Огляд

Адміністратори робочого простору можуть використовувати засоби контролю SharePoint, щоб дозволяти схвалені колекції сайтів, блокувати вибрані колекції та виключати підтримувані файли з вибраними мітками конфіденційності Microsoft Purview.

Колекція сайтів SharePoint, яку також називають SPSite, може містити кілька сайтів. Правило колекції застосовується до всієї колекції з урахуванням наявних дозволів кожного користувача в Microsoft. Воно не надає користувачу доступу до вмісту, до якого він не має доступу в Microsoft 365.

Обмеження сайтів застосовуються до підтримуваних дій пошуку, перегляду, отримання файлів, читання та запису в SharePoint. Доступ до OneDrive керується окремо.

Виберіть режим доступу, що відповідає вашій політиці:

• Дозволені сайти: якщо список дозволених сайтів непорожній, користувачі можуть отримувати доступ через застосунок лише до перелічених колекцій сайтів.

• Заблоковані сайти: користувачі можуть отримувати доступ до колекцій сайтів, яких немає в списку заблокованих, з урахуванням їхніх дозволів у Microsoft.

Одночасно записи може містити лише один список. Порожній список дозволених сайтів не блокує всі сайти. Коли обидва списки порожні, обмеження сайтів SharePoint знімаються; дозволи Microsoft та інші налаштовані засоби контролю діють і надалі.

Доступність

Засоби контролю та Admin API робочого простору потрібно ввімкнути для вашого робочого простору. Доступні засоби контролю включають списки дозволених і заблокованих колекцій сайтів, імпорт сайтів із CSV та виключення за мітками конфіденційності.

Правила застосовуються до цілих колекцій сайтів. Ці засоби контролю колекцій сайтів не передбачають обмеження області дії окремим сайтом, папкою чи файлом або застосування Microsoft Sites.Selected.

Перш ніж почати

• Визначте колекції сайтів, які ваша організація хоче дозволити або заблокувати.

• Отримайте GUID кожної колекції. Повний ідентифікатор сайту Microsoft Graph містить GUID колекції як середнє значення. Admin API використовує GUID колекцій; засіб імпорту CSV в інтерфейсі також може видобувати їх із трійок компонентів ідентифікаторів сайтів Graph.

• Увімкніть потрібні застосунку SharePoint дозволи Microsoft і в налаштуваннях дозволів ChatGPT, і в Microsoft Entra, зокрема Sites.Read.All та Files.Read.All. Ці засоби контролю фільтрують доступ на боці OpenAI; вони не замінюють делеговані дозволи Microsoft.

• Для виключень за мітками конфіденційності попросіть адміністратора Microsoft 365 або Purview надати незмінний GUID кожної мітки без шифрування.

• Для адміністрування через API отримайте UUID робочого простору, ключ адміністратора робочого простору ChatGPT і токен Microsoft Graph, якщо потрібно визначати ідентифікатори за URL-адресами SharePoint. Ці два типи облікових даних мають різне призначення.

Про OpenAI Cookbook

OpenAI Cookbook — це загальнодоступна збірка прикладів коду та посібників від OpenAI. У цій статті використовуються посібник із доступу до сайтів SharePoint і скрипт адміністрування на Python із цієї збірки, розміщені на GitHub. Відкрийте ці посилання в браузері, щоб прочитати файли. Щоб запустити скрипт, завантажте його та дотримуйтеся інструкцій із налаштування й виконання команд у посібнику.

У цій статті «Cookbook» означає згаданий посібник із SharePoint, а «утиліта Cookbook» — скрипт Python за наведеним посиланням. Звертайтеся до цих матеріалів по приклади команд та інструкції з керування списком дозволених сайтів через API.

Налаштуйте облікові дані для адміністрування через API

Примітка. Щоб створювати ключі адміністратора, потрібно бути адміністратором робочого простору. Докладніше.

Створіть ключ адміністратора робочого простору ChatGPT

1. Відкрийте консоль адміністратора ChatGPT і виберіть потрібний робочий простір.

2. Перейдіть до розділу Облікові дані та виберіть Ключі адміністратора.

3. Створіть ключ із дозволами Обмежені та встановіть для параметра Застосунки значення Запис.

4. Зберігайте ключ у безпечному місці. Цей ключ дає змогу читати й змінювати політику SharePoint для вашого робочого простору.

Потрібний дозвіл — chatgpt.enterprise.apps.write. Зверніть увагу: ключ Платформи API й токен Microsoft Graph не можуть замінити ключ адміністратора робочого простору ChatGPT.

Докладніше див. у статті Керування ключами адміністратора на вкладці «Облікові дані». Змінні середовища для облікових даних скрипту та приклад безпечного введення наведено в інструкціях щодо облікових даних у Cookbook.

Отримайте токен Microsoft Graph

Використовуйте схвалений вашою організацією процес автентифікації Microsoft. Для інтерактивного пошуку, якщо ваша організація дозволяє Graph Explorer:

1. Відкрийте Microsoft Graph Explorer і ввійдіть із робочим обліковим записом у клієнті, що містить сайти SharePoint.

2. Виберіть дозволи, потрібні для читання сайтів, зазвичай Sites.Read.All, за допомогою Змінити дозволи або Надати згоду на дозволи. Попросіть адміністратора Microsoft схвалити доступ, якщо цього вимагає ваша організація.

3. Відкрийте вкладку Токен доступу та скопіюйте токен для використання з Microsoft Graph.

Інструкції Microsoft наведено в розділі Робота з Graph Explorer.

Токен Graph дає змогу визначати ідентифікатори за URL-адресами SharePoint. Ключ адміністратора ChatGPT дає змогу читати або оновлювати політику ChatGPT. Утиліті Cookbook потрібен токен Graph лише для команд, що визначають ідентифікатори за URL-адресами; для читання або очищення наявного списку дозволених сайтів потрібен лише ключ адміністратора ChatGPT.

Не розміщуйте жодні з цих облікових даних у системі контролю версій, спільних документах, знімках екрана або журналах.

Знайдіть GUID колекції сайтів

Скористайтеся URL-адресою сайту SharePoint

1. Відкрийте сайт SharePoint, увійшовши в Microsoft з обліковим записом, який має до нього доступ.

2. Додайте /_api/site/id у кінець URL-адреси сайту. Наприклад, використайте https://contoso.sharepoint.com/sites/Finance/_api/site/id.

3. Скопіюйте GUID, отриманий у відповіді.

Примітка. Домени та ідентифікатори в прикладах цієї статті є умовними.

Скористайтеся Microsoft Graph

Microsoft Graph повертає ідентифікатор сайту з трьома компонентами, розділеними комами: ім’я хоста, GUID колекції сайтів і GUID сайту. Для правила колекції сайтів використовуйте середнє значення. Різним URL-адресам сайтів може відповідати той самий GUID колекції.

Приклади пошуку та ідентифікаторів наведено в розділі Відомості про ідентифікатори сайтів SharePoint. Щоб визначити ідентифікатори для кількох URL-адрес, не змінюючи політику ChatGPT, скористайтеся інструкціями з перевірки в Cookbook і скриптом адміністрування на Python.

Вимоги Microsoft до пошуку наведено в розділі Отримання сайту SharePoint за шляхом.

Керуйте дозволеними й заблокованими колекціями сайтів

Скористайтеся засобами контролю робочого простору

1. Відкрийте Засоби безпеки та захисту застосунку SharePoint у своєму робочому просторі.

2. У розділі Режим доступу виберіть Дозволені сайти або Заблоковані сайти.

3. Додайте колекції сайтів до вибраного списку. Також можна скористатися завантаженням CSV, описаним нижче.

4. Перегляньте зміни та виберіть Зберегти.

5. Перевірте збережену політику та протестуйте налаштування.

Сайти, додані через Admin API, відображаються в засобах контролю робочого простору. Сайти, додані в інтерфейсі, також доступні через API. Додавати й видаляти записи можна обома способами; спосіб додавання сайту не обмежує подальше керування ним.

Перемикайтеся між дозволеними й заблокованими сайтами

Одночасно записи може містити лише один список. Перш ніж додавати записи в іншому режимі, очистьте наявний список і збережіть цю зміну. Потім виберіть інший режим, додайте потрібні колекції та збережіть зміни ще раз.


Очищення активного списку змінює доступ одразу після збереження. Очищення списку дозволених сайтів знімає встановлені ним обмеження доступу до сайтів; очищення списку заблокованих сайтів знімає блокування. Узгодьте перехід з іншими адміністраторами: у проміжку між очищенням одного списку та збереженням іншого може бути відкрито доступ, який остаточна політика обмежуватиме.

Завантажте колекції сайтів із CSV

Завантаження CSV підтримує лише колекції сайтів. Щоб виключати файли за міткою конфіденційності, додайте GUID міток у розділі Виключені мітки конфіденційності без шифрування.

1. Відкрийте Засоби безпеки та захисту й виберіть потрібний Режим доступу.

2. Підготуйте CSV із GUID колекцій сайтів або трійками компонентів ідентифікаторів сайтів Microsoft Graph. Використовуйте один формат ідентифікаторів у всьому файлі.

3. Виберіть Завантажити файл CSV і вкажіть файл.

4. Перегляньте результат імпорту та вибраний список. Перш ніж продовжувати, усуньте всі помилки й причини попереджень у рядках.

5. Виберіть Зберегти, щоб застосувати зміни, а потім перевірте збережений список.

Вимоги до CSV й особливості імпорту:

• Максимальний розмір файлу: 1 МБ.

• Заголовки необов’язкові.

• У кожному рядку вказуйте один GUID колекції або трійку компонентів ідентифікатора сайту Graph. Трійки можна брати в лапки в одному полі або розділяти на три стовпці.

• Трійки Graph перетворюються на GUID колекцій. Імпорт трійки не створює правило для окремого сайту.

• Імпорт додає записи до вибраного списку, зберігаючи наявні. Дублікати колекцій усуваються; лічильник імпорту показує кількість нових доданих колекцій.

• Змішані формати та неправильно сформовані рядки відхиляються. Якщо завантажений файл містить лише URL-адреси сайтів, з’явиться попередження, а сайти не буде додано. Спочатку визначте GUID колекцій за URL-адресами.

• Завантаження змінює лише чернетку списку. Доступ у робочому просторі не оновлюється, доки ви не виберете Зберегти.

• Описане тут завантаження CSV призначене для керування колекціями сайтів. Виключення за мітками конфіденційності налаштовуйте окремо.

Якщо у вас є CSV з URL-адресами SharePoint, процес роботи з CSV в утиліті Cookbook дає змогу визначити відповідні ідентифікатори й керувати списком дозволених сайтів через API. Її вхідні дані site_url або url мають інший формат і передбачають інший процес роботи, ніж завантаження ідентифікаторів через інтерфейс.

Ознайомтеся з лімітами політики та запитів

Стандартний ліміт політики — 10 000 колекцій сайтів. Вищі ліміти політики робочого простору, до 120 000 колекцій сайтів, має ввімкнути OpenAI; зв’яжіться зі своєю командою OpenAI, перш ніж планувати масштабніше розгортання.

Окремі операції зміни через API та поточний скрипт Cookbook приймають до 10 000 GUID колекцій на запит. Вищий ліміт політики робочого простору не збільшує цей ліміт на запит. Рахуйте унікальні колекції сайтів, а не вихідні URL-адреси: кілька URL-адрес можуть посилатися на одну колекцію.

Скористайтеся Admin API робочого простору

Використовуйте UUID робочого простору та ключ адміністратора робочого простору ChatGPT для роботи з https://api.chatgpt.com.

Актуальні команди для списку дозволених сайтів і приклади запитів наведено в Cookbook:

• Читання наявного списку дозволених сайтів.

• Попередній перегляд і додавання колекцій сайтів. Додавання зберігає наявні дозволені колекції.

• Видалення колекції сайтів.

• Очищення списку дозволених сайтів.

Перегляньте поточну політику перед внесенням змін, а потім прочитайте її ще раз і перевірте отриманий доступ. Видалення останньої дозволеної колекції або очищення списку дозволених сайтів знімає це обмеження доступу до сайтів. Не надсилайте порожній запит на додавання, якщо не плануєте зняти обмеження списку дозволених сайтів.

Загальнодоступна утиліта Cookbook наразі керує лише списками дозволених сайтів. Вона не керує списками заблокованих сайтів або виключеннями за мітками конфіденційності. Для цих завдань використовуйте описані вище засоби контролю робочого простору.

Виключайте файли з мітками конфіденційності

Знайдіть GUID мітки

Попросіть адміністратора Microsoft 365 або Purview надати незмінний GUID потрібної мітки. Використовуйте GUID, а не відображувану назву мітки.

Адміністратор може отримати список міток через Microsoft Graph. Токену потрібен відповідний дозвіл SensitivityLabel.Read або SensitivityLabels.Read.All. Зіставте назву потрібної мітки з її ідентифікатором і перевірте її налаштування захисту.

Вимоги та приклади наведено в розділах Отримання списку міток конфіденційності та Властивості мітки конфіденційності. Ці дозволи для міток відокремлені від дозволу на читання сайтів, який використовується для визначення ідентифікаторів за URL-адресами SharePoint.

Додайте виключення за мітками

1. Відкрийте Засоби безпеки та захисту застосунку SharePoint.

2. Введіть GUID кожної мітки без шифрування в розділі Виключені мітки конфіденційності без шифрування.

3. Збережіть налаштування та перевірте підтримуваний файл із виключеною міткою.

Файли з відповідними підтримуваними мітками виключаються з результатів застосунку SharePoint. Файли з мітками, які застосовують шифрування, уже виключено за замовчуванням.

Перевірте налаштування

Використовуйте тестові файли й облікові записи, схвалені вашою організацією. Перед перевіркою переконайтеся, що той самий обліковий запис Microsoft має доступ до кожного файлу безпосередньо в SharePoint.

1. У режимі Дозволені сайти з непорожнім списком перевірте файл у дозволеній колекції та файл у колекції, якої немає в списку. Через застосунок має бути доступна лише дозволена колекція.

2. У режимі Заблоковані сайти перевірте файл у заблокованій колекції та файл у незаблокованій колекції. Заблокована колекція має бути недоступною; доступ до незаблокованої колекції й надалі визначається дозволами Microsoft та іншими засобами контролю.

3. Перевірте підтримуваний тестовий файл із виключеною міткою конфіденційності. Він не має з’являтися в результатах застосунку.

4. Після зміни через API порівняйте збережений список в інтерфейсі з політикою, яку повертає API.

5. Після завантаження CSV збережіть зміни й знову відкрийте засоби контролю, щоб переконатися, що потрібні колекції збережено.

Якщо результати не відповідають потрібній політиці, перевірте робочий простір, вибраний режим доступу, збережений список, GUID колекцій і міток, підтримку типу файлу та дозволи користувача в Microsoft. Не очищуйте список для усунення несправностей, якщо не плануєте відповідну зміну доступу.

Якщо засоби контролю відсутні або доступ працює неочікувано, див. Звернення до служби підтримки OpenAI. Не додавайте ключі адміністратора або токени Microsoft Graph до звернення в службу підтримки.

Ознайомтеся з обмеженнями

• Правило колекції поширюється на всю колекцію сайтів. Воно не може обмежувати доступ до окремого підсайту, папки чи файлу.

• Обмеження сайтів SharePoint не обмежують доступ до OneDrive автоматично.

• Фільтрування за мітками конфіденційності застосовується лише там, де Microsoft Graph надає підтримувані метадані міток, зокрема для підтримуваних документів Office, файлів PDF і MP4.

• Файли, типи яких не підтримують мітки конфіденційності, наприклад TXT і CSV, вважаються файлами без міток. Вони залишаються доступними, якщо це дозволено іншими правилами. Це обмеження типів файлів не стосується завантаження CSV для налаштування доступу до сайтів.

• Завантаження CSV і загальнодоступна утиліта-приклад не налаштовують виключення за мітками конфіденційності. У цій статті не описано API для масового керування мітками.

• Збережена політика або успішна відповідь API не замінюють перевірку доступу з потрібним обліковим записом.

Скористайтеся утилітою адміністрування на Python

Повний код прикладу та актуальні команди доступні в OpenAI Cookbook:

• Посібник з адміністрування.

• Скрипт адміністрування на Python.

• Файл автономних тестів.

Використовуйте Python 3.10 або новішої версії. Утиліта використовує стандартну бібліотеку Python. Прочитайте посібник перед запуском і виконуйте пробні запуски, щоб переглянути зміни без їх застосування.

Поточна версія утиліти зчитує облікові дані зі змінних середовища; дотримуйтеся інструкцій із безпечного введення в посібнику. Для очищення списку дозволених сайтів утиліта вимагає явного підтвердження. Видалення може виконуватися без такого підтвердження, тому спочатку перевірте його за допомогою пробного запуску.

Поведінку повторних спроб і необов’язкові ключі ідемпотентності описано в розділі Безпечне повторне оновлення політики. Використовуйте ключі ідемпотентності лише тоді, коли робочий простір їх підтримує, і перевіряйте поточну політику після збою з невизначеним результатом.

Утиліта не вмикає функції робочого простору й не перевіряє, чи застосовуються обмеження. Її автономні тести використовують імітовані виклики Microsoft Graph і ChatGPT Admin API.

Зміни, що виконуються кількома запитами, не є атомарними. Якщо під час видалення кількох колекцій станеться збій, попередні видалення вже могли завершитися успішно. Перш ніж повторювати спробу, прочитайте поточну політику.

Поширені запитання

Чи замінюють засоби контролю сайтів дозволи Microsoft?

Ні. Застосунок і надалі використовує дозволи кожного користувача в Microsoft. OpenAI застосовує налаштоване фільтрування сайтів, перш ніж відповіді буде надано користувачу та моделі.

Чи блокує порожній список дозволених сайтів усі сайти?

Ні. Порожній список дозволених сайтів не означає «блокувати все». Якщо список заблокованих сайтів містить записи, ці колекції залишаються заблокованими. Коли обидва списки порожні, доступ визначається дозволами користувачів у Microsoft та іншими налаштованими засобами контролю.

Чи записуються зміни через Admin API в журнали?

Зміни політики через Admin API фіксуються в журналах аудиту та відповідності робочого простору.