Übersicht

Mit der rollenbasierten Zugriffskontrolle (RBAC) können Workspace-Inhabende benutzerdefinierte Rollen mit bestimmten Berechtigungen erstellen und diese Rollen Personen oder Gruppen in ihrer ChatGPT-Workspace direkt zuweisen. Personen können Berechtigungen sowohl durch direkte Rollenzuweisungen als auch durch Gruppenmitgliedschaften erhalten.

Die Workspace-Einstellungen legen den Standard für dafür geeignete Berechtigungen fest. Eine benutzerdefinierte Rolle ist ein wiederverwendbarer Satz von Berechtigungen, den Inhabende Mitgliedern direkt oder über Gruppen zuweisen können. Ein Mitglied kann mehrere benutzerdefinierte Rollen haben.

Bei dafür geeigneten Berechtigungen kann eine benutzerdefinierte Rolle mit Standard die Workspace-Einstellung übernehmen, mit Ein den Zugriff ausdrücklich erlauben oder mit Aus den Zugriff über diese Rolle verweigern. Hat ein Mitglied mehrere benutzerdefinierte Rollen, werden deren Berechtigungen additiv kombiniert: Der von einer Rolle gewährte Zugriff bleibt bestehen, auch wenn eine andere Rolle auf Aus gesetzt ist.

Der Lockdown-Modus wird separat ausgewertet und kann netzwerkfähige Funktionen weiter einschränken. Lizenztyp, Tarif und Produktberechtigung des Mitglieds gelten weiterhin.

Wer kann RBAC-Einstellungen und -Berechtigungen konfigurieren?

Workspace-Inhabende können benutzerdefinierte Rollen erstellen, löschen, zuweisen und deren Zuweisung aufheben sowie die Workspace-weiten Standardberechtigungen verwalten. Workspace-Admins können vorhandene Rollen möglicherweise über unterstützte Verwaltungsoberflächen einsehen oder aktualisieren. Sie können benutzerdefinierte Rollen jedoch weder erstellen noch löschen, zuweisen oder deren Zuweisung aufheben. Mitglieder und Personen mit Analytics-Lesezugriff können Workspace-weite RBAC-Einstellungen nicht verwalten.


Gibt es geografische Einschränkungen?

Diese Funktion ist in allen unterstützten Ländern verfügbar.

Ist die RBAC-Konfiguration im Web, auf Mobilgeräten und auf dem Desktop verfügbar?

Die RBAC-Konfiguration ist im Web verfügbar. Verwende in ChatGPT Workspace-Einstellungen > Berechtigungen & Rollen oder die Steuerelemente für Rollen und Berechtigungen in der Admin-Konsole.

Was führen wir ein und welche Funktionen sind zum Start enthalten?

Workspace-Inhaber:innen erhalten RBAC-Funktionen in chatgpt.com/admin/settings, mit denen sie Folgendes tun können:

• Eine Standardrolle für Mitglieder festlegen, denen keine oder mehrere benutzerdefinierte Rollen zugewiesen sind.

• Benutzerdefinierte Rollen mit granularen Berechtigungen erstellen, die die Workspace-Standardrolle überschreiben.

• Gruppen eine oder mehrere benutzerdefinierte Rollen zuweisen.

• Benutzerdefinierte Rollen in einem zentralen Tab anzeigen und verwalten.

Welche Berechtigungen kann ich mit RBAC konfigurieren?

Mit RBAC kannst du den Zugriff auf wichtige Funktionen von ChatGPT steuern. Eine vollständige Liste der verfügbaren Schalter und Optionen findest du unter Workspace-Einstellungen > Berechtigungen & Rollen.

Die verfügbaren Berechtigungsstatus variieren. Geeignete Berechtigungen für gewöhnliche Rollen verwenden Standard, Ein und Aus. Einige Berechtigungen, darunter bestimmte Steuerelemente für Work und Plug-Ins, können weiterhin nur die beiden Status Ein und Aus haben.

Modellzugriff

Workspace-Verantwortliche können auf Workspace-Ebene oder über benutzerdefinierte Rollen festlegen, welche verfügbaren Modelle Mitglieder verwenden dürfen. Eine Rolle kann ein Modell nicht verfügbar machen, wenn der Workspace nicht dafür berechtigt ist. Die Auswahl eines Ausgangs- oder Standardmodells gewährt keinen Zugriff.

In berechtigten ChatGPT Enterprise- und Edu-Workspaces ist GPT-6 Astra zum Start standardmäßig deaktiviert. Der Zugriff auf Astra muss separat konfiguriert werden. Bisherige Einstellungen für Early Model Access werden nicht übernommen. Prüfe alle Rollen eines Mitglieds, denn eine Rolle, die den Zugriff erlaubt, kann ihn aktiviert lassen, selbst wenn eine andere Rolle ihn deaktiviert.

Weitere Informationen zum Zugriff auf Astra findest du unter ChatGPT Enterprise und Edu: Modelle & Limits.

Rollen für den Lockdown-Modus

Workspaces mit Unterstützung für Rollen im Lockdown-Modus können mit RBAC eine benutzerdefinierte Rolle für Mitglieder erstellen, die den Lockdown-Modus benötigen. Behandle den Lockdown-Modus als Sicherheitskonfiguration auf Rollenebene und nicht als einzelnen Berechtigungsschalter.

Wenn einem Mitglied eine Rolle für den Lockdown-Modus zugewiesen wird, können netzwerkfähige Funktionen eingeschränkt sein. Dazu gehören je nach Workspace-Einstellungen die Live-Websuche, Deep Research, der Agent-Modus, die Netzwerknutzung in Canvas sowie einige Funktionen von Apps, MCP oder Konnektoren.

Bevor du eine Rolle für den Lockdown-Modus zuweist, prüfe, welche Apps und Aktionen die Rolle erlaubt, und stelle sicher, dass die Mitglieder in jedem verbundenen Quellsystem über die erforderlichen Berechtigungen verfügen. Der App-Zugriff in ChatGPT setzt die Berechtigungen im verbundenen Quellsystem nicht außer Kraft.

Weitere Informationen zu den Änderungen im Lockdown-Modus findest du unter Lockdown-Modus.

Wir werden die RBAC-Berechtigungen im Laufe der Zeit um weitere Funktionen ergänzen.


Hinweis: Du kannst den Zugriff für jede App einzeln steuern. Die Benutzeroberfläche einer App kann nicht separat deaktiviert werden.

Was ist Mitglieder-RBAC und wie unterscheidet es sich von den bisherigen Rollen?

Mit Mitglieder-RBAC können Workspace-Inhabende benutzerdefinierte Rollen erstellen, um den Zugriff von Endnutzenden auf Tools zu steuern. Bestehende Rollen wie Mitglied, Admin und Inhaber regeln die Berechtigungen zur Verwaltung der Workspace.

Integrierte Workspace-Rollen bestimmen, was eine Person verwalten kann:

• Inhaber: Verwaltet Workspace-weite Einstellungen, Mitgliedschaften und benutzerdefinierte Rollen.

• Admin: Verwaltet unterstützte Workspace-Mitglieder, Gruppen und administrative Einstellungen.

• Analytics-Lesezugriff: Zeigt die für diese Rolle verfügbaren Analysen an.

• Mitglied: Nutzt Funktionen, die durch Tarif, Lizenztyp und zugewiesene Rollen erlaubt sind.

Ein globaler Mandantenadmin erhält nicht automatisch eine Rolle in einer ChatGPT-Workspace.

Nur Workspace-Inhabende und -Admins können Admin-Schlüssel für eine Workspace erstellen. Benutzerdefinierte Rollen gewähren keinen Zugriff auf Admin-Schlüssel. Für sensible Compliance-Berechtigungen ist eine Person mit der Rolle „Workspace-Inhaber“ erforderlich. Informationen zur Einrichtung und zu den Rollenanforderungen findest du unter Admin-Schlüssel in der Admin-Konsole verwalten.

Wie weise ich Personen oder Gruppen Rollen zu?

Weisen Sie in Einstellungen & Berechtigungen → Benutzerdefinierte Rollen Rollen Gruppen zu, die im Tab Gruppen erstellt oder per SCIM synchronisiert wurden. Nutzer:innen übernehmen Berechtigungen aus ihren Gruppenrollen.

Kann ich eigene Rollen erstellen?

Ja. Verwenden Sie Neue Rolle hinzufügen im Tab „Benutzerdefinierte Rollen“, um Rollen mit maßgeschneiderten Berechtigungen zu definieren.

Was ist erforderlich, um RBAC für meinen Workspace zu aktivieren?

Nichts Zusätzliches. Es ist für alle Workspace-Administrator:innen im Admin-Dashboard verfügbar. Erstellen oder synchronisieren Sie Gruppen und weisen Sie diesen Gruppen dann Rollen zu.

Wie wertet RBAC Rollen, Zuweisungen und Standardeinstellungen aus?

Die Workspace-Einstellungen bilden die Grundlage für dafür geeignete Berechtigungen. Bei einer regulären benutzerdefinierten Rolle gilt:

• Mit Standard wird die Workspace-Einstellung übernommen.

• Mit Ein wird die Berechtigung ausdrücklich gewährt.

• Mit Aus wird der Zugriff über diese Rolle verweigert.

Ein Mitglied kann durch direkte Zuweisungen und Gruppenzuweisungen mehrere reguläre Rollen erhalten. Die Berechtigungen aus diesen Rollen werden additiv kombiniert: Gewährt eine Rolle eine Berechtigung ausdrücklich oder durch Übernahme einer aktivierten Workspace-Einstellung, behält das Mitglied den Zugriff. Die Einstellung Aus verweigert den Zugriff nur über die jeweilige Rolle. Sind alle relevanten Rollen auf Aus gesetzt, wird der Zugriff verweigert. Verwenden alle relevanten regulären Rollen Standard, gilt die Workspace-Einstellung.

Der Lockdown-Modus wird als separate Sperre ausgewertet. Eine Lockdown-Zuweisung kann eine Funktion auch dann einschränken, wenn eine reguläre Rolle sie gewährt. Außerdem gelten weiterhin der Lizenztyp des Mitglieds sowie andere Anforderungen des Tarifs oder Produkts.

So konfigurierst du RBAC in deiner Workspace

1. Öffne die Workspace-Einstellungen.

2. Wähle links Berechtigungen & Rollen aus. Workspace-Inhabende und autorisierte Workspace-Admins können auf diesen Bereich zugreifen. Benutzerdefinierte Rollen erstellen, löschen, zuweisen oder deren Zuweisung aufheben können jedoch nur Inhabende.

3. Öffne den Tab Workspace, um die grundlegenden Berechtigungen für Mitglieder zu prüfen.

Bei dafür geeigneten Berechtigungen übernimmt eine benutzerdefinierte Rolle die Workspace-Einstellung, wenn für die Rolle Standard festgelegt ist. Ist eine Rolle auf Ein gesetzt, gewährt sie die Berechtigung. Ist eine Rolle auf Aus gesetzt, gewährt diese Rolle keinen Zugriff. Der Zugriff bleibt jedoch bestehen, wenn eine andere zugewiesene Rolle die Berechtigung gewährt oder übernimmt.

Lege beim Durchgehen der Seite die grundlegenden Workspace-Einstellungen für die dafür geeigneten Berechtigungen fest.

So erstellst du eine benutzerdefinierte Rolle:

1. Öffne den Tab Benutzerdefinierte Rollen.

2. Wähle Rolle erstellen aus.

3. Gib einen Namen und eine Beschreibung für die Rolle ein.

4. Wähle Speichern aus.

Wähle auf der Berechtigungsseite der benutzerdefinierten Rolle für jede dafür geeignete Berechtigung Standard, Ein oder Aus aus. Berechtigungen mit zwei Zuständen verwenden weiterhin Ein oder Aus.

So weist du die Rolle Gruppen zu:

1. Öffne oben auf der Seite der benutzerdefinierten Rolle den Bereich Rollenzuweisungen.

2. Wähle + Hinzufügen aus.

3. Wähle eine oder mehrere Gruppen aus.

4. Wähle Fertig aus.

Sobald die Änderung wirksam ist, erhalten die Gruppenmitglieder die aktualisierten Berechtigungen. Es kann bis zu 5 Minuten dauern, bis Änderungen wirksam werden.

Beispiele

Eine reguläre Rolle übernimmt die Workspace-Einstellung

Wenn die Workspace-Einstellung für die Websuche auf Ein gesetzt ist und die einzige reguläre benutzerdefinierte Rolle eines Mitglieds Standard verwendet, übernimmt das Mitglied die Einstellung Ein.

Eine Rolle ist auf „Aus“ und eine andere auf „Ein“ gesetzt

Wenn eine reguläre Rolle die Websuche auf Aus und eine andere reguläre Rolle sie auf Ein setzt, wird der Zugriff erlaubt, da die Berechtigungen regulärer Rollen additiv kombiniert werden.

Alle geltenden regulären Rollen stehen auf Aus

Wenn alle geltenden regulären Rollen die Websuche auf Aus setzen, erhält das Mitglied über reguläre RBAC-Rollen keinen Zugriff, selbst wenn die grundlegende Workspace-Einstellung auf Ein gesetzt ist.

Der Lockdown-Modus gilt

Wenn eine reguläre Rolle eine Funktion mit Netzwerkzugriff erlaubt, das Mitglied jedoch auch eine Rolle für den Lockdown-Modus hat, die diese Funktion einschränkt, gilt die Einschränkung des Lockdown-Modus.

Häufig gestellte Fragen

Sind für RBAC Gruppen erforderlich?

Nein. Rollen können über Gruppen zugewiesen werden. Wo dies unterstützt wird, sind auch direkte Rollenzuweisungen möglich. Für die Verwaltung des Zugriffs in großem Umfang werden weiterhin Gruppen empfohlen.

Wie lange dauert es, bis RBAC-Änderungen wirksam werden?

Es kann bis zu 5 Minuten dauern, bis Änderungen wirksam werden.

Setzt RBAC den Lizenztyp eines Mitglieds außer Kraft?

Nein. RBAC steuert Funktionsberechtigungen innerhalb des Zugriffs, den der Lizenztyp des Mitglieds und der Workspace-Tarif erlauben.

Was gilt, wenn eine Berechtigung nur Ein und Aus unterstützt?

Einige Steuerelemente unterstützen Standard nicht. Lege für diese Steuerelemente in der Workspace und den relevanten Rollen ausdrücklich Ein oder Aus fest.