Visão geral
Os administradores do espaço de trabalho podem usar os controlos do SharePoint para permitir coleções de sites aprovadas, bloquear coleções de sites selecionadas e excluir ficheiros suportados com etiquetas de confidencialidade selecionadas do Microsoft Purview.
Uma coleção de sites do SharePoint, também designada SPSite, pode conter vários sites. Uma regra de coleção aplica-se a toda a coleção, respeitando as permissões Microsoft existentes de cada utilizador. Não concede ao utilizador acesso a conteúdo ao qual não possa aceder no Microsoft 365.
As restrições de sites aplicam-se às ações suportadas de pesquisa, navegação, obtenção de ficheiros e leitura/escrita do SharePoint. O acesso ao OneDrive é gerido separadamente.
Escolha o modo de acesso adequado à sua política:
Sites permitidos: com uma lista de permissões não vazia, os utilizadores só podem aceder às coleções de sites indicadas na lista através da aplicação.
Sites bloqueados: os utilizadores podem aceder às coleções de sites que não constem da lista de bloqueios, de acordo com as suas permissões Microsoft.
Apenas uma das listas pode conter entradas de cada vez. Uma lista de permissões vazia não bloqueia todos os sites. Quando ambas as listas estão vazias, as restrições de sites do SharePoint são removidas; as permissões da Microsoft e os outros controlos configurados continuam a aplicar-se.
Disponibilidade
Os controlos e a API de administração têm de ser ativados para o seu espaço de trabalho. Os controlos disponíveis incluem listas de permissões e de bloqueios de coleções de sites, importações de sites por CSV e exclusões por etiquetas de confidencialidade.
As regras aplicam-se a coleções de sites inteiras. Estes controlos de coleções de sites não incluem a delimitação do âmbito a um site, pasta ou ficheiro específico, nem a aplicação de Microsoft Sites.Selected.
Antes de começar
Identifique as coleções de sites que a sua organização pretende permitir ou bloquear.
Obtenha o GUID de cada coleção. Um ID de site completo do Microsoft Graph contém o GUID da coleção como valor do meio. A API de administração usa GUID de coleções; o importador de CSV da interface também os pode extrair dos ID de sites do Graph compostos por três valores.
Ative as permissões Microsoft necessárias à aplicação SharePoint, tanto nas definições de permissões do ChatGPT como no Microsoft Entra, incluindo
Sites.Read.AlleFiles.Read.All. Estes controlos filtram o acesso do lado da OpenAI; não substituem as permissões delegadas da Microsoft.Para as exclusões por etiquetas de confidencialidade, peça ao seu administrador do Microsoft 365 ou do Purview o GUID imutável de cada etiqueta sem encriptação.
Para a administração pela API, obtenha o UUID do seu espaço de trabalho, uma chave de administrador do espaço de trabalho do ChatGPT e um token do Microsoft Graph, se precisar de resolver URL do SharePoint. As duas credenciais têm finalidades diferentes.
Sobre o OpenAI Cookbook
O OpenAI Cookbook é a coleção pública de código de exemplo e guias da OpenAI. Este artigo utiliza o respetivo guia de acesso a sites do SharePoint e o script de administração em Python, ambos alojados no GitHub. Pode abrir estas ligações no navegador para ler os ficheiros. Para executar o script, transfira-o e siga as instruções de configuração e de comandos do guia.
Ao longo deste artigo, «Cookbook» refere-se a esse guia do SharePoint e «utilitário do Cookbook» refere-se ao script Python da ligação. Consulte estas referências para ver exemplos de comandos e gerir listas de permissões através da API.
Configurar credenciais para administração pela API
Nota: tem de ser administrador do espaço de trabalho para poder criar chaves de administrador. Saiba mais.
Criar uma chave de administrador do espaço de trabalho do ChatGPT
Abra a consola de administração do ChatGPT e selecione o espaço de trabalho pretendido.
Aceda a Credenciais e selecione Chaves de administrador.
Crie uma chave com permissões Restritas e defina Aplicações como Escrita.
Guarde a chave em segurança. Esta chave autoriza a leitura e a alteração da política do SharePoint para o seu espaço de trabalho.
A permissão necessária é chatgpt.enterprise.apps.write. Tenha em atenção que nem uma chave da Plataforma de API da OpenAI nem um token do Microsoft Graph podem substituir uma chave de administrador do espaço de trabalho do ChatGPT.
Para mais informações, consulte: Gerir chaves de administrador no separador Credenciais. Para conhecer as variáveis de ambiente de credenciais do script e ver um exemplo de introdução segura, consulte as instruções de credenciais do Cookbook.
Obter um token do Microsoft Graph
Use o processo de autenticação Microsoft aprovado pela sua organização. Para uma consulta interativa, se a sua organização permitir o Graph Explorer:
Abra o Microsoft Graph Explorer e inicie sessão com uma conta profissional no inquilino que contém os sites do SharePoint.
Selecione as permissões necessárias para ler os sites, normalmente
Sites.Read.All, através de Modificar permissões ou Dar consentimento para as permissões. Peça ao seu administrador Microsoft que aprove o acesso, se a sua organização o exigir.Abra o separador Token de acesso e copie o token para usar com o Microsoft Graph.
Para consultar as instruções da Microsoft, veja Trabalhar com o Graph Explorer.
O token do Graph permite converter URL do SharePoint em identificadores. A chave de administrador do ChatGPT permite ler ou atualizar a política do ChatGPT. O utilitário do Cookbook só precisa do token do Graph para comandos que resolvem URL; para ler ou limpar uma lista de permissões existente, basta a chave de administrador do ChatGPT.
Não coloque nenhuma das credenciais em sistemas de controlo de versões, documentos partilhados, capturas de ecrã ou registos.
Encontrar o GUID de uma coleção de sites
Usar o URL do site do SharePoint
Abra o site do SharePoint com sessão iniciada na Microsoft numa conta que tenha acesso ao site.
Acrescente
/_api/site/idao URL do site. Por exemplo, usehttps://contoso.sharepoint.com/sites/Finance/_api/site/id.Copie o GUID devolvido na resposta.
Nota: os domínios e identificadores de exemplo neste artigo são meramente ilustrativos.
Usar o Microsoft Graph
O Microsoft Graph devolve um ID de site com três componentes separados por vírgulas: o nome do anfitrião, o GUID da coleção de sites e o GUID do site. Use o valor do meio para uma regra de coleção de sites. Diferentes URL de sites podem corresponder ao mesmo GUID de coleção.
Para ver exemplos de consulta e de identificadores, consulte Compreender os identificadores de sites do SharePoint. Para resolver vários URL sem alterar a política do ChatGPT, use as instruções de inspeção do Cookbook e o script de administração em Python.
Para conhecer os requisitos de consulta da Microsoft, consulte Obter um site do SharePoint pelo caminho.
Gerir coleções de sites permitidas e bloqueadas
Usar os controlos do espaço de trabalho
Abra os Controlos de proteção e segurança da aplicação SharePoint no seu espaço de trabalho.
Em Modo de acesso, selecione Sites permitidos ou Sites bloqueados.
Adicione as coleções de sites à lista selecionada. Também pode usar o carregamento de CSV descrito abaixo.
Reveja as alterações e selecione Guardar.
Verifique a política guardada e teste a configuração.
Os sites adicionados através da API de administração aparecem nos controlos do espaço de trabalho. Os sites adicionados na interface também estão disponíveis através da API. Pode adicionar ou remover entradas por qualquer uma das vias; o método usado para adicionar um site não obriga a usar sempre esse método.
Alternar entre sites permitidos e bloqueados
Apenas uma das listas pode conter entradas de cada vez. Antes de adicionar entradas no outro modo, limpe a lista existente e guarde essa alteração. Em seguida, selecione o outro modo, adicione as coleções pretendidas e guarde novamente.
Limpar a lista ativa altera o acesso assim que guardar. Limpar uma lista de permissões remove a respetiva restrição de sites; limpar uma lista de bloqueios remove os respetivos bloqueios. Planeie a transição com os outros administradores, pois o intervalo entre limpar uma lista e guardar a outra pode permitir acesso que a política final irá restringir.
Carregar coleções de sites a partir de um CSV
O carregamento de CSV suporta apenas coleções de sites. Para excluir ficheiros por etiqueta de confidencialidade, adicione os GUID das etiquetas em Etiquetas de confidencialidade excluídas sem encriptação.
Abra os Controlos de proteção e segurança e selecione o Modo de acesso pretendido.
Prepare um CSV com GUID de coleções de sites ou ID de sites do Microsoft Graph compostos por três valores. Use um único formato de identificador em todo o ficheiro.
Selecione Carregar ficheiro CSV e escolha o ficheiro.
Reveja o resultado da importação e a lista selecionada. Resolva quaisquer erros ou avisos nas linhas antes de continuar.
Selecione Guardar para aplicar as alterações e, em seguida, verifique a lista guardada.
Requisitos e funcionamento do CSV:
Tamanho máximo do ficheiro: 1 MB.
Os cabeçalhos são opcionais.
Use um GUID de coleção por linha ou ID de sites do Graph compostos por três valores. Os três valores podem ficar entre aspas num único campo ou ser divididos por três colunas.
Os ID de três valores do Graph são convertidos em GUID de coleções. A importação de um ID de três valores não cria uma regra para um site específico.
As importações adicionam entradas à lista selecionada e preservam as entradas existentes. As coleções duplicadas são deduplicadas; a contagem da importação indica as coleções adicionadas de novo.
Os formatos mistos e as linhas mal formatadas são rejeitados. O carregamento de um ficheiro que contenha apenas URL de sites apresenta um aviso e não adiciona sites. Converta primeiro os URL nos GUID das coleções correspondentes.
O carregamento altera apenas o rascunho da lista. Não atualiza o acesso do espaço de trabalho até selecionar Guardar.
O carregamento de CSV aqui descrito permite gerir coleções de sites. Configure as exclusões por etiquetas de confidencialidade separadamente.
Se tiver um CSV com URL do SharePoint, o fluxo de trabalho de CSV do utilitário do Cookbook permite resolvê-los e gerir uma lista de permissões através da API. A entrada site_url ou url desse utilitário usa um formato e um fluxo de trabalho diferentes do carregamento de identificadores na interface.
Compreender os limites da política e dos pedidos
O limite predefinido da política é de 10 000 coleções de sites. Os limites de política superiores para o espaço de trabalho, até 120 000 coleções de sites, exigem ativação pela OpenAI; contacte a sua equipa da OpenAI antes de planear uma implementação de maior dimensão.
As operações individuais de alteração pela API e o script atual do Cookbook aceitam até 10 000 GUID de coleções por pedido. Um limite de política superior para o espaço de trabalho não aumenta este limite por pedido. Conte as coleções de sites distintas, não os URL de origem: vários URL podem referir-se à mesma coleção.
Usar a API de administração do espaço de trabalho
Use o UUID e a chave de administrador do seu espaço de trabalho do ChatGPT com https://api.chatgpt.com.
Para consultar comandos de lista de permissões e exemplos de pedidos atualizados, use o Cookbook:
Pré-visualizar e adicionar coleções de sites. As adições preservam as coleções já permitidas.
Reveja a política atual antes de fazer alterações; depois, leia-a novamente e teste o acesso resultante. Remover a última coleção permitida ou limpar a lista de permissões remove essa restrição de sites. Não envie um pedido de adição vazio, a menos que pretenda remover as restrições da lista de permissões.
Atualmente, o utilitário público do Cookbook gere apenas listas de permissões. Não gere listas de bloqueios nem exclusões por etiquetas de confidencialidade. Use os controlos do espaço de trabalho descritos acima para essas tarefas.
Excluir ficheiros com etiquetas de confidencialidade
Encontrar o GUID da etiqueta
Peça ao seu administrador do Microsoft 365 ou do Purview o GUID imutável da etiqueta pretendida. Use o GUID, não o nome a apresentar da etiqueta.
Um administrador pode listar as etiquetas através do Microsoft Graph. O token precisa da permissão aplicável: SensitivityLabel.Read ou SensitivityLabels.Read.All. Associe o nome da etiqueta pretendida ao respetivo ID e verifique as definições de proteção.
Para consultar os requisitos e exemplos, veja Listar etiquetas de confidencialidade e Propriedades das etiquetas de confidencialidade. Estas permissões de etiquetas são independentes da permissão de leitura de sites usada para resolver URL do SharePoint.
Adicionar exclusões por etiquetas
Abra os Controlos de proteção e segurança da aplicação SharePoint.
Introduza o GUID de cada etiqueta sem encriptação em Etiquetas de confidencialidade excluídas sem encriptação.
Guarde a configuração e teste um ficheiro suportado com a etiqueta excluída.
Os ficheiros com etiquetas suportadas que correspondam às exclusões são excluídos dos resultados da aplicação SharePoint. Os ficheiros com etiquetas que aplicam encriptação já são excluídos por predefinição.
Testar a configuração
Use ficheiros e contas de teste aprovados pela sua organização. Antes de testar, confirme que a mesma conta Microsoft consegue aceder a cada ficheiro diretamente no SharePoint.
No modo Sites permitidos, com uma lista não vazia, verifique um ficheiro numa coleção permitida e um ficheiro numa coleção que não conste da lista. Apenas a coleção permitida deverá estar acessível através da aplicação.
No modo Sites bloqueados, verifique um ficheiro numa coleção bloqueada e um ficheiro numa coleção não bloqueada. A coleção bloqueada deverá estar indisponível; a coleção não bloqueada continua sujeita às permissões da Microsoft e a outros controlos.
Verifique um ficheiro de teste suportado que tenha uma etiqueta de confidencialidade excluída. Não deverá aparecer nos resultados da aplicação.
Após uma alteração pela API, compare a lista guardada na interface com a política devolvida pela API.
Após carregar um CSV, guarde as alterações e volte a abrir os controlos para confirmar que as coleções pretendidas foram mantidas.
Se os resultados diferirem da política pretendida, verifique o espaço de trabalho, o modo de acesso selecionado, a lista guardada, os GUID das coleções, os GUID das etiquetas, o tipo de ficheiro suportado e as permissões Microsoft do utilizador. Não limpe uma lista para tentar resolver um problema, a menos que pretenda a alteração de acesso daí resultante.
Para obter ajuda com controlos em falta ou acesso inesperado, consulte: Contactar o suporte da OpenAI. Não inclua chaves de administrador nem tokens do Microsoft Graph no seu pedido de suporte.
Compreender as limitações
Uma regra de coleção abrange toda a coleção de sites. Não pode limitar o acesso a um subsite, pasta ou ficheiro específico.
As restrições de sites do SharePoint não restringem automaticamente o acesso ao OneDrive.
A filtragem por etiquetas de confidencialidade aplica-se apenas quando o Microsoft Graph disponibiliza metadados de etiquetas compatíveis, incluindo documentos do Office e ficheiros PDF e MP4 suportados.
Os tipos de ficheiro que não suportam etiquetas de confidencialidade, como TXT e CSV, são tratados como não etiquetados. Continuam acessíveis se as restantes permissões o permitirem. Esta limitação de tipo de ficheiro é independente do carregamento de um CSV para configurar o acesso a sites.
O carregamento de CSV e o utilitário de exemplo público não configuram exclusões por etiquetas de confidencialidade. Este artigo não documenta uma API de gestão de etiquetas em massa.
Uma política guardada ou uma resposta bem-sucedida da API não substitui o teste de acesso com a conta pretendida.
Usar o utilitário de administração em Python
O código de exemplo completo e os comandos são mantidos no OpenAI Cookbook:
Use o Python 3.10 ou posterior. O utilitário usa a biblioteca padrão do Python. Leia o guia antes de o executar e faça simulações para rever as alterações.
O utilitário atual lê as credenciais a partir de variáveis de ambiente; siga as instruções do guia para as introduzir de forma segura. É necessária uma confirmação explícita para limpar uma lista de permissões. Uma remoção pode ser executada sem essa confirmação, por isso reveja-a primeiro com uma simulação.
Para saber como funcionam as novas tentativas e as chaves de idempotência opcionais, consulte Repetir uma atualização de política em segurança. Use chaves de idempotência apenas quando o espaço de trabalho as suportar e inspecione a política atual após uma falha ambígua.
O utilitário não ativa funcionalidades do espaço de trabalho nem verifica a aplicação efetiva da política. Os testes offline usam chamadas simuladas ao Microsoft Graph e à API de administração do ChatGPT.
As alterações que envolvem vários pedidos não são atómicas. Se a remoção de várias coleções falhar a meio, as remoções anteriores podem já ter sido concluídas. Leia a política atual antes de tentar novamente.
Perguntas frequentes
Os controlos de sites substituem as permissões da Microsoft?
Não. A aplicação continua a usar as permissões Microsoft de cada utilizador. A OpenAI aplica a filtragem de sites configurada antes de as respostas serem apresentadas ao utilizador e ao modelo.
Uma lista de permissões vazia bloqueia todos os sites?
Não. Uma lista de permissões vazia não significa «bloquear tudo». Se uma lista de bloqueios contiver entradas, essas coleções continuam bloqueadas. Quando nenhuma das listas contém entradas, o acesso é determinado pelas permissões Microsoft dos utilizadores e pelos outros controlos configurados.
As alterações pela API de administração são registadas?
As alterações à política feitas pela API de administração ficam registadas nos registos de auditoria e conformidade do espaço de trabalho.