Visió general
El control d'accés basat en rols (RBAC) permet als propietaris de l'espai de treball configurar l'accés a les funcionalitats amb rols personalitzats reutilitzables. Un membre pot rebre rols directament o a través dels grups als quals pertany, i pot tenir més d'un rol.
Els rols personalitzats controlen els permisos de les funcionalitats. Els rols predefinits de l'espai de treball, com ara Membre, Administrador i Propietari, determinen què pot administrar cada persona. Per obtenir informació sobre els rols predefinits i els tipus de llicència, consulta: Gestió de membres, rols de l'espai de treball i llicències.
Disponibilitat
El RBAC està disponible per a ChatGPT Enterprise, Edu, Healthcare i Teachers a tots els països on s'ofereix el servei. Configura el RBAC al web a través de Configuració de l'espai de treball > Permisos i rols a ChatGPT, o dels controls de rols i permisos compatibles de la Consola d'administració.
Abans de començar
Els propietaris de l'espai de treball poden crear, suprimir, assignar i desassignar rols personalitzats, i gestionar els permisos per defecte de tot l'espai de treball.
Els administradors de l'espai de treball poden tenir la possibilitat de veure o actualitzar els rols existents a través de les interfícies d'administració compatibles. No poden crear, suprimir, assignar ni desassignar rols personalitzats.
Els membres i els usuaris amb accés de lectura a les analítiques no poden gestionar la configuració de RBAC de tot l'espai de treball.
La delegació als gestors de grups està disponible a ChatGPT Enterprise. Només un propietari de l'espai de treball pot activar o desactivar Edita els permisos dels rols assignats per als gestors de grups.
Un administrador global d'un inquilí no rep automàticament un rol en un espai de treball de ChatGPT. Els rols personalitzats no concedeixen accés a les claus d'administració. Només els propietaris i els administradors de l'espai de treball poden crear-hi claus d'administració, i els permisos sensibles de compliment normatiu requereixen un propietari. Per obtenir més informació, consulta: Gestió de claus d'administració a la Consola d'administració.
Entendre la configuració per defecte de l'espai de treball i els rols personalitzats
La configuració de l'espai de treball estableix la base per als permisos compatibles. Un rol personalitzat ordinari pot utilitzar aquests estats:
| Estat | Efecte |
|---|---|
| Per defecte | Hereta la configuració de l'espai de treball. |
| Activat | Concedeix el permís a través d'aquest rol. |
| Desactivat | Denega el permís a través d'aquest rol. Un altre rol assignat encara el pot concedir. |
Els permisos dels rols ordinaris se sumen. Si qualsevol rol assignat concedeix accés, ja sigui explícitament o heretant un paràmetre activat de l'espai de treball, el membre conserva l'accés. Això s'aplica als rols assignats directament i a través de grups.
Si tots els rols ordinaris aplicables estan configurats com a Desactivat, el RBAC ordinari denega l'accés. Si tots els rols aplicables utilitzen Per defecte, s'aplica la configuració de l'espai de treball. Alguns permisos, inclosos determinats controls de Work i dels connectors, només tenen les opcions Activat i Desactivat.
Els requisits del tipus de llicència, del pla i del producte continuen sent aplicables. El mode de bloqueig s'avalua per separat i pot restringir una funcionalitat encara que un rol ordinari la permeti.
Establir els permisos per defecte de l'espai de treball
Obre el teu espai de treball de ChatGPT.
Ves a Configuració de l'espai de treball > Permisos i rols.
Obre la pestanya Espai de treball.
Revisa els permisos disponibles i estableix la configuració de base de l'espai de treball.
Els controls disponibles es mostren a Permisos i rols. La configuració per defecte de l'espai de treball s'aplica als permisos compatibles d'un rol personalitzat quan el rol utilitza l'opció Per defecte.
Pots controlar l'accés a cada aplicació per separat. La interfície d'usuari d'una aplicació no es pot desactivar de manera independent.
Crear o editar un rol personalitzat
Els propietaris de l'espai de treball poden crear rols personalitzats.
Ves a Configuració de l'espai de treball > Permisos i rols.
Obre Rols personalitzats.
Selecciona Crea un rol.
Introdueix un nom i una descripció i, a continuació, selecciona Desa.
A la pàgina de permisos del rol, tria Per defecte, Activat o Desactivat per a cada permís compatible. Per als permisos de dos estats, tria Activat o Desactivat.
Per editar un rol existent, obre'l a Rols personalitzats i actualitza els paràmetres permesos. Els permisos d'administració depenen del teu rol a l'espai de treball i de la interfície compatible, tal com s'ha descrit més amunt.
Els canvis en un rol personalitzat afecten tots els grups que el tenen assignat. Utilitza rols separats quan els grups necessitin una configuració de permisos independent.
Assignar un rol personalitzat
Els propietaris de l'espai de treball poden assignar rols directament a membres individuals, quan aquesta opció estigui disponible, o a grups creats manualment o sincronitzats mitjançant SCIM. Es recomana utilitzar grups per gestionar l'accés a gran escala. Per obtenir informació sobre la configuració dels grups, consulta: Gestió de grups i gestors de grups.
Assignar un rol a grups
Ves a Configuració de l'espai de treball > Permisos i rols.
Obre Rols personalitzats i selecciona el rol.
Obre Assignacions de rols.
Selecciona + Afegeix.
Tria un o més grups.
Selecciona Fet.
Els membres reben els permisos de tots els rols que tenen assignats, tant directament com a través de grups. Els canvis poden trigar fins a 5 minuts a aplicar-se.
Assignar un rol directament a un membre
Si les assignacions directes estan disponibles, obre el perfil del membre, ves a Rols directes i selecciona Assigna un rol directe. Tria el rol personalitzat que vols assignar. Un rol directe es combina amb els rols que el membre rep a través de grups.
Delegar l'edició dels rols assignats
A ChatGPT Enterprise, un propietari de l'espai de treball pot permetre que els gestors de grups editin els paràmetres permesos dels rols personalitzats assignats al seu grup. Els gestors de grups no poden crear ni suprimir rols, ni assignar-los o desassignar-los. Editar un rol compartit per diversos grups afecta tots aquests grups.
Per obtenir informació sobre l'assignació i la retirada de gestors i la configuració dels permisos delegats, consulta: Gestió de grups i gestors de grups.
Configurar l'accés als models i les excepcions de seguretat
Accés als models
Els propietaris poden controlar l'accés als models disponibles mitjançant la configuració de l'espai de treball o els rols personalitzats. Un rol no pot fer que un model estigui disponible si l'espai de treball no compleix els requisits per accedir-hi. Triar un model inicial o per defecte no hi concedeix accés.
Als espais de treball Enterprise i Edu que compleixen els requisits, GPT-6 Astra està desactivat per defecte en el moment del llançament. Configura l'accés a Astra per separat; no s'hi transfereix la configuració anterior d'accés anticipat als models. Revisa tots els rols assignats, perquè un rol que permet l'accés el pot mantenir activat encara que un altre rol estigui configurat com a Desactivat.
Quan es van llançar a Work i Codex, GPT-6 Sol i GPT-6 Luna estaven desactivats per defecte als espais de treball Enterprise i Edu. Els administradors han d'activar els models que encara estiguin desactivats perquè els membres els puguin utilitzar. No cal tornar a activar els models que ja estan activats per a aquest desplegament a Chat. El selector de models i el control lliscant només mostren les opcions disponibles per al membre.
Per a GPT-6 a Chat d'Enterprise, utilitza el permís existent de GPT-6 Sol per controlar l'accés als nivells d'Instantània a Molt alta. Els espais de treball que tenen Sol activat poden rebre accés durant el desplegament. Aquest llançament a Chat no introdueix cap període nou d'accés previ per a administradors.
L'accés depèn de la configuració d'administració existent i de tots els rols assignats. Els permisos dels rols ordinaris se sumen, tal com s'ha descrit més amunt: un rol pot permetre l'accés encara que un altre el desactivi. Els membres han de continuar complint els requisits del pla, de la llicència i del producte. Pro utilitza el permís independent de GPT-6 Astra.
Si un membre no troba un d'aquests models a Work o Codex, comprova si l'espai de treball compleix els requisits per accedir al model i revisa l'accés efectiu del membre als models.
Els administradors poden obrir la Consola d'administració, seleccionar l'espai de treball de ChatGPT i, a continuació, obrir Models i seleccionar Prova per examinar l'accés del membre i els paràmetres que l'afecten. La prova no activa cap model ni modifica els permisos.
Per obtenir informació sobre la disponibilitat dels models, els requisits del client i el procediment complet, consulta: Models i límits de ChatGPT Enterprise i Edu.
Mode de bloqueig
Els espais de treball compatibles amb rols de mode de bloqueig poden crear un rol personalitzat per als membres que el necessitin. El mode de bloqueig és una configuració de seguretat del rol, no un simple interruptor d'un permís.
Un rol de mode de bloqueig pot restringir funcionalitats amb accés a la xarxa, com ara la cerca web en temps real, la recerca profunda, el mode d'agent, les connexions de xarxa del Llenç i algunes funcions d'aplicacions o de l'MCP, segons la configuració de l'espai de treball. Aquestes restriccions es poden aplicar encara que un rol ordinari permeti la funcionalitat.
Abans d'assignar un rol de mode de bloqueig, revisa quines aplicacions i accions permet. Els membres també han de tenir els permisos necessaris en cada sistema d'origen connectat; l'accés a les aplicacions de ChatGPT no anul·la aquests permisos d'origen.
Per obtenir més informació, consulta: Mode de bloqueig.
Gestionar l'accés als connectors d'un rol
Als espais de treball Enterprise i Edu, l'accés a un connector concret es pot configurar per a un rol personalitzat o heretar de la configuració per defecte de l'espai de treball. Aquests paràmetres de cada connector són independents del permís Utilitza connectors de tot l'espai de treball i dels altres permisos de connectors que només tenen les opcions Activat i Desactivat.
Ves a la Consola d'administració, selecciona l'espai de treball de ChatGPT que vulguis i obre Connectors.
Selecciona el connector i revisa el rol que vols modificar.
Tria si el rol té una configuració pròpia d'accés al connector o si hereta la configuració per defecte de l'espai de treball.
Revisa l'accés actual i el proposat per a les aplicacions necessàries i les dependències compartides. Confirma només els canvis de connectors i aplicacions que vulguis fer.
Revisa els resultats i resol els errors dels canvis que no s'hagin pogut aplicar.
Quan comprovis l'accés d'un membre, revisa tots els rols que té assignats, tant directament com a través de grups. L'accés als connectors no anul·la la configuració independent d'accés, accions, aprovació o autorització del proveïdor de les aplicacions incloses.
Un connector restringit pot continuar visible al directori amb la indicació Desactivat per l'administrador. Per obtenir informació sobre l'administració de connectors i els conflictes amb aplicacions necessàries, consulta: Controls d'administració, seguretat i compliment normatiu per a connectors i aplicacions.
Comprovar l'accés efectiu d'un membre
Revisa el tipus de llicència del membre, els requisits del pla, la configuració per defecte de l'espai de treball i tots els rols assignats directament o a través de grups. Espera fins a 5 minuts perquè s'apliquin els canvis recents de RBAC.
Els exemples següents utilitzen rols ordinaris, tret que s'indiqui el contrari:
| Configuració | Resultat |
|---|---|
| La cerca web de l'espai de treball està configurada com a Activat; l'únic rol ordinari del membre utilitza Per defecte. | La cerca web està permesa a través d'aquest rol. |
| Un rol ordinari configura la cerca web com a Desactivat; un altre la configura com a Activat. | La cerca web està permesa perquè un dels rols hi concedeix accés. |
| Tots els rols ordinaris aplicables configuren la cerca web com a Desactivat. | El RBAC ordinari no concedeix accés, encara que la configuració de base de l'espai de treball sigui Activat. |
| Un rol ordinari permet una funcionalitat amb accés a la xarxa; un rol de mode de bloqueig la restringeix. | S'aplica la restricció del mode de bloqueig. |
Per comprovar l'accés als models, els administradors de Business, Enterprise, Healthcare i Edu poden utilitzar Prova a la secció Models de la Consola d'administració. Mostra l'accés efectiu als models i els paràmetres que el determinen. No concedeix accés ni modifica els permisos. Per consultar el procediment, ves a: Models i límits de ChatGPT Enterprise i Edu.
Preguntes freqüents
Si es configura un permís com a Desactivat en un rol, es retira l'accés al membre?
No, si un altre rol ordinari aplicable concedeix el permís. Revisa tant les assignacions directes com els rols rebuts a través de grups. El mode de bloqueig i els requisits d'accés al producte s'avaluen per separat.
El RBAC pot anul·lar les restriccions del tipus de llicència d'un membre?
No. El RBAC controla les funcionalitats dins dels límits d'accés que permeten el tipus de llicència i el pla de l'espai de treball. Una llicència exclusiva de Codex no obté accés a ChatGPT a través d'un rol personalitzat.
Què passa si un permís només té les opcions Activat i Desactivat?
Configura explícitament Activat o Desactivat per a l'espai de treball i els rols pertinents. L'opció Per defecte només està disponible per als permisos compatibles.