概览
工作空间所有者和管理员可以允许或阻止访问指定的 Microsoft Teams 团队，并根据 Microsoft Purview 敏感度标签排除频道。
这些控制措施与每位用户的 Microsoft 权限共同生效。它们不会更改 Microsoft 365 权限、团队成员身份或敏感度标签。
在这些设置中，“组”指的是团队背后关联的 Microsoft 365 组。它并不指 Teams 群聊。
可用范围
这些控制措施可在已启用此功能的 Enterprise 工作空间中使用。请确认你位于目标 ChatGPT 工作空间中，拥有工作空间所有者或管理员身份，并且该应用已启用。如果仍然找不到安全与防护控制，请联系你的 OpenAI 客户团队或 OpenAI 支持团队。请提供工作空间的套餐、你的角色，以及你找不到的控制选项。
开始之前
确定组织希望允许或阻止哪些团队。
收集这些团队的 Microsoft 365 组 ID。
如需配置标签排除规则，请获取每个目标 Microsoft Purview 标签的 GUID，包括要排除的所有子标签。
如果计划按敏感度标签排除团队，请确认 Microsoft 管理员已批准 Group.Read.All 权限，并且 ChatGPT 管理员已启用读取团队敏感度标签所需的相应操作。
选择能够验证预期访问权限的测试账号和频道。
查找并核实 Microsoft 365 组 ID
每个团队的 ID 都与其背后关联的 Microsoft 365 组的 ID 相同。请使用该组的对象 ID，而不是租户 ID、频道 ID、群聊 ID 或显示名称。
登录该团队所属组织的 Microsoft Entra 管理中心。
前往 Entra ID > 组。
选择所有组，然后选择与该团队关联的 Microsoft 365 组。
打开属性，复制对象 ID。
在 ChatGPT 中保存 ID 之前，请确认组织和团队背后关联的组无误。如果名称存在歧义，或者你无法访问该组，请让 Microsoft 管理员帮忙核实。
有关 Microsoft 的操作说明，请参阅：管理 Microsoft Entra 组。
配置团队访问权限
在工作空间的应用设置中打开 Microsoft Teams。
打开安全与防护控制。
在 Microsoft Teams 组访问权限下，选择允许的组或阻止的组。
添加团队的组 ID。如果列表较长，可以上传 CSV 文件。
选择保存。
重新打开设置，确认已保存的模式和列表。
允许某个团队时，也会允许该团队拥有的现有频道和未来频道。阻止某个团队时，也会排除该团队拥有的频道。共享频道的访问权限根据其所属团队来判定。
允许的团队列表和阻止的团队列表不能同时包含条目。清除最后剩余的组条目后，这些组列表施加的限制将被移除；其他已配置的控制措施和用户权限仍然有效。
按敏感度标签排除团队
打开 Microsoft Teams 的安全与防护控制。
在排除的 Microsoft Teams 敏感度标签下，添加每个要排除的标签的 GUID。
选择保存。
此控制措施会检查团队背后关联的 Microsoft 365 组所分配的标签。如果匹配到排除规则，即使其他规则允许访问该团队，其频道也会被阻止。
请逐一明确添加每个标签，包括子标签。排除列表为空时，不会施加任何标签限制。
维护大型团队列表
请使用原生 Microsoft 365 组 ID。CSV 文件每行包含一个组 ID，也可以包含可选的 group_id 表头。
上传文件会将不重复的条目添加到草稿中。选择保存以使这些条目生效。进行批量更改前，请先下载当前列表。
连接账号后，可以显示可用的团队名称。策略仍使用组 ID 作为标识符。
测试配置
使用不含敏感信息的测试内容。进行写入测试时，请使用测试项，并做出不会造成影响的更改。
确认测试账号可以直接在 Microsoft Teams 中访问每个测试频道。
新建一个 ChatGPT 对话，请求获取允许访问的团队中的内容。
根据所选模式，请求获取被阻止或未列入列表的团队中的内容。
选择一个所属团队带有已排除敏感度标签的频道进行测试。
如果成员会使用受支持的操作向现有频道写入内容，请分别测试允许和禁止写入的目标。
如果组织策略需要涵盖聊天访问权限，请在检查中加入私信测试。
已保存的设置和 Microsoft 元数据可能需要一些时间才能刷新。在依赖收紧后的策略之前，请分别发起新的允许访问和阻止访问请求，验证策略是否生效。
如果已排除的内容仍然出现
确认该回复是否通过向 Microsoft Teams 发起新请求获取了内容。对话或记忆中已有的信息，并不能证明应用再次检索了这些信息。不要将已排除的内容粘贴到测试提示词中。
重新打开安全与防护控制，确认已保存的组模式、组 ID 和排除的标签 GUID。检查频道的所属团队，共享频道也不例外。团队控制措施不会排除普通的一对一聊天、群聊或会议聊天。
如果新发起的应用请求仍能检索到已排除的内容，请联系你的 OpenAI 客户团队或 OpenAI 支持团队。请提供相关的已保存限制、受影响团队的组 ID 和频道标识符、所连接的账号和工作空间、测试时间及时区，以及实际发生的情况。如果显示了请求 ID，请一并提供；否则，请说明未显示请求 ID。不要提供已排除的内容本身。
了解局限性
团队限制适用于团队拥有的频道。这些限制不提供针对私信或群聊的单独开关设置。
团队标签排除规则不会单独扫描各条消息或附件上的标签。
这些团队控制措施不涵盖独立的会议转录和录制操作。请在应用设置中单独管理这些操作。
如果无法核实所需的团队归属或标签信息，相关访问将被阻止。
更改这些控制措施不会删除已检索到对话中的内容，也不会移除已保存的记忆。请单独管理对话和记忆。有关移除选项，请参阅：ChatGPT 中的记忆和删除和归档聊天。
有关连接 Microsoft Teams 和查看可用操作的信息，请参阅：ChatGPT 中的 Microsoft Teams 应用及其设置。
常见问题
允许某个团队后，是否所有工作空间成员都能访问？
不是。内容必须同时符合工作空间策略和所连接用户的 Microsoft 权限要求。
团队限制会阻止私信或群聊吗？
这些限制不会排除普通的一对一聊天、群聊或会议聊天。Microsoft Teams 组访问权限指的是团队背后关联的 Microsoft 365 组，而不是群聊。
标签排除规则是否适用于没有标签的团队？
没有标签的团队仍可被访问，但须满足其他已配置的控制措施和用户的 Microsoft 权限要求。
标签排除规则能否阻止其他规则允许访问的团队？
可以。如果匹配到标签排除规则，即使团队已列入允许列表，其频道也会被阻止。
我之前选择的同步范围会限制应用的实时访问吗？
请根据当前已保存的安全与防护控制策略，核实应用的实时访问权限。不要仅依赖之前选择的同步范围或索引状态来判断。重新打开控制设置，查看已保存的限制，并根据需要进行更新。更改后选择保存，然后发起新请求，分别测试允许访问和已排除的内容。