Descripción general
El control de acceso basado en roles (RBAC) permite a los propietarios del espacio de trabajo configurar el acceso a las funciones mediante roles personalizados reutilizables. Un miembro puede recibir roles directamente y a través de los grupos a los que pertenece, y puede tener más de un rol.
Los roles personalizados controlan los permisos de las funciones. Los roles integrados del espacio de trabajo, como Miembro, Administrador y Propietario, determinan qué puede administrar cada persona. Para obtener información sobre los roles integrados y los tipos de licencia, consulta: administrar miembros, roles del espacio de trabajo y licencias.
Disponibilidad
RBAC está disponible para ChatGPT Enterprise, Edu, Healthcare y Teachers en todos los países admitidos. Configura RBAC en la web desde Configuración del espacio de trabajo > Permisos y roles en ChatGPT, o mediante los controles de roles y permisos compatibles de la Consola de administración.
Antes de comenzar
Los propietarios del espacio de trabajo pueden crear, eliminar, asignar y desasignar roles personalizados, y administrar los permisos predeterminados de todo el espacio de trabajo.
Los administradores del espacio de trabajo pueden tener la posibilidad de ver o actualizar roles existentes a través de las interfaces de administración compatibles. No pueden crear, eliminar, asignar ni desasignar roles personalizados.
Los miembros y los usuarios con acceso de lectura a las estadísticas no pueden administrar la configuración de RBAC de todo el espacio de trabajo.
La delegación a administradores de grupos está disponible en ChatGPT Enterprise. Solo un propietario del espacio de trabajo puede activar o desactivar Editar permisos de los roles asignados para los administradores de grupos.
Un administrador global del tenant no recibe automáticamente un rol en un espacio de trabajo de ChatGPT. Los roles personalizados no conceden acceso a las claves de administrador. Solo los propietarios y administradores del espacio de trabajo pueden crear claves de administrador para él, y los permisos de cumplimiento sensibles requieren un propietario. Para obtener más información, consulta: administrar claves de administrador en la Consola de administración.
Entender la configuración predeterminada del espacio de trabajo y los roles personalizados
La configuración del espacio de trabajo establece la base para los permisos compatibles. Un rol personalizado ordinario puede usar estos estados:
| Estado | Efecto |
|---|---|
| Predeterminado | Hereda la configuración del espacio de trabajo. |
| Activado | Concede el permiso a través de ese rol. |
| Desactivado | Deniega el permiso a través de ese rol. Otro rol asignado aún puede concederlo. |
Los permisos de los roles ordinarios se acumulan. Si algún rol asignado concede acceso, ya sea explícitamente o al heredar una opción activada en la configuración del espacio de trabajo, el miembro conserva el acceso. Esto se aplica a los roles asignados directamente y a través de grupos.
Si todos los roles ordinarios aplicables están en Desactivado, el RBAC ordinario deniega el acceso. Si todos los roles aplicables usan Predeterminado, se aplica la configuración del espacio de trabajo. Algunos permisos, incluidos ciertos controles de Work y de complementos, solo tienen las opciones Activado y Desactivado.
Se siguen aplicando las condiciones del tipo de licencia, del plan y de elegibilidad para usar el producto. El Modo restringido se evalúa por separado y puede restringir una función incluso cuando un rol ordinario permite usarla.
Establecer los permisos predeterminados del espacio de trabajo
Abre tu espacio de trabajo de ChatGPT.
Ve a Configuración del espacio de trabajo > Permisos y roles.
Abre la pestaña Espacio de trabajo.
Revisa los permisos disponibles y establece la configuración base del espacio de trabajo.
Los controles disponibles aparecen en Permisos y roles. La configuración predeterminada del espacio de trabajo se aplica a los permisos compatibles de un rol personalizado cuando ese rol usa Predeterminado.
Puedes controlar el acceso a cada app por separado. La interfaz de usuario de una app no se puede desactivar de forma independiente.
Crear o editar un rol personalizado
Los propietarios del espacio de trabajo pueden crear roles personalizados.
Ve a Configuración del espacio de trabajo > Permisos y roles.
Abre Roles personalizados.
Selecciona Crear rol.
Ingresa un nombre y una descripción y luego selecciona Guardar.
En la página de permisos del rol, elige Predeterminado, Activado o Desactivado para cada permiso compatible. Para los permisos con dos estados, elige Activado o Desactivado.
Para editar un rol existente, ábrelo en Roles personalizados y actualiza las opciones que tengas permitido modificar. Los permisos de administración dependen de tu rol en el espacio de trabajo y de la interfaz compatible, como se describe arriba.
Los cambios en un rol personalizado afectan a todos los grupos que lo tengan asignado. Usa roles separados cuando los grupos necesiten configuraciones de permisos independientes.
Asignar un rol personalizado
Los propietarios del espacio de trabajo pueden asignar roles directamente a miembros individuales, cuando esta opción esté disponible, o a grupos creados manualmente o sincronizados mediante SCIM. Se recomienda usar grupos para administrar el acceso a gran escala. Para configurar grupos, consulta: administrar grupos y administradores de grupos.
Asignar un rol a grupos
Ve a Configuración del espacio de trabajo > Permisos y roles.
Abre Roles personalizados y selecciona el rol.
Abre Asignaciones de roles.
Selecciona + Agregar.
Elige uno o más grupos.
Selecciona Listo.
Los miembros reciben los permisos de todos los roles que se les hayan asignado, ya sea directamente o a través de grupos. Los cambios pueden tardar hasta 5 minutos en aplicarse.
Asignar un rol directamente a un miembro
Si las asignaciones directas están disponibles, abre el perfil del miembro, ve a Roles directos y selecciona Asignar rol directo. Elige el rol personalizado que quieras asignar. Un rol directo se combina con los roles que el miembro recibe a través de grupos.
Delegar la edición de roles asignados
En ChatGPT Enterprise, un propietario del espacio de trabajo puede permitir que los administradores de grupos editen las opciones permitidas de los roles personalizados asignados a su grupo. Los administradores de grupos no pueden crear, eliminar, asignar ni desasignar roles. Editar un rol compartido por varios grupos afecta a todos esos grupos.
Para obtener información sobre cómo asignar y quitar administradores y configurar los permisos delegados, consulta: administrar grupos y administradores de grupos.
Configurar el acceso a modelos y las excepciones de seguridad
Acceso a modelos
Los propietarios pueden controlar el acceso a los modelos disponibles mediante la configuración del Espacio de trabajo o los roles personalizados. Un rol no puede habilitar un modelo si el Espacio de trabajo no cumple los requisitos para acceder a él. Elegir un modelo inicial o predeterminado no otorga acceso a él.
El acceso a los modelos puede estar desactivado de forma predeterminada. Un administrador debe habilitar un modelo deshabilitado para que los miembros puedan usarlo. El selector de modelos y el control deslizante solo muestran las opciones disponibles para el miembro.
Revisa la configuración del Espacio de trabajo y todos los roles asignados, incluidos los heredados a través de grupos. Los permisos de los roles comunes se acumulan: un rol puede permitir el acceso aunque otro lo desactive. Los miembros también deben cumplir los requisitos de plan, licencia y producto, y tener acceso a la experiencia que quieran usar.
Si un miembro no encuentra un modelo, primero verifica que el Espacio de trabajo cumpla los requisitos y luego revisa el acceso efectivo del miembro a los modelos.
Los administradores pueden abrir la Consola de administración, seleccionar el Espacio de trabajo de ChatGPT y luego abrir Modelos y seleccionar Probar para revisar el acceso del miembro y la configuración que influye en él. La prueba no habilita modelos ni cambia los permisos.
Para conocer la disponibilidad de los modelos, los requisitos del cliente y el procedimiento completo, consulta Modelos y límites de ChatGPT Enterprise y Edu.
Modo restringido
En los espacios de trabajo que admiten roles de Modo restringido, se puede crear un rol personalizado para los miembros que lo necesiten. El Modo restringido es una configuración de seguridad a nivel de rol, no un simple interruptor de permisos.
Un rol de Modo restringido puede limitar las funciones con acceso a la red, como la búsqueda web en tiempo real, la investigación profunda, el modo agente, el acceso a la red de canvas y algunas funciones de apps o de MCP, según la configuración del espacio de trabajo. Estas restricciones pueden aplicarse incluso cuando un rol ordinario permite usar la función.
Antes de asignar un rol de Modo restringido, revisa qué apps y acciones permite. Los miembros también deben tener los permisos necesarios en cada sistema de origen conectado; el acceso a las apps de ChatGPT no anula esos permisos.
Para obtener más información, consulta: Modo restringido.
Administrar el acceso a complementos para un rol
En los espacios de trabajo Enterprise y Edu, el acceso a cada complemento se puede configurar para un rol personalizado o heredar de la configuración predeterminada del espacio de trabajo. Estas opciones de cada complemento son independientes del permiso Usar complementos, que se aplica a todo el espacio de trabajo, y de otros permisos de complementos que solo tienen las opciones Activado y Desactivado.
Ve a la Consola de administración, selecciona el espacio de trabajo de ChatGPT que corresponda y abre Complementos.
Selecciona el complemento y revisa el rol que quieres modificar.
Elige si el rol tiene su propia configuración de acceso al complemento o hereda la configuración predeterminada del espacio de trabajo.
Revisa el acceso actual y el propuesto para las apps necesarias y las dependencias compartidas. Confirma solo los cambios en complementos y apps que quieras realizar.
Revisa los resultados y resuelve los cambios que hayan fallado.
Al verificar el acceso, revisa todos los roles asignados al miembro directamente y a través de grupos. El acceso a un complemento no anula las configuraciones independientes de acceso, acciones, aprobación o autorización del proveedor de las apps incluidas.
Un complemento restringido puede seguir apareciendo en el directorio con la indicación Desactivado por el administrador. Para obtener información sobre la administración de complementos y los conflictos con apps necesarias, consulta: controles de administración, seguridad y cumplimiento para complementos y apps.
Verificar el acceso efectivo de un miembro
Revisa el tipo de licencia del miembro, su elegibilidad según el plan, la configuración predeterminada del espacio de trabajo y todos los roles que se le hayan asignado directamente y a través de grupos. Espera hasta 5 minutos para que se apliquen los cambios recientes de RBAC.
Los siguientes ejemplos usan roles ordinarios, salvo que se indique lo contrario:
| Configuración | Resultado |
|---|---|
| La búsqueda web del espacio de trabajo está en Activado; el único rol ordinario del miembro usa Predeterminado. | Ese rol permite la búsqueda web. |
| Un rol ordinario establece la búsqueda web en Desactivado; otro la establece en Activado. | La búsqueda web está permitida porque un rol concede acceso. |
| Todos los roles ordinarios aplicables establecen la búsqueda web en Desactivado. | El RBAC ordinario no concede acceso, aunque la configuración base del espacio de trabajo esté en Activado. |
| Un rol ordinario permite una función con acceso a la red; un rol de Modo restringido la restringe. | Se aplica la restricción del Modo restringido. |
Para verificar el acceso a modelos, los administradores de Business, Enterprise, Healthcare y Edu pueden usar Probar en la sección Modelos de la Consola de administración. Esta opción muestra el acceso efectivo a los modelos y las configuraciones que lo determinan. No concede acceso ni cambia los permisos. Para conocer el procedimiento, consulta: modelos y límites de ChatGPT Enterprise y Edu.
Preguntas frecuentes
¿Establecer un permiso en Desactivado en un rol le quita el acceso a un miembro?
No, si otro rol ordinario aplicable concede el permiso. Revisa tanto las asignaciones directas como los roles recibidos a través de grupos. El Modo restringido y la elegibilidad para usar el producto se evalúan por separado.
¿Puede RBAC anular las restricciones del tipo de licencia de un miembro?
No. RBAC controla las funciones dentro del acceso que permiten el tipo de licencia y el plan del espacio de trabajo. Una licencia exclusiva de Codex no obtiene acceso a ChatGPT mediante un rol personalizado.
¿Qué ocurre si un permiso solo tiene las opciones Activado y Desactivado?
Configura explícitamente Activado o Desactivado para el espacio de trabajo y los roles correspondientes. Predeterminado solo está disponible para los permisos que admiten esa opción.