Gennemgå siden »SSO-oversigt« for at blive fortrolig med de centrale begreber, der gennemgås i dette dokument.
Før du verificerer dine domæner, er det vigtigt at overveje nogle forskellige spørgsmål:
Hvordan vil du klargøre invitationer til nye brugere?
Hvordan vil du håndtere eksisterende forbrugerbrugere (personlige/Plus/Pro)?
Hvordan skal dit brugerloginflow se ud?
Vi ser nærmere på hvert af disse spørgsmål for at sikre, at du vælger den mulighed, der passer bedst til dine behov.
Invitation af nye brugere
Vi tilbyder i øjeblikket fire forskellige metoder til at klargøre invitationer til brugere:
Det er værd at bemærke, at vi skelner mellem tilfælde, hvor invitationsmails aktivt sendes, og tilfælde, hvor en invitation lydløst knyttes til en brugers mailadresse i vores backend.
Invitationsmails sendes aktivt, når:
En ny bruger inviteres for første gang via SCIM.
En bruger inviteres direkte fra ChatGPT eller API Platform.
Invitationer knyttes lydløst, når:
En SCIM-bruger blev fjernet fra din IdP-gruppe og derefter tilføjet igen.
Automatisk kontooprettelse gælder.
I sidstnævnte tilfælde vil brugerne ikke se invitationerne i deres indbakke, men de vil stadig blive sendt korrekt videre til det tilsvarende arbejdsområde/den tilsvarende organisation, når de forsøger at logge ind.
SCIM
SCIM er tilgængelig i både ChatGPT og API Platform. SCIM giver identitetsudbydere (f.eks. Okta, Entra ID osv.) mulighed for at udveksle brugeridentitetsdata med OpenAI og automatisere klargøring af invitationer (og fjernelse af brugeradgang) baseret på organisatoriske ændringer.
Selvom SCIM også konfigureres via din IdP, kan det opsættes uafhængigt af SSO. Domænebekræftelse og SSO er derfor ikke påkrævet for SCIM.
Hvis du vælger at bruge både SCIM og SSO, er det vigtigt at skelne mellem følgende:
SCIM klargør kun invitationer
SSO håndterer godkendelse og brugeroprettelse
Vi betragter SCIM som den mest robuste og skalerbare løsning til samlet brugeradministration. Afhængigt af din ideelle implementering anbefaler vi generelt følgende arkitektur som bedste praksis, hvis du implementerer på tværs af både ChatGPT og API Platform:
Med denne opsætning kan du nemt administrere både invitationer og adgang (til ChatGPT og API Platform) separat. Denne opsætning har den ekstra fordel, at alle nødvendige ændringer kan foretages centralt af dine administrationsteams direkte i din IdP.
Hvis du implementerer SCIM på tværs af flere applikationer (dvs. ChatGPT vs. API Platform vs. andre konti), bør dine SCIM-applikationer være unikke. Selv hvis din målgruppe af brugere er den samme, anbefales det kraftigt, at hver SCIM-implementering refererer til en unik applikation i din IdP.
Hvis du ikke opfylder dette krav, kan det føre til inkonsistensproblemer, som i sidste ende resulterer i ugyldige medlemskaber.
Direkte invitationer fra ChatGPT eller API-platform
Administratorer kan invitere brugere direkte via mail fra siden »Medlemmer« i henholdsvis ChatGPT og på API-platformen. I ChatGPT understøtter denne metode også masseinvitationer via en uploadet CSV-fil:
Selvom løsningen normalt ikke er skalerbar, anbefaler vi ofte direkte invitationer, når du skal i gang med et nyt arbejdsområde eller en ny organisation. I modsætning til SCIM er der ingen risiko for forsinkelse, før invitationerne når frem til brugernes indbakker. Derfor er det den mest effektive løsning til hurtigt at give adgang, ændre tilladelser og udføre generelle test.
Du kan desuden altid aktivere SCIM senere og knytte dine eksisterende brugere til SCIM-applikationen. Du behøver derfor ikke være bekymret for, at direkte inviterede brugere udelukkes fra fremtidig automatisering, medmindre det er hensigten.
Automatisk kontooprettelse (AAC)
I modsætning til de andre muligheder er AAC kun tilgængelig på identitetssiden i ChatGPT og kræver, at SSO først er blevet aktiveret:
Som vist ovenfor sikrer AAC, at brugere, der tilmelder sig eller logger ind med et verificeret maildomæne, automatisk føjes til dit Enterprise-arbejdsområde. Brugerne modtager ikke en invitationsmail, og processen er fuldt automatiseret. Det har sine fordele og ulemper.
Hvis din politik er at give åben adgang til enhver bruger med dit verificerede domæne, er AAC en god mulighed, der undgår det ekstra arbejde med at konfigurere og administrere en SCIM-applikation.
AAC er dog ikke ideelt, hvis du kræver en mere låst og godkendelsesbaseret tilgang til brugeradgang.
⚠️ ADVARSEL ⚠️
Det er vigtigt at være opmærksom på, at aktivering af AAC i praksis vil tvinge alle forbrugerbrugere (personlige/Plus/Pro) under dit domæne til at blive flettet ind i dit Enterprise-arbejdsområde. Du kan læse mere om dette nedenfor i afsnittet »Håndtering af eksisterende brugere«.
Bemærk, at selv hvis brugerne ikke er medlemmer af din IdP-adgangsgruppe og ikke kan få adgang til arbejdsområdet, når SSO håndhæves, optager de stadig en plads på din Enterprise-konto i dette scenarie.
Derfor anbefaler vi i de fleste tilfælde SCIM eller direkte invitationer frem for AAC. For at undgå mulig forvirring anbefaler vi desuden, at AAC forbliver deaktiveret, hvis du planlægger at bruge SCIM.
Tidligere fjernede eller deaktiverede medlemmer
En tidligere fjernet bruger, der forsøger at logge ind uden at være blevet inviteret igen, kan få vist »Der blev ikke fundet nogen kvalificeret ChatGPT-konto«.
Automatisk kontooprettelse opretter et medlemskab af arbejdsområdet for kvalificerede brugere, som ikke allerede har et. Det genaktiverer ikke et medlemskab, der tidligere er blevet fjernet eller deaktiveret, heller ikke når brugeren logger ind via SSO, og vedkommendes mailadresse tilhører et bekræftet domæne.
For at gendanne adgangen for en tidligere fjernet bruger skal en ejer eller administrator af arbejdsområdet først bekræfte, at personen er godkendt, og derefter invitere vedkommende igen via Indstillinger for arbejdsområde → Medlemmer → Inviter medlem.
API Platform Admin Invites Endpoint
Vores API Platform understøtter et Invites Endpoint, som giver dig mulighed for programmatisk at invitere brugere til din API-organisation.
Sammenlignet med SCIM er den største fordel ved endpoint, at det giver dig mulighed for at angive, hvilke projekter den inviterede bruger skal tilhøre:
Det giver et ekstra lag af detaljering og kontrol uden det manuelle arbejde med individuelle direkte invitationer.
Håndtering af eksisterende forbrugerbrugere
Vi definerer forbrugerbrugere som brugere med et personligt abonnement eller et Plus- eller Pro-abonnement. Der vil ofte være eksisterende forbrugerbrugere med dit verificerede domæne, som har haft konti før din Enterprise-kontrakt. Da verificering af dit domæne og aktivering af SSO kan få afledte konsekvenser for disse forbrugerbrugere, er det vigtigt at fastlægge det ønskede resultat på forhånd.
Indvirkning på ChatGPT-forbrugerbrugere
På ChatGPT-siden afhænger indvirkningen på forbrugere hovedsageligt af to faktorer:
Bliver de inviteret til Enterprise-arbejdsområdet?
Vil du håndhæve SSO?
Den resulterende adfærd kan ses nedenfor:
| Afventende invitation? | SSO håndhævet? | Resultat |
|---|---|---|
| Ja | Ja | Forbrugerbrugerkonti bliver tvunget til at flette med Enterprise og kan kun logge ind med SSO. |
| Ja | Nej | Forbrugerbrugerkonti bliver tvunget til at flette med Enterprise, og brugerne kan godkende sig med SSO eller socialt login. |
| Nej | Ja | Ingen indvirkning: Forbrugerbrugere bevarer adgangen til deres personlige arbejdsområder via adgangskode eller social godkendelse. |
| Nej | Nej | Ingen indvirkning: Forbrugerbrugere bevarer adgangen til deres personlige arbejdsområder via adgangskode eller social godkendelse. |
Hvis dit mål i sidste ende er at forhindre forbrugerkonti, bedes du kontakte din Account Director for at drøfte mulige muligheder.
Kontosammenlægning
Følgende forudsætninger skal være opfyldt, før den personlige konto automatisk sammenlægges med en Enterprise-konto:
Brugerens domæne er bekræftet.
Brugeren har modtaget en invitation til det Enterprise-arbejdsområde, hvor vedkommendes domæne er bekræftet.
Bemærk: Hvis du har aktiveret AAC, vil denne betingelse altid være opfyldt for alle brugere med dit bekræftede domæne.
Når disse betingelser er opfyldt, bør brugeren få vist følgende dialogboks, næste gang vedkommende logger ind i eller opdaterer ChatGPT:
Som billedet viser, refunderer vi automatisk eventuelle aktive Plus- eller Pro-abonnementer inden sammenlægningen. Brugerne kan enten overføre deres eksisterende chathistorik og GPT'er eller eksportere chathistorikken via mail og starte i deres Enterprise-arbejdsområde med »blanke sider«.
Bemærk: Hvis dataresidens er aktiveret for Enterprise- eller Edu-arbejdsområdet, der overføres til, kan data fra det personlige arbejdsområde ikke overføres. Brugerne kan kun eksportere deres chats og slette det personlige arbejdsområde. Se Mailinvitationer og kontomigreringer for at få flere oplysninger.
Når den personlige konto er blevet sammenlagt, kan den ikke gendannes. Hvis dine brugere valgte »Overfør eksisterende chathistorik og GPT'er«, men indholdet ikke blev vist i deres Enterprise-arbejdsområde, skal du kontakte support.
Indvirkning på forbrugerbrugere på API Platform
Fordi SSO på Platform stadig er domænebaseret (i modsætning til ChatGPT, hvor SSO er specifik for det arbejdsområde, hvor det er aktiveret), påvirkes dine forbrugerbrugere, så snart du verificerer dit domæne og aktiverer SSO i en hvilken som helst organisation.
Forbrugerbrugerne mister muligheden for at godkende sig med adgangskoder, da vi identificerer domænematchet og videresender dem til din IdP. Hvis de er medlemmer af din IdP, kan de godkende sig uden problemer. Alternativt kan de logge ind med en social OAuth-mulighed, hvis den er tilgængelig for dem. Hvis ikke, har du i praksis låst dem ude af deres forbrugerkonti.
Se afsnittet Loginflow for brugere for en mere dybdegående guide til dette workflow.
Anbefalede mønstre for identitet og klargøring
Nu hvor vi har gennemgået den grundlæggende adfærd knyttet til vores identitetsgodkendelse og klargøring af invitationer, kan det være nyttigt at se på nogle af de mere almindelige implementeringsmønstre, der er tilgængelige for Enterprise-brugere:
Brugerloginforløb
Vi har allerede gennemgået betydningen af afventende invitationer og håndhævelse af SSO. Dette afsnit skal derfor illustrere det forventede forløb og de kontroller, vi udfører, når en bruger indtaster sin mailadresse for at logge ind.
Loginflow for ChatGPT
Bemærk: Dette diagram udelukker loginforsøg via en social metode eller via Tile-URL'en.
Loginflow for API Platform
Bemærk: Dette diagram udelukker loginforsøg via en social metode eller via Tile-URL'en.
Næste trin
Nu hvor du har en idé om din ideelle implementering, kan du følge den relevante dokumentation for at aktivere SCIM eller SSO: