Descripción general

El Sistema de Gestión de Identidades entre Dominios (SCIM) sincroniza usuarios y grupos desde tu proveedor de identidades. SCIM gestiona el aprovisionamiento; el inicio de sesión único (SSO) gestiona cómo se autentican las personas. Puedes configurar SCIM de forma independiente de SSO.

Comprobar la disponibilidad y elegir un ámbito de aprovisionamiento

Tus opciones dependen de tus productos, plan, conexiones de directorio existentes y rol de administrador.

Un plan independiente ChatGPT Business y ChatGPT for Teachers no incluyen SCIM. SCIM para todo el inquilino requiere al menos un dominio verificado y un área de trabajo apta de ChatGPT Enterprise o ChatGPT Edu, o una cuenta de anuncios. Un área de trabajo Business solo puede incluirse si el mismo inquilino también tiene un área de trabajo apta de ChatGPT Enterprise y el área Business está disponible en Acceso a productos. La creación automática de cuentas es independiente de SCIM, no requiere SSO y no sincroniza usuarios ni grupos del directorio.

Para consultar la configuración del área de trabajo de ChatGPT Business y los límites del plan, consulta: Configurar el inicio de sesión único para ChatGPT Business.

Para empleados que ya usan una cuenta personal de ChatGPT, consulta: Incorporar empleados con cuentas de ChatGPT existentes.

Elegir SCIM para todo el inquilino o por producto

SCIM para todo el inquilino permite aprovisionar Áreas de trabajo de ChatGPT y cuentas publicitarias compatibles. Los inquilinos de Enterprise y Edu también pueden aprovisionar organizaciones de la API mediante asignaciones de grupos sincronizados. Las conexiones existentes por producto siguen gestionando una única Área de trabajo de ChatGPT o una única organización de la API que cumpla los requisitos.

Si tu Área de trabajo de ChatGPT te permite elegir:

• Usar SCIM solo para esta Área de trabajo crea una conexión específica para esa Área de trabajo.

• Mantener la opción de ampliar a otros productos abre la configuración para todo el inquilino en la consola de administración.

Usar la consola de administración no te obliga a sustituir una conexión SCIM existente por producto. Las conexiones SCIM para todo el inquilino y por producto pueden estar habilitadas a la vez. Sin embargo, no puedes cambiar una asignación de Acceso a productos para todo el inquilino de un Área de trabajo de ChatGPT o una organización de la API mientras ese recurso tenga SCIM por producto habilitado. Coordina cualquier migración con tu equipo de cuentas de OpenAI antes de modificar una conexión que funcione.

Antes de cambiar el ámbito de aplicación, revisa los usuarios, grupos, asignaciones de productos y roles existentes. Coordina cualquier migración con tu equipo de cuentas de OpenAI. No elimines una conexión que funcione para resolver un error de configuración.

SCIM para todo el inquilino puede sincronizar el correo electrónico principal de un usuario gestionado con su cuenta de OpenAI existente cuando tanto el dominio del correo actual como el del nuevo están verificados para el inquilino del directorio.

Conectar un directorio del inquilino

Un administrador global puede usar la consola de administración para conectar un directorio compartido para todo el inquilino, destinado a las Áreas de trabajo de Enterprise o Edu y las cuentas publicitarias que cumplan los requisitos. Los inquilinos de Enterprise y Edu también pueden usar este directorio para asignar grupos sincronizados a organizaciones de la API. Antes de empezar, verifica al menos un dominio para ese mismo inquilino. Las cuentas publicitarias individuales no tienen directorios SCIM independientes.

1. Inicia sesión en la consola de administración como administrador global.

2. Selecciona el inquilino de OpenAI correcto y abre Configuración global.

3. Selecciona Acceso y, después, abre Directorio.

4. Selecciona Habilitar la sincronización del directorio (SCIM).

5. Configura la aplicación del proveedor de identidad con los valores que se muestran para este inquilino.

6. Asigna uno o dos grupos o usuarios de prueba con nombres claros en tu proveedor de identidad.

7. Vuelve a Directorio y confirma que la conexión pasa al estado Activa.

La configuración inicial puede tardar hasta 5 minutos. Si la configuración está incompleta, selecciona Continuar la configuración. Selecciona Cancelar la configuración solo si quieres descartar la conexión que aún no has terminado de configurar.

Revisa el estado de la conexión y los eventos recientes del directorio para comprobar la conexión o averiguar por qué falta un usuario o un grupo. Para revisar las asignaciones de grupos, abre Gestionar directorio y selecciona Gestionar el acceso a productos.

Según tu proveedor de identidad, SSO y SCIM pueden compartir una aplicación o requerir aplicaciones independientes. Sigue las instrucciones específicas del proveedor y no reutilices los valores de conexión de otra Área de trabajo u organización de la API.

Entre las integraciones compatibles pueden figurar Okta, Microsoft Entra ID, Google Workspace, PingFederate, OneLogin y Rippling. Las opciones adicionales de SCIM personalizado o basadas en SFTP dependen de las integraciones disponibles para tu inquilino.

Conectar el directorio de un área de trabajo de ChatGPT

1. Inicia sesión como propietario de un área de trabajo apta de Enterprise o Edu.

2. Abre Configuración del área de trabajo y selecciona Identidad y acceso.

3. Busca Sincronización de directorios (SCIM) y selecciona Activar la sincronización de directorios.

4. Si aparecen varias opciones, selecciona Usar SCIM solo para esta área de trabajo.

5. Completa la configuración específica del proveedor y asigna los usuarios o grupos previstos.

6. Confirma que los usuarios o grupos sincronizados aparezcan en el área de trabajo seleccionada.

Si los controles del directorio del área de trabajo son de solo lectura, selecciona Cloud Console ↗ cuando aparezca y pide a un administrador global que gestione la conexión para todo el tenant en la Consola de administración.

Conectar un directorio de organización de API para un producto

1. Inicia sesión en la Plataforma API como propietario de una organización de API apta.

2. Selecciona la organización de API correcta y abre los ajustes de Identidad.

3. Inicia la configuración disponible de sincronización de directorios.

4. Configura la aplicación del proveedor de identidades con los valores de esa organización de API.

5. Asigna los usuarios o grupos previstos en tu proveedor de identidades.

6. Confirma que los usuarios invitados se incorporen a la organización de API correcta.

Estos pasos configuran una conexión SCIM de API para un producto en la Plataforma API. Para SCIM en todo el inquilino, asigna grupos sincronizados a organizaciones de API mediante Acceso a productos en la consola de administración. Si los ajustes de identidad de la API no están disponibles, pide al propietario de tu organización de API o a tu equipo de cuenta de OpenAI que confirmen si cumples los requisitos y revisen la configuración.

Los miembros, proyectos, facturación y roles específicos de la organización de API siguen gestionándose en la Plataforma API.

SCIM para organizaciones de API también puede sincronizar grupos desde tu proveedor de identidades. Gestiona esos grupos y asigna roles de API compatibles en la Plataforma API.

Asignar grupos sincronizados y acceso a productos

1. En la consola de administración, abre los Ajustes globales del inquilino y selecciona Usuarios & grupos > SCIM Grupos.

2. Selecciona el grupo sincronizado.

3. En Acceso a productos, selecciona Configurar acceso o abre la asignación existente.

4. Selecciona un área de trabajo de ChatGPT, una organización de API o una cuenta de anuncios compatible.

5. Revisa el recurso, las asignaciones existentes y la información disponible sobre los roles.

6. Selecciona Guardar.

7. Abre el área de trabajo o la cuenta de anuncios seleccionada, o examina el grupo de API en la Plataforma API. Confirma que aparezca el grupo. Si falta un nuevo miembro del área de trabajo de ChatGPT, comprueba las invitaciones pendientes.

Al asignar un grupo sincronizado a un área de trabajo de ChatGPT, se crea en ella un grupo correspondiente. Si alguien aún no pertenece al área de trabajo, OpenAI crea una invitación con el rol Miembro.

La persona se incorpora al grupo del área de trabajo tras aceptar la invitación. Según los ajustes del área de trabajo, es posible que la invitación no genere ningún correo. Los miembros existentes del área de trabajo conservan su rol y tipo de puesto actuales.

Puedes asignar el mismo grupo sincronizado a varias áreas de trabajo de ChatGPT, organizaciones de API y cuentas de anuncios compatibles. Asigna cada recurso por separado; el acceso a uno no concede acceso a otro.

El editor de Acceso a productos admite áreas de trabajo de ChatGPT y cuentas de anuncios, además de organizaciones de API para inquilinos Enterprise y Edu. No asigna el rol de propietario ni roles personalizados de áreas de trabajo de ChatGPT. Revisa los roles de la cuenta de anuncios seleccionada y configura los roles personalizados dentro del área de trabajo de ChatGPT seleccionada.

Revisa los permisos existentes antes de ampliar el acceso. Es posible que un grupo sincronizado ya tenga acceso a un área de trabajo de ChatGPT, una organización de API o una cuenta de anuncios. Usa el rol con menos privilegios que sea necesario y pide a un administrador global que investigue cualquier acceso inesperado.

Cuando das acceso a un grupo sincronizado a una cuenta de anuncios mediante Acceso a productos, su rol inicial en la cuenta es Miembro. Revisa el rol específico de la cuenta y usa el acceso con menos privilegios que sea necesario.

Para consultar los permisos específicos de Ads, consulta: Gestionar la identidad y el acceso en el Gestor de anuncios.

Gestionar el acceso a organizaciones de API

Al asignar un grupo sincronizado a una organización de API, sus usuarios se añaden directamente, sin tener que aceptar una invitación. SCIM crea las pertenencias a la organización que falten y asume la gestión de las pertenencias existentes aptas. Los miembros existentes conservan su rol en la organización.

OpenAI crea en la organización de API un grupo aparte gestionado mediante SCIM. Un grupo manual de API existente con el mismo nombre permanece separado. Gestiona la pertenencia al grupo sincronizado en tu proveedor de identidades y examina el grupo correspondiente en la Plataforma API.

SCIM gestiona las pertenencias que crea o cuya gestión asume. Eliminar la última asignación de grupo válida puede suprimir una pertenencia a la organización, aunque se añadiera originalmente de forma manual. Otra asignación válida puede conservar el acceso. Las pertenencias manuales cuya gestión no haya asumido SCIM siguen gestionándose por separado.

La asignación a una organización de API no concede acceso a todos los proyectos de API. Revisa por separado la pertenencia a proyectos y los permisos en la Plataforma API. Haz una prueba con un grupo pequeño y revisa las pertenencias existentes antes de asignar el acceso.

Gestionar registros de usuarios, invitaciones y grupos

Un registro sincronizado del directorio no concede automáticamente acceso a todas las áreas de trabajo de ChatGPT, organizaciones de API o cuentas de anuncios. Siguen aplicándose la pertenencia al producto, la asignación de grupos, la política de inicio de sesión y los roles específicos del producto.

Vincular usuarios existentes

El aprovisionamiento identifica la cuenta de OpenAI existente correspondiente mediante el correo electrónico de trabajo configurado en ella. Confirma que el correo electrónico del proveedor de identidad, la dirección de la invitación y la cuenta de OpenAI prevista corresponden a la misma persona. Configura tu proveedor de identidad para que envíe una única dirección de correo electrónico principal por usuario.

Si un usuario o grupo existente del inquilino coincide con un registro sincronizado del directorio, puede pasar a estar gestionado por tu proveedor de identidad. Las invitaciones y las pertenencias a Áreas de trabajo de ChatGPT creadas manualmente no pasan a estar gestionadas mediante SCIM de forma automática.

Un miembro existente de un Área de trabajo puede unirse a un grupo sincronizado de esa Área de trabajo sin que cambien su pertenencia, su rol ni su tipo de licencia. Al tramitar una baja, revoca por separado el acceso al Área de trabajo concedido manualmente.

Actualizar una dirección de correo electrónico gestionada

SCIM para todo el inquilino puede actualizar el correo electrónico principal de la cuenta de OpenAI existente de un usuario. El usuario ya debe estar sincronizado a través del directorio de ese inquilino. Tanto el dominio del correo electrónico actual como el del nuevo deben estar verificados para el inquilino que gestiona el directorio. Puedes cambiar una dirección dentro de un mismo dominio verificado o entre dos dominios verificados para ese inquilino. Un correo electrónico secundario o un alias no sustituye al correo principal utilizado para la sincronización.

Antes de hacer el cambio, confirma que la nueva dirección no pertenece a otra cuenta de OpenAI. Si es así, no continúes y ponte en contacto con el soporte de OpenAI.

1. Confirma que el usuario sincronizado existente corresponde a la cuenta de OpenAI que quieres actualizar.

2. Pide a un administrador global que confirme que ambos dominios de correo electrónico están verificados para el inquilino del directorio.

3. Actualiza el correo electrónico principal del usuario existente en tu proveedor de identidad. Conserva el registro existente del directorio y envía una única dirección de correo electrónico principal.

4. Si el usuario inicia sesión mediante SSO, actualiza la asignación de inicio de sesión para que use la misma dirección.

5. Espera a que se complete una sincronización correctamente y confirma que la cuenta de OpenAI existente muestra la nueva dirección de correo electrónico.

6. Pide al usuario que vuelva a iniciar sesión con la dirección actualizada y el método de inicio de sesión que exige el producto. Después, confirma que puede acceder al producto.

El cambio de correo electrónico actualiza la cuenta existente y cierra la sesión del usuario. No fusiona cuentas de OpenAI independientes. Los cambios de correo electrónico mediante SCIM para todo el inquilino siguen sujetos a los requisitos de la cuenta y a los límites de cambio de correo electrónico.

El soporte de OpenAI no puede cambiar manualmente la dirección de correo electrónico de una cuenta gestionada mediante SCIM para todo el inquilino.

Una conexión SCIM de un Área de trabajo de ChatGPT que cumpla los requisitos puede actualizar el correo electrónico de un miembro que haya aceptado la invitación y esté gestionado mediante SCIM, si los cambios de correo electrónico están habilitados para esa Área de trabajo. Tanto el dominio del correo actual como el del nuevo deben estar verificados para la misma Área de trabajo y su inquilino, la nueva dirección no debe estar vinculada a otra cuenta de OpenAI y la asignación de SSO debe usar la dirección actualizada. Actualiza el usuario SCIM existente y haz primero una prueba con una sola cuenta.

Actualmente, SCIM por producto para organizaciones de la API no permite cambiar la dirección de correo electrónico de una cuenta de OpenAI existente.

Si una invitación sincronizada usa una dirección de correo electrónico obsoleta o una actualización de correo no llega a la cuenta prevista, no elimines la cuenta, no elimines ni vuelvas a crear el registro del directorio, no invites a la nueva dirección como sustitución ni desconectes el directorio. Estas acciones pueden crear una cuenta de OpenAI independiente y dejar los proyectos, los agentes y el historial de conversaciones existentes vinculados a la cuenta original. Pide a tu administrador que compruebe el registro existente del directorio, el correo electrónico principal, la verificación del dominio y el resultado de la última sincronización. Ponte en contacto con el soporte de OpenAI si los registros no coinciden, aparece un conflicto entre cuentas o la actualización sigue bloqueada.

Entender las invitaciones y la creación automática de cuentas

Un usuario de ChatGPT recién aprovisionado, o un usuario aprovisionado mediante una conexión SCIM de la API por producto, puede tener que aceptar una invitación antes de incorporarse al producto. SCIM para todo el inquilino añade usuarios directamente a las organizaciones de la API asignadas sin necesidad de que acepten una invitación. Algunos flujos de SCIM crean una invitación pendiente sin enviar un correo electrónico. Un miembro existente de un Área de trabajo de ChatGPT no recibe otra invitación a esa Área de trabajo cuando el usuario correspondiente del inquilino pasa a estar gestionado mediante SCIM.

Pide a un propietario del Área de trabajo que revise las invitaciones pendientes. Si la invitación es manual, el propietario puede seleccionar Reenviar invitación, cuando esta opción esté disponible. Las invitaciones gestionadas mediante SCIM no se pueden reenviar directamente; una API puede devolver 409 scim_managed_resource. Si la opción Invitar a un miembro está disponible, el propietario puede volver a introducir el mismo correo electrónico sin cambiar el rol ni el tipo de licencia existentes. Ponte en contacto con el soporte de OpenAI si la invitación sigue bloqueada.

La creación automática de cuentas puede añadir usuarios de ChatGPT que cumplan los requisitos cuando inician sesión con un correo electrónico de un dominio verificado. Es independiente de SCIM y no requiere SSO. Si el Área de trabajo exige SSO, los empleados deberán seguir usándolo para iniciar sesión.

Antes de configurar SCIM, revisa la creación automática de cuentas en cada Área de trabajo. Puede que este ajuste ya esté activado al crear un Área de trabajo. Desactívalo si tienes previsto gestionar el acceso mediante SCIM. Es posible que los usuarios añadidos mediante la creación automática de cuentas no estén gestionados por SCIM, por lo que eliminarlos del proveedor de identidad podría no revocar su acceso al producto. Revisa el uso de licencias, elimina por separado a los usuarios no gestionados y comprueba todas las vías de acceso al tramitar una baja.

Para conocer los valores predeterminados y los controles del Área de trabajo, consulta: gestionar tu inquilino en la consola de administración.

Gestionar la propiedad, los roles y la visibilidad de los grupos

Gestiona la pertenencia al grupo sincronizado en tu proveedor de identidades. Los administradores del área de trabajo pueden mantener grupos aparte gestionados manualmente.

Al migrar un área de trabajo de ChatGPT a SCIM para todo el inquilino, se puede adoptar un grupo existente del área de trabajo si su nombre coincide exactamente con el del grupo sincronizado. Revisa los nombres de grupo duplicados y los miembros existentes con tu equipo de cuenta de OpenAI antes de asignar el acceso. Este comportamiento de ChatGPT no se aplica a los grupos manuales de API.

Si cambias el nombre de un grupo sincronizado en tu proveedor de identidades, también cambia el nombre del grupo sincronizado correspondiente en el área de trabajo.

SCIM para el área de trabajo usa una conexión aparte. Según su configuración, un grupo sincronizado con el mismo nombre que un grupo manual del área de trabajo puede poner la pertenencia a ese grupo bajo el control del proveedor de identidades.

Cuando sea compatible, un propietario puede usar Permisos & roles en el área de trabajo de ChatGPT seleccionada para asignar roles personalizados aptos. Los grupos sincronizados también pueden admitir análisis del área de trabajo cuando estén disponibles.

Cuando esté disponible, Visible para los usuarios del área de trabajo, en los ajustes de Identidad & acceso, controla si los grupos gestionados mediante SCIM aparecen cuando se comparten GPT o proyectos. Desactivar el ajuste puede ocultar esos grupos y quitar los usos compartidos existentes la próxima vez que se actualice un GPT o proyecto. Cambiar la visibilidad no detiene la sincronización ni elimina el grupo. Si el área de trabajo usa SCIM para todo el inquilino y sus ajustes de identidad son de solo lectura, es posible que este control no esté disponible. Pregunta a tu equipo de cuenta de OpenAI por las opciones compatibles.

Probar la incorporación y la baja

1. Añade un usuario de prueba a la aplicación prevista del proveedor de identidades o al grupo asignado.

2. Espera a que se complete correctamente una sincronización.

3. Confirma que el usuario aparezca en el inquilino o producto previsto y reciba únicamente el rol esperado.

4. Quita al usuario de la asignación del proveedor o del grupo de aprovisionamiento.

5. Espera a la siguiente sincronización correcta y confirma que se haya eliminado el acceso derivado del grupo.

6. Comprueba las invitaciones directas, otros grupos y los roles específicos del producto que puedan conservar un acceso independiente.

Quitar a alguien solo dentro de ChatGPT puede ser temporal si el proveedor de identidades sigue asignando a esa persona. Deshabilitar a un usuario en el proveedor no siempre elimina la asignación de la aplicación. Desaprovisionar a un miembro de un área de trabajo de ChatGPT no elimina su cuenta de OpenAI ni su área de trabajo personal. Tras una sincronización correcta, confirma que la persona ya no sea miembro activo y revisa la asignación de puestos del área de trabajo. Si la persona sigue activa, no se puede eliminar o no puede recuperar el acceso tras volver a añadirla, ponte en contacto con el servicio de asistencia de OpenAI. La conservación de datos del área de trabajo de ChatGPT sigue la política del área seleccionada.

Solucionar problemas de sincronización del directorio

Muchos proveedores de identidad sincronizan los cambios cada 30 o 40 minutos, mientras que otros envían las actualizaciones antes. OpenAI no dispone de un control general para forzar una sincronización inmediata del directorio.

Si se producen errores de autenticación o de inicio de sesión, consulta: solucionar problemas de SSO, acceso al Área de trabajo y verificación de dominios.

Eliminar una conexión de directorio de forma segura

Eliminar una conexión activa de directorio para todo el inquilino es irreversible. Antes de desconectarla, revisa las asignaciones de productos con tu equipo de cuenta de OpenAI y confirma cómo se gestionarán las pertenencias existentes. No desconectes el directorio para quitar o restaurar el acceso de una sola persona.

1. En la consola de administración, abre los Ajustes globales del inquilino.

2. Selecciona Acceso y abre Directorio.

3. Revisa el proveedor conectado y los usuarios, grupos y asignaciones de productos afectados.

4. Selecciona Eliminar conexión.

5. Confirma el cambio solo si quieres detener la sincronización.

6. Revisa los usuarios, grupos, accesos a productos y roles de administrador restantes.

La eliminación puede tardar hasta 5 minutos. Ponte en contacto con tu equipo de cuenta de OpenAI antes de sustituir una conexión que funciona o cambiar entre SCIM para un producto y SCIM para todo el inquilino.