Überblick

Workspace Blocking ist eine Funktion, mit der Unternehmen mit ChatGPT Enterprise den Zugriff auf bestimmte ChatGPT-Workspaces beschränken können. So können Nutzende sich anmelden und in den zugelassenen Workspaces arbeiten. Diese Funktion stellt sicher, dass Nutzende in deiner Organisation nur auf bestimmte, genehmigte Workspaces zugreifen können.

So funktioniert es

• Benutzerdefinierten Header einrichten: Du legst fest, welche Workspaces zugelassen sind, indem du deiner Netzwerkkonfiguration einen benutzerdefinierten HTTP-Header ChatGPT-Allowed-Workspace-Id hinzufügst. Dieser Header enthält eine oder mehrere Workspace-IDs (UUIDs), die festlegen, auf welche Workspaces Nutzende zugreifen können.

• ChatGPT filtert den Zugriff:

  • Wenn sich eine Person bei ChatGPT Enterprise anmeldet, prüft das System, ob der Workspace, auf den sie zugreifen möchte, mit einer der Workspace-UUIDs im Header ChatGPT-Allowed-Workspace-Id übereinstimmt.

  • Versucht die Person, auf einen Workspace zuzugreifen, der nicht im Header aufgeführt ist, filtert ChatGPT diese Anfrage automatisch heraus und blockiert den Zugriff auf diesen Workspace. Solange eine Person Zugriff auf mindestens einen Workspace hat, läuft die Filterung unbemerkt im Hintergrund. Wenn nach der Filterung kein Zugriff auf Workspaces mehr besteht, erhält die Person einen Fehler 403 Forbidden.

  • Nur die im Header aufgeführten Workspaces sind zugänglich. Alle anderen Workspaces, einschließlich persönlicher Workspaces, werden vom System herausgefiltert.

• Mehrere Workspaces unterstützen: Wenn deine Organisation den Zugriff auf mehr als einen Workspace zulassen muss, kannst du mehrere Workspace-UUIDs in den Header aufnehmen, durch Kommas und ohne Leerzeichen getrennt.

Einrichtung

Schritt 1: Workspace-ID ermitteln

Um den Zugriff auf bestimmte Workspaces zu erlauben, musst du die Workspace-UUID für jeden zugelassenen Workspace ermitteln. Du findest diese UUID in den Admin-Einstellungen von ChatGPT:

• Melde dich bei deinem Admin-Konto für ChatGPT Enterprise an.

• Öffne die Seite Admin-Einstellungen.

• Ermittle die Workspace-ID (UUID) für jeden Workspace, den du zulassen möchtest.

Beispiel für eine Workspace-UUID: 437adf77-4085-4b22-b7b1-de7b6f5ec6c0

Schritt 2: Mit SASE-Anbietern zusammenarbeiten

Für eine unternehmensweite Umsetzung können Organisationen mit ihren Partnerunternehmen für Secure Access Service Edge (SASE) zusammenarbeiten. Diese Partnerunternehmen können die Workspace-Sperren auf Netzwerkebene durchsetzen.

Schritt 3: Netzwerk-Zugriffskontrollen konfigurieren

• Mehrere Workspaces zulassen (bei Bedarf): Um den Zugriff auf mehrere Workspaces zu erlauben, gib die Workspace-UUIDs durch Kommas getrennt ein.

• Ziel-URL festlegen:

  • Stelle sicher, dass der Header auf Anfragen an die ChatGPT-URL angewendet wird. Stelle den URL-Filter so ein, dass er nur für Anfragen an https://chatgpt.com/* gilt.

Schritt 4: Fehler behandeln

• Fehler 403 Forbidden: Wenn eine Person versucht, auf einen Workspace zuzugreifen, und nach der Filterung keine Workspaces verfügbar sind, wird der Fehler 403 Forbidden angezeigt. Eine Meldung weist darauf hin, dass die Person nicht zum Zugriff auf den Workspace berechtigt ist.

• Fehler 400 Bad Request: Wenn der Header-Wert fehlerhaft ist (z. B. durch eine falsche Workspace-UUID), schlagen alle Anfragen mit diesem Header mit dem Fehler 400 Bad Request fehl.

Schritt 5: Anonyme (abgemeldete) Nutzung von ChatGPT blockieren

ChatGPT kann auch ganz ohne Konto oder Workspace verwendet werden. Wir bezeichnen dies als unser Produkt für die anonyme oder abgemeldete Nutzung. Um diese Art der Nutzung wirksam zu blockieren, bitte deinen SASE-Anbieter, den Zugriff auf URLs zu sperren, die mit https://chatgpt.com/backend-anon/ beginnen. Alternativ kannst du mit derselben Browserkonfiguration, mit der du Header eingefügt hast, auch URLs mit diesem Präfix blockieren.

Schritt 6: Kompatibilität mit den Desktop- und mobilen Apps von ChatGPT berücksichtigen

Die Desktop- und mobilen Apps von ChatGPT verwenden Zertifikat-Pinning. Dadurch wird die Auswahl der Serverzertifikate eingeschränkt, die ein Client akzeptiert. Dies bietet zusätzlichen Schutz vor ausgefeilten Man-in-the-Middle-Angriffen (MiTM), bei denen ein gültiges Zertifikat kompromittiert wurde. Die Pinning-Prüfung erfolgt, nachdem das Serverzertifikat bereits anhand vertrauenswürdiger Stammzertifikate validiert wurde.

Damit die Desktop- und mobilen Apps von ChatGPT bei aktivierter SSL-Inspektion ordnungsgemäß funktionieren, musst du deine eigenen Zertifikate zur Pin-Liste hinzufügen und per MDM an die Clients verteilen. Die SSL-Inspektion ist für die oben beschriebenen Netzwerk-Zugriffskontrollen erforderlich. Eine ausführliche Anleitung findest du hier: https://docsend.com/view/rrk4mx9aashcekp7

Häufig gestellte Fragen

Funktioniert das Sperren von Workspaces auch in den Apps für iOS, macOS und Android?

Das Sperren von Workspaces durch das Einfügen von Headern auf Netzwerkebene lässt sich auch in ChatGPT-Apps auf verwalteten Geräten durchsetzen. Voraussetzung ist, dass Ausnahmen für das Zertifikat-Pinning wie oben beschrieben per MDM bereitgestellt wurden.

Wenn eine Organisation den Zugriff auf ChatGPT über die Apps für iOS, macOS und Android verhindern möchte (auch mit persönlichen Konten), kann sie ihre Netzwerk-Firewall, ihren Proxy oder ihren SASE-Dienst so konfigurieren, dass der Zugriff auf folgende Domains gesperrt wird:

• Android-App: android.chat.openai.com

• Desktop-Web-App: desktop.chatgpt.com

• iOS-App: ios.chat.openai.com

Beachte, dass durch das Sperren der oben genannten Domains der gesamte Datenverkehr zu den Apps blockiert wird. Damit kann niemand über diese Plattformen auf ChatGPT zugreifen, unabhängig davon, ob ein persönliches Konto oder ein Enterprise-Konto verwendet wird.