Descripción general
El control de acceso basado en roles (RBAC) permite a los propietarios del espacio de trabajo configurar el acceso a las funciones mediante roles personalizados reutilizables. Un miembro puede recibir roles directamente o por pertenecer a grupos, y puede tener más de un rol.
Los roles personalizados controlan los permisos de las funciones. Los roles integrados del espacio de trabajo, como Miembro, Administrador y Propietario, determinan qué puede administrar cada persona. Para obtener información sobre los roles integrados y los tipos de licencia, consulta: Administrar miembros, roles del espacio de trabajo y licencias.
Disponibilidad
El RBAC está disponible para ChatGPT Enterprise, Edu, Healthcare y Teachers en todos los países admitidos. Configura el RBAC en la web desde Configuración del espacio de trabajo > Permisos y roles en ChatGPT, o mediante los controles de roles y permisos disponibles en la Consola de administración.
Antes de comenzar
Los propietarios del espacio de trabajo pueden crear, eliminar, asignar y desasignar roles personalizados, así como administrar los permisos predeterminados de todo el espacio de trabajo.
Los administradores del espacio de trabajo pueden tener la capacidad de ver o actualizar los roles existentes mediante las interfaces de administración compatibles. No pueden crear, eliminar, asignar ni desasignar roles personalizados.
Los miembros y los usuarios con acceso de lectura a Análisis no pueden administrar la configuración de RBAC de todo el espacio de trabajo.
La delegación de permisos a administradores de grupos está disponible en ChatGPT Enterprise. Solo un propietario del espacio de trabajo puede activar o desactivar Editar permisos de los roles asignados para los administradores de grupos.
Un administrador global del tenant no recibe automáticamente un rol en un espacio de trabajo de ChatGPT. Los roles personalizados no otorgan acceso a las claves de administrador. Solo los propietarios y administradores del espacio de trabajo pueden crear claves de administrador para ese espacio, y los permisos de cumplimiento sensibles requieren un propietario. Para obtener más información, consulta: Administrar claves de administrador en la Consola de administración.
Comprender los valores predeterminados del espacio de trabajo y los roles personalizados
La configuración del espacio de trabajo establece los valores base para los permisos que los admiten. Un rol personalizado estándar puede usar estos estados:
| Estado | Efecto |
|---|---|
| Predeterminado | Hereda la configuración del espacio de trabajo. |
| Activado | Otorga el permiso a través de ese rol. |
| Desactivado | Deniega el permiso a través de ese rol. Otro rol asignado aún puede otorgarlo. |
Los permisos de los roles estándar se suman. Si algún rol asignado otorga acceso, ya sea de forma explícita o al heredar una opción activada en la configuración del espacio de trabajo, el miembro conserva el acceso. Esto se aplica a los roles asignados directamente y a través de grupos.
Si todos los roles estándar aplicables tienen el permiso en Desactivado, el RBAC estándar deniega el acceso. Si todos los roles aplicables usan Predeterminado, se aplica la configuración del espacio de trabajo. Algunos permisos, incluidos ciertos controles de Work y de complementos, solo tienen las opciones Activado y Desactivado.
Siguen aplicándose los requisitos de elegibilidad del tipo de licencia, el plan y el producto. El Modo restringido se evalúa por separado y puede restringir una capacidad incluso cuando un rol estándar la permite.
Establecer los permisos predeterminados del espacio de trabajo
Abre tu espacio de trabajo de ChatGPT.
Ve a Configuración del espacio de trabajo > Permisos y roles.
Abre la pestaña Espacio de trabajo.
Revisa los permisos disponibles y configura los valores base del espacio de trabajo.
Los controles disponibles se muestran en Permisos y roles. El valor predeterminado del espacio de trabajo se aplica a un permiso compatible de un rol personalizado cuando ese rol usa Predeterminado.
Puedes controlar el acceso a cada app por separado. La interfaz de una app no se puede desactivar de forma independiente.
Crear o editar un rol personalizado
Los propietarios del espacio de trabajo pueden crear roles personalizados.
Ve a Configuración del espacio de trabajo > Permisos y roles.
Abre Roles personalizados.
Selecciona Crear rol.
Ingresa un nombre y una descripción, y luego selecciona Guardar.
En la página de permisos del rol, elige Predeterminado, Activado o Desactivado para cada permiso compatible. Para los permisos con dos estados, elige Activado o Desactivado.
Para editar un rol existente, ábrelo en Roles personalizados y actualiza las opciones que tengas permitido modificar. Los permisos de administración dependen de tu rol en el espacio de trabajo y de la interfaz compatible, como se describió anteriormente.
Los cambios en un rol personalizado afectan a todos los grupos que lo tienen asignado. Usa roles separados cuando los grupos necesiten configuraciones de permisos independientes.
Asignar un rol personalizado
Los propietarios del espacio de trabajo pueden asignar roles directamente a miembros individuales, cuando esta opción esté disponible, o a grupos creados manualmente o sincronizados mediante SCIM. Se recomienda usar grupos para administrar el acceso a gran escala. Para obtener información sobre la configuración de grupos, consulta: Administrar grupos y administradores de grupos.
Asignar un rol a grupos
Ve a Configuración del espacio de trabajo > Permisos y roles.
Abre Roles personalizados y selecciona el rol.
Abre Asignaciones de roles.
Selecciona + Agregar.
Elige uno o más grupos.
Selecciona Listo.
Los miembros reciben permisos de todos los roles aplicables que se les hayan asignado directamente o a través de grupos. Los cambios pueden tardar hasta 5 minutos en surtir efecto.
Asignar un rol directamente a un miembro
Cuando las asignaciones directas estén disponibles, abre el perfil del miembro, ve a Roles directos y selecciona Asignar rol directo. Elige el rol personalizado que quieres asignar. Un rol directo se combina con los roles que el miembro recibe a través de grupos.
Delegar la edición de los roles asignados
En ChatGPT Enterprise, un propietario del espacio de trabajo puede permitir que los administradores de grupos editen las opciones autorizadas de los roles personalizados asignados a su grupo. Los administradores de grupos no pueden crear, eliminar, asignar ni desasignar roles. Editar un rol compartido por varios grupos afecta a todos esos grupos.
Para obtener información sobre la asignación y eliminación de administradores de grupos y la configuración de permisos delegados, consulta: Administrar grupos y administradores de grupos.
Configurar el acceso a modelos y las excepciones de seguridad
Acceso a modelos
Los propietarios pueden controlar el acceso a los modelos disponibles mediante la configuración del espacio de trabajo o los roles personalizados. Un rol no puede habilitar un modelo si el espacio de trabajo no cumple con los requisitos para acceder a él. Elegir un modelo inicial o predeterminado no otorga acceso.
En los espacios de trabajo de Enterprise y Edu que cumplen con los requisitos, GPT-6 Astra está desactivado de forma predeterminada en el momento de su lanzamiento. Configura el acceso a Astra por separado; la configuración anterior de Acceso anticipado a modelos no se transfiere. Revisa todos los roles asignados, porque un rol que permite el acceso puede mantenerlo activado aunque otro rol tenga el permiso en Desactivado.
Cuando se lanzaron en Work y Codex, GPT-6 Sol y GPT-6 Luna estaban desactivados de forma predeterminada en los espacios de trabajo de Enterprise y Edu. Los administradores deben activar cualquier modelo que siga desactivado para que los miembros puedan usarlo. No es necesario volver a activar los modelos que ya están activados para este lanzamiento gradual en Chat. El selector de modelos y el control deslizante solo muestran las opciones disponibles para el miembro.
Para GPT-6 en Chat de Enterprise, usa el permiso existente de GPT-6 Sol para controlar el acceso a los niveles de Instant a Muy alta. Los espacios de trabajo con Sol activado pueden recibir acceso durante el lanzamiento gradual. Este lanzamiento en Chat no introduce un nuevo período de vista previa para administradores.
El acceso depende de la configuración de administración existente y de todos los roles asignados. Los permisos de los roles estándar se suman, como se describió anteriormente: un rol puede permitir el acceso aunque otro lo desactive. Los miembros deben seguir cumpliendo con los requisitos de elegibilidad del plan, la licencia y el producto. Pro usa el permiso independiente de GPT-6 Astra.
Si un miembro no encuentra uno de estos modelos en Work o Codex, verifica si el espacio de trabajo cumple con los requisitos para acceder al modelo y revisa el acceso efectivo del miembro a los modelos.
Los administradores pueden abrir la Consola de administración, seleccionar el espacio de trabajo de ChatGPT, abrir Modelos y seleccionar Probar para revisar el acceso del miembro y la configuración que influye en él. La prueba no activa ningún modelo ni cambia los permisos.
Para conocer la disponibilidad de los modelos, los requisitos del cliente y el procedimiento completo, consulta: Modelos y límites de ChatGPT Enterprise y Edu.
Modo restringido
Los espacios de trabajo compatibles con roles de Modo restringido pueden crear un rol personalizado para los miembros que lo necesiten. El Modo restringido es una configuración de seguridad a nivel de rol, no un simple interruptor de permiso.
Un rol de Modo restringido puede restringir las capacidades con acceso a la red, incluidas la búsqueda web en tiempo real, la investigación profunda, el modo agente, las conexiones de red de canvas y algunas acciones de apps, MCP o conectores, según la configuración del espacio de trabajo. Estas restricciones pueden aplicarse incluso cuando un rol estándar permite la capacidad.
Antes de asignar un rol de Modo restringido, revisa qué apps y acciones permite. Los miembros también deben tener los permisos necesarios en cada sistema de origen conectado; el acceso a apps en ChatGPT no anula esos permisos de origen.
Para obtener más información, consulta: Modo restringido.
Administrar el acceso a complementos de un rol
En los espacios de trabajo de Enterprise y Edu, el acceso a un complemento individual puede configurarse para un rol personalizado o heredarse del valor predeterminado del espacio de trabajo. Estas opciones de configuración por complemento son independientes del permiso Usar complementos de todo el espacio de trabajo y de otros permisos de complementos que solo tienen las opciones Activado y Desactivado.
Ve a la Consola de administración, selecciona el espacio de trabajo de ChatGPT que corresponda y abre Complementos.
Selecciona el complemento y revisa el rol que quieres cambiar.
Elige si el rol tendrá su propia configuración de acceso al complemento o heredará el valor predeterminado del espacio de trabajo.
Revisa el acceso actual y el propuesto para las apps requeridas y las dependencias compartidas. Confirma solo los cambios en complementos y apps que quieras realizar.
Revisa los resultados y resuelve los cambios que hayan fallado.
Al verificar el acceso, revisa todos los roles asignados al miembro, tanto directamente como a través de grupos. El acceso a un complemento no anula la configuración independiente de acceso, acciones, aprobación o autorización del proveedor de las apps incluidas.
Un complemento restringido puede seguir visible en el directorio con la indicación Desactivado por el administrador. Para obtener información sobre la administración de complementos y los conflictos con apps requeridas, consulta: Controles de administración, seguridad y cumplimiento para complementos y apps.
Verificar el acceso efectivo de un miembro
Revisa el tipo de licencia del miembro, su elegibilidad según el plan, los valores predeterminados del espacio de trabajo y todos los roles que se le hayan asignado directamente o a través de grupos. Espera hasta 5 minutos para que se apliquen los cambios recientes de RBAC.
Los siguientes ejemplos usan roles estándar, salvo que se indique lo contrario:
| Configuración | Resultado |
|---|---|
| El permiso Búsqueda web del espacio de trabajo está en Activado; el único rol estándar del miembro usa Predeterminado. | La búsqueda web está permitida a través de ese rol. |
| Un rol estándar establece Búsqueda web en Desactivado; otro lo establece en Activado. | La búsqueda web está permitida porque un rol otorga acceso. |
| Todos los roles estándar aplicables establecen Búsqueda web en Desactivado. | El RBAC estándar no otorga acceso, aunque el valor base del espacio de trabajo sea Activado. |
| Un rol estándar permite una capacidad con acceso a la red; un rol de Modo restringido la restringe. | Se aplica la restricción del Modo restringido. |
Para verificar el acceso a los modelos, los administradores de Business, Enterprise, Healthcare y Edu pueden usar Probar en la sección Modelos de la Consola de administración. Esta opción muestra el acceso efectivo a los modelos y las opciones de configuración que lo determinan. No otorga acceso ni cambia los permisos. Para conocer el procedimiento, consulta: Modelos y límites de ChatGPT Enterprise y Edu.
Preguntas frecuentes
¿Establecer un permiso en Desactivado en un rol le quita el acceso a un miembro?
No, si otro rol estándar aplicable otorga el permiso. Revisa tanto las asignaciones directas como los roles recibidos a través de grupos. El Modo restringido y la elegibilidad para el producto se evalúan por separado.
¿Puede el RBAC anular las restricciones del tipo de licencia de un miembro?
No. El RBAC controla las funciones dentro del acceso permitido por el tipo de licencia y el plan del espacio de trabajo. Una licencia exclusiva de Codex no obtiene acceso a ChatGPT mediante un rol personalizado.
¿Qué pasa si un permiso solo tiene las opciones Activado y Desactivado?
Configura explícitamente Activado o Desactivado para el espacio de trabajo y los roles correspondientes. La opción Predeterminado solo está disponible para los permisos compatibles.