Visão geral
Os administradores do espaço de trabalho podem usar os controles do SharePoint para permitir coleções de sites aprovadas, bloquear coleções de sites selecionadas e excluir arquivos compatíveis com rótulos de confidencialidade selecionados do Microsoft Purview.
Uma coleção de sites do SharePoint, também chamada de SPSite, pode conter vários sites. Uma regra de coleção se aplica à coleção inteira, respeitando as permissões que cada usuário já tem na Microsoft. Ela não concede ao usuário acesso a conteúdo que ele não pode acessar no Microsoft 365.
As restrições de sites se aplicam às ações compatíveis de pesquisa, navegação, obtenção de arquivos e leitura/gravação do SharePoint. O acesso ao OneDrive é gerenciado separadamente.
Escolha o modo de acesso adequado à sua política:
Sites permitidos: com uma lista de permissões não vazia, os usuários podem acessar pelo app apenas as coleções de sites listadas.
Sites bloqueados: os usuários podem acessar coleções de sites que não estejam na lista de bloqueios, respeitando suas permissões na Microsoft.
Apenas uma lista pode conter entradas por vez. Uma lista de permissões vazia não bloqueia todos os sites. Quando ambas as listas estão vazias, as restrições de sites do SharePoint são removidas; as permissões da Microsoft e os demais controles configurados continuam valendo.
Disponibilidade
Os controles e a API de administração precisam estar habilitados para o seu espaço de trabalho. Os controles disponíveis incluem listas de permissões e de bloqueios de coleções de sites, importações de sites por CSV e exclusões por rótulo de confidencialidade.
As regras se aplicam a coleções de sites inteiras. Esses controles de coleção de sites não incluem a delimitação do acesso a um site, pasta ou arquivo específico, nem a aplicação de Microsoft Sites.Selected.
Antes de começar
Identifique as coleções de sites que sua organização deseja permitir ou bloquear.
Obtenha o GUID de cada coleção. Um ID de site completo do Microsoft Graph contém o GUID da coleção como valor do meio. A API de administração usa GUIDs de coleções; o importador de CSV da interface também pode extraí-los de triplas de ID de site do Graph.
Habilite as permissões da Microsoft exigidas pelo app do SharePoint nas configurações de permissões do ChatGPT e no Microsoft Entra, incluindo
Sites.Read.AlleFiles.Read.All. Esses controles filtram o acesso no lado da OpenAI; eles não substituem as permissões delegadas da Microsoft.Para configurar exclusões por rótulo de confidencialidade, peça ao administrador do Microsoft 365 ou do Purview o GUID imutável de cada rótulo sem criptografia.
Para administrar pela API, obtenha o UUID do seu espaço de trabalho, uma chave de administrador do espaço de trabalho do ChatGPT e um token do Microsoft Graph, caso precise resolver URLs do SharePoint. As duas credenciais têm finalidades diferentes.
Sobre o OpenAI Cookbook
O OpenAI Cookbook é a coleção pública de exemplos de código e guias da OpenAI. Este artigo usa o guia de acesso a sites do SharePoint e o script de administração em Python dessa coleção, ambos hospedados no GitHub. Você pode abrir esses links no navegador para ler os arquivos. Para executar o script, baixe-o e siga as instruções de configuração e de comandos do guia.
Neste artigo, "Cookbook" se refere a esse guia do SharePoint, e "utilitário do Cookbook" se refere ao script em Python no link. Use essas referências para consultar exemplos de comandos e gerenciar listas de permissões pela API.
Configure as credenciais para administração pela API
Observação: você precisa ser administrador do espaço de trabalho para criar chaves de administrador. Saiba mais.
Crie uma chave de administrador do espaço de trabalho do ChatGPT
Abra o console de administração do ChatGPT e selecione o espaço de trabalho pretendido.
Acesse Credenciais e selecione Chaves de administrador.
Crie uma chave com permissões Restritas e defina Apps como Gravação.
Armazene a chave com segurança. Essa chave autoriza a leitura e a alteração da política do SharePoint no seu espaço de trabalho.
A permissão necessária é chatgpt.enterprise.apps.write. Observe que uma chave da Plataforma de API e um token do Microsoft Graph não podem substituir uma chave de administrador do espaço de trabalho do ChatGPT.
Para obter mais informações, consulte: Gerenciar chaves de administrador na aba Credenciais. Para ver as variáveis de ambiente de credenciais do script e um exemplo de entrada segura, consulte as instruções de credenciais do Cookbook.
Obtenha um token do Microsoft Graph
Use o processo de autenticação da Microsoft aprovado pela sua organização. Para fazer uma consulta interativa, se sua organização permitir o Graph Explorer:
Abra o Microsoft Graph Explorer e entre com uma conta corporativa do locatário que contém os sites do SharePoint.
Selecione as permissões necessárias para ler os sites, normalmente
Sites.Read.All, usando Modificar permissões ou Consentir com as permissões. Peça ao administrador da Microsoft que aprove o acesso, caso sua organização exija essa aprovação.Abra a aba Token de acesso e copie o token para usar com o Microsoft Graph.
Para consultar as instruções da Microsoft, veja Trabalhar com o Graph Explorer.
O token do Graph permite resolver URLs do SharePoint em identificadores. A chave de administrador do ChatGPT permite ler ou atualizar a política do ChatGPT. O utilitário do Cookbook precisa do token do Graph apenas para comandos que resolvem URLs; para ler ou limpar uma lista de permissões existente, basta a chave de administrador do ChatGPT.
Não coloque nenhuma das credenciais em sistemas de controle de versão, documentos compartilhados, capturas de tela ou logs.
Encontre o GUID de uma coleção de sites
Use a URL do site do SharePoint
Abra o site do SharePoint após entrar na Microsoft com uma conta que tenha acesso a ele.
Acrescente
/_api/site/idao final da URL do site. Por exemplo, usehttps://contoso.sharepoint.com/sites/Finance/_api/site/id.Copie o GUID retornado na resposta.
Observação: os domínios e identificadores de exemplo neste artigo são fictícios.
Use o Microsoft Graph
O Microsoft Graph retorna um ID de site com três componentes separados por vírgulas: o nome do host, o GUID da coleção de sites e o GUID do site. Use o valor do meio para uma regra de coleção de sites. URLs de sites diferentes podem corresponder ao mesmo GUID de coleção.
Para ver exemplos de consultas e identificadores, consulte Entenda os identificadores de sites do SharePoint. Para resolver várias URLs sem alterar a política do ChatGPT, use as instruções de inspeção do Cookbook e o script de administração em Python.
Para conhecer os requisitos de consulta da Microsoft, consulte Obter um site do SharePoint pelo caminho.
Gerencie coleções de sites permitidas e bloqueadas
Use os controles do espaço de trabalho
Abra os Controles de proteção e segurança do app do SharePoint no seu espaço de trabalho.
Em Modo de acesso, selecione Sites permitidos ou Sites bloqueados.
Adicione as coleções de sites à lista selecionada. Você também pode usar o upload de CSV descrito abaixo.
Revise suas alterações e selecione Salvar.
Verifique a política salva e teste sua configuração.
Os sites adicionados pela API de administração aparecem nos controles do espaço de trabalho. Os sites adicionados na interface também ficam disponíveis pela API. Você pode adicionar ou remover entradas por qualquer uma das duas opções; o método usado para adicionar um site não obriga você a continuar usando esse método.
Alterne entre sites permitidos e bloqueados
Apenas uma lista pode conter entradas por vez. Antes de adicionar entradas no outro modo, limpe a lista existente e salve essa alteração. Em seguida, selecione o outro modo, adicione as coleções pretendidas e salve novamente.
Limpar a lista ativa altera o acesso imediatamente ao salvar. Limpar uma lista de permissões remove sua restrição de sites; limpar uma lista de bloqueios remove seus bloqueios. Planeje a transição com outros administradores, pois o intervalo entre limpar uma lista e salvar a outra pode permitir acessos que sua política final restringirá.
Importe coleções de sites de um CSV
O upload de CSV oferece suporte apenas a coleções de sites. Para excluir arquivos por rótulo de confidencialidade, adicione os GUIDs dos rótulos em Rótulos de confidencialidade excluídos sem criptografia.
Abra Controles de proteção e segurança e selecione o Modo de acesso pretendido.
Prepare um CSV com GUIDs de coleções de sites ou triplas de ID de site do Microsoft Graph. Use um único formato de identificador em todo o arquivo.
Selecione Fazer upload de arquivo CSV e escolha o arquivo.
Revise o resultado da importação e a lista selecionada. Resolva os erros ou avisos nas linhas antes de continuar.
Selecione Salvar para aplicar as alterações e verifique a lista salva.
Requisitos e comportamento do CSV:
Tamanho máximo do arquivo: 1 MB.
Os cabeçalhos são opcionais.
Use um GUID de coleção por linha ou triplas de ID de site do Graph. As triplas podem ficar entre aspas em um único campo ou ser divididas em três colunas.
As triplas do Graph são convertidas em GUIDs de coleções. A importação de uma tripla não cria uma regra para um site específico.
As importações adicionam entradas à lista selecionada e preservam as existentes. As coleções duplicadas são deduplicadas; a contagem da importação informa quantas coleções novas foram adicionadas.
Formatos mistos e linhas malformadas são rejeitados. O upload de um arquivo que contém apenas URLs de sites exibe um aviso e não adiciona sites. Primeiro, resolva as URLs para obter os GUIDs das coleções.
O upload altera apenas o rascunho da lista. Ele não atualiza o acesso no espaço de trabalho até que você selecione Salvar.
O upload de CSV descrito aqui gerencia coleções de sites. Configure as exclusões por rótulo de confidencialidade separadamente.
Se você tiver um CSV com URLs do SharePoint, o fluxo de trabalho de CSV do utilitário do Cookbook pode resolvê-las e gerenciar uma lista de permissões pela API. A entrada site_url ou url desse utilitário usa um formato e um fluxo de trabalho diferentes do upload de identificadores na interface.
Entenda os limites da política e das solicitações
O limite padrão da política é de 10.000 coleções de sites. Limites maiores para a política do espaço de trabalho, de até 120.000 coleções de sites, precisam ser habilitados pela OpenAI; entre em contato com sua equipe da OpenAI antes de planejar uma implantação maior.
As operações individuais de alteração pela API e o script atual do Cookbook aceitam até 10.000 GUIDs de coleções por solicitação. Um limite maior para a política do espaço de trabalho não aumenta esse limite por solicitação. Conte as coleções de sites únicas, não as URLs de origem: várias URLs podem se referir à mesma coleção.
Use a API de administração do espaço de trabalho
Use o UUID do seu espaço de trabalho e a chave de administrador do espaço de trabalho do ChatGPT com https://api.chatgpt.com.
Para consultar comandos atualizados de listas de permissões e exemplos de solicitações, use o Cookbook:
Visualize e adicione coleções de sites. As adições preservam as coleções já permitidas.
Revise a política atual antes de fazer alterações; depois, leia-a novamente e teste o acesso resultante. Remover a última coleção permitida ou limpar a lista de permissões remove essa restrição de sites. Não envie uma solicitação de adição vazia, a menos que pretenda remover as restrições da lista de permissões.
O utilitário público do Cookbook atualmente gerencia apenas listas de permissões. Ele não gerencia listas de bloqueios nem exclusões por rótulo de confidencialidade. Use os controles do espaço de trabalho descritos acima para essas tarefas.
Exclua arquivos com rótulos de confidencialidade
Encontre o GUID do rótulo
Peça ao administrador do Microsoft 365 ou do Purview o GUID imutável do rótulo pretendido. Use o GUID, não o nome de exibição do rótulo.
Um administrador pode listar os rótulos pelo Microsoft Graph. O token precisa da permissão aplicável: SensitivityLabel.Read ou SensitivityLabels.Read.All. Identifique o ID correspondente ao nome do rótulo pretendido e verifique as configurações de proteção dele.
Para conhecer os requisitos e ver exemplos, consulte Listar rótulos de confidencialidade e Propriedades dos rótulos de confidencialidade. Essas permissões de rótulos são distintas da permissão de leitura de sites usada para resolver URLs do SharePoint.
Adicione exclusões por rótulo
Abra os Controles de proteção e segurança do app do SharePoint.
Insira o GUID de cada rótulo sem criptografia em Rótulos de confidencialidade excluídos sem criptografia.
Salve a configuração e teste um arquivo compatível com o rótulo excluído.
Os arquivos com rótulos compatíveis que correspondam aos rótulos excluídos são removidos dos resultados do app do SharePoint. Os arquivos com rótulos que aplicam criptografia já são excluídos por padrão.
Teste sua configuração
Use arquivos e contas de teste aprovados pela sua organização. Antes de testar, confirme se a mesma conta Microsoft consegue acessar cada arquivo diretamente no SharePoint.
No modo Sites permitidos, com uma lista não vazia, verifique um arquivo em uma coleção permitida e um arquivo em uma coleção não listada. Somente a coleção permitida deve estar acessível pelo app.
No modo Sites bloqueados, verifique um arquivo em uma coleção bloqueada e um arquivo em uma coleção não bloqueada. A coleção bloqueada deve estar indisponível; a coleção não bloqueada continua sujeita às permissões da Microsoft e a outros controles.
Verifique um arquivo de teste compatível que tenha um rótulo de confidencialidade excluído. Ele não deve aparecer nos resultados do app.
Após uma alteração pela API, compare a lista salva na interface com a política retornada pela API.
Após o upload de um CSV, salve as alterações e reabra os controles para confirmar se as coleções pretendidas foram mantidas.
Se os resultados divergirem da política pretendida, verifique o espaço de trabalho, o modo de acesso selecionado, a lista salva, os GUIDs das coleções, os GUIDs dos rótulos, o tipo de arquivo compatível e as permissões do usuário na Microsoft. Não limpe uma lista como etapa de solução de problemas, a menos que pretenda fazer a alteração de acesso resultante.
Para obter ajuda com controles ausentes ou acesso inesperado, consulte: Como entrar em contato com o suporte da OpenAI. Não inclua chaves de administrador nem tokens do Microsoft Graph na sua solicitação de suporte.
Entenda as limitações
Uma regra de coleção abrange toda a coleção de sites. Ela não pode limitar o acesso a um subsite, pasta ou arquivo específico.
As restrições de sites do SharePoint não restringem automaticamente o acesso ao OneDrive.
A filtragem por rótulo de confidencialidade se aplica apenas quando o Microsoft Graph disponibiliza metadados de rótulos compatíveis, incluindo documentos do Office e arquivos PDF e MP4 compatíveis.
Tipos de arquivo sem suporte a rótulos de confidencialidade, como TXT e CSV, são tratados como arquivos sem rótulo. Eles continuam acessíveis se as demais permissões e controles permitirem. Essa limitação de tipo de arquivo não se aplica ao upload de um CSV para configurar o acesso a sites.
O upload de CSV e o utilitário de exemplo público não configuram exclusões por rótulo de confidencialidade. Este artigo não documenta uma API de gerenciamento de rótulos em massa.
Salvar uma política ou receber uma resposta de sucesso da API não substitui o teste de acesso com a conta pretendida.
Use o utilitário de administração em Python
O código de exemplo completo e os comandos são mantidos no OpenAI Cookbook:
Use o Python 3.10 ou posterior. O utilitário usa a biblioteca padrão do Python. Leia o guia antes de executá-lo e use simulações para revisar as alterações.
O utilitário atual lê as credenciais de variáveis de ambiente; siga as instruções do guia para inseri-las com segurança. Ele exige confirmação explícita para limpar uma lista de permissões. Uma remoção pode ser executada sem essa confirmação, portanto, revise-a primeiro com uma simulação.
Para saber sobre o comportamento das novas tentativas e as chaves de idempotência opcionais, consulte Tente atualizar uma política novamente com segurança. Use chaves de idempotência apenas quando o espaço de trabalho oferecer suporte a elas e inspecione a política atual após uma falha de resultado incerto.
O utilitário não habilita recursos do espaço de trabalho nem verifica se as regras estão sendo aplicadas. Seus testes offline usam chamadas simuladas ao Microsoft Graph e à API de administração do ChatGPT.
Alterações que envolvem várias solicitações não são atômicas. Se a remoção de várias coleções falhar no meio do processo, as remoções anteriores podem já ter sido concluídas. Leia a política atual antes de tentar novamente.
Perguntas frequentes
Os controles de sites substituem as permissões da Microsoft?
Não. O app continua usando as permissões de cada usuário na Microsoft. A OpenAI aplica a filtragem de sites configurada antes que as respostas sejam apresentadas ao usuário e ao modelo.
Uma lista de permissões vazia bloqueia todos os sites?
Não. Uma lista de permissões vazia não significa "bloquear todos". Se uma lista de bloqueios contiver entradas, essas coleções continuarão bloqueadas. Quando nenhuma das listas contém entradas, as permissões dos usuários na Microsoft e os demais controles configurados determinam o acesso.
As alterações feitas pela API de administração são registradas?
As alterações de política feitas pela API de administração são registradas nos logs de auditoria e conformidade do espaço de trabalho.