items behouden. Dubbele siteverzamelingen worden ontdubbeld; het importaantal geeft het aantal nieuw toegevoegde siteverzamelingen aan.
Gemengde indelingen en onjuist opgemaakte rijen worden geweigerd. Bij een upload die alleen site-URL's bevat, verschijnt een waarschuwing en worden geen sites toegevoegd. Zoek eerst de GUID's van de siteverzamelingen op aan de hand van de URL's.
Een upload wijzigt alleen de conceptlijst. De toegang in de werkruimte wordt pas bijgewerkt als je Opslaan selecteert.
De hier beschreven CSV-upload is bedoeld voor het beheer van siteverzamelingen. Configureer uitsluitingen op basis van vertrouwelijkheidslabels apart.

Als je een CSV-bestand met SharePoint-URL's hebt, kun je met de CSV-workflow van het Cookbook-hulpprogramma de bijbehorende ID's opzoeken en via de API een lijst met toegestane sites beheren. De invoer via site_url of url gebruikt een andere indeling en workflow dan het uploaden van ID's in de gebruikersinterface.

Beleidslimieten en verzoeklimieten begrijpen

De standaard beleidslimiet is 10.000 siteverzamelingen. Hogere beleidslimieten voor de werkruimte, tot 120.000 siteverzamelingen, moeten door OpenAI worden ingeschakeld. Neem contact op met je OpenAI-team voordat je een grotere implementatie plant.

Afzonderlijke API-mutaties en het huidige Cookbook-script accepteren maximaal 10.000 GUID's van siteverzamelingen per verzoek. Een hogere beleidslimiet voor de werkruimte verhoogt deze limiet per verzoek niet. Tel unieke siteverzamelingen, niet de bron-URL's: meerdere URL's kunnen naar dezelfde siteverzameling verwijzen.

De Admin API voor de werkruimte gebruiken

Gebruik de UUID van je werkruimte en je beheerderssleutel voor de ChatGPT-werkruimte met https://api.chatgpt.com.

Gebruik het Cookbook voor actuele opdrachten voor de lijst met toegestane sites en voorbeelden van verzoeken:

De bestaande lijst met toegestane sites lezen.
Siteverzamelingen vooraf bekijken en toevoegen. Bij toevoegingen blijven bestaande toegestane siteverzamelingen behouden.
Een siteverzameling verwijderen.
De lijst met toegestane sites leegmaken.

Controleer het huidige beleid voordat je wijzigingen aanbrengt. Lees het daarna opnieuw en test de resulterende toegang. Als je de laatste toegestane siteverzameling verwijdert of de lijst met toegestane sites leegmaakt, vervalt die sitebeperking. Verstuur geen leeg toevoegingsverzoek, tenzij je de beperkingen van de lijst met toegestane sites wilt opheffen.

Het openbare Cookbook-hulpprogramma beheert momenteel alleen lijsten met toegestane sites. Het beheert geen blokkeerlijsten of uitsluitingen op basis van vertrouwelijkheidslabels. Gebruik voor die taken de hierboven beschreven werkruimte-instellingen.

Bestanden met vertrouwelijkheidslabels uitsluiten

De GUID van het label vinden

Vraag je Microsoft 365- of Purview-beheerder om de onveranderlijke GUID van het beoogde label. Gebruik de GUID, niet de weergavenaam.

Een beheerder kan via Microsoft Graph een lijst met labels opvragen. Het token heeft de toepasselijke machtiging SensitivityLabel.Read of SensitivityLabels.Read.All nodig. Zoek de ID op die bij de naam van het beoogde label hoort en controleer de beveiligingsinstellingen ervan.

Zie Vertrouwelijkheidslabels opvragen en Eigenschappen van vertrouwelijkheidslabels voor vereisten en voorbeelden. Deze labelmachtigingen staan los van de machtiging om sites te lezen die wordt gebruikt om ID's voor SharePoint-URL's op te zoeken.

Labeluitsluitingen toevoegen

Open de Veiligheids- en beveiligingsinstellingen van de SharePoint-app.
Voer de GUID van elk label zonder versleuteling in onder Uitgesloten vertrouwelijkheidslabels zonder versleuteling.
Sla de configuratie op en test een ondersteund bestand met het uitgesloten label.

Bestanden met overeenkomende ondersteunde labels worden uitgesloten van de resultaten van de SharePoint-app. Bestanden met labels die versleuteling toepassen, worden standaard al uitgesloten.

Je configuratie testen

Gebruik testbestanden en accounts die door je organisatie zijn goedgekeurd. Controleer vóór het testen of hetzelfde Microsoft-account rechtstreeks in SharePoint toegang heeft tot elk bestand.

Controleer in de modus Toegestane sites met een niet-lege lijst een bestand in een toegestane siteverzameling en een bestand in een siteverzameling die niet op de lijst staat. Alleen de toegestane siteverzameling zou via de app toegankelijk moeten zijn.
Controleer in de modus Geblokkeerde sites een bestand in een geblokkeerde siteverzameling en een bestand in een niet-geblokkeerde siteverzameling. De geblokkeerde siteverzameling zou niet beschikbaar moeten zijn; voor de niet-geblokkeerde siteverzameling blijven Microsoft-machtigingen en andere instellingen gelden.
Controleer een ondersteund testbestand met een uitgesloten vertrouwelijkheidslabel. Het zou niet in de resultaten van de app moeten verschijnen.
Vergelijk na een wijziging via de API de opgeslagen lijst in de gebruikersinterface met het beleid dat de API retourneert.
Sla na een CSV-upload de wijzigingen op en open de instellingen opnieuw om te controleren of de beoogde siteverzamelingen zijn behouden.

Als de resultaten afwijken van het beoogde beleid, controleer dan de werkruimte, de geselecteerde toegangsmodus, de opgeslagen lijst, de GUID's van siteverzamelingen en labels, het ondersteunde bestandstype en de Microsoft-machtigingen van de gebruiker. Maak een lijst niet leeg om een probleem op te lossen, tenzij je de daaruit voortvloeiende wijziging in de toegang wilt doorvoeren.

Zie voor hulp bij ontbrekende instellingen of onverwachte toegang: Contact opnemen met OpenAI Support. Neem geen beheerderssleutels of Microsoft Graph-tokens op in je supportverzoek.

De beperkingen begrijpen

Een regel voor een siteverzameling geldt voor de hele siteverzameling. Je kunt hiermee de toegang niet beperken tot een specifieke subsite, map of specifiek bestand.
Beperkingen voor SharePoint-sites beperken niet automatisch de toegang tot OneDrive.
Filteren op vertrouwelijkheidslabels werkt alleen waar Microsoft Graph ondersteunde labelmetagegevens beschikbaar stelt, waaronder bij ondersteunde Office-documenten, PDF- en MP4-bestanden.
Bestandstypen die geen vertrouwelijkheidslabels ondersteunen, zoals TXT- en CSV-bestanden, worden behandeld als bestanden zonder label. Ze blijven toegankelijk als de overige regels dit toestaan. Deze beperking voor bestandstypen staat los van het uploaden van een CSV-bestand om sitetoegang te configureren.
Met de CSV-upload en het openbaar beschikbare voorbeeldhulpprogramma kun je geen uitsluitingen op basis van vertrouwelijkheidslabels configureren. Dit artikel beschrijft geen API voor bulkbeheer van labels.
Een opgeslagen beleid of een geslaagd API-antwoord vervangt niet het testen van de toegang met het beoogde account.

Het Python-beheerhulpprogramma gebruiken

De volledige voorbeeldcode en opdrachten worden bijgehouden in het OpenAI Cookbook:

Gebruik Python 3.10 of hoger. Het hulpprogramma gebruikt de standaardbibliotheek van Python. Lees de handleiding voordat je het uitvoert en gebruik proefuitvoeringen om wijzigingen te controleren.

Het huidige hulpprogramma leest referenties uit omgevingsvariabelen; volg de instructies in de handleiding om ze veilig in te voeren. Voor het leegmaken van een lijst met toegestane sites is expliciete bevestiging vereist. Een verwijdering kan zonder die bevestiging worden uitgevoerd. Controleer een verwijdering daarom eerst met een proefuitvoering.

Zie Een beleidsupdate veilig opnieuw proberen voor informatie over het gedrag bij nieuwe pogingen en optionele idempotentiesleutels. Gebruik idempotentiesleutels alleen als de werkruimte ze ondersteunt en controleer het huidige beleid na een fout waarvan de gevolgen onduidelijk zijn.

Het hulpprogramma schakelt geen werkruimtefuncties in en controleert niet of het beleid wordt afgedwongen. De offline tests gebruiken gesimuleerde aanroepen naar Microsoft Graph en de ChatGPT Admin API.

Wijzigingen die uit meerdere verzoeken bestaan, zijn niet atomair. Als het verwijderen van meerdere siteverzamelingen halverwege mislukt, kunnen eerdere verwijderingen al zijn geslaagd. Lees het huidige beleid voordat je het opnieuw probeert.

Veelgestelde vragen

Vervangen de site-instellingen de Microsoft-machtigingen?

Nee. De app blijft de Microsoft-machtigingen van elke gebruiker gebruiken. OpenAI past de geconfigureerde sitefiltering toe voordat antwoorden aan de gebruiker en het model worden getoond.

Blokkeert een lege lijst met toegestane sites alle sites?

Nee. Een lege lijst met toegestane sites betekent niet "alles blokkeren". Als een blokkeerlijst items bevat, blijven die siteverzamelingen geblokkeerd. Als geen van beide lijsten items bevat, bepalen de Microsoft-machtigingen van gebruikers en andere geconfigureerde instellingen de toegang.

Worden wijzigingen via de Admin API gelogd?

Beleidswijzigingen via de Admin API worden vastgelegd in de audit- en compliancelogboeken van de werkruimte.

Toegang tot SharePoint-sites en uitsluitingen op basis van vertrouwelijkheidslabels beheren