Prehľad

Správcovia pracovného priestoru môžu pomocou ovládacích prvkov SharePointu povoliť schválené kolekcie lokalít, blokovať vybrané kolekcie lokalít a vylúčiť podporované súbory s vybranými označeniami citlivosti Microsoft Purview.

Kolekcia lokalít SharePoint, nazývaná aj SPSite, môže obsahovať viacero lokalít. Pravidlo kolekcie sa vzťahuje na celú kolekciu, pričom sa naďalej uplatňujú existujúce oprávnenia každého používateľa v Microsofte. Používateľovi neudeľuje prístup k obsahu, ku ktorému nemá prístup v Microsoft 365.

Obmedzenia lokalít sa vzťahujú na podporované vyhľadávanie, prehliadanie, získavanie súborov a operácie čítania a zápisu v SharePointe. Prístup k OneDrive sa spravuje samostatne.

Vyberte režim prístupu, ktorý zodpovedá vašej politike:

• Povolené lokality: Ak zoznam povolených nie je prázdny, používatelia môžu cez aplikáciu pristupovať iba k uvedeným kolekciám lokalít.

• Blokované lokality: Používatelia môžu pristupovať ku kolekciám lokalít, ktoré nie sú na zozname blokovaných, v súlade so svojimi oprávneniami v Microsofte.

Položky môže naraz obsahovať iba jeden zoznam. Prázdny zoznam povolených neblokuje všetky lokality. Keď sú oba zoznamy prázdne, obmedzenia lokalít SharePoint sa zrušia. Oprávnenia Microsoft a ďalšie nakonfigurované ovládacie prvky sa naďalej uplatňujú.

Dostupnosť

Ovládacie prvky a Admin API pracovného priestoru musia byť pre váš pracovný priestor povolené. Dostupné ovládacie prvky zahŕňajú zoznamy povolených a blokovaných kolekcií lokalít, import lokalít z CSV a vylúčenia podľa označení citlivosti.

Pravidlá sa vzťahujú na celé kolekcie lokalít. Tieto ovládacie prvky pre kolekcie lokalít nezahŕňajú obmedzenie rozsahu na konkrétnu lokalitu, priečinok či súbor ani uplatňovanie oprávnenia Microsoft Sites.Selected.

Skôr než začnete

• Určite kolekcie lokalít, ktoré chce vaša organizácia povoliť alebo blokovať.

• Získajte GUID každej kolekcie. Úplné ID lokality Microsoft Graph obsahuje GUID kolekcie ako prostrednú hodnotu. Admin API používa identifikátory GUID kolekcií. Nástroj na import CSV v používateľskom rozhraní ich dokáže získať aj z trojíc hodnôt ID lokalít Graph.

• Povoľte požadované oprávnenia Microsoft pre aplikáciu SharePoint v nastaveniach oprávnení ChatGPT aj v Microsoft Entra vrátane Sites.Read.All a Files.Read.All. Tieto ovládacie prvky filtrujú prístup na strane OpenAI. Nenahrádzajú delegované oprávnenia Microsoft.

• Pre vylúčenia podľa označení citlivosti požiadajte správcu Microsoft 365 alebo Purview o nemenný GUID každého označenia bez šifrovania.

• Na správu cez API získajte UUID svojho pracovného priestoru, správcovský kľúč pracovného priestoru ChatGPT a token Microsoft Graph, ak potrebujete zisťovať identifikátory z URL adries lokalít SharePoint. Tieto dva prihlasovacie údaje slúžia na odlišné účely.

O OpenAI Cookbook

OpenAI Cookbook je verejná zbierka ukážkového kódu a príručiek od OpenAI. Tento článok využíva jej príručku k prístupu k lokalitám SharePoint a skript na správu v jazyku Python, ktoré sú oba dostupné na GitHube. Tieto odkazy môžete otvoriť v prehliadači a prečítať si súbory. Ak chcete skript spustiť, stiahnite ho a postupujte podľa pokynov na nastavenie a používanie príkazov v príručke.

V tomto článku označenie „Cookbook“ odkazuje na uvedenú príručku k SharePointu a „nástroj Cookbook“ na prepojený skript v jazyku Python. V týchto zdrojoch nájdete príklady príkazov a postupy správy zoznamu povolených cez API.

Nastavenie prihlasovacích údajov na správu cez API

Poznámka: Na vytváranie správcovských kľúčov musíte byť správcom pracovného priestoru. Ďalšie informácie.

Vytvorenie správcovského kľúča pracovného priestoru ChatGPT

1. Otvorte konzolu správcu ChatGPT a vyberte požadovaný pracovný priestor.

2. Prejdite do časti Prihlasovacie údaje a vyberte Správcovské kľúče.

3. Vytvorte kľúč s oprávneniami nastavenými na Obmedzené a pri položke Aplikácie nastavte Zápis.

4. Kľúč bezpečne uložte. Tento kľúč oprávňuje na čítanie a zmenu politiky SharePointu pre váš pracovný priestor.

Požadované oprávnenie je chatgpt.enterprise.apps.write. Upozorňujeme, že kľúč Platformy API ani token Microsoft Graph nemôžu nahradiť správcovský kľúč pracovného priestoru ChatGPT.

Ďalšie informácie nájdete v článku: Správa správcovských kľúčov na karte Prihlasovacie údaje. Premenné prostredia s prihlasovacími údajmi pre skript a príklad bezpečného zadávania nájdete v pokynoch k prihlasovacím údajom v príručke Cookbook.

Získanie tokenu Microsoft Graph

Použite postup overovania Microsoft schválený vašou organizáciou. Ak vaša organizácia povoľuje Graph Explorer, pri interaktívnom vyhľadávaní postupujte takto:

1. Otvorte Microsoft Graph Explorer a prihláste sa pracovným kontom v nájomníkovi, ktorý obsahuje lokality SharePoint.

2. Pomocou možnosti Upraviť oprávnenia alebo Udeliť súhlas s oprávneniami vyberte oprávnenia potrebné na čítanie lokalít, zvyčajne Sites.Read.All. Ak to vaša organizácia vyžaduje, požiadajte správcu Microsoft o schválenie prístupu.

3. Otvorte kartu Prístupový token a skopírujte token na použitie s Microsoft Graph.

Pokyny spoločnosti Microsoft nájdete v časti Práca s Graph Explorer.

Token Graph slúži na zisťovanie identifikátorov z URL adries lokalít SharePoint. Správcovský kľúč ChatGPT slúži na čítanie alebo aktualizáciu politiky ChatGPT. Nástroj Cookbook potrebuje token Graph iba pre príkazy, ktoré zisťujú identifikátory z URL adries. Na načítanie alebo vymazanie existujúceho zoznamu povolených stačí správcovský kľúč ChatGPT.

Ani jeden z týchto prihlasovacích údajov neukladajte do systému správy verzií, zdieľaných dokumentov, snímok obrazovky ani denníkov.

Zistenie identifikátora GUID kolekcie lokalít

Použitie URL adresy lokality SharePoint

1. Otvorte lokalitu SharePoint a prihláste sa do konta Microsoft, ktoré k nej má prístup.

2. Na koniec URL adresy lokality pridajte /_api/site/id. Použite napríklad https://contoso.sharepoint.com/sites/Finance/_api/site/id.

3. Skopírujte GUID vrátený v odpovedi.

Poznámka: Domény a identifikátory v príkladoch v tomto článku sú zástupné hodnoty.

Použitie Microsoft Graph

Microsoft Graph vracia ID lokality s tromi zložkami oddelenými čiarkami: názvom hostiteľa, identifikátorom GUID kolekcie lokalít a identifikátorom GUID lokality. Pre pravidlo kolekcie lokalít použite prostrednú hodnotu. Rôzne URL adresy lokalít môžu zodpovedať rovnakému identifikátoru GUID kolekcie.

Príklady vyhľadávania a identifikátorov nájdete v časti Vysvetlenie identifikátorov lokalít SharePoint. Ak chcete zistiť identifikátory pre viacero URL adries bez zmeny politiky ChatGPT, použite pokyny na kontrolu v príručke Cookbook a skript na správu v jazyku Python.

Požiadavky spoločnosti Microsoft na vyhľadávanie nájdete v časti Získanie lokality SharePoint podľa cesty.

Správa povolených a blokovaných kolekcií lokalít

Použitie ovládacích prvkov pracovného priestoru

1. Vo svojom pracovnom priestore otvorte Ovládacie prvky bezpečnosti a zabezpečenia aplikácie SharePoint.

2. V časti Režim prístupu vyberte Povolené lokality alebo Blokované lokality.

3. Pridajte kolekcie lokalít do vybraného zoznamu. Môžete tiež nahrať CSV podľa postupu uvedeného nižšie.

4. Skontrolujte zmeny a vyberte Uložiť.

5. Skontrolujte uloženú politiku a otestujte konfiguráciu.

Lokality pridané cez Admin API sa zobrazia v ovládacích prvkoch pracovného priestoru. Lokality pridané v používateľskom rozhraní sú dostupné aj cez API. Položky môžete pridávať alebo odstraňovať v oboch rozhraniach. Spôsob pridania lokality vás neobmedzuje pri jej ďalšej správe.

Prepínanie medzi povolenými a blokovanými lokalitami

Položky môže naraz obsahovať iba jeden zoznam. Pred pridaním položiek v druhom režime vymažte existujúci zoznam a uložte zmenu. Potom vyberte druhý režim, pridajte požadované kolekcie a znova uložte zmeny.


Vymazanie aktívneho zoznamu zmení prístup ihneď po uložení. Vymazaním zoznamu povolených sa zruší obmedzenie prístupu na uvedené lokality. Vymazaním zoznamu blokovaných sa zruší ich blokovanie. Prechod naplánujte s ostatnými správcami, pretože v čase medzi vymazaním jedného zoznamu a uložením druhého môže byť povolený prístup, ktorý bude konečná politika obmedzovať.

Nahratie kolekcií lokalít zo súboru CSV

Nahrávanie CSV podporuje iba kolekcie lokalít. Ak chcete vylúčiť súbory podľa označenia citlivosti, pridajte identifikátory GUID označení do časti Vylúčené označenia citlivosti bez šifrovania.

1. Otvorte Ovládacie prvky bezpečnosti a zabezpečenia a vyberte požadovaný Režim prístupu.

2. Pripravte súbor CSV s identifikátormi GUID kolekcií lokalít alebo s trojicami hodnôt ID lokalít Microsoft Graph. V celom súbore používajte jeden formát identifikátorov.

3. Vyberte Nahrať súbor CSV a zvoľte súbor.

4. Skontrolujte výsledok importu a vybraný zoznam. Pred pokračovaním vyriešte všetky chyby alebo upozornenia týkajúce sa riadkov.

5. Výberom možnosti Uložiť použite zmeny a potom skontrolujte uložený zoznam.

Požiadavky na CSV a správanie pri importe:

• Maximálna veľkosť súboru: 1 MB.

• Hlavičky sú voliteľné.

• Na každý riadok uveďte jeden GUID kolekcie alebo použite trojice hodnôt ID lokalít Graph. Trojice môžu byť uvedené v úvodzovkách v jednom poli alebo rozdelené do troch stĺpcov.

• Trojice hodnôt Graph sa konvertujú na identifikátory GUID kolekcií. Importovaním trojice sa nevytvorí pravidlo pre jednu konkrétnu lokalitu.

• Importy pridávajú položky do vybraného zoznamu a zachovávajú existujúce položky. Duplicitné kolekcie sa zlúčia do jednej položky. Počet importovaných kolekcií zahŕňa iba novopridané kolekcie.

• Zmiešané formáty a nesprávne naformátované riadky sa odmietnu. Pri nahratí súboru, ktorý obsahuje iba URL adresy lokalít, sa zobrazí upozornenie a lokality sa nepridajú. Najprv zistite identifikátory GUID kolekcií zodpovedajúce URL adresám.

• Nahratie zmení iba koncept zoznamu. Prístup v pracovnom priestore sa aktualizuje až po výbere možnosti Uložiť.

• Nahrávanie CSV opísané v tomto článku slúži na správu kolekcií lokalít. Vylúčenia podľa označení citlivosti nakonfigurujte samostatne.

Ak máte súbor CSV s URL adresami lokalít SharePoint, postup práce s CSV v nástroji Cookbook umožňuje zistiť ich identifikátory a spravovať zoznam povolených cez API. Jeho vstup site_url alebo url používa iný formát a postup než nahrávanie identifikátorov v používateľskom rozhraní.

Oboznámenie sa s limitmi politiky a požiadaviek

Predvolený limit politiky je 10 000 kolekcií lokalít. Vyššie limity politiky pracovného priestoru, až do 120 000 kolekcií lokalít, musí povoliť OpenAI. Pred plánovaním rozsiahlejšieho nasadenia kontaktujte svoj tím OpenAI.

Jednotlivé operácie zmeny cez API aj aktuálny skript Cookbook prijímajú najviac 10 000 identifikátorov GUID kolekcií na požiadavku. Vyšší limit politiky pracovného priestoru nezvyšuje tento limit na jednu požiadavku. Počítajte jedinečné kolekcie lokalít, nie zdrojové URL adresy: na tú istú kolekciu môže odkazovať viacero URL adries.

Použitie Admin API pracovného priestoru

S adresou https://api.chatgpt.com použite UUID svojho pracovného priestoru a správcovský kľúč pracovného priestoru ChatGPT.

Aktualizované príkazy pre zoznam povolených a príklady požiadaviek nájdete v príručke Cookbook:

• Načítanie existujúceho zoznamu povolených.

• Zobrazenie náhľadu a pridanie kolekcií lokalít. Pri pridávaní sa zachovajú existujúce povolené kolekcie.

• Odstránenie kolekcie lokalít.

• Vymazanie zoznamu povolených.

Pred vykonaním zmien skontrolujte aktuálnu politiku, potom ju znova načítajte a otestujte výsledný prístup. Odstránením poslednej povolenej kolekcie alebo vymazaním zoznamu povolených sa zruší obmedzenie prístupu na uvedené lokality. Neodosielajte prázdnu požiadavku na pridanie, pokiaľ nechcete zrušiť obmedzenia zoznamu povolených.

Verejne dostupný nástroj Cookbook v súčasnosti spravuje iba zoznamy povolených. Nespravuje zoznamy blokovaných ani vylúčenia podľa označení citlivosti. Na tieto úlohy použite ovládacie prvky pracovného priestoru opísané vyššie.

Vylúčenie súborov s označeniami citlivosti

Zistenie identifikátora GUID označenia

Požiadajte správcu Microsoft 365 alebo Purview o nemenný GUID požadovaného označenia. Použite GUID, nie zobrazovaný názov označenia.

Správca môže získať zoznam označení cez Microsoft Graph. Token potrebuje príslušné oprávnenie SensitivityLabel.Read alebo SensitivityLabels.Read.All. K názvu požadovaného označenia priraďte jeho ID a skontrolujte nastavenia ochrany.

Požiadavky a príklady nájdete v častiach Získanie zoznamu označení citlivosti a Vlastnosti označenia citlivosti. Tieto oprávnenia pre označenia sú oddelené od oprávnenia na čítanie lokalít, ktoré sa používa na zisťovanie identifikátorov z URL adries lokalít SharePoint.

Pridanie vylúčení podľa označení

1. Otvorte Ovládacie prvky bezpečnosti a zabezpečenia aplikácie SharePoint.

2. Do časti Vylúčené označenia citlivosti bez šifrovania zadajte GUID každého označenia bez šifrovania.

3. Uložte konfiguráciu a otestujte podporovaný súbor s vylúčeným označením.

Súbory so zodpovedajúcimi podporovanými označeniami sa vylúčia z výsledkov aplikácie SharePoint. Súbory s označeniami, ktoré uplatňujú šifrovanie, sú už predvolene vylúčené.

Otestovanie konfigurácie

Používajte testovacie súbory a kontá schválené vašou organizáciou. Pred testovaním overte, že to isté konto Microsoft má prístup ku každému súboru priamo v SharePointe.

1. V režime Povolené lokality s neprázdnym zoznamom skontrolujte súbor v povolenej kolekcii a súbor v kolekcii, ktorá nie je v zozname. Cez aplikáciu by mala byť prístupná iba povolená kolekcia.

2. V režime Blokované lokality skontrolujte súbor v blokovanej kolekcii a súbor v neblokovanej kolekcii. Blokovaná kolekcia by mala byť nedostupná. Na neblokovanú kolekciu sa naďalej vzťahujú oprávnenia Microsoft a ďalšie ovládacie prvky.

3. Skontrolujte podporovaný testovací súbor s vylúčeným označením citlivosti. Nemal by sa zobraziť vo výsledkoch aplikácie.

4. Po zmene cez API porovnajte uložený zoznam v používateľskom rozhraní s politikou vrátenou rozhraním API.

5. Po nahratí CSV uložte zmeny a znova otvorte ovládacie prvky, aby ste overili, že požadované kolekcie zostali v zozname.

Ak výsledky nezodpovedajú zamýšľanej politike, skontrolujte pracovný priestor, vybraný režim prístupu, uložený zoznam, identifikátory GUID kolekcií a označení, podporovaný typ súboru a oprávnenia používateľa v Microsofte. Pri riešení problémov nevymazávajte zoznam, pokiaľ nechcete zároveň vykonať aj výslednú zmenu prístupu.

Pomoc s chýbajúcimi ovládacími prvkami alebo neočakávaným prístupom nájdete v článku: Kontaktovanie podpory OpenAI. Do žiadosti o podporu neprikladajte správcovské kľúče ani tokeny Microsoft Graph.

Oboznámenie sa s obmedzeniami

• Pravidlo kolekcie sa vzťahuje na celú kolekciu lokalít. Nedá sa ním obmedziť prístup ku konkrétnej podlokalite, priečinku ani súboru.

• Obmedzenia lokalít SharePoint automaticky neobmedzujú prístup k OneDrive.

• Filtrovanie podľa označení citlivosti sa uplatňuje len tam, kde Microsoft Graph sprístupňuje podporované metaúdaje označení, vrátane podporovaných dokumentov balíka Office a súborov PDF a MP4.

• Typy súborov, ktoré nepodporujú označenia citlivosti, napríklad TXT a CSV, sa považujú za neoznačené. Ak ich prístupnosť nie je inak obmedzená, zostávajú prístupné. Toto obmedzenie typov súborov nesúvisí s nahrávaním súboru CSV na konfiguráciu prístupu k lokalitám.

• Nahrávaním CSV ani verejne dostupným ukážkovým nástrojom sa nenastavujú vylúčenia podľa označení citlivosti. Tento článok nepopisuje API na hromadnú správu označení.

• Uložená politika ani úspešná odpoveď API nenahrádzajú otestovanie prístupu pomocou príslušného konta.

Použitie nástroja na správu v jazyku Python

Úplný ukážkový kód a príkazy sa priebežne aktualizujú v OpenAI Cookbook:

• Príručka pre správu.

• Skript na správu v jazyku Python.

• Súbor s offline testami.

Použite Python 3.10 alebo novší. Nástroj používa štandardnú knižnicu jazyka Python. Pred spustením si prečítajte príručku a zmeny skontrolujte pomocou skúšobných spustení bez vykonania zmien.

Aktuálna verzia nástroja načítava prihlasovacie údaje z premenných prostredia. Postupujte podľa pokynov na bezpečné zadávanie v príručke. Vymazanie zoznamu povolených vyžaduje výslovné potvrdenie. Odstránenie položky sa môže vykonať aj bez tohto potvrdenia, preto ho najprv skontrolujte skúšobným spustením bez vykonania zmien.

Informácie o opakovaní požiadaviek a voliteľných kľúčoch idempotencie nájdete v časti Bezpečné zopakovanie aktualizácie politiky. Kľúče idempotencie používajte len vtedy, ak ich pracovný priestor podporuje, a po zlyhaní s nejednoznačným výsledkom skontrolujte aktuálnu politiku.

Nástroj nezapína funkcie pracovného priestoru ani neoveruje uplatňovanie pravidiel. Jeho offline testy používajú simulované volania Microsoft Graph a ChatGPT Admin API.

Zmeny pozostávajúce z viacerých požiadaviek nie sú atomické. Ak odstraňovanie viacerých kolekcií v priebehu zlyhá, predchádzajúce odstránenia už mohli prebehnúť úspešne. Pred opakovaním načítajte aktuálnu politiku.

Časté otázky

Nahrádzajú ovládacie prvky lokalít oprávnenia Microsoft?

Nie. Aplikácia naďalej používa oprávnenia každého používateľa v Microsofte. OpenAI uplatňuje nakonfigurované filtrovanie lokalít pred sprístupnením odpovedí používateľovi a modelu.

Blokuje prázdny zoznam povolených všetky lokality?

Nie. Prázdny zoznam povolených neznamená „blokovať všetko“. Ak zoznam blokovaných obsahuje položky, tieto kolekcie zostávajú blokované. Keď ani jeden zoznam neobsahuje položky, prístup určujú oprávnenia používateľov v Microsofte a ďalšie nakonfigurované ovládacie prvky.

Zaznamenávajú sa zmeny vykonané cez Admin API?

Zmeny politiky vykonané cez Admin API sa zaznamenávajú do denníkov auditu a dodržiavania predpisov pracovného priestoru.