Это руководство предназначено для администраторов рабочих областей ChatGPT и пользователей ChatGPT Plus или Pro, которые настраивают коннектор Databricks Genie со встроенным OAuth или OAuth-клиентом своей организации.
Встроенный OAuth: используйте предварительно настроенное подключение, если оно доступно в ChatGPT и включено для вашей рабочей области Databricks. Вам не нужно создавать OAuth-приложение или вводить идентификатор и секрет клиента. Следуйте инструкциям в разделе «Встроенный OAuth» ниже.
Собственный OAuth-клиент: выберите этот вариант, если встроенный OAuth недоступен или ваша организация требует использовать собственный OAuth-клиент. Следуйте инструкциям в разделе «Собственный OAuth-клиент» ниже.
Что вы настраиваете
Вы создаете подключение приложения Databricks для своего аккаунта или рабочей области ChatGPT. Для обоих вариантов нужны данные провайдера Databricks, которые запрашивает ChatGPT, и разрешения на доступ к ресурсам, которые вы планируете использовать. Если вы используете собственный OAuth-клиент, также подготовьте:
Подключение OAuth-приложения Databricks, созданное в консоли аккаунта Databricks.
Идентификатор и секрет OAuth-клиента Databricks.
Точный URL обратного вызова, скопированный из ChatGPT.
Области доступа Databricks, соответствующие функциям коннектора, которые вы хотите включить.
Данные провайдера Databricks, которые запрашиваются при настройке в ChatGPT: например, хост рабочей области, хост аккаунта, идентификатор аккаунта или SQL-хранилище.
Перед началом
Для настройки рабочей области откройте консоль администратора, выберите нужную рабочую область ChatGPT и откройте раздел «Плагины». Выберите «Управление прежними приложениями», чтобы открыть сохраненную страницу «Приложения». О навигации по рабочей области и доступе к прежним приложениям см. в статье Администрирование, безопасность и соответствие требованиям для плагинов и приложений.
Вам понадобятся:
Права администратора или владельца рабочей области ChatGPT либо аккаунт ChatGPT Plus или Pro.
Для собственного OAuth-клиента — права администратора аккаунта Databricks. Для некоторых задач может быть достаточно прав администратора рабочей области, но подключения собственных приложений настраиваются в консоли аккаунта Databricks. Для встроенного OAuth администратор Databricks должен проверить, что приложение ChatGPT доступно и включено для вашей рабочей области.
Для собственного OAuth-клиента — консоль аккаунта Databricks, открытая в отдельной вкладке.
Для собственного OAuth-клиента — экран подключения Databricks Genie, открытый в ChatGPT, чтобы скопировать точный URL обратного вызова.
Решение о том, какие функции нужны приложению: Genie и панели мониторинга ИИ/BI, расширенный доступ к API Databricks или работа только с API Databricks SQL. Доступа только к SQL недостаточно для действий с Genie или панелями мониторинга.
Для собственного OAuth-клиента — безопасное место для работы с секретом клиента Databricks.
Если доступ к вашему аккаунту или рабочей области Databricks ограничен списком разрешенных IP-адресов, контекстными правилами входящего доступа, брандмауэром или другой сетевой политикой — помощь администратора Databricks, который может разрешить актуальные диапазоны исходящих IP-адресов коннекторов ChatGPT.
Для собственного OAuth-клиента скопируйте точное значение URL обратного вызова, показанное в ChatGPT.
Какие значения подготовить
Для собственного OAuth-клиента — URL обратного вызова: скопируйте его с экрана настройки коннектора в ChatGPT.
Для собственного OAuth-клиента — идентификатор OAuth-клиента Databricks.
Для собственного OAuth-клиента — секрет OAuth-клиента Databricks.
Для собственного OAuth-клиента — области доступа Databricks, соответствующие функциям приложения. Если для нового подключения Genie и панелей мониторинга указаны
ai-gateway,dashboardsиoffline_access, подготовьте эти области доступа. Все API (all-apisвместе сoffline_access) остаются прежним вариантом с более широкими правами. Используйте SQL только для приложения, которое работает исключительно с API Databricks SQL.Значения полей рабочей области или аккаунта Databricks, которые запрашиваются при настройке в ChatGPT.
Встроенный OAuth
Сначала выполните предварительные требования, указанные выше. Используйте этот вариант, только если встроенный OAuth доступен в ChatGPT и включен для вашей рабочей области Databricks.
Попросите администратора Databricks проверить, что приложение ChatGPT доступно в настройках интеграции приложений консоли аккаунта и включено для вашей рабочей области. Если приложения ChatGPT нет в списке консоли аккаунта Databricks, обратитесь к своему представителю Databricks и уточните, доступна ли эта функция для вашего аккаунта.
В ChatGPT переключитесь на аккаунт или рабочую область, где должно быть доступно приложение. Для личной настройки откройте Настройки > Плагины. Для настройки рабочей области откройте Консоль администратора > Плагины с правами администратора или владельца рабочей области.
Выберите Databricks Genie, затем Добавить подключение приложения.
Заполните поле Имя хоста рабочей области (обязательно), не указывая
https://и путь URL.На основе этого имени хоста ChatGPT формирует конечную точку Genie MCP для рабочей области:
https://<workspace-host>/ai-gateway/mcp-services/system.ai.genie_one_mcp. Отдельная региональная конечная точка MCP не требуется.Выберите Продолжить, затем войдите в Databricks и ознакомьтесь с запросом согласия.
Перейдите к разделам «Подключение и проверка» и «Управление доступом» ниже. Выполните в том числе тесты от имени участников с разрешенным доступом и проверки доступа к рабочей области.
Собственный OAuth-клиент
Сначала выполните предварительные требования, указанные выше. Используйте этот вариант, если встроенный OAuth недоступен или ваша организация требует использовать собственный OAuth-клиент. После настройки выполните инструкции из разделов «Подключение и проверка» и «Управление доступом» ниже.
Начните настройку собственного OAuth-клиента в ChatGPT
В ChatGPT переключитесь на аккаунт или рабочую область, где должно быть доступно приложение.
Для личной настройки откройте Настройки > Плагины. Для настройки рабочей области откройте Консоль администратора > Плагины с правами администратора или владельца рабочей области.
Выберите Databricks Genie в разделе Каталог.
Выберите Добавить подключение приложения.
В диалоговом окне Подключение Databricks Genie найдите поля Идентификатор OAuth-клиента и Секрет OAuth-клиента. Чтобы использовать собственный клиент, достаточно ввести учетные данные в эти поля; отдельно выбирать этот вариант не нужно.
Скопируйте URL обратного вызова из ChatGPT. Оставьте это диалоговое окно открытым.
Пример URL обратного вызова:
https://chatgpt.com/connector/oauth/<callback_id>
Не удаляйте идентификатор обратного вызова, не добавляйте косую черту в конце и не заменяйте этот адрес общим URL ChatGPT. URL, зарегистрированный в Databricks, должен точно совпадать со значением URL обратного вызова, показанным в ChatGPT.
Создайте подключение собственного OAuth-приложения в Databricks
Откройте консоль своего аккаунта Databricks.
На левой боковой панели откройте Настройки.
Откройте вкладку Подключения приложений.
Выберите Добавить подключение.
Введите название приложения, например «Коннектор Databricks для ChatGPT».
В поле URL перенаправления вставьте точный URL обратного вызова, скопированный из ChatGPT.
В разделе Области доступа выберите области доступа, необходимые приложению.
Если для нового подключения Genie и панелей мониторинга в ChatGPT указаны
ai-gateway,dashboardsиoffline_access, разрешите те же области доступа в OAuth-приложении Databricks.Все API остаются прежним вариантом с более широкими правами для общего доступа к API Databricks. Для этой конфигурации укажите в ChatGPT
all-apisиoffline_accessи убедитесь, что OAuth-приложение Databricks разрешает обе области. Для нового подключения Genie и панелей мониторинга предпочтительнее использовать показанные детализированные области доступа.Используйте SQL только для приложения, которое работает исключительно с API Databricks SQL. Доступа только к SQL недостаточно для действий с Genie или панелями мониторинга.
Убедитесь, что в этом OAuth-приложении Databricks разрешены все области доступа, которые вы затем укажете в ChatGPT. Для приложений, созданных через интерфейс, Databricks автоматически разрешает openid, email, profile и offline_access.
Оставьте стандартные сроки действия токенов Databricks, если в вашей организации нет особых требований: 60 минут для токена доступа и 10080 минут для токена обновления.
Включите параметр Создать секрет клиента. Для этого варианта подключения ChatGPT требуется конфиденциальный OAuth-клиент.
Создайте подключение.
Скопируйте учетные данные из Databricks
В диалоговом окне Подключение создано скопируйте Идентификатор клиента.
Сразу скопируйте Секрет клиента и сохраните его в безопасном месте.
Если вы закрыли диалоговое окно, не скопировав секрет, создайте или замените учетные данные OAuth-приложения и используйте новый секрет.
Databricks показывает секрет только один раз. Защищайте его как учетные данные: не включайте в снимки экрана, обращения в поддержку, комментарии и чаты.
Завершите настройку собственного OAuth-клиента в ChatGPT
Вернитесь к диалоговому окну Подключение Databricks Genie.
Введите идентификатор клиента Databricks в поле Идентификатор OAuth-клиента.
Введите секрет клиента Databricks в поле Секрет OAuth-клиента.
После ввода этих учетных данных будет использоваться ваш собственный OAuth-клиент; отдельно выбирать его не нужно.
В поле Области доступа (необязательно) укажите области доступа, необходимые для конечной точки Databricks и функций вашего приложения. Они должны соответствовать областям доступа, разрешенным в OAuth-приложении Databricks.
Если для нового подключения Genie и панелей мониторинга указаны
ai-gateway,dashboardsиoffline_access, оставьте эти области доступа. Убедитесь, что в OAuth-приложении Databricks разрешены те же области доступа. Область доступаai-gatewayпозволяет подключаться к Genie по MCP в пределах рабочей области,dashboards— выполнять действия с панелями мониторинга ИИ/BI, аoffline_access— использовать токены обновления.Прежний вариант с более широкими правами —
all-apisиoffline_access— по-прежнему поддерживается для расширенного доступа к API, но для этого подключения Genie и панелей мониторинга предпочтителен не он. Если приложение Databricks разрешает толькоall-apis, обновите или создайте его заново, разрешивai-gateway,dashboardsиoffline_access. Если детализированные области доступа недоступны, явно укажите в ChatGPTall-apisиoffline_accessи убедитесь, что приложение Databricks разрешает обе области. Не запрашивайте три детализированные области доступа в ChatGPT, если приложение Databricks разрешает толькоall-apis.Вводите каждую область доступа с новой строки или разделяйте их запятыми. Каждая область доступа, указанная в ChatGPT, должна быть разрешена в OAuth-приложении Databricks.
Заполните поле Имя хоста рабочей области (обязательно), не указывая https:// и путь URL. Заполните остальные обязательные поля провайдера Databricks, которые отображаются при настройке.
На основе этого имени хоста ChatGPT формирует конечную точку Genie MCP для рабочей области:
https://<workspace-host>/ai-gateway/mcp-services/system.ai.genie_one_mcp. Отдельная региональная конечная точка MCP не требуется.Выберите Продолжить.
ChatGPT запрашивает только те области доступа, которые указаны в поле Области доступа (необязательно). Более широкие области доступа из шаблона автоматически не добавляются.
Подключение и проверка
Независимо от выбранного варианта OAuth выполните следующие проверки подключения и доступа.
Проверьте сведения о коннекторе, доступные действия и настройки аутентификации.
Если вы администратор рабочей области, включите для нее коннектор и укажите, кто может его использовать, в соответствии с политикой рабочей области.
Начните подключение из ChatGPT от имени тестового пользователя с разрешенным доступом, затем войдите в Databricks.
Убедитесь, что в браузере открывается нужный аккаунт или рабочая область Databricks.
Проверьте запрошенные области доступа, затем выберите Авторизовать.
Убедитесь, что браузер возвращается в ChatGPT, а коннектор отображается как подключенный.
Выполните операцию чтения с низким риском, соответствующую возможностям подключения. Для подключения Genie отправьте в Genie запрос о данных, к которым тестовому пользователю разрешен доступ. Для проверки других поддерживаемых функций получите сведения о текущем пользователе или выполните запрос к разрешенному ресурсу Databricks SQL. Убедитесь, что у пользователя есть необходимые разрешения на ресурсы Databricks: сами по себе области доступа OAuth не предоставляют доступ к данным.
Если включены операции записи, перед широким развертыванием протестируйте их на заведомо низкорисковом рабочем процессе Databricks.
При настройке для рабочей области попросите участника с разрешенным доступом, но без прав администратора, подключиться и повторить тест с низким риском.
Управление доступом
Доступ контролируется как в Databricks, так и в ChatGPT.
В ChatGPT администраторы рабочей области определяют, доступно ли приложение и как участники могут его использовать. В Business администраторы управляют включением приложения для всей рабочей области. Проверьте следующие параметры администрирования приложений Databricks (Настройки рабочей области > Приложения или Консоль администратора > Плагины > Управление прежними приложениями):
Доступ пользователей — определяет, какие роли могут использовать коннектор в поддерживаемых рабочих областях Enterprise и Edu.
Управление действиями — определяет, какие действия Databricks включены.
Разрешения приложения — определяет, когда ChatGPT запрашивает согласие участников перед использованием коннектора.
Эти разрешения приложения действуют в беседах ChatGPT. Для агентов рабочей области действуют индивидуальные настройки, заданные создателем каждого агента. Они определяют, какие действия приложений доступны и когда у конечных пользователей запрашивается подтверждение. О поведении агентов см. в статье Агенты рабочей области ChatGPT для Enterprise и Business.
В Databricks администраторы определяют, какие пользователи могут авторизовать OAuth-приложение и к каким ресурсам Databricks у этих пользователей есть доступ. Разрешения на стороне провайдера продолжают действовать после включения приложения в ChatGPT.
О навигации по рабочей области, доступе к приложениям и настройках управления приложениями для разных тарифов см. в статье Администрирование, безопасность и соответствие требованиям в приложениях.
Устранение неполадок при настройке коннектора Databricks
Несовпадение URI перенаправления: если вы используете собственный OAuth-клиент, убедитесь, что значение URL перенаправления в Databricks точно совпадает со значением URL обратного вызова в ChatGPT, включая путь и идентификатор обратного вызова. Не удаляйте идентификатор обратного вызова, не добавляйте косую черту в конце и не подставляйте другой URL перенаправления ChatGPT.
Отсутствует секрет: при использовании собственного OAuth-клиента учитывайте, что Databricks показывает секреты только один раз. Если вы не скопировали секрет клиента, создайте новый.
OAuth-приложение доступно не сразу: по данным Databricks, обработка обновлений OAuth-приложения может занимать до 30 минут.
Недостаточные или несовпадающие области доступа: если вы используете собственный OAuth-клиент, сравните значение поля Области доступа (необязательно) в ChatGPT со значением Области доступа в OAuth-приложении Databricks. Там должны быть разрешены все области доступа, которые запрашивает ChatGPT. Убедитесь, что эти области доступа позволяют использовать нужную конечную точку и функции.
Если для нового подключения Genie и панелей мониторинга указаны
ai-gateway,dashboardsиoffline_access, оставьте эти области доступа в ChatGPT и убедитесь, что приложение Databricks разрешает все три. Если приложение разрешает толькоall-apis, обновите или создайте его заново, разрешив три детализированные области доступа.Если детализированные области доступа недоступны, используйте поддерживаемый вариант с более широкими правами: укажите в ChatGPT
all-apisиoffline_accessи убедитесь, что приложение Databricks разрешает обе области. Приложение, которое разрешает толькоall-apis, не соответствует запросу ChatGPT наai-gateway,dashboardsиoffline_access. Доступ только к SQL подходит лишь для приложения, которое работает исключительно с API Databricks SQL; для действий с Genie или панелями мониторинга его недостаточно.Не выполняются действия SQL: для приложения, работающего только с API Databricks SQL, проверьте область доступа SQL, конфигурацию SQL-хранилища и разрешения Databricks.
Неверная рабочая область ChatGPT: создайте и включите коннектор в той же рабочей области ChatGPT, где пользователи будут его подключать.
Неверный аккаунт или рабочая область Databricks: проверьте значение поля Имя хоста рабочей области (обязательно), затем повторите вход и убедитесь, что в Databricks открывается нужный аккаунт или рабочая область.
Пользователи не могут подключиться: убедитесь, что у пользователя есть доступ к Databricks и право авторизовать OAuth-приложение. В Business убедитесь, что приложение включено для всей рабочей области. В поддерживаемых рабочих областях Enterprise и Edu также убедитесь, что настройка Доступ пользователей в ChatGPT разрешает использование коннектора.
Сетевая политика Databricks блокирует коннектор: если Databricks разрешает подключения только с определенных IP-адресов, администратор Databricks должен обновить соответствующие списки разрешенных IP-адресов аккаунта или рабочей области, контекстные правила входящего доступа, брандмауэр или другие сетевые правила, которыми управляет клиент.
Разрешите входящие подключения из актуальных диапазонов исходящих IP-адресов коннекторов ChatGPT.
Настройте этот список разрешенных адресов в Databricks или на сетевом уровне, которым управляет клиент. Он не связан со списком разрешенных IP-адресов рабочей области ChatGPT.
Опубликованные диапазоны могут меняться. По возможности автоматизируйте обновление списка на основе JSON.
Не заменяйте секрет клиента и не меняйте области доступа OAuth, чтобы обойти сетевую блокировку. Сначала проверьте, блокирует ли Databricks исходящие IP-адреса коннектора.