概覽
工作區管理員可以使用 SharePoint 控制項，允許已核准的網站集合、封鎖指定的網站集合，並排除帶有指定 Microsoft Purview 敏感度標籤的受支援檔案。
SharePoint 網站集合又稱 SPSite，可以包含多個網站。集合規則適用於整個集合，但仍受每位使用者現有的 Microsoft 權限約束。規則不會授予使用者存取其在 Microsoft 365 中無權存取之內容的權限。
網站限制適用於受支援的 SharePoint 搜尋、瀏覽、檔案擷取及讀寫操作。OneDrive 存取須另外管理。
請選擇符合原則的存取模式：
允許的網站：當允許清單不為空時，使用者只能透過應用程式存取清單中列出的網站集合。
封鎖的網站：使用者可在其 Microsoft 權限範圍內，存取未列於拒絕清單中的網站集合。
一次只能有一份清單包含項目。空的允許清單不會封鎖所有網站。當兩份清單都為空時，SharePoint 網站限制會解除；Microsoft 權限和其他已設定的控制項仍然適用。
可用性
這些控制項和工作區管理員 API 必須先為您的工作區啟用，才能使用。可用的控制項包括網站集合允許清單、網站集合拒絕清單、CSV 網站匯入，以及敏感度標籤排除項目。
規則適用於整個網站集合。這些網站集合控制項不支援將範圍精確限定至個別網站、資料夾或檔案，也不包含 Microsoft Sites.Selected 權限的強制執行。
開始之前
確認組織要允許或封鎖哪些網站集合。
取得每個集合的 GUID。完整 Microsoft Graph 網站 ID 的中間值就是集合 GUID。管理員 API 使用集合 GUID；使用者介面的 CSV 匯入工具也能從 Graph 網站 ID 三元組中擷取集合 GUID。
請在 ChatGPT 的權限設定和 Microsoft Entra 中，都啟用 SharePoint 應用程式所需的 Microsoft 權限，包括
Sites.Read.All和Files.Read.All。這些控制項會在 OpenAI 端篩選可存取的內容，但不會取代 Microsoft 的委派權限。若要設定敏感度標籤排除項目，請向 Microsoft 365 或 Purview 管理員索取各個未加密標籤的不可變 GUID。
若要透過 API 進行管理，請取得工作區 UUID 和 ChatGPT 工作區管理員金鑰；若需解析 SharePoint URL，還須取得 Microsoft Graph 權杖。這兩種憑證的用途不同。
關於 OpenAI Cookbook
OpenAI Cookbook 是 OpenAI 公開提供的範例程式碼與指南集合。本文使用其中的 SharePoint 網站存取指南和 Python 管理指令碼，兩者皆託管於 GitHub。您可以在瀏覽器中開啟這些連結，閱讀檔案內容。若要執行指令碼，請先下載，並依照指南中的設定和命令說明操作。
本文中的「Cookbook」指的是該份 SharePoint 指南，而「Cookbook 工具」則指上述連結的 Python 指令碼。如需命令範例，以及透過 API 管理允許清單的方式，請參閱這些資源。
設定 API 管理所需的憑證
注意：您必須是工作區管理員，才能建立管理員金鑰。瞭解詳情。
建立 ChatGPT 工作區管理員金鑰
開啟 ChatGPT 管理控制台，並選取預定的工作區。
前往憑證，並選取管理員金鑰。
建立權限設為受限的金鑰，並將應用程式設為寫入。
請妥善保管金鑰。此金鑰授權讀取及變更您工作區的 SharePoint 原則。
所需權限為 chatgpt.enterprise.apps.write。請注意，API 平台金鑰和 Microsoft Graph 權杖都無法取代 ChatGPT 工作區管理員金鑰。
如需更多資訊，請參閱：在「憑證」分頁中管理管理員金鑰。如需指令碼的憑證環境變數與安全輸入範例，請參閱 Cookbook 憑證說明。
取得 Microsoft Graph 權杖
請使用組織核准的 Microsoft 驗證流程。若要進行互動式查詢，且組織允許使用 Graph Explorer：
開啟 Microsoft Graph Explorer，並使用 SharePoint 網站所在租用戶的工作帳戶登入。
透過修改權限或同意權限，選取讀取網站所需的權限，通常為
Sites.Read.All。如果組織有此要求，請 Microsoft 管理員核准存取權。開啟存取權杖分頁，並複製權杖以供 Microsoft Graph 使用。
如需 Microsoft 的操作說明，請參閱使用 Graph Explorer。
Graph 權杖用於將 SharePoint URL 解析為識別碼。ChatGPT 管理員金鑰用於讀取或更新 ChatGPT 原則。Cookbook 工具只有在執行解析 URL 的命令時才需要 Graph 權杖；讀取或清空現有允許清單只需要 ChatGPT 管理員金鑰。
請勿將任一憑證放入原始碼版本控制系統、共用文件、螢幕擷取畫面或記錄中。
尋找網站集合的 GUID
使用 SharePoint 網站 URL
使用具有存取權的帳戶登入 Microsoft，然後開啟 SharePoint 網站。
在網站 URL 後面加上
/_api/site/id。例如，使用https://contoso.sharepoint.com/sites/Finance/_api/site/id。複製回應中傳回的 GUID。
注意：本文中的範例網域和識別碼均為預留位置。
使用 Microsoft Graph
Microsoft Graph 傳回的網站 ID 包含三個以逗號分隔的部分：主機名稱、網站集合 GUID 和網站 GUID。設定網站集合規則時，請使用中間的值。不同的網站 URL 可能會解析為相同的集合 GUID。
如需查詢方式和識別碼範例，請參閱瞭解 SharePoint 網站識別碼。若要在不變更 ChatGPT 原則的情況下解析多個 URL，請使用 Cookbook 檢查操作說明和 Python 管理指令碼。
如需 Microsoft 的查詢需求，請參閱依路徑取得 SharePoint 網站。
管理允許和封鎖的網站集合
使用工作區控制項
在工作區中開啟 SharePoint 應用程式的安全與資安控制項。
在存取模式下方，選取允許的網站或封鎖的網站。
將網站集合新增至所選清單。您也可以使用下方說明的 CSV 上傳功能。
檢查變更後，選取儲存。
檢查已儲存的原則，並測試設定。
透過管理員 API 新增的網站會顯示在工作區控制項中。在使用者介面中新增的網站，也可以透過 API 存取。您可以透過任一介面新增或移除項目；新增網站時使用的方式，不會限制後續必須使用相同方式管理。
切換允許和封鎖網站模式
一次只能有一份清單包含項目。在另一種模式中新增項目前，請先清空現有清單並儲存變更。接著選取另一種模式，新增預定的集合，然後再次儲存。
清空目前使用的清單並儲存後，存取權限會立即變更。清空允許清單會移除其網站限制；清空拒絕清單則會解除其封鎖。請與其他管理員一起規劃切換流程，因為從清空一份清單到儲存另一份清單的期間，可能會允許最終原則所要限制的存取。
從 CSV 上傳網站集合
CSV 上傳僅支援網站集合。若要依敏感度標籤排除檔案，請在排除的未加密敏感度標籤下方新增標籤 GUID。
開啟安全與資安控制項，並選取預定的存取模式。
準備一份包含網站集合 GUID 或 Microsoft Graph 網站 ID 三元組的 CSV。整份檔案請使用同一種識別碼格式。
選取上傳 CSV 檔案，然後選擇檔案。
檢查匯入結果和所選清單。請先處理各列的錯誤或警告，再繼續操作。
選取儲存以套用變更，然後檢查已儲存的清單。
CSV 需求與運作方式：
檔案大小上限：1 MB。
標頭為選用。
每列使用一個集合 GUID，或使用 Graph 網站 ID 三元組。三元組可以用引號括住放在單一欄位中，也可以分成三欄。
Graph 三元組會轉換為集合 GUID。匯入三元組不會建立僅適用於特定網站的規則。
匯入會將項目新增至所選清單，並保留現有項目。重複的集合會去重；匯入數量顯示的是新加入的集合數。
混用格式或格式錯誤的資料列會遭拒絕。若上傳的檔案只包含網站 URL，系統會顯示警告，且不會新增網站。請先將 URL 解析為集合 GUID。
上傳只會變更清單草稿。只有在選取儲存後，才會更新工作區的存取權限。
此處說明的 CSV 上傳功能用於管理網站集合。敏感度標籤排除項目須另外設定。
如果您有一份包含 SharePoint URL 的 CSV，Cookbook 工具的 CSV 工作流程可以解析這些 URL，並透過 API 管理允許清單。其 site_url 或 url 輸入所用的格式和工作流程，與使用者介面的識別碼上傳不同。
瞭解原則與請求限制
預設原則上限為 10,000 個網站集合。若要提高工作區原則上限（最高可達 120,000 個網站集合），須由 OpenAI 啟用；規劃更大規模的部署前，請先聯絡您的 OpenAI 團隊。
個別 API 變更操作和目前的 Cookbook 指令碼，每個請求最多接受 10,000 個集合 GUID。提高工作區原則上限，不會提高這項單一請求的上限。請計算不重複的網站集合數量，而非來源 URL 數量：多個 URL 可能指向同一個集合。
使用工作區管理員 API
使用工作區 UUID 和 ChatGPT 工作區管理員金鑰，向 https://api.chatgpt.com 發出請求。
如需持續維護的允許清單命令和請求範例，請參閱 Cookbook：
變更前請先檢查目前的原則，變更後再次讀取，並測試變更後的存取情況。移除最後一個允許的集合或清空允許清單，會解除該網站限制。除非您打算解除允許清單的限制，否則請勿傳送空的新增請求。
公開的 Cookbook 工具目前僅能管理允許清單。它無法管理拒絕清單或敏感度標籤排除項目。請使用上述工作區控制項來執行這些工作。
排除帶有敏感度標籤的檔案
尋找標籤 GUID
請向 Microsoft 365 或 Purview 管理員索取目標標籤的不可變 GUID。請使用 GUID，而非標籤的顯示名稱。
管理員可以透過 Microsoft Graph 列出標籤。權杖須具備適用的 SensitivityLabel.Read 或 SensitivityLabels.Read.All 權限。請比對目標標籤的名稱與 ID，並檢查其保護設定。
如需需求和範例，請參閱列出敏感度標籤和敏感度標籤屬性。這些標籤權限與解析 SharePoint URL 所使用的網站讀取權限彼此獨立。
新增標籤排除項目
開啟 SharePoint 應用程式的安全與資安控制項。
在排除的未加密敏感度標籤下方，輸入各個未加密標籤的 GUID。
儲存設定，並使用帶有排除標籤的受支援檔案進行測試。
帶有相符且受支援標籤的檔案，會從 SharePoint 應用程式的結果中排除。帶有套用加密之標籤的檔案，預設就已排除。
測試設定
請使用組織核准的測試檔案和帳戶。測試前，請確認同一個 Microsoft 帳戶能夠直接在 SharePoint 中存取每個檔案。
在允許的網站模式下，若清單不為空，請分別檢查允許集合中的檔案和未列入清單之集合中的檔案。透過應用程式應只能存取允許的集合。
在封鎖的網站模式下，請分別檢查已封鎖集合中的檔案和未封鎖集合中的檔案。已封鎖的集合應無法存取；未封鎖的集合仍受 Microsoft 權限和其他控制項約束。
檢查帶有排除敏感度標籤的受支援測試檔案。該檔案應不會出現在應用程式的結果中。
透過 API 進行變更後，請將使用者介面中已儲存的清單與 API 傳回的原則互相比較。
上傳 CSV 後，請儲存變更並重新開啟控制項，確認預定的集合已保留。
如果結果與預期的原則不符，請檢查工作區、所選的存取模式、已儲存的清單、集合 GUID、標籤 GUID、受支援的檔案類型，以及使用者的 Microsoft 權限。除非您確實想要清空清單所造成的存取變更，否則請勿將清空清單作為疑難排解步驟。
若控制項缺失或存取情況不如預期而需要協助，請參閱：聯絡 OpenAI 支援團隊。請勿在支援請求中提供管理員金鑰或 Microsoft Graph 權杖。
瞭解限制
集合規則涵蓋整個網站集合。無法將存取範圍限縮至特定子網站、資料夾或檔案。
SharePoint 網站限制不會自動限制 OneDrive 存取。
敏感度標籤篩選僅適用於 Microsoft Graph 提供受支援標籤中繼資料的檔案，包括受支援的 Office 文件、PDF 和 MP4 檔案。
不支援敏感度標籤的檔案類型（例如 TXT 和 CSV）會視為未加上標籤。如果其他權限允許，仍可存取這些檔案。這項檔案類型限制與上傳 CSV 以設定網站存取無關。
CSV 上傳功能和公開的範例工具都無法設定敏感度標籤排除項目。本文未說明用於大量管理標籤的 API。
即使原則已儲存或 API 回應成功，仍須使用預定的帳戶測試存取情況。
使用 Python 管理工具
完整的範例程式碼和命令會在 OpenAI Cookbook 中持續維護：
請使用 Python 3.10 或更新版本。此工具使用 Python 標準函式庫。執行前請先閱讀指南，並透過模擬執行檢查變更。
目前此工具會從環境變數讀取憑證；請依照指南中的安全輸入說明操作。清空允許清單前，必須明確確認。移除操作不需要這項確認即可執行，因此請先透過模擬執行檢查移除操作。
如需重試行為和選用冪等性金鑰的說明，請參閱安全地重試原則更新。僅在工作區支援時使用冪等性金鑰；若發生結果不明的失敗，請檢查目前的原則。
此工具不會啟用工作區功能，也不會驗證原則是否確實生效。其離線測試使用模擬的 Microsoft Graph 和 ChatGPT 管理員 API 呼叫。
涉及多個請求的變更不具原子性。如果移除多個集合的操作中途失敗，先前的移除可能已經成功。重試前請先讀取目前的原則。
常見問題
網站控制項會取代 Microsoft 權限嗎？
不會。應用程式仍會使用每位使用者的 Microsoft 權限。OpenAI 會在向使用者和模型提供回應之前，套用已設定的網站篩選規則。
空的允許清單會封鎖所有網站嗎？
不會。空的允許清單不代表「全部封鎖」。如果拒絕清單中有項目，這些集合仍會被封鎖。當兩份清單都沒有項目時，存取權限會由使用者的 Microsoft 權限和其他已設定的控制項決定。
管理員 API 的變更會留下記錄嗎？
透過管理員 API 進行的原則變更，會記錄於工作區的稽核與合規性記錄中。