Überblick
Rollenbasierte Zugriffskontrolle (RBAC) ermöglicht es Personen mit Workspace-Inhaberrolle, den Zugriff auf Funktionen über wiederverwendbare benutzerdefinierte Rollen zu konfigurieren. Einem Mitglied können Rollen direkt oder über Gruppenmitgliedschaften zugewiesen werden. Es kann mehrere Rollen haben.
Benutzerdefinierte Rollen steuern die Berechtigungen für Funktionen. Integrierte Workspace-Rollen wie „Mitglied“, „Admin“ und „Inhaber“ bestimmen, was eine Person verwalten kann. Informationen zu integrierten Rollen und Lizenztypen findest du hier: Mitglieder, Workspace-Rollen und Lizenzen verwalten.
Verfügbarkeit
RBAC ist für ChatGPT Enterprise, Edu, Healthcare und Teachers in allen unterstützten Ländern verfügbar. Konfiguriere RBAC in der Webversion von ChatGPT unter Workspace-Einstellungen > Berechtigungen & Rollen oder über die unterstützten Einstellungen für Rollen und Berechtigungen in der Admin-Konsole.
Bevor du beginnst
Personen mit Workspace-Inhaberrolle können benutzerdefinierte Rollen erstellen, löschen, zuweisen und Zuweisungen aufheben sowie workspaceweite Standardeinstellungen für Berechtigungen verwalten.
Workspace-Admins können bestehende Rollen gegebenenfalls über unterstützte Verwaltungsoberflächen einsehen oder aktualisieren. Sie können keine benutzerdefinierten Rollen erstellen, löschen, zuweisen oder deren Zuweisung aufheben.
Mitglieder und Personen mit Leserechten für Analysen können workspaceweite RBAC-Einstellungen nicht verwalten.
In ChatGPT Enterprise können Befugnisse an Gruppenverantwortliche delegiert werden. Nur eine Person mit Workspace-Inhaberrolle kann Berechtigungen zugewiesener Rollen bearbeiten für Gruppenverantwortliche aktivieren oder deaktivieren.
Eine Person mit globalen Adminrechten für einen Mandanten erhält nicht automatisch eine Rolle in einem ChatGPT-Workspace. Benutzerdefinierte Rollen gewähren keinen Zugriff auf Admin-Schlüssel. Nur Personen mit Workspace-Inhaberrolle und Workspace-Admins können Admin-Schlüssel für den Workspace erstellen. Für sensible Compliance-Berechtigungen ist die Inhaberrolle erforderlich. Weitere Informationen findest du hier: Admin-Schlüssel in der Admin-Konsole verwalten.
Workspace-Standardeinstellungen und benutzerdefinierte Rollen verstehen
Die Workspace-Einstellungen bilden die Grundlage für Berechtigungen, die diese Einstellungen übernehmen können. Eine reguläre benutzerdefinierte Rolle kann diese Zustände verwenden:
| Zustand | Auswirkung |
|---|---|
| Standard | Übernimmt die Workspace-Einstellung. |
| Ein | Gewährt die Berechtigung über diese Rolle. |
| Aus | Verweigert die Berechtigung über diese Rolle. Eine andere zugewiesene Rolle kann sie weiterhin gewähren. |
Berechtigungen aus regulären Rollen ergänzen sich. Wenn eine der zugewiesenen Rollen Zugriff gewährt, entweder ausdrücklich oder durch Übernahme einer aktivierten Workspace-Einstellung, behält das Mitglied den Zugriff. Dies gilt sowohl für direkt als auch für über Gruppen zugewiesene Rollen.
Wenn jede zutreffende reguläre Rolle auf Aus gesetzt ist, wird der Zugriff durch die reguläre RBAC verweigert. Wenn alle zutreffenden Rollen Standard verwenden, gilt die Workspace-Einstellung. Einige Berechtigungen, darunter bestimmte Einstellungen für Work und Plugins, bieten nur Ein und Aus.
Die Voraussetzungen hinsichtlich Lizenztyp, Tarif und Produkt gelten weiterhin. Der Lockdown-Modus wird separat ausgewertet und kann eine Funktion einschränken, auch wenn eine reguläre Rolle sie gewährt.
Standardeinstellungen für Workspace-Berechtigungen festlegen
Öffne deinen ChatGPT-Workspace.
Gehe zu Workspace-Einstellungen > Berechtigungen & Rollen.
Öffne den Tab Workspace.
Prüfe die verfügbaren Berechtigungen und konfiguriere die Grundeinstellungen des Workspace.
Die verfügbaren Einstellungen sind unter Berechtigungen & Rollen aufgeführt. Eine Workspace-Standardeinstellung gilt für eine entsprechende Berechtigung einer benutzerdefinierten Rolle, wenn diese Rolle Standard verwendet.
Du kannst den App-Zugriff für jede App einzeln steuern. Die Benutzeroberfläche einer App lässt sich nicht unabhängig davon deaktivieren.
Eine benutzerdefinierte Rolle erstellen oder bearbeiten
Personen mit Workspace-Inhaberrolle können benutzerdefinierte Rollen erstellen.
Gehe zu Workspace-Einstellungen > Berechtigungen & Rollen.
Öffne Benutzerdefinierte Rollen.
Wähle Rolle erstellen.
Gib einen Namen und eine Beschreibung ein und wähle dann Speichern.
Wähle auf der Berechtigungsseite der Rolle für jede entsprechende Berechtigung Standard, Ein oder Aus. Bei Berechtigungen mit zwei Zuständen wählst du Ein oder Aus.
Um eine bestehende Rolle zu bearbeiten, öffne sie unter Benutzerdefinierte Rollen und aktualisiere die Einstellungen, die du ändern darfst. Deine Verwaltungsberechtigungen hängen von deiner Workspace-Rolle und der unterstützten Oberfläche ab, wie oben beschrieben.
Änderungen an einer benutzerdefinierten Rolle wirken sich auf jede Gruppe aus, der diese Rolle zugewiesen ist. Verwende separate Rollen, wenn Gruppen voneinander unabhängige Berechtigungseinstellungen benötigen.
Eine benutzerdefinierte Rolle zuweisen
Personen mit Workspace-Inhaberrolle können Rollen direkt einzelnen Mitgliedern zuweisen, sofern diese Option verfügbar ist, oder Gruppen, die manuell erstellt oder über SCIM synchronisiert wurden. Für die Zugriffsverwaltung im großen Maßstab werden Gruppen empfohlen. Informationen zum Einrichten von Gruppen findest du hier: Gruppen und Gruppenverantwortliche verwalten.
Gruppen eine Rolle zuweisen
Gehe zu Workspace-Einstellungen > Berechtigungen & Rollen.
Öffne Benutzerdefinierte Rollen und wähle die Rolle aus.
Öffne Rollenzuweisungen.
Wähle + Hinzufügen.
Wähle eine oder mehrere Gruppen aus.
Wähle Fertig.
Mitglieder erhalten Berechtigungen aus allen zutreffenden direkten und gruppenbasierten Rollenzuweisungen. Es kann bis zu 5 Minuten dauern, bis Änderungen wirksam werden.
Einem Mitglied direkt eine Rolle zuweisen
Wenn direkte Zuweisungen verfügbar sind, öffne das Profil des Mitglieds, gehe zu Direkte Rollen und wähle Direkte Rolle zuweisen. Wähle die benutzerdefinierte Rolle aus, die du zuweisen möchtest. Eine direkte Rolle ergänzt die Rollen, die das Mitglied über Gruppen erhält.
Das Bearbeiten zugewiesener Rollen delegieren
In ChatGPT Enterprise kann eine Person mit Workspace-Inhaberrolle Gruppenverantwortlichen erlauben, zulässige Einstellungen benutzerdefinierter Rollen zu bearbeiten, die ihrer Gruppe zugewiesen sind. Gruppenverantwortliche können keine Rollen erstellen, löschen, zuweisen oder deren Zuweisung aufheben. Das Bearbeiten einer Rolle, die mehreren Gruppen zugewiesen ist, wirkt sich auf alle diese Gruppen aus.
Informationen zum Zuweisen und Entfernen von Gruppenverantwortlichen sowie zu delegierten Berechtigungseinstellungen findest du hier: Gruppen und Gruppenverantwortliche verwalten.
Modellzugriff und Sicherheitsausnahmen konfigurieren
Modellzugriff
Personen mit Inhaberrolle können den Zugriff auf verfügbare Modelle über Workspace-Einstellungen oder benutzerdefinierte Rollen steuern. Eine Rolle kann ein Modell nicht verfügbar machen, wenn der Workspace die Voraussetzungen dafür nicht erfüllt. Die Auswahl eines Start- oder Standardmodells gewährt keinen Zugriff.
In Enterprise- und Edu-Workspaces, die die Voraussetzungen erfüllen, ist GPT-6 Astra bei der Einführung standardmäßig deaktiviert. Konfiguriere den Zugriff auf Astra separat. Bisherige Einstellungen für den vorzeitigen Modellzugriff werden nicht übernommen. Prüfe alle zugewiesenen Rollen. Eine Rolle, die Zugriff gewährt, kann ihn auch dann aktiviert halten, wenn eine andere Rolle auf Aus gesetzt ist.
GPT-6 Sol und GPT-6 Luna sind bei der Einführung in Enterprise- und Edu-Workspaces standardmäßig deaktiviert. Admins müssen den Modellzugriff aktivieren, bevor Mitglieder die Modelle nutzen können. Die Modellauswahl und der Schieberegler zeigen nur Optionen an, die dem Mitglied zur Verfügung stehen.
Wenn ein Mitglied eines dieser Modelle in Work oder Codex nicht findet, prüfe, ob der Workspace die Voraussetzungen für das Modell erfüllt, und überprüfe den effektiven Modellzugriff des Mitglieds.
Admins können die Admin-Konsole öffnen, den ChatGPT-Workspace auswählen, dann Modelle öffnen und Testen wählen, um den Zugriff des Mitglieds und die dafür maßgeblichen Einstellungen zu prüfen. Durch das Testen wird kein Modell aktiviert und es werden keine Berechtigungen geändert.
Informationen zur Modellverfügbarkeit, zu Client-Anforderungen und zum vollständigen Ablauf findest du in ChatGPT Enterprise und Edu: Modelle & Limits.
Lockdown-Modus
In Workspaces, die Rollen für den Lockdown-Modus unterstützen, lässt sich eine benutzerdefinierte Rolle für Mitglieder erstellen, die diesen Modus benötigen. Der Lockdown-Modus ist eine Sicherheitskonfiguration auf Rollenebene, kein einzelner Berechtigungsschalter.
Eine Rolle für den Lockdown-Modus kann je nach Workspace-Einstellungen Funktionen mit Netzwerkzugriff einschränken. Dazu zählen die Live-Websuche, Deep Research, der Agentenmodus, der Netzwerkzugriff in Canvas sowie bestimmte Funktionen von Apps, MCP oder Konnektoren. Diese Einschränkungen können auch dann gelten, wenn eine reguläre Rolle die Funktion gewährt.
Prüfe vor dem Zuweisen einer Rolle für den Lockdown-Modus, welche Apps und Aktionen sie erlaubt. Mitglieder müssen außerdem in jedem verbundenen Quellsystem über die erforderlichen Berechtigungen verfügen. Der App-Zugriff in ChatGPT setzt diese Berechtigungen nicht außer Kraft.
Weitere Informationen findest du hier: Lockdown-Modus.
Den effektiven Zugriff eines Mitglieds prüfen
Prüfe den Lizenztyp des Mitglieds, die tarifabhängigen Voraussetzungen, die Workspace-Standardeinstellungen sowie alle direkten und gruppenbasierten Rollenzuweisungen. Warte nach RBAC-Änderungen bis zu 5 Minuten, bis diese wirksam werden.
Die folgenden Beispiele verwenden reguläre Rollen, sofern nicht anders angegeben:
| Konfiguration | Ergebnis |
|---|---|
| Die Websuche im Workspace ist auf „Ein“ gesetzt. Die einzige reguläre Rolle des Mitglieds verwendet „Standard“. | Die Websuche ist über diese Rolle erlaubt. |
| Eine reguläre Rolle setzt die Websuche auf „Aus“, eine andere auf „Ein“. | Die Websuche ist erlaubt, weil eine Rolle Zugriff gewährt. |
| Jede zutreffende reguläre Rolle setzt die Websuche auf „Aus“. | Die reguläre RBAC gewährt keinen Zugriff, auch wenn die Workspace-Grundeinstellung „Ein“ ist. |
| Eine reguläre Rolle erlaubt eine Funktion mit Netzwerkzugriff. Eine Rolle für den Lockdown-Modus schränkt sie ein. | Die Einschränkung des Lockdown-Modus gilt. |
Für den Modellzugriff können Admins in Business, Enterprise, Healthcare und Edu die Funktion Testen im Bereich Modelle der Admin-Konsole nutzen. Sie zeigt den effektiven Modellzugriff und die dafür maßgeblichen Einstellungen an. Sie gewährt keinen Zugriff und ändert keine Berechtigungen. Eine Anleitung findest du hier: Modelle und Limits für ChatGPT Enterprise und Edu.
Häufig gestellte Fragen
Verliert ein Mitglied den Zugriff, wenn eine Berechtigung in einer Rolle auf „Aus“ gesetzt wird?
Nicht, wenn eine andere zutreffende reguläre Rolle die Berechtigung gewährt. Prüfe sowohl direkte Zuweisungen als auch Rollen, die über Gruppen zugewiesen wurden. Der Lockdown-Modus und die Produktvoraussetzungen werden separat geprüft.
Kann RBAC die Einschränkungen des Lizenztyps eines Mitglieds außer Kraft setzen?
Nein. RBAC steuert Funktionen innerhalb des Zugriffs, den der Lizenztyp und der Workspace-Tarif erlauben. Eine reine Codex-Lizenz erhält durch eine benutzerdefinierte Rolle keinen Zugriff auf ChatGPT.
Was gilt, wenn eine Berechtigung nur „Ein“ und „Aus“ bietet?
Lege für den Workspace und die betreffenden Rollen ausdrücklich Ein oder Aus fest. Standard ist nur für Berechtigungen verfügbar, die diese Option unterstützen.