Przegląd

Administratorzy przestrzeni roboczej mogą korzystać z ustawień SharePoint, aby zezwalać na dostęp do zatwierdzonych zbiorów witryn, blokować wybrane zbiory i wykluczać obsługiwane pliki z wybranymi etykietami poufności Microsoft Purview.

Zbiór witryn SharePoint, nazywany też SPSite, może zawierać wiele witryn. Reguła dotycząca zbioru obejmuje cały zbiór, z uwzględnieniem istniejących uprawnień Microsoft każdego użytkownika. Nie przyznaje użytkownikowi dostępu do treści, do których nie ma on dostępu w Microsoft 365.

Ograniczenia witryn dotyczą obsługiwanych operacji wyszukiwania, przeglądania, pobierania plików oraz odczytu i zapisu w SharePoint. Dostęp do OneDrive jest zarządzany osobno.

Wybierz tryb dostępu zgodny z Twoimi zasadami:

• Dozwolone witryny: gdy lista dozwolonych witryn nie jest pusta, użytkownicy mogą uzyskać przez aplikację dostęp tylko do zbiorów witryn znajdujących się na tej liście.

• Zablokowane witryny: użytkownicy mogą uzyskać dostęp do zbiorów witryn spoza listy zablokowanych, zgodnie ze swoimi uprawnieniami Microsoft.

Tylko jedna lista może zawierać wpisy w danym momencie. Pusta lista dozwolonych witryn nie blokuje wszystkich witryn. Gdy obie listy są puste, ograniczenia witryn SharePoint zostają usunięte. Uprawnienia Microsoft i inne skonfigurowane ustawienia kontroli dostępu nadal obowiązują.

Dostępność

Ustawienia i API administracyjne przestrzeni roboczej wymagają włączenia w Twojej przestrzeni roboczej. Dostępne funkcje obejmują listy dozwolonych i zablokowanych zbiorów witryn, import witryn z pliku CSV oraz wykluczenia według etykiet poufności.

Reguły dotyczą całych zbiorów witryn. Te ustawienia kontroli zbiorów witryn nie obejmują ograniczania zakresu do konkretnej witryny, folderu lub pliku ani egzekwowania uprawnienia Microsoft Sites.Selected.

Zanim zaczniesz

• Określ zbiory witryn, które Twoja organizacja chce dopuścić lub zablokować.

• Uzyskaj identyfikator GUID każdego zbioru. Pełny identyfikator witryny Microsoft Graph zawiera identyfikator GUID zbioru jako środkową wartość. API administratora używa identyfikatorów GUID zbiorów; narzędzie do importu CSV w interfejsie użytkownika może je również wyodrębnić z trójelementowych identyfikatorów witryn Graph.

• Włącz uprawnienia Microsoft wymagane przez aplikację SharePoint zarówno w ustawieniach uprawnień ChatGPT, jak i w Microsoft Entra, w tym Sites.Read.All i Files.Read.All. Te ustawienia filtrują dostęp po stronie OpenAI; nie zastępują uprawnień delegowanych Microsoft.

• Aby skonfigurować wykluczenia etykiet poufności, poproś administratora Microsoft 365 lub Purview o niezmienny identyfikator GUID każdej etykiety, którą chcesz wykluczyć, w tym etykiet stosujących szyfrowanie.

• Aby zarządzać przez API, uzyskaj identyfikator UUID przestrzeni roboczej, klucz administratora przestrzeni roboczej ChatGPT oraz token Microsoft Graph, jeśli musisz ustalić identyfikatory odpowiadające adresom URL SharePoint. Te dwa poświadczenia służą do różnych celów.

O OpenAI Cookbook

OpenAI Cookbook to publicznie dostępny zbiór przykładowego kodu i przewodników OpenAI. Ten artykuł korzysta z zawartych w nim przewodnika po dostępie do witryn SharePoint i skryptu administracyjnego w Pythonie. Oba pliki są dostępne w serwisie GitHub. Możesz otworzyć te linki w przeglądarce, aby przeczytać pliki. Aby uruchomić skrypt, pobierz go i postępuj zgodnie z instrukcjami konfiguracji i wykonywania poleceń w przewodniku.

W tym artykule „Cookbook” oznacza wspomniany przewodnik dotyczący SharePoint, a „narzędzie z Cookbook” — skrypt w Pythonie dostępny pod podanym linkiem. W tych materiałach znajdziesz przykłady poleceń i instrukcje zarządzania listą dozwolonych witryn przez API.

Skonfiguruj dane uwierzytelniające do zarządzania przez API

Uwaga: aby tworzyć klucze administratora, musisz mieć uprawnienia administratora przestrzeni roboczej. Dowiedz się więcej.

Utwórz klucz administratora przestrzeni roboczej ChatGPT

1. Otwórz konsolę administratora ChatGPT i wybierz odpowiednią przestrzeń roboczą.

2. Przejdź do sekcji Dane uwierzytelniające i wybierz Klucze administratora.

3. Utwórz klucz z uprawnieniami typu Ograniczone i dla pozycji Aplikacje ustaw wartość Zapis.

4. Przechowuj klucz w bezpiecznym miejscu. Ten klucz uprawnia do odczytywania i zmieniania zasad SharePoint w Twojej przestrzeni roboczej.

Wymagane uprawnienie to chatgpt.enterprise.apps.write. Pamiętaj, że ani klucz Platformy API, ani token Microsoft Graph nie zastąpią klucza administratora przestrzeni roboczej ChatGPT.

Więcej informacji znajdziesz w artykule Zarządzanie kluczami administratora na karcie Dane uwierzytelniające. Informacje o zmiennych środowiskowych skryptu przechowujących dane uwierzytelniające oraz przykład ich bezpiecznego wprowadzania znajdziesz w instrukcjach dotyczących danych uwierzytelniających w Cookbook.

Uzyskaj token Microsoft Graph

Skorzystaj z zatwierdzonej przez organizację procedury uwierzytelniania Microsoft. Aby wyszukiwać interaktywnie, jeśli Twoja organizacja zezwala na korzystanie z Graph Explorer:

1. Otwórz Microsoft Graph Explorer i zaloguj się kontem służbowym w dzierżawie zawierającej witryny SharePoint.

2. Wybierz uprawnienia potrzebne do odczytu witryn, zwykle Sites.Read.All, korzystając z opcji Modyfikuj uprawnienia lub Wyraź zgodę na uprawnienia. Jeśli Twoja organizacja tego wymaga, poproś administratora Microsoft o zatwierdzenie dostępu.

3. Otwórz kartę Token dostępu i skopiuj token do użycia z Microsoft Graph.

Instrukcje Microsoft znajdziesz w artykule Praca z Graph Explorer.

Token Graph służy do ustalania identyfikatorów na podstawie adresów URL SharePoint. Klucz administratora ChatGPT służy do odczytywania lub aktualizowania zasad ChatGPT. Narzędzie z Cookbook wymaga tokenu Graph tylko przy poleceniach ustalających identyfikatory na podstawie adresów URL. Odczytanie lub wyczyszczenie istniejącej listy dozwolonych witryn wymaga jedynie klucza administratora ChatGPT.

Nie umieszczaj żadnych z tych danych uwierzytelniających w systemie kontroli wersji, udostępnianych dokumentach, zrzutach ekranu ani dziennikach.

Znajdź identyfikator GUID zbioru witryn

Użyj adresu URL witryny SharePoint

1. Zaloguj się do Microsoft przy użyciu konta z dostępem do witryny SharePoint, a następnie ją otwórz.

2. Dodaj /_api/site/id na końcu adresu URL witryny. Na przykład użyj adresu https://contoso.sharepoint.com/sites/Finance/_api/site/id.

3. Skopiuj identyfikator GUID zwrócony w odpowiedzi.

Uwaga: przykładowe domeny i identyfikatory w tym artykule są danymi zastępczymi.

Użyj Microsoft Graph

Microsoft Graph zwraca identyfikator witryny złożony z trzech elementów rozdzielonych przecinkami: nazwy hosta, identyfikatora GUID zbioru witryn i identyfikatora GUID witryny. W regule dotyczącej zbioru witryn użyj środkowej wartości. Różne adresy URL witryn mogą wskazywać ten sam identyfikator GUID zbioru.

Przykłady wyszukiwania i identyfikatorów znajdziesz w sekcji Poznaj identyfikatory witryn SharePoint. Aby ustalić identyfikatory dla wielu adresów URL bez zmiany zasad ChatGPT, skorzystaj z instrukcji sprawdzania adresów w Cookbook i skryptu administracyjnego w Pythonie.

Wymagania Microsoft dotyczące wyszukiwania znajdziesz w artykule Pobieranie witryny SharePoint na podstawie ścieżki.

Zarządzaj dozwolonymi i zablokowanymi zbiorami witryn

Użyj ustawień przestrzeni roboczej

1. Otwórz Ustawienia bezpieczeństwa i zabezpieczeń aplikacji SharePoint w swojej przestrzeni roboczej.

2. W sekcji Tryb dostępu wybierz Dozwolone witryny lub Zablokowane witryny.

3. Dodaj zbiory witryn do wybranej listy. Możesz też przesłać plik CSV zgodnie z opisem poniżej.

4. Sprawdź zmiany i wybierz Zapisz.

5. Sprawdź zapisaną zasadę i przetestuj konfigurację.

Witryny dodane przez API administratora pojawiają się w ustawieniach przestrzeni roboczej. Witryny dodane w interfejsie użytkownika są również dostępne przez API. Możesz dodawać i usuwać wpisy w obu interfejsach — sposób dodania witryny nie ogranicza późniejszego zarządzania nią do tej samej metody.

Przełączaj się między dozwolonymi a zablokowanymi witrynami

Tylko jedna lista może zawierać wpisy w danym momencie. Zanim dodasz wpisy w drugim trybie, wyczyść istniejącą listę i zapisz tę zmianę. Następnie wybierz drugi tryb, dodaj odpowiednie zbiory i ponownie zapisz zmiany.


Wyczyszczenie aktywnej listy zmienia dostęp natychmiast po zapisaniu. Wyczyszczenie listy dozwolonych witryn usuwa ograniczenie dostępu tylko do tych witryn; wyczyszczenie listy zablokowanych witryn usuwa ich blokady. Zaplanuj zmianę z innymi administratorami, ponieważ w okresie między wyczyszczeniem jednej listy a zapisaniem drugiej może być możliwy dostęp, który docelowa zasada będzie ograniczać.

Prześlij zbiory witryn z pliku CSV

Przesyłanie plików CSV obsługuje wyłącznie zbiory witryn. Aby wykluczyć pliki według etykiety poufności, dodaj identyfikatory GUID etykiet do listy wykluczeń etykiet poufności.

1. Otwórz Ustawienia bezpieczeństwa i zabezpieczeń i wybierz odpowiedni Tryb dostępu.

2. Przygotuj plik CSV z identyfikatorami GUID zbiorów witryn lub trójelementowymi identyfikatorami witryn Microsoft Graph. Używaj jednego formatu identyfikatorów w całym pliku.

3. Wybierz Prześlij plik CSV i wskaż plik.

4. Sprawdź wynik importu i wybraną listę. Przed kontynuowaniem rozwiąż problemy wskazane w błędach lub ostrzeżeniach dotyczących wierszy.

5. Wybierz Zapisz, aby zastosować zmiany, a następnie sprawdź zapisaną listę.

Wymagania i działanie importu CSV:

• Maksymalny rozmiar pliku: 1 MB.

• Nagłówki są opcjonalne.

• W każdym wierszu umieść jeden identyfikator GUID zbioru lub trójelementowy identyfikator witryny Graph. Trójelementowe identyfikatory można ująć w cudzysłów w jednym polu lub rozdzielić na trzy kolumny.

• Trójelementowe identyfikatory Graph są konwertowane na identyfikatory GUID zbiorów. Import trójelementowego identyfikatora nie tworzy reguły dotyczącej wyłącznie konkretnej witryny.

• Import dodaje wpisy do wybranej listy, zachowując istniejące wpisy. Duplikaty zbiorów są pomijane; licznik importu podaje liczbę nowo dodanych zbiorów.

• Pliki z mieszanymi formatami oraz nieprawidłowe wiersze są odrzucane. Przesłanie pliku zawierającego wyłącznie adresy URL witryn powoduje wyświetlenie ostrzeżenia i nie dodaje witryn. Najpierw ustal identyfikatory GUID zbiorów odpowiadające tym adresom URL.

• Przesłanie pliku zmienia tylko roboczą wersję listy. Nie zmienia dostępu w przestrzeni roboczej, dopóki nie wybierzesz Zapisz.

• Opisane tutaj przesyłanie plików CSV służy do zarządzania zbiorami witryn. Wykluczenia etykiet poufności skonfiguruj osobno.

Jeśli masz plik CSV z adresami URL SharePoint, procedura obsługi plików CSV w narzędziu z Cookbook pozwala ustalić odpowiadające im identyfikatory i zarządzać listą dozwolonych witryn przez API. Dane wejściowe site_url lub url w tym narzędziu mają inny format i wymagają innej procedury niż przesyłanie identyfikatorów w interfejsie użytkownika.

Poznaj limity zasad i żądań

Domyślny limit zasady wynosi 10 000 zbiorów witryn. Wyższe limity zasad przestrzeni roboczej, do 120 000 zbiorów witryn, wymagają włączenia przez OpenAI. Skontaktuj się ze swoim zespołem OpenAI, zanim zaplanujesz większe wdrożenie.

Pojedyncze operacje modyfikacji przez API i obecny skrypt z Cookbook przyjmują do 10 000 identyfikatorów GUID zbiorów na żądanie. Wyższy limit zasady przestrzeni roboczej nie zwiększa tego limitu na żądanie. Licz unikatowe zbiory witryn, a nie źródłowe adresy URL: wiele adresów URL może odnosić się do tego samego zbioru.

Użyj API administratora przestrzeni roboczej

Użyj identyfikatora UUID przestrzeni roboczej i klucza administratora przestrzeni roboczej ChatGPT do połączeń z https://api.chatgpt.com.

Aktualizowane polecenia do zarządzania listą dozwolonych witryn i przykłady żądań znajdziesz w Cookbook:

• Odczytaj istniejącą listę dozwolonych witryn.

• Wyświetl podgląd zbiorów witryn i dodaj je. Dodawanie nowych zbiorów nie usuwa dotychczasowych dozwolonych zbiorów.

• Usuń zbiór witryn.

• Wyczyść listę dozwolonych witryn.

Przed wprowadzeniem zmian sprawdź bieżącą zasadę, a następnie odczytaj ją ponownie i przetestuj wynikający z niej dostęp. Usunięcie ostatniego dozwolonego zbioru lub wyczyszczenie listy dozwolonych witryn usuwa ograniczenie dostępu tylko do wskazanych witryn. Nie wysyłaj pustego żądania dodania, chyba że chcesz usunąć ograniczenia wynikające z listy dozwolonych witryn.

Publicznie dostępne narzędzie z Cookbook obsługuje obecnie tylko listy dozwolonych witryn. Nie obsługuje list zablokowanych witryn ani wykluczeń etykiet poufności. Do tych zadań użyj opisanych powyżej ustawień przestrzeni roboczej.

Wyklucz pliki z etykietami poufności

Znajdź identyfikator GUID etykiety

Poproś administratora Microsoft 365 lub Purview o niezmienny identyfikator GUID wybranej etykiety. Użyj identyfikatora GUID, a nie nazwy wyświetlanej etykiety.

Administrator może wyświetlić listę etykiet przez Microsoft Graph. Token wymaga odpowiedniego uprawnienia: SensitivityLabel.Read lub SensitivityLabels.Read.All. Dopasuj nazwę wybranej etykiety do jej identyfikatora i sprawdź jej ustawienia ochrony.

Wymagania i przykłady znajdziesz w artykułach Wyświetlanie listy etykiet poufności i Właściwości etykiet poufności. Te uprawnienia dotyczące etykiet są niezależne od uprawnienia do odczytu witryn używanego do ustalania identyfikatorów na podstawie adresów URL SharePoint.

Dodaj wykluczenia etykiet

1. Otwórz Ustawienia bezpieczeństwa i zabezpieczeń aplikacji SharePoint.

2. Na liście wykluczeń etykiet poufności wpisz identyfikator GUID każdej etykiety, którą chcesz wykluczyć, w tym etykiet stosujących szyfrowanie.

3. Zapisz konfigurację i przetestuj obsługiwany plik z wykluczoną etykietą.

Pliki z obsługiwanymi etykietami pasującymi do listy wykluczeń są wykluczane z wyników aplikacji SharePoint. Zawartość zaszyfrowanych plików jest domyślnie wykluczona. Dostęp do obsługiwanych zaszyfrowanych plików wymaga zarówno zaawansowanego dostępu do plików (fetch_advanced), jak i zgody administratora Microsoft Entra, zgodnie z opisem w sekcji często zadawanych pytań poniżej. Wykluczenia etykiet i uprawnienia połączonego użytkownika w systemie Microsoft nadal obowiązują.

Przetestuj konfigurację

Używaj plików i kont testowych zatwierdzonych przez organizację. Przed testowaniem potwierdź, że to samo konto Microsoft ma dostęp do każdego pliku bezpośrednio w SharePoint.

1. W trybie Dozwolone witryny, gdy lista nie jest pusta, sprawdź plik w dozwolonym zbiorze i plik w zbiorze spoza listy. Tylko dozwolony zbiór powinien być dostępny przez aplikację.

2. W trybie Zablokowane witryny sprawdź plik w zablokowanym zbiorze i plik w niezablokowanym zbiorze. Zablokowany zbiór powinien być niedostępny. Dostęp do niezablokowanego zbioru nadal zależy od uprawnień Microsoft i innych ustawień kontroli dostępu.

3. Sprawdź obsługiwany plik testowy z wykluczoną etykietą poufności. Nie powinien pojawiać się w wynikach aplikacji.

4. Po zmianie przez API porównaj listę zapisaną w interfejsie z zasadami zwróconymi przez API.

5. Po przesłaniu pliku CSV zapisz zmiany i ponownie otwórz ustawienia, aby potwierdzić, że zachowano właściwe zbiory.

Jeśli wyniki nie są zgodne z zamierzonymi zasadami, sprawdź przestrzeń roboczą, wybrany tryb dostępu, zapisaną listę, identyfikatory GUID zbiorów i etykiet, obsługiwany typ pliku oraz uprawnienia Microsoft użytkownika. Nie czyść listy w ramach rozwiązywania problemów, chyba że zamierzasz wprowadzić wynikającą z tego zmianę dostępu.

Pomoc w przypadku brakujących ustawień lub nieoczekiwanego dostępu znajdziesz w artykule Kontakt z pomocą techniczną OpenAI. Nie umieszczaj kluczy administratora ani tokenów Microsoft Graph w zgłoszeniu do pomocy technicznej.

Poznaj ograniczenia

• Reguła dotycząca zbioru obejmuje cały zbiór witryn. Nie pozwala ograniczyć dostępu do konkretnej podwitryny, folderu ani pliku.

• Ograniczenia witryn SharePoint nie ograniczają automatycznie dostępu do OneDrive.

• Filtrowanie według etykiet poufności działa tylko wtedy, gdy Microsoft Graph udostępnia obsługiwane metadane etykiet, między innymi w przypadku obsługiwanych dokumentów Office oraz plików PDF i MP4.

• Typy plików nieobsługiwane przez etykiety poufności, takie jak TXT i CSV, są traktowane jako pliki bez etykiet. Pozostają dostępne, jeśli zezwalają na to pozostałe ustawienia. To ograniczenie dotyczące typów plików nie ma związku z przesyłaniem pliku CSV w celu skonfigurowania dostępu do witryn.

• Ani przesyłanie pliku CSV, ani publicznie dostępne przykładowe narzędzie nie służą do konfigurowania wykluczeń według etykiet poufności. Ten artykuł nie opisuje API do zbiorczego zarządzania etykietami.

• Zapisanie zasad lub pomyślna odpowiedź API nie zastępują testu dostępu z użyciem docelowego konta.

Użyj narzędzia administracyjnego w Pythonie

Pełny przykładowy kod i polecenia są aktualizowane w OpenAI Cookbook:

• Przewodnik dla administratorów.

• Skrypt administracyjny w Pythonie.

• Plik testów offline.

Użyj Pythona w wersji 3.10 lub nowszej. Narzędzie korzysta z biblioteki standardowej Pythona. Przed uruchomieniem narzędzia przeczytaj przewodnik i używaj trybu próbnego, aby sprawdzać zmiany.

Obecna wersja narzędzia odczytuje dane uwierzytelniające ze zmiennych środowiskowych. Postępuj zgodnie z instrukcjami bezpiecznego wprowadzania danych podanymi w przewodniku. Wyczyszczenie listy dozwolonych witryn wymaga wyraźnego potwierdzenia. Usunięcie wpisów może zostać wykonane bez takiego potwierdzenia, dlatego najpierw sprawdź je w trybie próbnym.

Informacje o ponawianiu prób i opcjonalnych kluczach idempotencji znajdziesz w sekcji Bezpieczne ponawianie aktualizacji zasad. Używaj kluczy idempotencji tylko wtedy, gdy przestrzeń robocza je obsługuje. Po niepowodzeniu o niejednoznacznym wyniku sprawdź aktualne zasady.

Narzędzie nie włącza funkcji przestrzeni roboczej ani nie sprawdza egzekwowania zasad. Testy offline tego narzędzia korzystają z symulowanych wywołań Microsoft Graph i API administracyjnego ChatGPT.

Zmiany obejmujące wiele żądań nie są atomowe. Jeśli usuwanie wielu zbiorów zakończy się niepowodzeniem w trakcie operacji, wcześniejsze usunięcia mogły już zostać wykonane. Przed ponowieniem próby odczytaj aktualne zasady.

Często zadawane pytania

Czy należy dodać do listy wykluczeń etykiety poufności stosujące szyfrowanie?

Tak. Dodaj wszystkie etykiety poufności Microsoft Purview, których pliki ChatGPT ma wykluczać, w tym etykiety stosujące szyfrowanie.

Zawartość zaszyfrowanych plików jest domyślnie wykluczona. Aby umożliwić dostęp do obsługiwanych zaszyfrowanych plików, administrator przestrzeni roboczej musi włączyć zaawansowany dostęp do plików (fetch_advanced), a administrator Microsoft Entra musi wyrazić zgodę na wymagane uprawnienia Microsoft. Samo włączenie akcji bez uzyskania zgody administratora nie wystarczy.

Nawet po skonfigurowaniu ChatGPT może pobierać zaszyfrowaną zawartość tylko wtedy, gdy połączony użytkownik ma uprawnienia do dostępu do pliku i jego odszyfrowania. Pliki z etykietami znajdującymi się na liście wykluczeń pozostają wykluczone. Włączenie zaawansowanego dostępu do plików lub udzielenie zgody przez administratora nie znosi wykluczeń etykiet ani ograniczeń wynikających z uprawnień użytkownika w systemie Microsoft.

Czy ustawienia dostępu do witryn zastępują uprawnienia Microsoft?

Nie. Aplikacja nadal korzysta z uprawnień każdego użytkownika w systemie Microsoft. OpenAI stosuje skonfigurowane filtrowanie witryn, zanim odpowiedzi zostaną udostępnione użytkownikowi i modelowi.

Czy pusta lista dozwolonych witryn blokuje wszystkie witryny?

Nie. Pusta lista dozwolonych witryn nie oznacza „zablokuj wszystko”. Jeśli lista zablokowanych witryn zawiera wpisy, te zbiory pozostają zablokowane. Gdy żadna z list nie zawiera wpisów, o dostępie decydują uprawnienia użytkowników w systemie Microsoft i inne skonfigurowane ustawienia kontroli dostępu.

Czy zmiany wprowadzane przez API administratora są rejestrowane?

Zmiany zasad wprowadzane przez API administratora są zapisywane w dziennikach audytu i zgodności przestrzeni roboczej.