Tổng quan
Quản trị viên không gian làm việc có thể sử dụng các tùy chọn kiểm soát SharePoint để cho phép các tuyển tập trang đã được phê duyệt, chặn các tuyển tập trang đã chọn và loại trừ các tệp được hỗ trợ có nhãn mức độ nhạy cảm Microsoft Purview đã chọn.
Một tuyển tập trang SharePoint, còn gọi là SPSite, có thể chứa nhiều trang. Quy tắc cho tuyển tập trang áp dụng cho toàn bộ tuyển tập trang, đồng thời vẫn tuân theo các quyền Microsoft hiện có của từng người dùng. Quy tắc này không cấp cho người dùng quyền truy cập vào nội dung mà họ không thể truy cập trong Microsoft 365.
Các hạn chế truy cập trang áp dụng cho những thao tác được hỗ trợ trên SharePoint, gồm tìm kiếm, duyệt, truy xuất tệp và đọc/ghi. Quyền truy cập OneDrive được quản lý riêng.
Chọn chế độ truy cập phù hợp với chính sách của bạn:
Trang được phép: Khi danh sách cho phép không trống, người dùng chỉ có thể truy cập các tuyển tập trang trong danh sách qua ứng dụng.
Trang bị chặn: Người dùng có thể truy cập các tuyển tập trang không nằm trong danh sách chặn, tùy theo các quyền Microsoft của họ.
Tại mỗi thời điểm, chỉ một danh sách được chứa các mục. Danh sách cho phép trống không chặn tất cả các trang. Khi cả hai danh sách đều trống, các hạn chế truy cập trang SharePoint được gỡ bỏ; các quyền Microsoft và các biện pháp kiểm soát khác đã cấu hình vẫn áp dụng.
Điều kiện sử dụng
Các tùy chọn kiểm soát và API quản trị không gian làm việc cần được bật cho không gian làm việc của bạn. Các tùy chọn kiểm soát hiện có bao gồm danh sách tuyển tập trang được phép, danh sách tuyển tập trang bị chặn, nhập trang từ CSV và loại trừ theo nhãn mức độ nhạy cảm.
Các quy tắc áp dụng cho toàn bộ tuyển tập trang. Các tùy chọn kiểm soát tuyển tập trang này không bao gồm việc giới hạn phạm vi ở từng trang, thư mục hoặc tệp cụ thể hay thực thi Microsoft Sites.Selected.
Trước khi bắt đầu
Xác định các tuyển tập trang mà tổ chức của bạn muốn cho phép hoặc chặn.
Lấy GUID của từng tuyển tập trang. ID trang Microsoft Graph đầy đủ chứa GUID tuyển tập trang ở vị trí giữa. API quản trị sử dụng GUID tuyển tập trang; trình nhập CSV trên giao diện cũng có thể trích xuất GUID từ ID trang Graph dạng bộ ba.
Bật các quyền Microsoft mà ứng dụng SharePoint yêu cầu trong cả phần cài đặt quyền của ChatGPT và Microsoft Entra, bao gồm
Sites.Read.AllvàFiles.Read.All. Các biện pháp kiểm soát này lọc quyền truy cập ở phía OpenAI; chúng không thay thế các quyền được ủy quyền của Microsoft.Để loại trừ theo nhãn mức độ nhạy cảm, hãy yêu cầu quản trị viên Microsoft 365 hoặc Purview cung cấp GUID bất biến của từng nhãn không áp dụng mã hóa.
Để quản trị qua API, hãy lấy UUID không gian làm việc, khóa quản trị không gian làm việc ChatGPT và token Microsoft Graph nếu bạn cần phân giải URL SharePoint. Hai loại thông tin xác thực này phục vụ các mục đích khác nhau.
Giới thiệu về OpenAI Cookbook
OpenAI Cookbook là bộ sưu tập mã mẫu và hướng dẫn công khai của OpenAI. Bài viết này sử dụng hướng dẫn về quyền truy cập trang SharePoint và tập lệnh quản trị bằng Python trong bộ sưu tập đó, cả hai đều được lưu trữ trên GitHub. Bạn có thể mở các liên kết này trong trình duyệt để đọc tệp. Để chạy tập lệnh, hãy tải xuống và làm theo hướng dẫn thiết lập và chạy lệnh trong tài liệu.
Trong bài viết này, “Cookbook” chỉ hướng dẫn SharePoint nói trên, còn “tiện ích Cookbook” chỉ tập lệnh Python được liên kết. Sử dụng các tài liệu này để xem ví dụ về lệnh và cách quản lý danh sách cho phép qua API.
Thiết lập thông tin xác thực để quản trị qua API
Lưu ý: Bạn cần là quản trị viên không gian làm việc để có thể tạo khóa quản trị. Đọc thêm.
Tạo khóa quản trị không gian làm việc ChatGPT
Mở bảng điều khiển quản trị ChatGPT và chọn không gian làm việc mong muốn.
Đi đến Thông tin xác thực rồi chọn Khóa quản trị.
Tạo khóa với quyền Hạn chế và đặt Ứng dụng thành Ghi.
Lưu trữ khóa an toàn. Khóa này cấp quyền đọc và thay đổi chính sách SharePoint cho không gian làm việc của bạn.
Quyền bắt buộc là chatgpt.enterprise.apps.write. Lưu ý rằng khóa Nền tảng API và token Microsoft Graph không thể thay thế khóa quản trị không gian làm việc ChatGPT.
Để biết thêm thông tin, hãy xem: Quản lý khóa quản trị trong thẻ Thông tin xác thực. Để biết các biến môi trường chứa thông tin xác thực của tập lệnh và ví dụ về cách nhập an toàn, hãy xem hướng dẫn về thông tin xác thực trong Cookbook.
Lấy token Microsoft Graph
Sử dụng quy trình xác thực Microsoft được tổ chức của bạn phê duyệt. Để tra cứu tương tác, nếu tổ chức của bạn cho phép sử dụng Graph Explorer:
Mở Microsoft Graph Explorer và đăng nhập bằng tài khoản cơ quan thuộc đối tượng thuê chứa các trang SharePoint.
Chọn các quyền cần thiết để đọc trang, thường là
Sites.Read.All, bằng mục Sửa đổi quyền hoặc Chấp thuận quyền. Yêu cầu quản trị viên Microsoft phê duyệt quyền truy cập nếu tổ chức của bạn yêu cầu.Mở thẻ Token truy cập và sao chép token để sử dụng với Microsoft Graph.
Để xem hướng dẫn của Microsoft, hãy xem Làm việc với Graph Explorer.
Token Graph dùng để phân giải URL SharePoint thành mã định danh. Khóa quản trị ChatGPT dùng để đọc hoặc cập nhật chính sách ChatGPT. Tiện ích Cookbook chỉ cần token Graph cho các lệnh phân giải URL; việc đọc hoặc xóa toàn bộ danh sách cho phép hiện có chỉ cần khóa quản trị ChatGPT.
Không đưa bất kỳ loại thông tin xác thực nào trong hai loại này vào hệ thống quản lý mã nguồn, tài liệu dùng chung, ảnh chụp màn hình hoặc nhật ký.
Tìm GUID của tuyển tập trang
Sử dụng URL trang SharePoint
Mở trang SharePoint khi đã đăng nhập vào Microsoft bằng tài khoản có quyền truy cập trang đó.
Thêm
/_api/site/idvào cuối URL của trang. Ví dụ: sử dụnghttps://contoso.sharepoint.com/sites/Finance/_api/site/id.Sao chép GUID được trả về trong phản hồi.
Lưu ý: các tên miền và mã định danh ví dụ trong bài viết này chỉ là giá trị giữ chỗ.
Sử dụng Microsoft Graph
Microsoft Graph trả về ID trang gồm ba thành phần được phân tách bằng dấu phẩy: tên máy chủ, GUID của tuyển tập trang và GUID của trang. Sử dụng giá trị ở giữa cho quy tắc áp dụng cho tuyển tập trang. Các URL trang khác nhau có thể được phân giải thành cùng một GUID tuyển tập trang.
Để xem ví dụ về tra cứu và mã định danh, hãy xem Tìm hiểu mã định danh trang SharePoint. Để phân giải nhiều URL mà không thay đổi chính sách ChatGPT, hãy sử dụng hướng dẫn kiểm tra trong Cookbook và tập lệnh quản trị bằng Python.
Để biết các yêu cầu tra cứu của Microsoft, hãy xem Lấy trang SharePoint theo đường dẫn.
Quản lý các tuyển tập trang được phép và bị chặn
Sử dụng các tùy chọn kiểm soát của không gian làm việc
Mở Các tùy chọn kiểm soát an toàn & bảo mật của ứng dụng SharePoint trong không gian làm việc của bạn.
Trong mục Chế độ truy cập, chọn Trang được phép hoặc Trang bị chặn.
Thêm các tuyển tập trang vào danh sách đã chọn. Bạn cũng có thể sử dụng tính năng tải CSV lên được mô tả bên dưới.
Rà soát các thay đổi và chọn Lưu.
Kiểm tra chính sách đã lưu và thử nghiệm cấu hình của bạn.
Các trang được thêm qua API quản trị sẽ xuất hiện trong các tùy chọn kiểm soát của không gian làm việc. Các trang được thêm trên giao diện cũng có thể được truy xuất qua API. Bạn có thể thêm hoặc xóa mục bằng giao diện hoặc API; phương thức dùng để thêm trang không buộc bạn phải tiếp tục dùng phương thức đó.
Chuyển đổi giữa trang được phép và trang bị chặn
Tại mỗi thời điểm, chỉ một danh sách được chứa các mục. Trước khi thêm mục ở chế độ còn lại, hãy xóa toàn bộ danh sách hiện có và lưu thay đổi đó. Sau đó, chọn chế độ còn lại, thêm các tuyển tập trang mong muốn và lưu lần nữa.
Việc xóa toàn bộ danh sách đang dùng sẽ thay đổi quyền truy cập ngay khi bạn lưu. Xóa toàn bộ danh sách cho phép sẽ gỡ bỏ hạn chế truy cập trang của danh sách đó; xóa toàn bộ danh sách chặn sẽ bỏ chặn các trang trong danh sách. Hãy lên kế hoạch chuyển đổi cùng các quản trị viên khác vì trong khoảng thời gian từ khi xóa toàn bộ một danh sách đến khi lưu danh sách còn lại, người dùng có thể có quyền truy cập mà chính sách cuối cùng của bạn sẽ hạn chế.
Tải lên các tuyển tập trang từ CSV
Tính năng tải CSV lên chỉ hỗ trợ tuyển tập trang. Để loại trừ tệp theo nhãn mức độ nhạy cảm, hãy thêm GUID của nhãn vào mục Nhãn mức độ nhạy cảm không mã hóa bị loại trừ.
Mở Các tùy chọn kiểm soát an toàn & bảo mật và chọn Chế độ truy cập mong muốn.
Chuẩn bị tệp CSV chứa các GUID tuyển tập trang hoặc ID trang Microsoft Graph dạng bộ ba. Sử dụng một định dạng mã định danh duy nhất trong toàn bộ tệp.
Chọn Tải tệp CSV lên rồi chọn tệp.
Rà soát kết quả nhập và danh sách đã chọn. Xử lý mọi lỗi hoặc cảnh báo ở các hàng trước khi tiếp tục.
Chọn Lưu để áp dụng các thay đổi, sau đó kiểm tra danh sách đã lưu.
Yêu cầu và cách xử lý CSV:
Kích thước tệp tối đa: 1 MB.
Không bắt buộc có hàng tiêu đề.
Sử dụng một GUID tuyển tập trang trên mỗi hàng hoặc ID trang Graph dạng bộ ba. Bộ ba có thể được đặt trong dấu ngoặc kép trong một trường hoặc tách thành ba cột.
Các bộ ba Graph được chuyển đổi thành GUID tuyển tập trang. Việc nhập một bộ ba không tạo ra quy tắc chỉ áp dụng cho một trang cụ thể.
Thao tác nhập sẽ thêm vào danh sách đã chọn và giữ nguyên các mục hiện có. Các tuyển tập trang trùng lặp được gộp lại; số lượng nhập báo cáo số tuyển tập trang mới được thêm.
Tệp dùng lẫn nhiều định dạng và các hàng sai định dạng sẽ bị từ chối. Nếu tệp tải lên chỉ chứa URL trang, hệ thống sẽ hiển thị cảnh báo và không thêm trang nào. Trước tiên, hãy phân giải URL thành GUID tuyển tập trang.
Thao tác tải lên chỉ thay đổi danh sách nháp. Quyền truy cập trong không gian làm việc chỉ được cập nhật khi bạn chọn Lưu.
Tính năng tải CSV lên được mô tả ở đây dùng để quản lý các tuyển tập trang. Hãy cấu hình riêng việc loại trừ theo nhãn mức độ nhạy cảm.
Nếu bạn có tệp CSV chứa các URL SharePoint, quy trình CSV của tiện ích Cookbook có thể phân giải các URL đó và quản lý danh sách cho phép qua API. Dữ liệu đầu vào site_url hoặc url của tiện ích sử dụng định dạng và quy trình khác với tính năng tải mã định danh lên trên giao diện.
Tìm hiểu giới hạn chính sách và yêu cầu
Giới hạn chính sách mặc định là 10.000 tuyển tập trang. Giới hạn chính sách cao hơn cho không gian làm việc, tối đa 120.000 tuyển tập trang, cần được OpenAI bật; hãy liên hệ với đội ngũ OpenAI phụ trách bạn trước khi lên kế hoạch triển khai ở quy mô lớn hơn.
Mỗi thao tác thay đổi qua API và tập lệnh Cookbook hiện tại chấp nhận tối đa 10.000 GUID tuyển tập trang cho mỗi yêu cầu. Việc tăng giới hạn chính sách của không gian làm việc không làm tăng giới hạn cho mỗi yêu cầu này. Hãy đếm số tuyển tập trang không trùng lặp, không phải số URL nguồn: nhiều URL có thể trỏ đến cùng một tuyển tập trang.
Sử dụng API quản trị không gian làm việc
Sử dụng UUID không gian làm việc và khóa quản trị không gian làm việc ChatGPT với https://api.chatgpt.com.
Để xem các lệnh quản lý danh sách cho phép và ví dụ về yêu cầu được duy trì cập nhật, hãy tham khảo Cookbook:
Xem trước và thêm tuyển tập trang. Thao tác thêm giữ nguyên các tuyển tập trang được phép hiện có.
Rà soát chính sách hiện tại trước khi thay đổi, sau đó đọc lại và kiểm tra quyền truy cập sau thay đổi. Xóa tuyển tập trang được phép cuối cùng hoặc xóa toàn bộ danh sách cho phép sẽ gỡ bỏ hạn chế truy cập trang đó. Không gửi yêu cầu thêm rỗng trừ khi bạn muốn gỡ bỏ các hạn chế của danh sách cho phép.
Tiện ích Cookbook công khai hiện chỉ quản lý danh sách cho phép. Tiện ích không quản lý danh sách chặn hoặc việc loại trừ theo nhãn mức độ nhạy cảm. Hãy sử dụng các tùy chọn kiểm soát của không gian làm việc được mô tả ở trên cho những tác vụ đó.
Loại trừ tệp có nhãn mức độ nhạy cảm
Tìm GUID của nhãn
Yêu cầu quản trị viên Microsoft 365 hoặc Purview cung cấp GUID bất biến của nhãn mong muốn. Sử dụng GUID, không dùng tên hiển thị của nhãn.
Quản trị viên có thể liệt kê các nhãn qua Microsoft Graph. Token cần có quyền SensitivityLabel.Read hoặc SensitivityLabels.Read.All phù hợp. Đối chiếu tên nhãn mong muốn với ID của nhãn và kiểm tra các thiết lập bảo vệ của nhãn đó.
Để biết các yêu cầu và ví dụ, hãy xem Liệt kê nhãn mức độ nhạy cảm và Thuộc tính của nhãn mức độ nhạy cảm. Các quyền đối với nhãn này tách biệt với quyền đọc trang dùng để phân giải URL SharePoint.
Thêm nhãn cần loại trừ
Mở Các tùy chọn kiểm soát an toàn & bảo mật của ứng dụng SharePoint.
Nhập GUID của từng nhãn không áp dụng mã hóa vào mục Nhãn mức độ nhạy cảm không mã hóa bị loại trừ.
Lưu cấu hình và kiểm tra một tệp được hỗ trợ có nhãn bị loại trừ.
Các tệp có nhãn được hỗ trợ khớp với nhãn đã chọn sẽ bị loại khỏi kết quả của ứng dụng SharePoint. Các tệp mang nhãn có áp dụng mã hóa vốn đã bị loại trừ theo mặc định.
Kiểm tra cấu hình của bạn
Sử dụng các tệp và tài khoản kiểm thử được tổ chức của bạn phê duyệt. Trước khi kiểm tra, hãy xác nhận rằng cùng tài khoản Microsoft đó có thể truy cập trực tiếp từng tệp trong SharePoint.
Ở chế độ Trang được phép với danh sách không trống, hãy kiểm tra một tệp trong tuyển tập trang được phép và một tệp trong tuyển tập trang không có trong danh sách. Kết quả mong đợi là chỉ tuyển tập trang được phép mới có thể truy cập qua ứng dụng.
Ở chế độ Trang bị chặn, hãy kiểm tra một tệp trong tuyển tập trang bị chặn và một tệp trong tuyển tập trang không bị chặn. Kết quả mong đợi là tuyển tập trang bị chặn không thể truy cập; tuyển tập trang không bị chặn vẫn chịu sự chi phối của các quyền Microsoft và các biện pháp kiểm soát khác.
Kiểm tra một tệp thử nghiệm được hỗ trợ có nhãn mức độ nhạy cảm bị loại trừ. Tệp này không được xuất hiện trong kết quả của ứng dụng.
Sau khi thay đổi qua API, hãy so sánh danh sách đã lưu trên giao diện với chính sách do API trả về.
Sau khi tải CSV lên, hãy lưu các thay đổi và mở lại các tùy chọn kiểm soát để xác nhận rằng các tuyển tập trang mong muốn đã được giữ lại.
Nếu kết quả khác với chính sách dự định áp dụng, hãy kiểm tra không gian làm việc, chế độ truy cập đã chọn, danh sách đã lưu, GUID của tuyển tập trang, GUID của nhãn, loại tệp được hỗ trợ và các quyền Microsoft của người dùng. Đừng xóa toàn bộ danh sách để khắc phục sự cố trừ khi bạn chủ định thay đổi quyền truy cập theo cách đó.
Để được trợ giúp khi thiếu tùy chọn kiểm soát hoặc quyền truy cập không như mong đợi, hãy xem: Liên hệ bộ phận hỗ trợ OpenAI. Không đưa khóa quản trị hoặc token Microsoft Graph vào yêu cầu hỗ trợ của bạn.
Tìm hiểu các hạn chế
Quy tắc cho tuyển tập trang áp dụng cho toàn bộ tuyển tập trang đó. Quy tắc này không thể giới hạn quyền truy cập vào một trang con, thư mục hoặc tệp cụ thể.
Các hạn chế đối với trang SharePoint không tự động hạn chế quyền truy cập OneDrive.
Việc lọc theo nhãn mức độ nhạy cảm chỉ áp dụng khi Microsoft Graph cung cấp siêu dữ liệu nhãn được hỗ trợ, bao gồm các tài liệu Office, tệp PDF và MP4 được hỗ trợ.
Các loại tệp không hỗ trợ nhãn mức độ nhạy cảm, chẳng hạn như TXT và CSV, được coi là không có nhãn. Các tệp này vẫn có thể được truy cập nếu đáp ứng các điều kiện cấp quyền khác. Hạn chế về loại tệp này không liên quan đến việc tải tệp CSV lên để cấu hình quyền truy cập trang.
Tính năng tải CSV lên và tiện ích mẫu công khai không cấu hình việc loại trừ theo nhãn mức độ nhạy cảm. Bài viết này không cung cấp tài liệu về API quản lý nhãn hàng loạt.
Chính sách đã lưu hoặc phản hồi API thành công không thể thay thế việc kiểm tra quyền truy cập bằng tài khoản dự định sử dụng.
Sử dụng tiện ích quản trị bằng Python
Toàn bộ mã và lệnh mẫu được duy trì trong OpenAI Cookbook:
Sử dụng Python 3.10 trở lên. Tiện ích sử dụng thư viện chuẩn của Python. Đọc hướng dẫn trước khi chạy tiện ích và chạy thử không áp dụng thay đổi để rà soát các thay đổi.
Tiện ích hiện đọc thông tin xác thực từ các biến môi trường; hãy làm theo hướng dẫn nhập an toàn trong tài liệu. Tiện ích yêu cầu xác nhận rõ ràng khi xóa toàn bộ danh sách cho phép. Thao tác xóa mục có thể được thực hiện mà không cần xác nhận đó, vì vậy hãy chạy thử không áp dụng thay đổi để rà soát trước.
Để biết cách hoạt động khi thử lại và các khóa lũy đẳng tùy chọn, hãy xem Thử lại việc cập nhật chính sách một cách an toàn. Chỉ sử dụng khóa lũy đẳng khi không gian làm việc hỗ trợ chúng và kiểm tra chính sách hiện tại sau khi xảy ra lỗi không rõ kết quả.
Tiện ích không bật các tính năng của không gian làm việc hay xác minh việc thực thi chính sách. Các kiểm thử ngoại tuyến của tiện ích sử dụng lệnh gọi Microsoft Graph và API quản trị ChatGPT được mô phỏng.
Các thay đổi gồm nhiều yêu cầu không có tính nguyên tử. Nếu thao tác xóa nhiều tuyển tập trang thất bại giữa chừng, các lượt xóa trước đó có thể đã thành công. Đọc chính sách hiện tại trước khi thử lại.
Câu hỏi thường gặp
Các biện pháp kiểm soát trang có thay thế các quyền Microsoft không?
Không. Ứng dụng vẫn sử dụng các quyền Microsoft của từng người dùng. OpenAI áp dụng bộ lọc trang đã cấu hình trước khi phản hồi được cung cấp cho người dùng và mô hình.
Danh sách cho phép trống có chặn tất cả các trang không?
Không. Danh sách cho phép trống không có nghĩa là “chặn tất cả”. Nếu danh sách chặn có các mục, những tuyển tập trang đó vẫn bị chặn. Khi cả hai danh sách đều không có mục nào, các quyền Microsoft của người dùng và các biện pháp kiểm soát khác đã cấu hình sẽ quyết định quyền truy cập.
Các thay đổi qua API quản trị có được ghi nhật ký không?
Các thay đổi chính sách qua API quản trị được ghi lại trong nhật ký kiểm toán và tuân thủ của không gian làm việc.