Überblick

Workspace-Admins können über die SharePoint-Einstellungen genehmigte Websitesammlungen zulassen, ausgewählte Websitesammlungen sperren und unterstützte Dateien mit ausgewählten Microsoft Purview-Vertraulichkeitsbezeichnungen ausschließen.

Eine SharePoint-Websitesammlung, auch SPSite genannt, kann mehrere Websites enthalten. Eine Sammlungsregel gilt für die gesamte Sammlung. Dabei gelten weiterhin die bestehenden Microsoft-Berechtigungen der jeweiligen Person. Sie gewährt einer Person keinen Zugriff auf Inhalte, auf die diese in Microsoft 365 nicht zugreifen kann.

Websitebeschränkungen gelten für unterstützte SharePoint-Aktionen beim Suchen, Durchsuchen, Abrufen von Dateien sowie beim Lesen und Schreiben. Der OneDrive-Zugriff wird separat verwaltet.

Wähle den Zugriffsmodus, der zu deiner Richtlinie passt:

• Zugelassene Websites: Bei einer nicht leeren Zulassungsliste können Personen über die App nur auf die aufgeführten Websitesammlungen zugreifen.

• Gesperrte Websites: Personen können im Rahmen ihrer Microsoft-Berechtigungen auf alle Websitesammlungen zugreifen, die nicht auf der Sperrliste stehen.

Es kann immer nur eine Liste Einträge enthalten. Eine leere Zulassungsliste sperrt nicht alle Websites. Wenn beide Listen leer sind, werden die SharePoint-Websitebeschränkungen aufgehoben. Microsoft-Berechtigungen und andere konfigurierte Zugriffseinstellungen gelten weiterhin.

Verfügbarkeit

Die Einstellungen und die Admin API des Workspace müssen für deinen Workspace freigeschaltet sein. Zu den verfügbaren Funktionen gehören Zulassungslisten und Sperrlisten für Websitesammlungen, CSV-Websiteimporte und Ausschlüsse nach Vertraulichkeitsbezeichnungen.

Regeln gelten für ganze Websitesammlungen. Diese Einstellungen für Websitesammlungen umfassen weder eine gezielte Beschränkung auf einzelne Websites, Ordner oder Dateien noch die Durchsetzung von Microsoft Sites.Selected.

Bevor du beginnst

• Ermittle die Websitesammlungen, die deine Organisation zulassen oder sperren möchte.

• Beschaffe dir die GUID jeder Sammlung. Eine vollständige Microsoft Graph-Website-ID enthält die Sammlungs-GUID als mittleren Wert. Die Admin-API verwendet Sammlungs-GUIDs. Der CSV-Importer in der Benutzeroberfläche kann diese auch aus Graph-Website-ID-Tripeln extrahieren.

• Aktiviere die für die SharePoint-App erforderlichen Microsoft-Berechtigungen sowohl in den Berechtigungseinstellungen von ChatGPT als auch in Microsoft Entra, einschließlich Sites.Read.All und Files.Read.All. Diese Einstellungen filtern den Zugriff auf der Seite von OpenAI. Sie ersetzen nicht die delegierten Berechtigungen von Microsoft.

• Bitte für Ausschlüsse anhand von Vertraulichkeitsbezeichnungen die für Microsoft 365 oder Purview zuständige Administration um die unveränderliche GUID jeder Bezeichnung, die du ausschließen möchtest. Das gilt auch für Bezeichnungen, die eine Verschlüsselung anwenden.

• Für die Verwaltung über die API benötigst du deine Workspace-UUID, einen Admin-Schlüssel für deinen ChatGPT-Workspace und, falls du SharePoint-URLs auflösen musst, ein Microsoft Graph-Token. Die beiden Zugangsdaten dienen unterschiedlichen Zwecken.

Über das OpenAI Cookbook

Das OpenAI Cookbook ist die öffentliche Sammlung von Beispielcode und Anleitungen von OpenAI. Dieser Artikel verwendet den darin enthaltenen Leitfaden zum Zugriff auf SharePoint-Websites und das Python-Verwaltungsskript. Beide werden auf GitHub gehostet. Du kannst diese Links in deinem Browser öffnen, um die Dateien zu lesen. Um das Skript auszuführen, lade es herunter und befolge die Anweisungen zur Einrichtung und zu den Befehlen im Leitfaden.

In diesem Artikel bezeichnet „Cookbook“ diesen SharePoint-Leitfaden und „Cookbook-Tool“ das verlinkte Python-Skript. Nutze diese Quellen für Befehlsbeispiele und die API-basierte Verwaltung von Zulassungslisten.

Zugangsdaten für die Verwaltung per API einrichten

Hinweis: Du benötigst Admin-Rechte im Workspace, um Admin-Schlüssel erstellen zu können. Mehr erfahren.

Einen Admin-Schlüssel für den ChatGPT-Workspace erstellen

1. Öffne die ChatGPT-Admin-Konsole und wähle den vorgesehenen Workspace aus.

2. Gehe zu Zugangsdaten und wähle Admin-Schlüssel aus.

3. Erstelle einen Schlüssel mit der Berechtigungseinstellung Eingeschränkt und setze Apps auf Schreiben.

4. Bewahre den Schlüssel sicher auf. Dieser Schlüssel berechtigt zum Lesen und Ändern der SharePoint-Richtlinie für deinen Workspace.

Die erforderliche Berechtigung lautet chatgpt.enterprise.apps.write. Beachte, dass weder ein Schlüssel der API-Plattform noch ein Microsoft Graph-Token einen Admin-Schlüssel für den ChatGPT-Workspace ersetzen kann.

Weitere Informationen findest du im Artikel Admin-Schlüssel auf der Registerkarte „Zugangsdaten“ verwalten. Die Umgebungsvariablen für die Zugangsdaten des Skripts und ein Beispiel für die sichere Eingabe findest du in der Anleitung zu Zugangsdaten im Cookbook.

Ein Microsoft Graph-Token beschaffen

Verwende das von deiner Organisation genehmigte Microsoft-Authentifizierungsverfahren. Für eine interaktive Abfrage, sofern deine Organisation Graph Explorer erlaubt:

1. Öffne Microsoft Graph Explorer und melde dich mit einem Geschäftskonto in dem Mandanten an, der die SharePoint-Websites enthält.

2. Wähle über Berechtigungen ändern oder Berechtigungen zustimmen die zum Lesen der Websites erforderlichen Berechtigungen aus, in der Regel Sites.Read.All. Bitte die für Microsoft zuständige Administration, den Zugriff zu genehmigen, falls deine Organisation dies verlangt.

3. Öffne die Registerkarte Zugriffstoken und kopiere das Token zur Verwendung mit Microsoft Graph.

Die Anweisungen von Microsoft findest du im Artikel Mit Graph Explorer arbeiten.

Mit dem Graph-Token werden SharePoint-URLs in Kennungen aufgelöst. Mit dem ChatGPT-Admin-Schlüssel wird die ChatGPT-Richtlinie gelesen oder aktualisiert. Das Cookbook-Tool benötigt das Graph-Token nur für Befehle, die URLs auflösen. Zum Lesen oder Leeren einer bestehenden Zulassungsliste ist nur der ChatGPT-Admin-Schlüssel erforderlich.

Speichere weder den Schlüssel noch das Token in der Versionsverwaltung, in geteilten Dokumenten, Screenshots oder Protokollen.

GUID einer Websitesammlung ermitteln

Die SharePoint-Website-URL verwenden

1. Öffne die SharePoint-Website, während du bei Microsoft mit einem Konto angemeldet bist, das darauf zugreifen kann.

2. Hänge /_api/site/id an die Website-URL an. Verwende zum Beispiel https://contoso.sharepoint.com/sites/Finance/_api/site/id.

3. Kopiere die in der Antwort zurückgegebene GUID.

Hinweis: Beispieldomains und Kennungen in diesem Artikel sind Platzhalter.

Microsoft Graph verwenden

Microsoft Graph gibt eine Website-ID mit drei durch Kommas getrennten Bestandteilen zurück: dem Hostnamen, der GUID der Websitesammlung und der GUID der Website. Verwende den mittleren Wert für eine Websitesammlungsregel. Unterschiedliche Website-URLs können derselben Sammlungs-GUID zugeordnet sein.

Beispiele für Abfragen und Kennungen findest du im Abschnitt SharePoint-Websitekennungen verstehen. Um mehrere URLs aufzulösen, ohne die ChatGPT-Richtlinie zu ändern, verwende die Prüfanleitung im Cookbook und das Python-Verwaltungsskript.

Die Anforderungen von Microsoft für Abfragen findest du im Artikel SharePoint-Website anhand eines Pfads abrufen.

Zugelassene und gesperrte Websitesammlungen verwalten

Workspace-Einstellungen verwenden

1. Öffne in deinem Workspace die Sicherheitskontrollen der SharePoint-App.

2. Wähle unter Zugriffsmodus die Option Zugelassene Websites oder Gesperrte Websites.

3. Füge die Websitesammlungen zur ausgewählten Liste hinzu. Du kannst auch den unten beschriebenen CSV-Upload verwenden.

4. Prüfe deine Änderungen und wähle Speichern.

5. Prüfe die gespeicherte Richtlinie und teste deine Konfiguration.

Websites, die über die Admin-API hinzugefügt wurden, erscheinen in den Workspace-Einstellungen. Websites, die in der Benutzeroberfläche hinzugefügt wurden, sind auch über die API verfügbar. Du kannst Einträge über beide Wege hinzufügen oder entfernen. Eine Website ist nicht an die Methode gebunden, mit der sie hinzugefügt wurde.

Zwischen zugelassenen und gesperrten Websites wechseln

Es kann immer nur eine der beiden Listen Einträge enthalten. Bevor du Einträge im anderen Modus hinzufügst, leere die bestehende Liste und speichere diese Änderung. Wähle dann den anderen Modus, füge die gewünschten Sammlungen hinzu und speichere erneut.


Wenn du die aktive Liste leerst, ändert sich der Zugriff sofort beim Speichern. Das Leeren einer Zulassungsliste hebt die Beschränkung auf die darin aufgeführten Websites auf. Das Leeren einer Sperrliste hebt deren Sperren auf. Plane den Wechsel gemeinsam mit anderen Personen mit Adminrechten. Zwischen dem Leeren der einen Liste und dem Speichern der anderen kann Zugriff möglich sein, den deine endgültige Richtlinie einschränken wird.

Websitesammlungen aus einer CSV-Datei hochladen

Der CSV-Upload unterstützt nur Websitesammlungen. Um Dateien anhand ihrer Vertraulichkeitsbezeichnung auszuschließen, füge die GUIDs der Bezeichnungen zur Ausschlussliste für Vertraulichkeitsbezeichnungen hinzu.

1. Öffne die Sicherheitskontrollen und wähle den gewünschten Zugriffsmodus.

2. Erstelle eine CSV-Datei mit GUIDs von Websitesammlungen oder Microsoft Graph-Website-ID-Tripeln. Verwende in der gesamten Datei dasselbe Kennungsformat.

3. Wähle CSV-Datei hochladen und dann die Datei.

4. Prüfe das Importergebnis und die ausgewählte Liste. Behebe alle Fehler oder Warnungen zu einzelnen Zeilen, bevor du fortfährst.

5. Wähle Speichern, um die Änderungen zu übernehmen, und prüfe anschließend die gespeicherte Liste.

CSV-Anforderungen und Verhalten beim Import:

• Maximale Dateigröße: 1 MB.

• Spaltenüberschriften sind optional.

• Verwende eine Sammlungs-GUID pro Zeile oder Graph-Website-ID-Tripel. Tripel können in Anführungszeichen in einem Feld stehen oder auf drei Spalten aufgeteilt werden.

• Graph-Tripel werden in Sammlungs-GUIDs umgewandelt. Beim Import eines Tripels wird keine Regel für eine einzelne Website erstellt.

• Importe ergänzen die ausgewählte Liste und behalten bestehende Einträge bei. Doppelte Sammlungen werden nur einmal übernommen. Die Importanzahl gibt die neu hinzugefügten Sammlungen an.

• Gemischte Formate und fehlerhaft formatierte Zeilen werden abgelehnt. Wenn ein Upload nur Website-URLs enthält, wird eine Warnung angezeigt und es werden keine Websites hinzugefügt. Löse die URLs zuerst in Sammlungs-GUIDs auf.

• Ein Upload ändert nur den Entwurf der Liste. Die Zugriffsregeln im Workspace werden erst aktualisiert, wenn du Speichern wählst.

• Der hier beschriebene CSV-Upload dient der Verwaltung von Websitesammlungen. Konfiguriere Ausschlüsse anhand von Vertraulichkeitsbezeichnungen separat.

Wenn du eine CSV-Datei mit SharePoint-URLs hast, kannst du mit dem CSV-Workflow des Cookbook-Hilfsprogramms die URLs auflösen und eine Zulassungsliste über die API verwalten. Die Eingabe über site_url oder url verwendet ein anderes Format und einen anderen Workflow als der Upload von Kennungen in der Benutzeroberfläche.

Grenzen für Richtlinien und Anfragen verstehen

Die Standardgrenze für Richtlinien liegt bei 10.000 Websitesammlungen. Höhere Grenzen für Workspace-Richtlinien von bis zu 120.000 Websitesammlungen müssen von OpenAI freigeschaltet werden. Kontaktiere dein OpenAI-Team, bevor du eine größere Bereitstellung planst.

Einzelne API-Änderungsoperationen und das aktuelle Cookbook-Skript akzeptieren bis zu 10.000 Sammlungs-GUIDs pro Anfrage. Eine höhere Grenze für Workspace-Richtlinien erhöht nicht die Grenze pro Anfrage. Zähle eindeutige Websitesammlungen, nicht die Quell-URLs: Mehrere URLs können auf dieselbe Sammlung verweisen.

Die Admin-API des Workspace verwenden

Verwende deine Workspace-UUID und den Admin-Schlüssel deines ChatGPT-Workspace mit https://api.chatgpt.com.

Aktuell gehaltene Befehle für Zulassungslisten und Anfragebeispiele findest du im Cookbook:

• Bestehende Zulassungsliste auslesen.

• Websitesammlungen in der Vorschau prüfen und hinzufügen. Beim Hinzufügen bleiben bestehende zugelassene Sammlungen erhalten.

• Eine Websitesammlung entfernen.

• Die Zulassungsliste leeren.

Prüfe die aktuelle Richtlinie, bevor du Änderungen vornimmst. Lies sie anschließend erneut aus und teste die daraus resultierenden Zugriffsmöglichkeiten. Wenn du die letzte zugelassene Sammlung entfernst oder die Zulassungsliste leerst, wird die Beschränkung auf die darin aufgeführten Websites aufgehoben. Sende keine leere Anfrage zum Hinzufügen, es sei denn, du möchtest die Beschränkungen der Zulassungsliste aufheben.

Das öffentlich verfügbare Cookbook-Hilfsprogramm verwaltet derzeit nur Zulassungslisten. Es verwaltet weder Sperrlisten noch Ausschlüsse anhand von Vertraulichkeitsbezeichnungen. Verwende für diese Aufgaben die oben beschriebenen Workspace-Einstellungen.

Dateien mit Vertraulichkeitsbezeichnungen ausschließen

Die Bezeichnungs-GUID ermitteln

Bitte die für Microsoft 365 oder Purview zuständige Administration um die unveränderliche GUID der vorgesehenen Bezeichnung. Verwende die GUID, nicht den Anzeigenamen.

Admins können Bezeichnungen über Microsoft Graph auflisten. Das Token benötigt die jeweils zutreffende Berechtigung SensitivityLabel.Read oder SensitivityLabels.Read.All. Ordne den Namen der vorgesehenen Bezeichnung ihrer ID zu und prüfe ihre Schutzeinstellungen.

Anforderungen und Beispiele findest du in den Artikeln Vertraulichkeitsbezeichnungen auflisten und Eigenschaften von Vertraulichkeitsbezeichnungen. Diese Bezeichnungsberechtigungen sind von der Website-Leseberechtigung getrennt, die zum Auflösen von SharePoint-URLs verwendet wird.

Bezeichnungen vom Zugriff ausschließen

1. Öffne die Sicherheitskontrollen der SharePoint-App.

2. Trage die GUID jeder Bezeichnung, die du ausschließen möchtest, in die Ausschlussliste für Vertraulichkeitsbezeichnungen ein. Das gilt auch für Bezeichnungen, die eine Verschlüsselung anwenden.

3. Speichere die Konfiguration und teste eine unterstützte Datei mit der ausgeschlossenen Bezeichnung.

Dateien mit passenden unterstützten Bezeichnungen werden aus den Ergebnissen der SharePoint-App ausgeschlossen. Verschlüsselte Dateiinhalte sind standardmäßig ausgeschlossen. Der Zugriff auf unterstützte verschlüsselte Dateien erfordert sowohl den erweiterten Dateizugriff (fetch_advanced) als auch die Administratorzustimmung in Microsoft Entra, wie in den FAQ unten beschrieben. Ausschlüsse anhand von Bezeichnungen und die Microsoft-Berechtigungen der verbundenen Person gelten weiterhin.

Deine Konfiguration testen

Verwende Testdateien und Konten, die deine Organisation genehmigt hat. Vergewissere dich vor dem Test, dass dasselbe Microsoft-Konto direkt in SharePoint auf jede Datei zugreifen kann.

1. Prüfe im Modus Zugelassene Websites mit einer nicht leeren Liste je eine Datei in einer zugelassenen und einer nicht aufgeführten Sammlung. Nur die zugelassene Sammlung sollte über die App zugänglich sein.

2. Prüfe im Modus Gesperrte Websites je eine Datei in einer gesperrten und einer nicht gesperrten Sammlung. Die gesperrte Sammlung sollte nicht zugänglich sein. Für die nicht gesperrte Sammlung gelten weiterhin die Microsoft-Berechtigungen und andere Zugriffseinstellungen.

3. Prüfe eine unterstützte Testdatei mit einer ausgeschlossenen Vertraulichkeitsbezeichnung. Sie sollte nicht in den Ergebnissen der App erscheinen.

4. Vergleiche nach einer Änderung über die API die in der Benutzeroberfläche gespeicherte Liste mit der von der API zurückgegebenen Richtlinie.

5. Speichere nach einem CSV-Upload die Änderungen und öffne die Einstellungen erneut, um zu prüfen, ob die vorgesehenen Sammlungen übernommen wurden.

Wenn die Ergebnisse von der vorgesehenen Richtlinie abweichen, prüfe den Workspace, den ausgewählten Zugriffsmodus, die gespeicherte Liste, die Sammlungs-GUIDs, die Bezeichnungs-GUIDs, den unterstützten Dateityp und die Microsoft-Berechtigungen der jeweiligen Person. Leere eine Liste bei der Fehlerbehebung nur dann, wenn du die daraus resultierende Zugriffsänderung beabsichtigst.

Hilfe bei fehlenden Einstellungen oder unerwartetem Zugriff findest du im Artikel Den OpenAI-Support kontaktieren. Füge deiner Supportanfrage keine Admin-Schlüssel oder Microsoft Graph-Token bei.

Einschränkungen verstehen

• Eine Sammlungsregel gilt für die gesamte Websitesammlung. Sie kann den Zugriff nicht auf eine bestimmte Unterwebsite, einen Ordner oder eine Datei beschränken.

• Beschränkungen für SharePoint-Websites schränken den Zugriff auf OneDrive nicht automatisch ein.

• Die Filterung nach Vertraulichkeitsbezeichnungen greift nur dort, wo Microsoft Graph unterstützte Bezeichnungsmetadaten bereitstellt. Dazu gehören unterstützte Office-Dokumente sowie PDF- und MP4-Dateien.

• Dateitypen, die keine Vertraulichkeitsbezeichnungen unterstützen, etwa TXT- und CSV-Dateien, werden als Dateien ohne Bezeichnung behandelt. Sie bleiben zugänglich, sofern der Zugriff ansonsten zulässig ist. Diese Dateitypbeschränkung hat nichts mit dem Hochladen einer CSV-Datei zur Konfiguration des Websitezugriffs zu tun.

• Mit dem CSV-Upload und dem öffentlich verfügbaren Beispieltool lassen sich keine Ausschlüsse nach Vertraulichkeitsbezeichnungen konfigurieren. Dieser Artikel dokumentiert keine API zur Massenverwaltung von Bezeichnungen.

• Eine gespeicherte Richtlinie oder eine erfolgreiche API-Antwort ersetzt keinen Zugriffstest mit dem vorgesehenen Konto.

Das Python-Verwaltungstool verwenden

Der vollständige Beispielcode und die Befehle werden im OpenAI Cookbook gepflegt:

• Verwaltungsleitfaden.

• Python-Verwaltungsskript.

• Offline-Testdatei.

Verwende Python 3.10 oder neuer. Das Tool nutzt die Python-Standardbibliothek. Lies vor der Ausführung den Leitfaden und prüfe Änderungen mit Testläufen ohne tatsächliche Ausführung.

Das aktuelle Tool liest Zugangsdaten aus Umgebungsvariablen. Befolge die Anweisungen zur sicheren Eingabe im Leitfaden. Zum Leeren einer Zulassungsliste ist eine ausdrückliche Bestätigung erforderlich. Einträge können ohne diese Bestätigung entfernt werden. Prüfe das Entfernen daher zuerst mit einem Testlauf ohne tatsächliche Ausführung.

Informationen zu Wiederholungsversuchen und optionalen Idempotenzschlüsseln findest du im Abschnitt Eine Richtlinienaktualisierung sicher wiederholen. Verwende Idempotenzschlüssel nur, wenn der Workspace sie unterstützt, und prüfe die aktuelle Richtlinie nach einem Fehler mit unklarem Ergebnis.

Das Tool aktiviert keine Workspace-Funktionen und prüft nicht, ob die Richtlinie durchgesetzt wird. Die Offline-Tests des Tools verwenden simulierte Aufrufe von Microsoft Graph und der ChatGPT Admin API.

Änderungen über mehrere Anfragen sind nicht atomar. Wenn das Entfernen mehrerer Sammlungen unterwegs fehlschlägt, können zuvor verarbeitete Sammlungen bereits entfernt worden sein. Lies vor einem erneuten Versuch die aktuelle Richtlinie aus.

FAQ

Sollte ich Vertraulichkeitsbezeichnungen, die eine Verschlüsselung anwenden, zur Ausschlussliste hinzufügen?

Ja. Füge alle Microsoft Purview-Vertraulichkeitsbezeichnungen hinzu, deren Dateien ChatGPT ausschließen soll. Das gilt auch für Bezeichnungen, die eine Verschlüsselung anwenden.

Verschlüsselte Dateiinhalte sind standardmäßig ausgeschlossen. Um den Zugriff auf unterstützte verschlüsselte Dateien zu ermöglichen, muss eine Person mit Adminrechten im Workspace den erweiterten Dateizugriff (fetch_advanced) aktivieren. Außerdem muss die Microsoft Entra-Administration den erforderlichen Microsoft-Berechtigungen zustimmen. Es reicht nicht aus, die Aktion zu aktivieren, ohne die Administratorzustimmung abzuschließen.

Auch nach der Einrichtung kann ChatGPT verschlüsselte Inhalte nur abrufen, wenn die verbundene Person berechtigt ist, auf die Datei zuzugreifen und sie zu entschlüsseln. Dateien mit Bezeichnungen auf deiner Ausschlussliste bleiben ausgeschlossen. Weder das Aktivieren des erweiterten Dateizugriffs noch die Administratorzustimmung setzt Ausschlüsse anhand von Bezeichnungen oder die Microsoft-Berechtigungen der jeweiligen Person außer Kraft.

Ersetzen die Website-Einstellungen die Microsoft-Berechtigungen?

Nein. Die App verwendet weiterhin die Microsoft-Berechtigungen der jeweiligen Person. OpenAI wendet die konfigurierten Website-Filter an, bevor Antworten der anfragenden Person und dem Modell angezeigt werden.

Sperrt eine leere Zulassungsliste alle Websites?

Nein. Eine leere Zulassungsliste bedeutet nicht „alles sperren“. Wenn eine Sperrliste Einträge enthält, bleiben diese Sammlungen gesperrt. Wenn keine der beiden Listen Einträge enthält, bestimmen die Microsoft-Berechtigungen der jeweiligen Person und andere konfigurierte Einstellungen den Zugriff.

Werden Änderungen über die Admin-API protokolliert?

Richtlinienänderungen über die Admin-API werden in den Audit- und Compliance-Protokollen des Workspace erfasst.