Это руководство предназначено для администраторов рабочих областей ChatGPT и пользователей ChatGPT Plus или Pro, которые настраивают приложение Databricks Genie со встроенным OAuth или OAuth-клиентом своей организации.
Встроенный OAuth: если этот вариант доступен в ChatGPT и включён для вашей рабочей области Databricks, используйте предварительно настроенное подключение. Вам не нужно создавать OAuth-приложение или вводить идентификатор и секрет клиента. Следуйте инструкциям в разделе «Встроенный OAuth» ниже.
Собственный OAuth-клиент: используйте этот вариант, если встроенный OAuth недоступен или ваша организация требует использовать собственный OAuth-клиент. Следуйте инструкциям в разделе «Собственный OAuth-клиент» ниже.
Что вы настраиваете
Вы создаёте подключение к приложению Databricks для своего аккаунта или рабочей области ChatGPT. Для обоих вариантов нужны параметры провайдера Databricks, запрашиваемые в ChatGPT, и разрешения на ресурсы, которые вы планируете использовать. Если вы используете собственный OAuth-клиент, также подготовьте:
Подключение OAuth-приложения Databricks, созданное в консоли аккаунта Databricks.
Идентификатор и секрет OAuth-клиента Databricks.
Точный URL обратного вызова, скопированный из ChatGPT.
Области доступа Databricks, соответствующие функциям приложения, которые вы хотите включить.
Все параметры провайдера Databricks, запрашиваемые при настройке в ChatGPT, например хост рабочей области, хост аккаунта, идентификатор аккаунта или хранилище.
Перед началом
Для настройки в рабочей области откройте консоль администратора, выберите нужную рабочую область ChatGPT и откройте раздел «Плагины». Выберите «Управление устаревшими приложениями», чтобы открыть сохранённую страницу «Приложения». Подробнее о навигации по рабочей области и доступе к устаревшим приложениям см. в статье Администрирование, безопасность и соблюдение требований для плагинов и приложений.
Вам понадобятся:
Права администратора или владельца рабочей области ChatGPT либо аккаунт ChatGPT Plus или Pro.
Для собственного OAuth-клиента — права администратора аккаунта Databricks. Для некоторых задач может быть достаточно прав администратора рабочей области, но собственные подключения приложений настраиваются в консоли аккаунта Databricks. Для встроенного OAuth администратор Databricks должен проверить, что приложение ChatGPT доступно и включено для вашей рабочей области.
Для собственного OAuth-клиента — консоль аккаунта Databricks, открытая в отдельной вкладке.
Для собственного OAuth-клиента — открытый в ChatGPT экран подключения Databricks Genie, чтобы скопировать точный URL обратного вызова.
Решение о том, какие функции нужны приложению: Genie и панели мониторинга AI/BI, более широкий доступ к API Databricks или только API Databricks SQL. Доступа только к SQL недостаточно для действий с Genie или панелями мониторинга.
Для собственного OAuth-клиента — безопасное место для работы с секретом клиента Databricks.
Если доступ к вашему аккаунту или рабочей области Databricks ограничен списком доступа по IP, контекстным контролем входящего трафика, межсетевым экраном или другой сетевой политикой — помощь администратора Databricks, который может разрешить актуальные диапазоны исходящих IP-адресов приложений ChatGPT.
Для собственного OAuth-клиента скопируйте точное значение URL обратного вызова, указанное в ChatGPT.
Какие значения подготовить
Для собственного OAuth-клиента — URL обратного вызова: скопируйте его при настройке приложения в ChatGPT.
Для собственного OAuth-клиента — идентификатор OAuth-клиента Databricks.
Для собственного OAuth-клиента — секрет OAuth-клиента Databricks.
Для собственного OAuth-клиента — области доступа Databricks, соответствующие функциям приложения. Если для нового подключения Genie или панелей мониторинга отображаются
ai-gateway,dashboardsиoffline_access, подготовьте эти области доступа. Все API (all-apisвместе сoffline_access) остаётся прежним вариантом с более широкими правами. Используйте SQL только для приложения, ограниченного API Databricks SQL.Значения полей рабочей области или аккаунта Databricks, запрашиваемые при настройке в ChatGPT.
Встроенный OAuth
Сначала выполните предварительные требования, указанные выше. Используйте этот вариант, только если встроенный OAuth доступен в ChatGPT и включен для вашей рабочей области Databricks.
Попросите администратора Databricks проверить, что приложение ChatGPT доступно в настройках интеграции приложений консоли аккаунта и включено для вашей рабочей области. Если приложения ChatGPT нет в списке консоли аккаунта Databricks, обратитесь к своему представителю Databricks и уточните, доступна ли эта функция для вашего аккаунта.
В ChatGPT переключитесь на аккаунт или рабочую область, где должно быть доступно приложение. Для личной настройки откройте Настройки > Плагины. Для настройки рабочей области откройте Консоль администратора > Плагины с правами администратора или владельца рабочей области.
Выберите Databricks Genie, затем Добавить подключение приложения.
Заполните поле Имя хоста рабочей области (обязательно), не указывая
https://и путь URL.На основе этого имени хоста ChatGPT формирует конечную точку Genie MCP для рабочей области:
https://<workspace-host>/ai-gateway/mcp-services/system.ai.genie_one_mcp. Отдельная региональная конечная точка MCP не требуется.Выберите Продолжить, затем войдите в Databricks и ознакомьтесь с запросом согласия.
Перейдите к разделам «Подключение и проверка» и «Управление доступом» ниже. Выполните в том числе тесты от имени участников с разрешенным доступом и проверки доступа к рабочей области.
Собственный OAuth-клиент
Сначала выполните предварительные требования, указанные выше. Используйте этот вариант, если встроенный OAuth недоступен или ваша организация требует использовать собственный OAuth-клиент. После настройки выполните инструкции из разделов «Подключение и проверка» и «Управление доступом» ниже.
Начните настройку собственного OAuth-клиента в ChatGPT
В ChatGPT переключитесь на аккаунт или рабочую область, где должно быть доступно приложение.
Для личной настройки откройте Настройки > Плагины. Для настройки рабочей области откройте Консоль администратора > Плагины с правами администратора или владельца рабочей области.
Выберите Databricks Genie в разделе Каталог.
Выберите Добавить подключение приложения.
В диалоговом окне Подключение Databricks Genie найдите поля Идентификатор OAuth-клиента и Секрет OAuth-клиента. Чтобы использовать собственный клиент, достаточно ввести учетные данные в эти поля; отдельно выбирать этот вариант не нужно.
Скопируйте URL обратного вызова из ChatGPT. Оставьте это диалоговое окно открытым.
Пример URL обратного вызова:
https://chatgpt.com/connector/oauth/<callback_id>
Не удаляйте идентификатор обратного вызова, не добавляйте косую черту в конце и не заменяйте этот адрес общим URL ChatGPT. URL, зарегистрированный в Databricks, должен точно совпадать со значением URL обратного вызова, показанным в ChatGPT.
Создание подключения собственного OAuth-приложения в Databricks
Откройте консоль своего аккаунта Databricks.
На левой боковой панели откройте Настройки.
Откройте вкладку Подключения приложений.
Выберите Добавить подключение.
Введите название приложения, например ChatGPT Databricks.
В поле URL перенаправления вставьте точный URL обратного вызова, скопированный из ChatGPT.
В разделе Области доступа выберите области, необходимые приложению.
Если для нового подключения Genie или панелей мониторинга в ChatGPT отображаются
ai-gateway,dashboardsиoffline_access, разрешите эти же области доступа в OAuth-приложении Databricks.Все API остаётся прежним вариантом с более широкими правами для общего доступа к API Databricks. Для этой конфигурации укажите в ChatGPT
all-apisиoffline_accessи убедитесь, что OAuth-приложение Databricks разрешает обе области доступа. Для нового подключения Genie или панелей мониторинга отдавайте предпочтение отображаемым детализированным областям доступа.Используйте SQL только для приложения, ограниченного API Databricks SQL. Доступа только к SQL недостаточно для действий с Genie или панелями мониторинга.
Убедитесь, что в этом OAuth-приложении Databricks разрешена каждая область доступа, которая впоследствии будет указана в ChatGPT. Databricks автоматически разрешает openid, email, profile и offline_access для приложений, созданных через пользовательский интерфейс.
Если политика вашей организации не требует иного, оставьте сроки действия токенов (TTL) по умолчанию в Databricks: 60 минут для токена доступа и 10080 минут для токена обновления.
Включите параметр Создать секрет клиента. Для этого процесса ChatGPT требуется конфиденциальный OAuth-клиент.
Создайте подключение.
Копирование учётных данных из Databricks
В диалоговом окне Подключение создано скопируйте Идентификатор клиента.
Сразу скопируйте Секрет клиента и сохраните его в безопасном месте.
Если вы закроете диалоговое окно, не скопировав секрет, создайте или замените учётные данные OAuth-приложения и используйте новый секрет.
Databricks показывает секрет только один раз. Обращайтесь с ним как с учётными данными: не включайте его в снимки экрана, обращения в поддержку, комментарии или чаты.
Завершите настройку собственного OAuth-клиента в ChatGPT
Вернитесь к диалоговому окну Подключение Databricks Genie.
Введите идентификатор клиента Databricks в поле Идентификатор OAuth-клиента.
Введите секрет клиента Databricks в поле Секрет OAuth-клиента.
После ввода этих учетных данных будет использоваться ваш собственный OAuth-клиент; отдельно выбирать его не нужно.
В поле Области доступа (необязательно) укажите области доступа, необходимые для конечной точки Databricks и функций вашего приложения. Они должны соответствовать областям доступа, разрешенным в OAuth-приложении Databricks.
Если для нового подключения Genie и панелей мониторинга указаны
ai-gateway,dashboardsиoffline_access, оставьте эти области доступа. Убедитесь, что в OAuth-приложении Databricks разрешены те же области доступа. Область доступаai-gatewayпозволяет подключаться к Genie по MCP в пределах рабочей области,dashboards— выполнять действия с панелями мониторинга ИИ/BI, аoffline_access— использовать токены обновления.Прежний вариант с более широкими правами —
all-apisиoffline_access— по-прежнему поддерживается для расширенного доступа к API, но для этого подключения Genie и панелей мониторинга предпочтителен не он. Если приложение Databricks разрешает толькоall-apis, обновите или создайте его заново, разрешивai-gateway,dashboardsиoffline_access. Если детализированные области доступа недоступны, явно укажите в ChatGPTall-apisиoffline_accessи убедитесь, что приложение Databricks разрешает обе области. Не запрашивайте три детализированные области доступа в ChatGPT, если приложение Databricks разрешает толькоall-apis.Вводите каждую область доступа с новой строки или разделяйте их запятыми. Каждая область доступа, указанная в ChatGPT, должна быть разрешена в OAuth-приложении Databricks.
Заполните поле Имя хоста рабочей области (обязательно), не указывая https:// и путь URL. Заполните остальные обязательные поля провайдера Databricks, которые отображаются при настройке.
На основе этого имени хоста ChatGPT формирует конечную точку Genie MCP для рабочей области:
https://<workspace-host>/ai-gateway/mcp-services/system.ai.genie_one_mcp. Отдельная региональная конечная точка MCP не требуется.Выберите Продолжить.
ChatGPT запрашивает только те области доступа, которые указаны в поле Области доступа (необязательно). Более широкие области доступа из шаблона автоматически не добавляются.
Подключение и проверка
Независимо от выбранного варианта OAuth выполните следующие проверки подключения и доступа.
Проверьте сведения о приложении, действия и настройки аутентификации.
Если вы администратор рабочей области, включите для неё приложение и настройте, кто сможет им пользоваться, в соответствии с политикой рабочей области.
Начните подключение в ChatGPT от имени тестового пользователя с разрешённым доступом, затем войдите в Databricks.
Убедитесь, что браузер открывает нужный аккаунт или рабочую область Databricks.
Проверьте запрашиваемые области доступа, затем выберите Авторизовать.
Убедитесь, что браузер возвращается в ChatGPT, а приложение отображается как подключённое.
Выполните действие чтения с низким риском, соответствующее возможностям подключения. Для подключения Genie отправьте в Genie запрос о данных, к которым у тестового пользователя есть доступ. Для проверки других поддерживаемых функций получите сведения о текущем пользователе или выполните запрос к разрешённому ресурсу Databricks SQL. Убедитесь, что у пользователя есть необходимые разрешения на ресурсы Databricks: сами по себе области доступа OAuth не предоставляют доступ к данным.
Если включены действия записи, перед более широким внедрением протестируйте их на рабочем процессе Databricks с заведомо низким риском.
При настройке для рабочей области попросите участника с разрешённым доступом, но без прав администратора, подключиться и повторить тест с низким риском.
Управление доступом
Контроль доступа осуществляется и в Databricks, и в ChatGPT.
В ChatGPT администраторы рабочей области управляют доступностью приложения и тем, как участники могут его использовать. В Business администраторы управляют включением приложения для всей рабочей области. Проверьте следующие параметры администрирования приложений Databricks (Настройки рабочей области > Приложения или Консоль администратора > Плагины > Управление устаревшими приложениями):
Доступ пользователей — определяет, какие роли могут использовать приложение в поддерживаемых рабочих областях Enterprise и Edu.
Управление действиями — определяет, какие действия Databricks включены.
Разрешения приложения — определяет, когда ChatGPT запрашивает согласие участников перед использованием приложения.
Эти разрешения приложения действуют в беседах ChatGPT. Агенты рабочей области используют индивидуальные настройки, заданные создателем каждого агента: они определяют доступные действия приложений и случаи, когда у конечных пользователей запрашивается подтверждение. Подробнее о поведении агентов см. в статье Агенты рабочих областей ChatGPT для Enterprise и Business.
В Databricks администраторы определяют, какие пользователи могут авторизовать OAuth-приложение и к каким ресурсам Databricks у этих пользователей есть доступ. Разрешения на стороне провайдера продолжают действовать после включения приложения в ChatGPT.
Подробнее о навигации по рабочей области, доступе к приложениям и настройках управления приложениями для разных тарифов см. в статье Администрирование, безопасность и соблюдение требований в приложениях.
Устранение неполадок при настройке приложения Databricks
Несоответствие URI перенаправления: если вы используете собственный OAuth-клиент, убедитесь, что значение URL перенаправления в Databricks в точности совпадает со значением URL обратного вызова в ChatGPT, включая путь и идентификатор обратного вызова. Не удаляйте идентификатор обратного вызова, не добавляйте косую черту в конце и не подставляйте другой URL перенаправления ChatGPT.
Отсутствует секрет: если вы используете собственный OAuth-клиент, учтите, что секреты Databricks отображаются только один раз. Создайте новый секрет клиента, если не скопировали предыдущий.
OAuth-приложение доступно не сразу: по информации Databricks, обработка обновлений OAuth-приложения может занимать до 30 минут.
Недостаточные или несоответствующие области доступа: если вы используете собственный OAuth-клиент, сравните Области доступа (необязательно) в ChatGPT с параметром Области доступа в OAuth-приложении Databricks. Там должна быть разрешена каждая область доступа, которую запрашивает ChatGPT. Убедитесь, что области доступа поддерживают используемую конечную точку и нужные вам функции.
Если для нового подключения Genie или панелей мониторинга отображаются
ai-gateway,dashboardsиoffline_access, сохраните эти области доступа в ChatGPT и убедитесь, что приложение Databricks разрешает все три. Если приложение разрешает толькоall-apis, обновите или создайте его заново, чтобы разрешить эти три детализированные области доступа.Если детализированные области доступа недоступны, используйте поддерживаемый вариант с более широкими правами: укажите в ChatGPT
all-apisиoffline_accessи убедитесь, что приложение Databricks разрешает обе области. Приложение, разрешающее толькоall-apis, не соответствует запросу ChatGPT наai-gateway,dashboardsиoffline_access. Доступ только к SQL подходит лишь для приложения, ограниченного API Databricks SQL; его недостаточно для действий с Genie или панелями мониторинга.Не удаётся выполнить действия SQL: если приложение ограничено API Databricks SQL, проверьте область доступа SQL, конфигурацию хранилища и разрешения Databricks.
Неверная рабочая область ChatGPT: создайте и включите приложение в той рабочей области ChatGPT, где пользователи будут его подключать.
Неверный аккаунт или рабочая область Databricks: проверьте значение Имя хоста рабочей области (обязательно), затем повторите вход и убедитесь, что Databricks открывает нужный аккаунт или рабочую область.
Пользователи не могут подключиться: убедитесь, что у пользователя есть доступ к Databricks и право авторизовать OAuth-приложение. В Business убедитесь, что приложение включено для всей рабочей области. В поддерживаемых рабочих областях Enterprise и Edu также убедитесь, что настройка Доступ пользователей в ChatGPT разрешает использование приложения.
Сетевая политика Databricks блокирует приложение: если Databricks разрешает подключения только с определённых IP-адресов, администратор Databricks должен обновить соответствующие списки доступа по IP для аккаунта или рабочей области, контекстные правила контроля входящего трафика, межсетевой экран или другие сетевые правила, которыми управляет клиент.
Разрешите входящие подключения из актуальных диапазонов исходящих IP-адресов приложений ChatGPT.
Настройте этот список разрешений в Databricks или на сетевом уровне, которым управляет клиент. Это отдельная настройка, не связанная со списком разрешённых IP-адресов рабочей области ChatGPT.
Опубликованные диапазоны могут меняться. По возможности автоматизируйте обновление на основе JSON.
Не заменяйте секрет клиента и не меняйте области доступа OAuth, чтобы обойти сетевую блокировку. Сначала проверьте, отклоняет ли Databricks подключения с исходящих IP-адресов приложения.