Visão geral
Os administradores do espaço de trabalho podem usar os controles do SharePoint para permitir coleções de sites aprovadas, bloquear coleções de sites selecionadas e excluir arquivos compatíveis com rótulos de confidencialidade selecionados do Microsoft Purview.
Uma coleção de sites do SharePoint, também chamada de SPSite, pode conter vários sites. Uma regra de coleção se aplica à coleção inteira, respeitando as permissões que cada usuário já tem na Microsoft. Ela não concede ao usuário acesso a conteúdo que ele não pode acessar no Microsoft 365.
As restrições de sites se aplicam às ações compatíveis de pesquisa, navegação, obtenção de arquivos e leitura/gravação do SharePoint. O acesso ao OneDrive é gerenciado separadamente.
Escolha o modo de acesso adequado à sua política:
Sites permitidos: com uma lista de permissões não vazia, os usuários podem acessar pelo app apenas as coleções de sites listadas.
Sites bloqueados: os usuários podem acessar coleções de sites que não estejam na lista de bloqueios, respeitando suas permissões na Microsoft.
Apenas uma lista pode conter entradas por vez. Uma lista de permissões vazia não bloqueia todos os sites. Quando ambas as listas estão vazias, as restrições de sites do SharePoint são removidas; as permissões da Microsoft e os demais controles configurados continuam valendo.
Disponibilidade
Os controles e a API de administração precisam estar habilitados para o seu espaço de trabalho. Os controles disponíveis incluem listas de permissões e de bloqueios de coleções de sites, importações de sites por CSV e exclusões por rótulo de confidencialidade.
As regras se aplicam a coleções de sites inteiras. Esses controles de coleção de sites não incluem a delimitação do acesso a um site, pasta ou arquivo específico, nem a aplicação de Microsoft Sites.Selected.
Antes de começar
Identifique os conjuntos de sites que sua organização quer permitir ou bloquear.
Obtenha o GUID de cada conjunto. Um ID de site completo do Microsoft Graph contém o GUID do conjunto como valor intermediário. A API de administração usa GUIDs de conjuntos; o importador de CSV da interface também pode extraí-los de triplas de ID de site do Graph.
Habilite as permissões da Microsoft exigidas pelo app do SharePoint tanto nas configurações de permissões do ChatGPT quanto no Microsoft Entra, incluindo
Sites.Read.AlleFiles.Read.All. Esses controles filtram o acesso no lado da OpenAI; eles não substituem as permissões delegadas da Microsoft.Para exclusões por rótulo de confidencialidade, solicite ao administrador do Microsoft 365 ou do Purview o GUID imutável de cada rótulo que você quer excluir, incluindo os que aplicam criptografia.
Para administrar pela API, obtenha o UUID do seu espaço de trabalho, uma chave de administrador do espaço de trabalho do ChatGPT e um token do Microsoft Graph, caso precise converter URLs do SharePoint em identificadores. As duas credenciais têm finalidades diferentes.
Sobre o OpenAI Cookbook
O OpenAI Cookbook é a coleção pública de exemplos de código e guias da OpenAI. Este artigo usa o guia de acesso a sites do SharePoint e o script de administração em Python dessa coleção, ambos hospedados no GitHub. Você pode abrir esses links no navegador para ler os arquivos. Para executar o script, baixe-o e siga as instruções de configuração e de comandos do guia.
Neste artigo, "Cookbook" se refere a esse guia do SharePoint, e "utilitário do Cookbook" se refere ao script em Python no link. Use essas referências para consultar exemplos de comandos e gerenciar listas de permissões pela API.
Configure as credenciais para administração pela API
Observação: você precisa ser administrador do espaço de trabalho para criar chaves de administrador. Saiba mais.
Crie uma chave de administrador do espaço de trabalho do ChatGPT
Abra o console de administração do ChatGPT e selecione o espaço de trabalho pretendido.
Acesse Credenciais e selecione Chaves de administrador.
Crie uma chave com permissões Restritas e defina Apps como Gravação.
Armazene a chave com segurança. Essa chave autoriza a leitura e a alteração da política do SharePoint no seu espaço de trabalho.
A permissão necessária é chatgpt.enterprise.apps.write. Observe que uma chave da Plataforma de API e um token do Microsoft Graph não podem substituir uma chave de administrador do espaço de trabalho do ChatGPT.
Para obter mais informações, consulte: Gerenciar chaves de administrador na aba Credenciais. Para ver as variáveis de ambiente de credenciais do script e um exemplo de entrada segura, consulte as instruções de credenciais do Cookbook.
Obtenha um token do Microsoft Graph
Use o processo de autenticação da Microsoft aprovado pela sua organização. Para fazer uma consulta interativa, se sua organização permitir o Graph Explorer:
Abra o Microsoft Graph Explorer e entre com uma conta corporativa do locatário que contém os sites do SharePoint.
Selecione as permissões necessárias para ler os sites, normalmente
Sites.Read.All, usando Modificar permissões ou Consentir com as permissões. Peça ao administrador da Microsoft que aprove o acesso, caso sua organização exija essa aprovação.Abra a aba Token de acesso e copie o token para usar com o Microsoft Graph.
Para consultar as instruções da Microsoft, veja Trabalhar com o Graph Explorer.
O token do Graph permite resolver URLs do SharePoint em identificadores. A chave de administrador do ChatGPT permite ler ou atualizar a política do ChatGPT. O utilitário do Cookbook precisa do token do Graph apenas para comandos que resolvem URLs; para ler ou limpar uma lista de permissões existente, basta a chave de administrador do ChatGPT.
Não coloque nenhuma das credenciais em sistemas de controle de versão, documentos compartilhados, capturas de tela ou logs.
Encontre o GUID de uma coleção de sites
Use a URL do site do SharePoint
Abra o site do SharePoint após entrar na Microsoft com uma conta que tenha acesso a ele.
Acrescente
/_api/site/idao final da URL do site. Por exemplo, usehttps://contoso.sharepoint.com/sites/Finance/_api/site/id.Copie o GUID retornado na resposta.
Observação: os domínios e identificadores de exemplo neste artigo são fictícios.
Use o Microsoft Graph
O Microsoft Graph retorna um ID de site com três componentes separados por vírgulas: o nome do host, o GUID da coleção de sites e o GUID do site. Use o valor do meio para uma regra de coleção de sites. URLs de sites diferentes podem corresponder ao mesmo GUID de coleção.
Para ver exemplos de consultas e identificadores, consulte Entenda os identificadores de sites do SharePoint. Para resolver várias URLs sem alterar a política do ChatGPT, use as instruções de inspeção do Cookbook e o script de administração em Python.
Para conhecer os requisitos de consulta da Microsoft, consulte Obter um site do SharePoint pelo caminho.
Gerenciar conjuntos de sites permitidos e bloqueados
Usar os controles do espaço de trabalho
Abra os Controles de segurança e proteção do app do SharePoint no seu espaço de trabalho.
Em Modo de acesso, selecione Sites permitidos ou Sites bloqueados.
Adicione os conjuntos de sites à lista selecionada. Você também pode usar o upload de CSV descrito abaixo.
Revise as alterações e selecione Salvar.
Verifique a política salva e teste a configuração.
Os sites adicionados pela API de administração aparecem nos controles do espaço de trabalho. Os sites adicionados na interface também ficam disponíveis pela API. Você pode adicionar ou remover entradas por qualquer um dos meios, independentemente de qual foi usado para adicionar o site.
Alternar entre sites permitidos e bloqueados
Apenas uma lista pode conter entradas por vez. Antes de adicionar entradas no outro modo, limpe a lista existente e salve essa alteração. Em seguida, selecione o outro modo, adicione os conjuntos desejados e salve novamente.
Limpar a lista ativa altera o acesso imediatamente ao salvar. Limpar uma lista de permissões remove a restrição aos sites dessa lista; limpar uma lista de bloqueios remove os bloqueios definidos nela. Planeje a transição com outros administradores, pois o intervalo entre limpar uma lista e salvar a outra pode permitir acessos que a política final restringirá.
Carregar conjuntos de sites de um CSV
O upload de CSV aceita apenas conjuntos de sites. Para excluir arquivos por rótulo de confidencialidade, adicione os GUIDs dos rótulos à lista de exclusão por rótulo de confidencialidade.
Abra os Controles de segurança e proteção e selecione o Modo de acesso desejado.
Prepare um CSV com GUIDs de conjuntos de sites ou triplas de ID de site do Microsoft Graph. Use um único formato de identificador em todo o arquivo.
Selecione Carregar arquivo CSV e escolha o arquivo.
Revise o resultado da importação e a lista selecionada. Resolva os erros ou avisos das linhas antes de continuar.
Selecione Salvar para aplicar as alterações e verifique a lista salva.
Requisitos e comportamento do CSV:
Tamanho máximo do arquivo: 1 MB.
Os cabeçalhos são opcionais.
Use um GUID de conjunto por linha ou triplas de ID de site do Graph. As triplas podem ficar entre aspas em um único campo ou ser divididas em três colunas.
As triplas do Graph são convertidas em GUIDs de conjuntos. Importar uma tripla não cria uma regra para um site específico.
As importações adicionam entradas à lista selecionada e preservam as existentes. Os conjuntos duplicados são deduplicados; a contagem da importação informa quantos conjuntos novos foram adicionados.
Formatos misturados e linhas malformadas são rejeitados. O upload de um arquivo contendo apenas URLs de sites exibe um aviso e não adiciona sites. Primeiro, converta as URLs em GUIDs de conjuntos.
O upload altera apenas o rascunho da lista. Ele não atualiza o acesso no espaço de trabalho até que você selecione Salvar.
O upload de CSV descrito aqui gerencia conjuntos de sites. Configure as exclusões por rótulo de confidencialidade separadamente.
Se você tiver um CSV de URLs do SharePoint, o fluxo de trabalho com CSV do utilitário do Cookbook pode convertê-las em identificadores e gerenciar uma lista de permissões pela API. A entrada site_url ou url desse utilitário usa um formato e um fluxo de trabalho diferentes do upload de identificadores pela interface.
Entender os limites de política e de requisições
O limite padrão da política é de 10.000 conjuntos de sites. Limites maiores para a política do espaço de trabalho, de até 120.000 conjuntos de sites, precisam ser habilitados pela OpenAI; entre em contato com sua equipe da OpenAI antes de planejar uma implantação maior.
Operações individuais de alteração pela API e o script atual do Cookbook aceitam até 10.000 GUIDs de conjuntos por requisição. Um limite maior para a política do espaço de trabalho não aumenta esse limite por requisição. Conte os conjuntos de sites únicos, não as URLs de origem: várias URLs podem se referir ao mesmo conjunto.
Usar a API de administração do espaço de trabalho
Use o UUID do seu espaço de trabalho e a chave de administrador do espaço de trabalho do ChatGPT com https://api.chatgpt.com.
Para consultar comandos atualizados de lista de permissões e exemplos de requisições, use o Cookbook:
Pré-visualizar e adicionar conjuntos de sites. As adições preservam os conjuntos já permitidos.
Revise a política atual antes de fazer alterações. Depois, consulte-a novamente e teste o acesso resultante. Remover o último conjunto permitido ou limpar a lista de permissões remove a restrição aos sites dessa lista. Não envie uma requisição de adição vazia, a menos que queira remover as restrições da lista de permissões.
O utilitário público do Cookbook gerencia atualmente apenas listas de permissões. Ele não gerencia listas de bloqueios nem exclusões por rótulo de confidencialidade. Use os controles do espaço de trabalho descritos acima para essas tarefas.
Exclua arquivos com rótulos de confidencialidade
Encontre o GUID do rótulo
Peça ao administrador do Microsoft 365 ou do Purview o GUID imutável do rótulo pretendido. Use o GUID, não o nome de exibição do rótulo.
Um administrador pode listar os rótulos pelo Microsoft Graph. O token precisa da permissão aplicável: SensitivityLabel.Read ou SensitivityLabels.Read.All. Identifique o ID correspondente ao nome do rótulo pretendido e verifique as configurações de proteção dele.
Para conhecer os requisitos e ver exemplos, consulte Listar rótulos de confidencialidade e Propriedades dos rótulos de confidencialidade. Essas permissões de rótulos são distintas da permissão de leitura de sites usada para resolver URLs do SharePoint.
Adicionar exclusões por rótulo
Abra os Controles de segurança e proteção do app do SharePoint.
Na lista de exclusão por rótulo de confidencialidade, insira o GUID de cada rótulo que você quer excluir, incluindo os que aplicam criptografia.
Salve a configuração e teste um arquivo compatível que tenha o rótulo excluído.
Arquivos com rótulos compatíveis que correspondam aos da lista são excluídos dos resultados do app do SharePoint. O conteúdo de arquivos criptografados é excluído por padrão. O acesso a arquivos criptografados compatíveis exige tanto o acesso avançado a arquivos (fetch_advanced) quanto o consentimento do administrador do Microsoft Entra, conforme descrito nas perguntas frequentes abaixo. As exclusões por rótulo e as permissões do usuário conectado na Microsoft continuam se aplicando.
Teste sua configuração
Use arquivos e contas de teste aprovados pela sua organização. Antes de testar, confirme se a mesma conta Microsoft consegue acessar cada arquivo diretamente no SharePoint.
No modo Sites permitidos, com uma lista não vazia, verifique um arquivo em uma coleção permitida e um arquivo em uma coleção não listada. Somente a coleção permitida deve estar acessível pelo app.
No modo Sites bloqueados, verifique um arquivo em uma coleção bloqueada e um arquivo em uma coleção não bloqueada. A coleção bloqueada deve estar indisponível; a coleção não bloqueada continua sujeita às permissões da Microsoft e a outros controles.
Verifique um arquivo de teste compatível que tenha um rótulo de confidencialidade excluído. Ele não deve aparecer nos resultados do app.
Após uma alteração pela API, compare a lista salva na interface com a política retornada pela API.
Após o upload de um CSV, salve as alterações e reabra os controles para confirmar se as coleções pretendidas foram mantidas.
Se os resultados divergirem da política pretendida, verifique o espaço de trabalho, o modo de acesso selecionado, a lista salva, os GUIDs das coleções, os GUIDs dos rótulos, o tipo de arquivo compatível e as permissões do usuário na Microsoft. Não limpe uma lista como etapa de solução de problemas, a menos que pretenda fazer a alteração de acesso resultante.
Para obter ajuda com controles ausentes ou acesso inesperado, consulte: Como entrar em contato com o suporte da OpenAI. Não inclua chaves de administrador nem tokens do Microsoft Graph na sua solicitação de suporte.
Entenda as limitações
Uma regra de coleção abrange toda a coleção de sites. Ela não pode limitar o acesso a um subsite, pasta ou arquivo específico.
As restrições de sites do SharePoint não restringem automaticamente o acesso ao OneDrive.
A filtragem por rótulo de confidencialidade se aplica apenas quando o Microsoft Graph disponibiliza metadados de rótulos compatíveis, incluindo documentos do Office e arquivos PDF e MP4 compatíveis.
Tipos de arquivo sem suporte a rótulos de confidencialidade, como TXT e CSV, são tratados como arquivos sem rótulo. Eles continuam acessíveis se as demais permissões e controles permitirem. Essa limitação de tipo de arquivo não se aplica ao upload de um CSV para configurar o acesso a sites.
O upload de CSV e o utilitário de exemplo público não configuram exclusões por rótulo de confidencialidade. Este artigo não documenta uma API de gerenciamento de rótulos em massa.
Salvar uma política ou receber uma resposta de sucesso da API não substitui o teste de acesso com a conta pretendida.
Use o utilitário de administração em Python
O código de exemplo completo e os comandos são mantidos no OpenAI Cookbook:
Use o Python 3.10 ou posterior. O utilitário usa a biblioteca padrão do Python. Leia o guia antes de executá-lo e use simulações para revisar as alterações.
O utilitário atual lê as credenciais de variáveis de ambiente; siga as instruções do guia para inseri-las com segurança. Ele exige confirmação explícita para limpar uma lista de permissões. Uma remoção pode ser executada sem essa confirmação, portanto, revise-a primeiro com uma simulação.
Para saber sobre o comportamento das novas tentativas e as chaves de idempotência opcionais, consulte Tente atualizar uma política novamente com segurança. Use chaves de idempotência apenas quando o espaço de trabalho oferecer suporte a elas e inspecione a política atual após uma falha de resultado incerto.
O utilitário não habilita recursos do espaço de trabalho nem verifica se as regras estão sendo aplicadas. Seus testes offline usam chamadas simuladas ao Microsoft Graph e à API de administração do ChatGPT.
Alterações que envolvem várias solicitações não são atômicas. Se a remoção de várias coleções falhar no meio do processo, as remoções anteriores podem já ter sido concluídas. Leia a política atual antes de tentar novamente.
Perguntas frequentes
Devo adicionar rótulos de confidencialidade que aplicam criptografia à lista de exclusão?
Sim. Adicione todos os rótulos de confidencialidade do Microsoft Purview cujos arquivos você quer que o ChatGPT exclua, incluindo os rótulos que aplicam criptografia.
O conteúdo de arquivos criptografados é excluído por padrão. Para permitir o acesso a arquivos criptografados compatíveis, um administrador do espaço de trabalho deve habilitar o acesso avançado a arquivos (fetch_advanced), e um administrador do Microsoft Entra deve conceder consentimento para as permissões da Microsoft exigidas. Habilitar a ação sem concluir o consentimento do administrador não é suficiente.
Mesmo após a configuração, o ChatGPT só pode recuperar conteúdo criptografado quando o usuário conectado tem permissão para acessar e descriptografar o arquivo. Arquivos com rótulos presentes na sua lista de exclusão continuam excluídos. Habilitar o acesso avançado a arquivos ou conceder o consentimento do administrador não se sobrepõe às exclusões por rótulo nem às permissões do usuário na Microsoft.
Os controles de sites substituem as permissões da Microsoft?
Não. O app continua usando as permissões de cada usuário na Microsoft. A OpenAI aplica a filtragem de sites configurada antes que as respostas sejam exibidas ao usuário e ao modelo.
Uma lista de permissões vazia bloqueia todos os sites?
Não. Uma lista de permissões vazia não significa "bloquear tudo". Se uma lista de bloqueios contiver entradas, esses conjuntos continuarão bloqueados. Quando nenhuma das listas contém entradas, as permissões dos usuários na Microsoft e outros controles configurados determinam o acesso.
As alterações feitas pela API de administração são registradas?
As alterações de política feitas pela API de administração são registradas nos logs de auditoria e conformidade do espaço de trabalho.