Διαβάστε τη σελίδα μας «Επισκόπηση SSO», για να εξοικειωθείτε με τις βασικές έννοιες που συζητούνται σε αυτό το έγγραφο.

Πριν επαληθεύσετε τους τομείς σας, είναι σημαντικό να εξετάσετε μερικές διαφορετικές ερωτήσεις:

• Πώς θα θέλατε να παρέχετε προσκλήσεις σε νέους χρήστες;

• Πώς θα θέλατε να χειριστείτε τους υπάρχοντες χρήστες καταναλωτικών λογαριασμών (personal/Plus/Pro);

• Πώς θέλετε να είναι η ροή σύνδεσης των χρηστών σας;

Θα εξετάσουμε καθεμία από αυτές τις ερωτήσεις με περισσότερες λεπτομέρειες, ώστε να διασφαλιστεί ότι επιλέγετε την επιλογή που ταιριάζει καλύτερα στις ανάγκες σας.

Πρόσκληση νέων χρηστών

Προς το παρόν προσφέρουμε τέσσερις διαφορετικές μεθόδους για την παροχή προσκλήσεων σε χρήστες:

1. System for Cross-domain Identity Management (SCIM)

2. Άμεσες προσκλήσεις από το ChatGPT ή την Πλατφόρμα API

3. Μόνο ChatGPT: Αυτόματη δημιουργία λογαριασμού (AAC)

4. Μόνο Platform: endpoint προσκλήσεων διαχειριστή της Πλατφόρμας API

Αξίζει να σημειωθεί ότι διακρίνουμε τις περιπτώσεις όπου τα email πρόσκλησης αποστέλλονται ενεργά από τις περιπτώσεις όπου μια πρόσκληση συσχετίζεται σιωπηρά με το email ενός χρήστη στο backend μας.

Τα email πρόσκλησης αποστέλλονται ενεργά όταν:

• Ένας νέος χρήστης προσκαλείται για πρώτη φορά μέσω SCIM.

• Ένας χρήστης προσκαλείται απευθείας από το ChatGPT ή την Πλατφόρμα API.

Οι προσκλήσεις συσχετίζονται σιωπηρά όταν:

• Ένας χρήστης SCIM αφαιρέθηκε από την ομάδα IdP σας και στη συνέχεια προστέθηκε ξανά.

• Ισχύει η Αυτόματη δημιουργία λογαριασμού.

Στην τελευταία περίπτωση, οι χρήστες δεν θα δουν τις προσκλήσεις στα εισερχόμενά τους, αλλά θα εξακολουθήσουν να κατευθύνονται σωστά στον αντίστοιχο χώρο εργασίας/οργανισμό όταν προσπαθήσουν να συνδεθούν.

SCIM

Το SCIM είναι διαθέσιμο τόσο στο ChatGPT όσο και στην Πλατφόρμα API. Το SCIM επιτρέπει στους παρόχους ταυτότητας (π.χ. Okta, Entra ID κ.λπ.) να ανταλλάσσουν δεδομένα ταυτότητας χρηστών με την OpenAI, αυτοματοποιώντας την παροχή προσκλήσεων (και την κατάργηση παροχής λογαριασμών χρηστών) βάσει οργανωτικών αλλαγών.

Θεωρούμε ότι το SCIM είναι η πιο ισχυρή και κλιμακώσιμη λύση για τη συνολική διαχείριση χρηστών. Ανάλογα με την ιδανική υλοποίησή σας, συνιστούμε γενικά την ακόλουθη αρχιτεκτονική ως βέλτιστη πρακτική αν αναπτύσσετε τόσο στο ChatGPT όσο και στην Πλατφόρμα API:

Με αυτήν τη ρύθμιση, μπορείτε εύκολα να διαχειρίζεστε χωριστά τόσο τις προσκλήσεις όσο και την πρόσβαση (στο ChatGPT και την Πλατφόρμα API). Αυτή η ρύθμιση έχει το πρόσθετο πλεονέκτημα ότι τυχόν απαραίτητες αλλαγές μπορούν να πραγματοποιούνται κεντρικά από τις ομάδες διαχείρισής σας απευθείας στον IdP σας.

Άμεσες προσκλήσεις από το ChatGPT ή την Πλατφόρμα API

Οι διαχειριστές μπορούν να προσκαλούν απευθείας χρήστες μέσω email από τις αντίστοιχες σελίδες ChatGPT και Platform «Members». Στο ChatGPT, αυτή η μέθοδος υποστηρίζει επίσης μαζικές προσκλήσεις μέσω μεταφορτωμένου CSV:

Παρότι συνήθως δεν είναι κλιμακώσιμη λύση, συχνά συνιστούμε τη χρήση άμεσων προσκλήσεων όταν ξεκινάτε σε έναν νέο χώρο εργασίας/οργανισμό. Σε αντίθεση με το SCIM, δεν υπάρχει πιθανή καθυστέρηση μέχρι να φτάσουν οι προσκλήσεις στα εισερχόμενα των χρηστών, επομένως είναι η πιο αποτελεσματική επιλογή για γρήγορη πρόσβαση, τροποποίηση δικαιωμάτων και γενικές δοκιμές.

Επιπλέον, μπορείτε πάντα να ενεργοποιήσετε το SCIM αργότερα και να εντάξετε τους υπάρχοντες χρήστες σας κάτω από την εφαρμογή SCIM. Επομένως, δεν υπάρχει ανησυχία ότι οι χρήστες που προσκλήθηκαν απευθείας θα εξαιρεθούν από μελλοντική αυτοματοποίηση, εκτός αν το επιθυμείτε.

Αυτόματη δημιουργία λογαριασμού (AAC)

Σε αντίθεση με τις άλλες επιλογές, το AAC είναι διαθέσιμο μόνο στη σελίδα Identity του ChatGPT και απαιτεί να έχει πρώτα ενεργοποιηθεί το SSO:

Όπως φαίνεται παραπάνω, το AAC εγγυάται ότι οι χρήστες που εγγράφονται ή συνδέονται με επαληθευμένο τομέα email θα προστίθενται αυτόματα στον Enterprise χώρο εργασίας σας. Οι χρήστες δεν θα λάβουν email πρόσκλησης και η διαδικασία είναι πλήρως αυτοματοποιημένη. Αυτό έχει πλεονεκτήματα και μειονεκτήματα.

Αν η πολιτική σας είναι να επιτρέπετε ανοιχτή πρόσβαση σε οποιονδήποτε χρήστη με τον επαληθευμένο τομέα σας, το AAC είναι μια εξαιρετική επιλογή που αποφεύγει τον πρόσθετο φόρτο ρύθμισης και διαχείρισης μιας εφαρμογής SCIM.

Ωστόσο, το AAC δεν είναι ιδανικό αν απαιτείτε μια πιο περιορισμένη προσέγγιση πρόσβασης χρηστών με βάση την έγκριση.

Για αυτόν τον λόγο, συνιστούμε γενικά SCIM ή άμεσες προσκλήσεις στις περισσότερες περιπτώσεις αντί για AAC. Και για να αποφύγετε πιθανές πηγές σύγχυσης, συνιστούμε να αφήσετε το AAC απενεργοποιημένο αν σκοπεύετε να χρησιμοποιήσετε SCIM.

Endpoint προσκλήσεων διαχειριστή της Πλατφόρμας API

Η Πλατφόρμα API μας υποστηρίζει ένα Invites Endpoint, το οποίο σας επιτρέπει να προσκαλείτε προγραμματιστικά χρήστες στον οργανισμό API σας.

Σε σύγκριση με το SCIM, το κύριο πλεονέκτημα του endpoint είναι ότι σας επιτρέπει να καθορίζετε σε ποια έργα θα πρέπει να ανήκει ο προσκεκλημένος χρήστης:

Αυτό παρέχει ένα επιπλέον επίπεδο λεπτομέρειας και ελέγχου, χωρίς να απαιτείται η χειροκίνητη εργασία μεμονωμένων άμεσων προσκλήσεων.

Χειρισμός υπαρχόντων χρηστών καταναλωτικών λογαριασμών

Ορίζουμε ως χρήστες καταναλωτικών λογαριασμών όσους διαθέτουν προσωπική συνδρομή, Plus ή Pro. Συχνά υπάρχουν ήδη χρήστες καταναλωτικών λογαριασμών με τον επαληθευμένο τομέα σας, οι οποίοι είχαν λογαριασμούς πριν από το Enterprise συμβόλαιό σας. Καθώς η επαλήθευση του τομέα σας και η ενεργοποίηση SSO μπορούν να έχουν μεταγενέστερο αντίκτυπο σε αυτούς τους χρήστες καταναλωτικών λογαριασμών, είναι σημαντικό να προσδιορίσετε εκ των προτέρων το επιθυμητό αποτέλεσμα.

Αντίκτυπος στους χρήστες καταναλωτικών λογαριασμών του ChatGPT

Στην πλευρά του ChatGPT, ο αντίκτυπος στους καταναλωτές καθορίζεται σε μεγάλο βαθμό από δύο παράγοντες:

1. Θα προσκληθούν στον Enterprise χώρο εργασίας;

2. Θα επιβάλετε SSO;

Η συμπεριφορά που προκύπτει φαίνεται παρακάτω:

Αν ο στόχος σας είναι τελικά να αποτρέψετε οποιουσδήποτε καταναλωτικούς λογαριασμούς, επικοινωνήστε με τον Account Director σας για να συζητήσετε πιθανές επιλογές.

Συγχώνευση λογαριασμών

Οι προϋποθέσεις για την ενεργοποίηση αυτόματης συγχώνευσης ενός λογαριασμού καταναλωτή σε λογαριασμό Enterprise είναι οι εξής:

1. Ο τομέας του χρήστη έχει επαληθευτεί.

2. Ο χρήστης έχει λάβει πρόσκληση στον χώρο εργασίας Enterprise όπου έχει επαληθευτεί ο τομέας του.

   • Σημείωση: Αν έχετε ενεργοποιήσει το AAC, αυτή η προϋπόθεση θα ισχύει πάντα για κάθε χρήστη με τον επαληθευμένο τομέα σας.

Όταν πληρούνται αυτές οι προϋποθέσεις, την επόμενη φορά που ο χρήστης θα συνδεθεί στο ChatGPT ή θα το ανανεώσει, θα πρέπει να δει το ακόλουθο παράθυρο:

Όπως επισημαίνει η εικόνα, θα επιστρέψουμε αυτόματα τα χρήματα για τυχόν υπάρχουσες συνδρομές Plus ή Pro πριν από τη συγχώνευση. Οι χρήστες θα έχουν την επιλογή να μεταφέρουν το υπάρχον ιστορικό συνομιλιών και τα GPT τους ή, εναλλακτικά, να εξαγάγουν το ιστορικό συνομιλιών τους μέσω email και να ξεκινήσουν στον χώρο εργασίας Enterprise με «καθαρή αρχή».

• Σημείωση: Αν στον χώρο εργασίας Enterprise ή Edu προορισμού είναι ενεργοποιημένη η γεωγραφική διαμονή δεδομένων, τα δεδομένα του Προσωπικού χώρου εργασίας δεν μπορούν να μεταφερθούν. Οι χρήστες μπορούν μόνο να εξαγάγουν τις συνομιλίες τους και να διαγράψουν τον Προσωπικό χώρο εργασίας. Για λεπτομέρειες, ανατρέξτε στην ενότητα Προσκλήσεις μέσω email και μετεγκαταστάσεις λογαριασμών.

Αφού συγχωνευτεί ο λογαριασμός καταναλωτή, δεν υπάρχει τρόπος να αποκατασταθεί. Αν οι χρήστες σας επέλεξαν «Μεταφορά υπάρχοντος ιστορικού συνομιλιών και GPTs», αλλά δεν είδαν αυτή την αλλαγή στον χώρο εργασίας Enterprise, επικοινωνήστε με την Υποστήριξη.

Αντίκτυπος στους χρήστες καταναλωτικών λογαριασμών της Πλατφόρμας API

Επειδή το SSO στην Πλατφόρμα εξακολουθεί να βασίζεται στον τομέα (σε αντίθεση με το ChatGPT, όπου το SSO αφορά συγκεκριμένα τον χώρο εργασίας στον οποίο έχει ενεργοποιηθεί), οι χρήστες καταναλωτικών λογαριασμών σας θα επηρεαστούν μόλις επαληθεύσετε τον τομέα σας και ενεργοποιήσετε το SSO σε οποιονδήποτε οργανισμό.

Οι χρήστες καταναλωτικών λογαριασμών θα χάσουν τη δυνατότητα ελέγχου ταυτότητας με κωδικούς πρόσβασης, καθώς εντοπίζουμε την αντιστοίχιση τομέα και τους προωθούμε στον IdP σας. Αν είναι μέλη του IdP σας, μπορούν να ολοκληρώσουν επιτυχώς τον έλεγχο ταυτότητας. Εναλλακτικά, μπορούν να συνδεθούν με επιλογή κοινωνικής σύνδεσης OAuth, αν είναι διαθέσιμη σε αυτούς. Αν όχι, τότε τους έχετε ουσιαστικά αποκλείσει από τους καταναλωτικούς λογαριασμούς τους.

Δείτε την ενότητα Ροή σύνδεσης χρήστη για έναν πιο αναλυτικό οδηγό αυτής της ροής εργασίας.

Προτεινόμενα μοτίβα ταυτότητας και παροχής

Τώρα που έχουμε παρουσιάσει τη βασική συμπεριφορά που συνδέεται με τον έλεγχο ταυτότητας και την παροχή προσκλήσεων, ίσως είναι χρήσιμο να εξετάσουμε ορισμένα από τα πιο συνηθισμένα μοτίβα υλοποίησης που είναι διαθέσιμα στους χρήστες Enterprise:

Ροή σύνδεσης χρήστη

Έχουμε ήδη συζητήσει τον αντίκτυπο των εκκρεμών προσκλήσεων και της επιβολής SSO, επομένως αυτή η ενότητα έχει σκοπό να βοηθήσει στην οπτικοποίηση της αναμενόμενης ροής/των ελέγχων που πραγματοποιούμε όταν ένας χρήστης πληκτρολογεί τη διεύθυνση email του για να συνδεθεί.

Ροή σύνδεσης στο ChatGPT

Σημείωση: Αυτό το διάγραμμα εξαιρεί τις προσπάθειες σύνδεσης μέσω μεθόδου κοινωνικής σύνδεσης ή μέσω του URL πλακιδίου.

Ροή σύνδεσης στην Πλατφόρμα API

Σημείωση: Αυτό το διάγραμμα εξαιρεί τις προσπάθειες σύνδεσης μέσω μεθόδου κοινωνικής σύνδεσης ή μέσω του URL πλακιδίου.

Επόμενα βήματα

Τώρα που έχετε μια εικόνα για την ιδανική υλοποίησή σας, μπορείτε να ακολουθήσετε την αντίστοιχη τεκμηρίωση για να ενεργοποιήσετε SCIM ή SSO:

• Ενσωμάτωση SCIM στο ChatGPT

• Ενσωμάτωση SCIM στην Πλατφόρμα API

• Ενεργοποίηση SSO στο ChatGPT

• Ενεργοποίηση SSO στην Πλατφόρμα API