Ten przewodnik jest przeznaczony dla administratorów przestrzeni roboczej ChatGPT oraz użytkowników ChatGPT Plus lub Pro, którzy konfigurują konektor Databricks Genie przy użyciu wbudowanej obsługi OAuth lub klienta OAuth swojej organizacji.
Wbudowana obsługa OAuth: Jeśli jest dostępna w ChatGPT i włączona w Twojej przestrzeni roboczej Databricks, użyj wstępnie skonfigurowanego połączenia. Nie musisz tworzyć aplikacji OAuth ani podawać identyfikatora czy klucza tajnego klienta. Postępuj zgodnie z instrukcjami w sekcji „Wbudowana obsługa OAuth” poniżej.
Niestandardowy klient OAuth: Wybierz tę opcję, jeśli wbudowana obsługa OAuth jest niedostępna lub Twoja organizacja wymaga własnego klienta OAuth. Postępuj zgodnie z instrukcjami w sekcji „Niestandardowy klient OAuth” poniżej.
Co konfigurujesz
Tworzysz połączenie aplikacji Databricks dla swojego konta lub przestrzeni roboczej ChatGPT. Obie opcje wymagają podania w ChatGPT danych dostawcy Databricks oraz uprawnień do zasobów, z których zamierzasz korzystać. Jeśli używasz niestandardowego klienta OAuth, przygotuj również:
Połączenie aplikacji OAuth Databricks utworzone w konsoli konta Databricks.
Identyfikator i klucz tajny klienta OAuth Databricks.
Dokładny adres URL wywołania zwrotnego skopiowany z ChatGPT.
Zakresy Databricks odpowiadające funkcjom konektora, które chcesz włączyć.
Wszelkie dane dostawcy Databricks wymagane podczas konfiguracji w ChatGPT, takie jak host przestrzeni roboczej, host konta, identyfikator konta lub hurtownia.
Zanim zaczniesz
Aby przeprowadzić konfigurację dla przestrzeni roboczej, otwórz konsolę administratora, wybierz odpowiednią przestrzeń roboczą ChatGPT i otwórz sekcję Wtyczki. Wybierz Zarządzaj starszymi aplikacjami, aby otworzyć zachowaną stronę Aplikacje. Informacje o nawigacji w przestrzeni roboczej i dostępie do starszych aplikacji znajdziesz w artykule Ustawienia administracyjne, bezpieczeństwo i zgodność wtyczek oraz aplikacji.
Potrzebujesz:
Uprawnień administratora lub właściciela przestrzeni roboczej ChatGPT albo konta ChatGPT Plus lub Pro.
W przypadku niestandardowego klienta OAuth — uprawnień administratora konta Databricks. Uprawnienia administratora przestrzeni roboczej mogą wystarczyć do niektórych zadań, ale niestandardowe połączenia aplikacji konfiguruje się w konsoli konta Databricks. W przypadku wbudowanego OAuth administrator Databricks musi sprawdzić, czy aplikacja ChatGPT jest dostępna i włączona w Twojej przestrzeni roboczej.
W przypadku niestandardowego klienta OAuth — konsoli konta Databricks otwartej w osobnej karcie.
W przypadku niestandardowego klienta OAuth — ekranu łączenia z Databricks Genie otwartego w ChatGPT, aby skopiować dokładny adres URL wywołania zwrotnego.
Decyzji o funkcjach potrzebnych aplikacji: Genie i pulpity nawigacyjne AI/BI, szerszy dostęp do API Databricks czy ograniczenie do interfejsów API Databricks SQL. Dostęp wyłącznie do SQL nie wystarcza do działań w Genie ani na pulpitach nawigacyjnych.
W przypadku niestandardowego klienta OAuth — bezpiecznego miejsca do przechowywania i obsługi klucza tajnego klienta Databricks.
Jeśli Twoje konto lub przestrzeń robocza Databricks ogranicza dostęp za pomocą listy dostępu IP, kontroli ruchu przychodzącego opartej na kontekście, zapory sieciowej lub innych zasad sieciowych — pomocy administratora Databricks, który może zezwolić na aktualne zakresy adresów IP ruchu wychodzącego konektorów ChatGPT.
W przypadku niestandardowego klienta OAuth skopiuj dokładną wartość pola Adres URL wywołania zwrotnego wyświetlaną w ChatGPT.
Wartości do przygotowania
W przypadku niestandardowego klienta OAuth — Adres URL wywołania zwrotnego: skopiuj go z ekranu konfiguracji konektora w ChatGPT.
W przypadku niestandardowego klienta OAuth — identyfikator klienta OAuth w Databricks.
W przypadku niestandardowego klienta OAuth — klucz tajny klienta OAuth w Databricks.
W przypadku niestandardowego klienta OAuth — zakresy dostępu do Databricks odpowiednie do funkcji aplikacji. Jeśli przy nowym połączeniu z Genie lub pulpitami nawigacyjnymi wyświetlają się zakresy
ai-gateway,dashboardsioffline_access, przygotuj te zakresy. Wszystkie interfejsy API (all-apiszoffline_access) pozostają starszym wariantem z szerszymi uprawnieniami. Używaj zakresu SQL tylko w przypadku aplikacji ograniczonej do interfejsów API Databricks SQL.Dane przestrzeni roboczej lub konta Databricks wymagane podczas konfiguracji w ChatGPT.
Wbudowany OAuth
Najpierw spełnij powyższe wymagania wstępne. Wybierz tę ścieżkę tylko wtedy, gdy wbudowany OAuth jest dostępny w ChatGPT i włączony w Twojej przestrzeni roboczej Databricks.
Poproś administratora Databricks, aby sprawdził, czy aplikacja ChatGPT jest dostępna w ustawieniach integracji aplikacji w konsoli konta i włączona w Twojej przestrzeni roboczej. Jeśli aplikacji ChatGPT nie ma na liście w konsoli konta Databricks, skontaktuj się z opiekunem konta w Databricks i zapytaj, czy ta funkcja jest dostępna dla Twojego konta.
W ChatGPT przełącz się na konto lub przestrzeń roboczą, w której aplikacja ma być dostępna. Aby skonfigurować aplikację do użytku osobistego, przejdź do Ustawienia > Wtyczki. Aby skonfigurować ją dla przestrzeni roboczej, jako jej administrator lub właściciel przejdź do Konsola administratora > Wtyczki.
Wybierz Databricks Genie, a następnie Dodaj połączenie aplikacji.
W polu Nazwa hosta przestrzeni roboczej (wymagane) wpisz nazwę bez
https://i bez ścieżki adresu URL.Na podstawie tej nazwy hosta ChatGPT ustala lokalny punkt końcowy MCP dla Genie w przestrzeni roboczej:
https://<workspace-host>/ai-gateway/mcp-services/system.ai.genie_one_mcp. Nie jest potrzebny osobny regionalny punkt końcowy MCP.Wybierz Kontynuuj, a następnie zaloguj się do Databricks i zapoznaj się z prośbą o zgodę.
Wykonaj dalsze kroki opisane poniżej w sekcjach „Połącz i przetestuj” oraz „Zarządzaj dostępem”, w tym testy z udziałem uprawnionych członków i sprawdzenie dostępu do przestrzeni roboczej.
Niestandardowy klient OAuth
Najpierw spełnij powyższe wymagania wstępne. Wybierz tę opcję, jeśli wbudowana obsługa OAuth jest niedostępna lub Twoja organizacja wymaga własnego klienta OAuth. Po konfiguracji wykonaj instrukcje z sekcji „Połącz i przetestuj” oraz „Zarządzaj dostępem” poniżej.
Rozpocznij konfigurację niestandardowego OAuth w ChatGPT
W ChatGPT przełącz się na konto lub przestrzeń roboczą, w której aplikacja ma być dostępna.
Aby skonfigurować aplikację do użytku osobistego, przejdź do Ustawienia > Wtyczki. Aby skonfigurować ją dla przestrzeni roboczej, jako jej administrator lub właściciel przejdź do Konsola administratora > Wtyczki.
W sekcji Katalog wybierz Databricks Genie.
Wybierz Dodaj połączenie aplikacji.
W oknie dialogowym Połącz z Databricks Genie znajdź pola Identyfikator klienta OAuth i Klucz tajny klienta OAuth. Wprowadzenie danych uwierzytelniających w tych widocznych polach uruchamia konfigurację niestandardowego klienta — nie trzeba wybierać go osobno.
Skopiuj z ChatGPT wartość pola Adres URL wywołania zwrotnego. Pozostaw to okno dialogowe otwarte.
Przykładowy adres URL wywołania zwrotnego:
https://chatgpt.com/connector/oauth/<callback_id>
Nie usuwaj identyfikatora wywołania zwrotnego, nie dodawaj ukośnika na końcu ani nie zastępuj tego adresu ogólnym adresem URL ChatGPT. Adres URL zarejestrowany w Databricks musi być identyczny z wartością pola Adres URL wywołania zwrotnego wyświetlaną w ChatGPT.
Utwórz niestandardowe połączenie aplikacji OAuth w Databricks
Otwórz konsolę konta Databricks dla swojego konta Databricks.
Na lewym pasku bocznym otwórz Ustawienia.
Otwórz kartę Połączenia aplikacji.
Wybierz Dodaj połączenie.
Wpisz nazwę aplikacji, na przykład Konektor ChatGPT–Databricks.
W polu Adresy URL przekierowania wklej dokładny adres URL wywołania zwrotnego skopiowany z ChatGPT.
W sekcji Zakresy dostępu wybierz zakresy potrzebne aplikacji.
Jeśli przy nowym połączeniu z Genie lub pulpitami nawigacyjnymi w ChatGPT wyświetlają się zakresy
ai-gateway,dashboardsioffline_access, zezwól na te same zakresy w aplikacji OAuth w Databricks.Wszystkie interfejsy API pozostają starszym wariantem z szerszymi uprawnieniami, zapewniającym ogólny dostęp do API Databricks. W tej konfiguracji użyj w ChatGPT zakresów
all-apisioffline_accessoraz upewnij się, że aplikacja OAuth w Databricks zezwala na oba. W przypadku nowego połączenia z Genie lub pulpitami nawigacyjnymi wybieraj w pierwszej kolejności wyświetlane szczegółowe zakresy.Używaj zakresu SQL tylko w przypadku aplikacji ograniczonej do interfejsów API Databricks SQL. Dostęp wyłącznie do SQL nie wystarcza do działań w Genie ani na pulpitach nawigacyjnych.
Upewnij się, że każdy zakres, który podasz później w ChatGPT, jest włączony w tej aplikacji OAuth w Databricks. Databricks automatycznie zezwala na zakresy openid, email, profile i offline_access w aplikacjach utworzonych w interfejsie użytkownika.
Pozostaw domyślne okresy ważności tokenów (TTL) w Databricks, chyba że Twoja organizacja ma inne zasady: 60 minut dla tokenu dostępu i 10080 minut dla tokenu odświeżania.
Włącz opcję Wygeneruj klucz tajny klienta. W tym procesie ChatGPT wymaga poufnego klienta OAuth.
Utwórz połączenie.
Skopiuj dane uwierzytelniające z Databricks
W oknie dialogowym Utworzono połączenie skopiuj wartość pola Identyfikator klienta.
Od razu skopiuj wartość pola Klucz tajny klienta i zapisz ją w bezpiecznym miejscu.
Jeśli zamkniesz okno dialogowe przed skopiowaniem klucza tajnego, utwórz lub wymień dane uwierzytelniające aplikacji OAuth i użyj nowego klucza.
Databricks wyświetla klucz tajny tylko raz. Traktuj go jak dane uwierzytelniające i nie umieszczaj go na zrzutach ekranu ani w zgłoszeniach, komentarzach czy czatach.
Dokończ konfigurację niestandardowego OAuth w ChatGPT
Wróć do okna dialogowego Połącz z Databricks Genie.
Wpisz identyfikator klienta Databricks w polu Identyfikator klienta OAuth.
Wpisz klucz tajny klienta Databricks w polu Klucz tajny klienta OAuth.
Wprowadzenie tych danych uwierzytelniających powoduje użycie niestandardowego klienta OAuth — nie trzeba wybierać go osobno.
W polu Zakresy (opcjonalnie) wpisz zakresy wymagane przez punkt końcowy Databricks i funkcje aplikacji. Dopasuj je do zakresów włączonych w aplikacji OAuth w Databricks.
Jeśli przy nowym połączeniu z Genie lub pulpitami nawigacyjnymi wyświetlają się zakresy
ai-gateway,dashboardsioffline_access, zachowaj je. Upewnij się, że aplikacja OAuth w Databricks zezwala na te same zakresy. Zakresai-gatewayumożliwia połączenie z Genie przez MCP w obrębie przestrzeni roboczej,dashboardsumożliwia działania na pulpitach nawigacyjnych AI/BI, aoffline_accessumożliwia używanie tokenów odświeżania.Starszy wariant z szerszymi uprawnieniami,
all-apisioffline_access, nadal jest obsługiwany na potrzeby szerszego dostępu do API, ale nie jest zalecany dla tego połączenia z Genie lub pulpitami nawigacyjnymi. Jeśli aplikacja w Databricks zezwala tylko naall-apis, zaktualizuj ją lub utwórz ponownie, aby zezwalała naai-gateway,dashboardsioffline_access. Jeśli szczegółowe zakresy są niedostępne, świadomie ustaw w ChatGPT zakresyall-apisioffline_accessoraz upewnij się, że aplikacja w Databricks zezwala na oba. Nie żądaj w ChatGPT trzech szczegółowych zakresów, jeśli aplikacja w Databricks zezwala tylko naall-apis.Wpisz każdy zakres w osobnym wierszu lub rozdziel zakresy przecinkami. Każdy zakres podany w ChatGPT musi być włączony w aplikacji OAuth w Databricks.
W polu Nazwa hosta przestrzeni roboczej (wymagane) wpisz nazwę bez https:// i bez ścieżki adresu URL. Uzupełnij pozostałe wymagane pola dostawcy Databricks wyświetlane podczas konfiguracji.
Na podstawie tej nazwy hosta ChatGPT ustala lokalny punkt końcowy MCP dla Genie w przestrzeni roboczej:
https://<workspace-host>/ai-gateway/mcp-services/system.ai.genie_one_mcp. Nie jest potrzebny osobny regionalny punkt końcowy MCP.Wybierz Kontynuuj.
ChatGPT żąda dokładnie tych zakresów, które wpisano w polu Zakresy (opcjonalnie). Nie dodaje automatycznie szerszych zakresów z szablonu.
Połącz i przetestuj
Niezależnie od wybranej ścieżki OAuth wykonaj poniższe testy połączenia i sprawdź dostęp.
Sprawdź szczegóły konektora, dostępne działania i ustawienia uwierzytelniania.
Jeśli jesteś administratorem przestrzeni roboczej, włącz w niej konektor i określ, kto może z niego korzystać, zgodnie z zasadami przestrzeni roboczej.
Jako uprawniony użytkownik testowy rozpocznij proces łączenia w ChatGPT, a następnie zaloguj się do Databricks.
Sprawdź, czy przeglądarka otwiera właściwe konto lub przestrzeń roboczą Databricks.
Sprawdź żądane zakresy, a następnie wybierz Autoryzuj.
Sprawdź, czy przeglądarka wraca do ChatGPT, a konektor ma status połączonego.
Wykonaj operację odczytu o niskim ryzyku, zgodną z funkcjami połączenia. W przypadku połączenia z Genie wyślij do Genie zapytanie o dane, do których użytkownik testowy ma dostęp. W przypadku innych obsługiwanych funkcji pobierz informacje o bieżącym użytkowniku lub wyślij zapytanie do zatwierdzonego zasobu Databricks SQL. Sprawdź, czy użytkownik ma wymagane uprawnienia do zasobów Databricks — same zakresy OAuth nie przyznają dostępu do danych.
Jeśli operacje zapisu są włączone, przed szerszym wdrożeniem przetestuj proces w Databricks, który wiąże się z jednoznacznie niskim ryzykiem.
W przypadku konfiguracji dla przestrzeni roboczej poproś uprawnionego członka tej przestrzeni, który nie jest administratorem, o połączenie się i powtórzenie testu o niskim ryzyku.
Zarządzaj dostępem
Kontrola dostępu zależy zarówno od Databricks, jak i od ChatGPT.
W ChatGPT administratorzy przestrzeni roboczej określają, czy aplikacja jest dostępna i jak członkowie mogą z niej korzystać. W planie Business administratorzy decydują, czy aplikacja jest włączona w całej przestrzeni roboczej. Sprawdź ustawienia administratora aplikacji Databricks (Ustawienia przestrzeni roboczej > Aplikacje lub Konsola administratora > Wtyczki > Zarządzaj starszymi aplikacjami) w następujących obszarach:
Dostęp użytkowników — określ, które role mogą korzystać z konektora w obsługiwanych przestrzeniach roboczych Enterprise i Edu.
Kontrola akcji — określ, które akcje Databricks są włączone.
Uprawnienia aplikacji — określ, kiedy ChatGPT prosi członków o zgodę przed użyciem konektora.
Te uprawnienia aplikacji dotyczą rozmów w ChatGPT. Agenci przestrzeni roboczej korzystają z ustawień określonych przez twórcę każdego agenta. Decydują one, które akcje aplikacji są dostępne i kiedy użytkownicy końcowi są proszeni o ich zatwierdzenie. Więcej informacji o działaniu agentów znajdziesz w artykule Agenci przestrzeni roboczej ChatGPT dla Enterprise i Business.
W Databricks administratorzy określają, którzy użytkownicy mogą autoryzować aplikację OAuth i do jakich zasobów Databricks mają dostęp. Uprawnienia po stronie dostawcy nadal obowiązują po włączeniu aplikacji w ChatGPT.
Informacje o nawigacji w przestrzeni roboczej, dostępie do aplikacji i ustawieniach aplikacji dostępnych w poszczególnych planach znajdziesz w artykule Ustawienia administratora, bezpieczeństwo i zgodność z przepisami w aplikacjach.
Rozwiązywanie problemów z konfiguracją konektora Databricks
Niezgodność identyfikatora URI przekierowania: Jeśli używasz niestandardowego klienta OAuth, sprawdź, czy wartość pola Adresy URL przekierowania w Databricks jest identyczna z wartością pola Adres URL wywołania zwrotnego w ChatGPT, łącznie ze ścieżką i identyfikatorem wywołania zwrotnego. Nie usuwaj identyfikatora wywołania zwrotnego, nie dodawaj ukośnika na końcu ani nie podstawiaj innego adresu URL przekierowania ChatGPT.
Brak klucza tajnego: Jeśli używasz niestandardowego klienta OAuth, pamiętaj, że Databricks wyświetla klucze tajne tylko raz. Jeśli klucz tajny klienta nie został skopiowany, wygeneruj nowy.
Aplikacja OAuth nie jest dostępna od razu: Według Databricks przetworzenie aktualizacji aplikacji OAuth może potrwać do 30 minut.
Niewystarczający lub niezgodny zakres: Jeśli używasz niestandardowego klienta OAuth, porównaj pole Zakresy (opcjonalnie) w ChatGPT z polem Zakresy dostępu w aplikacji OAuth w Databricks. Każdy zakres, którego żąda ChatGPT, musi być tam włączony. Sprawdź, czy zakresy pozwalają korzystać z wybranego punktu końcowego i funkcji.
Jeśli przy nowym połączeniu z Genie lub pulpitami nawigacyjnymi wyświetlają się zakresy
ai-gateway,dashboardsioffline_access, zachowaj je w ChatGPT i upewnij się, że aplikacja w Databricks zezwala na wszystkie trzy. Jeśli aplikacja zezwala tylko naall-apis, zaktualizuj ją lub utwórz ponownie, aby zezwalała na trzy szczegółowe zakresy.Jeśli szczegółowe zakresy są niedostępne, użyj obsługiwanego wariantu z szerszymi uprawnieniami: ustaw w ChatGPT zakresy
all-apisioffline_accessoraz upewnij się, że aplikacja w Databricks zezwala na oba. Aplikacja zezwalająca tylko naall-apisnie spełnia żądania ChatGPT dotyczącego zakresówai-gateway,dashboardsioffline_access. Dostęp wyłącznie do SQL jest odpowiedni tylko dla aplikacji ograniczonej do interfejsów API Databricks SQL. Nie wystarcza do działań w Genie ani na pulpitach nawigacyjnych.Działania SQL kończą się niepowodzeniem: W przypadku aplikacji ograniczonej do interfejsów API Databricks SQL sprawdź zakres SQL, konfigurację magazynu i uprawnienia w Databricks.
Niewłaściwa przestrzeń robocza ChatGPT: Utwórz i włącz konektor w tej samej przestrzeni roboczej ChatGPT, w której użytkownicy będą go łączyć.
Niewłaściwe konto lub przestrzeń robocza Databricks: Sprawdź wartość pola Nazwa hosta przestrzeni roboczej (wymagane), a następnie ponownie przejdź przez proces logowania i sprawdź, czy Databricks otwiera właściwe konto lub przestrzeń roboczą.
Użytkownicy nie mogą się połączyć: Sprawdź, czy użytkownik ma dostęp do Databricks i może autoryzować aplikację OAuth. W planie Business sprawdź, czy aplikacja jest włączona dla całej przestrzeni roboczej. W obsługiwanych przestrzeniach roboczych Enterprise i Edu sprawdź też, czy ustawienie Dostęp użytkowników w ChatGPT zezwala na korzystanie z konektora.
Zasady sieciowe Databricks blokują konektor: Jeśli Databricks zezwala tylko na określone źródłowe adresy IP, administrator Databricks musi zaktualizować odpowiednie listy dostępu IP konta lub przestrzeni roboczej, mechanizmy kontroli ruchu przychodzącego oparte na kontekście, zaporę sieciową lub inne reguły sieciowe zarządzane przez klienta.
Zezwól na połączenia przychodzące z aktualnych zakresów adresów IP ruchu wychodzącego konektorów ChatGPT.
Skonfiguruj tę listę dozwolonych adresów w Databricks lub w warstwie sieciowej zarządzanej przez klienta. Jest ona niezależna od listy dozwolonych adresów IP przestrzeni roboczej ChatGPT.
Opublikowane zakresy mogą się zmieniać. Jeśli to możliwe, zautomatyzuj aktualizacje na podstawie pliku JSON.
Nie wymieniaj klucza tajnego klienta ani nie zmieniaj zakresów OAuth, aby obejść blokadę sieciową. Najpierw sprawdź, czy Databricks odrzuca źródłowe adresy IP konektora.