Descripción general
El control de acceso basado en roles (RBAC) permite a los propietarios del área de trabajo configurar el acceso a las funciones mediante roles personalizados reutilizables. Un miembro puede recibir roles directamente y a través de los grupos a los que pertenece, y puede tener más de un rol.
Los roles personalizados controlan los permisos de las funciones. Los roles integrados del área de trabajo, como Miembro, Administrador y Propietario, determinan qué puede administrar cada persona. Para obtener información sobre los roles integrados y los tipos de plazas, consulta: Gestión de miembros, roles del área de trabajo y plazas.
Disponibilidad
RBAC está disponible para ChatGPT Enterprise, Edu, Healthcare y Teachers en todos los países admitidos. Configura RBAC en la web desde Configuración del área de trabajo > Permisos y roles en ChatGPT, o mediante los controles de roles y permisos disponibles en la consola de administración.
Antes de empezar
Los propietarios del área de trabajo pueden crear, eliminar, asignar y desasignar roles personalizados, y gestionar los permisos predeterminados de toda el área de trabajo.
Los administradores del área de trabajo pueden tener la opción de ver o actualizar los roles existentes desde las interfaces de administración compatibles. No pueden crear, eliminar, asignar ni desasignar roles personalizados.
Los miembros y los lectores de análisis no pueden gestionar la configuración de RBAC de toda el área de trabajo.
La delegación en gestores de grupos está disponible en ChatGPT Enterprise. Solo un propietario del área de trabajo puede activar o desactivar Editar permisos de los roles asignados para los gestores de grupos.
Un administrador global del inquilino no recibe automáticamente un rol en un área de trabajo de ChatGPT. Los roles personalizados no conceden acceso a las claves de administrador. Solo los propietarios y administradores del área de trabajo pueden crear claves de administrador para ella, y los permisos de cumplimiento normativo sensibles requieren un propietario. Para obtener más información, consulta: Gestión de claves de administrador en la consola de administración.
Entender los valores predeterminados del área de trabajo y los roles personalizados
La configuración del área de trabajo establece la base para los permisos compatibles. Un rol personalizado ordinario puede usar estos estados:
| Estado | Efecto |
|---|---|
| Predeterminado | Hereda la configuración del área de trabajo. |
| Activado | Concede el permiso a través de ese rol. |
| Desactivado | Deniega el permiso a través de ese rol. Otro rol asignado puede seguir concediéndolo. |
Los permisos de los roles ordinarios se acumulan. Si algún rol asignado concede acceso, ya sea explícitamente o al heredar una opción activada del área de trabajo, el miembro conserva el acceso. Esto se aplica a los roles asignados directamente y a través de grupos.
Si todos los roles ordinarios aplicables están en Desactivado, RBAC ordinario deniega el acceso. Si todos los roles aplicables usan Predeterminado, se aplica la configuración del área de trabajo. Algunos permisos, incluidos ciertos controles de Work y de complementos, solo tienen las opciones Activado y Desactivado.
Siguen aplicándose los requisitos de acceso relativos al tipo de plaza, al plan y al producto. El Modo restringido se evalúa por separado y puede restringir una función aunque un rol ordinario la permita.
Establecer los permisos predeterminados del área de trabajo
Abre tu área de trabajo de ChatGPT.
Ve a Configuración del área de trabajo > Permisos y roles.
Abre la pestaña Área de trabajo.
Revisa los permisos disponibles y establece la configuración base del área de trabajo.
Los controles disponibles se muestran en Permisos y roles. El valor predeterminado del área de trabajo se aplica a los permisos compatibles de un rol personalizado cuando ese rol usa Predeterminado.
Puedes controlar el acceso a cada aplicación por separado. La interfaz de una aplicación no se puede desactivar de forma independiente.
Crear o editar un rol personalizado
Los propietarios del área de trabajo pueden crear roles personalizados.
Ve a Configuración del área de trabajo > Permisos y roles.
Abre Roles personalizados.
Selecciona Crear rol.
Introduce un nombre y una descripción y, después, selecciona Guardar.
En la página de permisos del rol, elige Predeterminado, Activado o Desactivado para cada permiso compatible. Para los permisos con dos estados, elige Activado o Desactivado.
Para editar un rol existente, ábrelo en Roles personalizados y actualiza los ajustes que tengas permitido modificar. Los permisos de administración dependen de tu rol en el área de trabajo y de la interfaz compatible, como se ha descrito anteriormente.
Los cambios en un rol personalizado afectan a todos los grupos que lo tengan asignado. Usa roles separados cuando los grupos necesiten una configuración de permisos independiente.
Asignar un rol personalizado
Los propietarios del área de trabajo pueden asignar roles directamente a miembros individuales, cuando esta opción esté disponible, o a grupos creados manualmente o sincronizados mediante SCIM. Se recomienda usar grupos para gestionar el acceso a gran escala. Para obtener información sobre la configuración de grupos, consulta: Gestión de grupos y gestores de grupos.
Asignar un rol a grupos
Ve a Configuración del área de trabajo > Permisos y roles.
Abre Roles personalizados y selecciona el rol.
Abre Asignaciones de roles.
Selecciona + Añadir.
Elige uno o varios grupos.
Selecciona Listo.
Los miembros reciben los permisos de todos los roles aplicables, tanto los asignados directamente como a través de grupos. Los cambios pueden tardar hasta 5 minutos en surtir efecto.
Asignar un rol directamente a un miembro
Cuando las asignaciones directas estén disponibles, abre el perfil del miembro, ve a Roles directos y selecciona Asignar rol directo. Elige el rol personalizado que quieras asignar. Un rol directo se combina con los roles que el miembro recibe a través de grupos.
Delegar la edición de los roles asignados
En ChatGPT Enterprise, un propietario del área de trabajo puede permitir que los gestores de grupos editen los ajustes permitidos de los roles personalizados asignados a su grupo. Los gestores de grupos no pueden crear ni eliminar roles, ni asignarlos o desasignarlos. Editar un rol compartido por varios grupos afecta a todos esos grupos.
Para obtener información sobre la asignación y eliminación de gestores y la configuración de permisos delegados, consulta: Gestión de grupos y gestores de grupos.
Configurar el acceso a modelos y las excepciones de seguridad
Acceso a modelos
Los propietarios pueden controlar el acceso a los modelos para los que se cumplan los requisitos mediante la configuración del área de trabajo o los roles personalizados. Un rol no puede habilitar un modelo si el área de trabajo no cumple los requisitos para acceder a él. Elegir un modelo inicial o predeterminado no concede acceso.
En las áreas de trabajo Enterprise y Edu que cumplen los requisitos, GPT-6 Astra está desactivado de forma predeterminada en su lanzamiento. Configura el acceso a Astra por separado; la configuración anterior de acceso anticipado a modelos no se transfiere. Revisa todos los roles asignados, porque un rol que permita el acceso puede mantenerlo activado aunque otro rol esté en Desactivado.
Cuando se lanzaron en Work y Codex, GPT-6 Sol y GPT-6 Luna estaban desactivados de forma predeterminada en las áreas de trabajo Enterprise y Edu. Los administradores deben activar cualquier modelo que siga desactivado para que los miembros puedan usarlo. Los modelos que ya estén activados no necesitan volver a activarse para este despliegue en Chat. El selector de modelos y el control deslizante solo muestran las opciones disponibles para el miembro.
Para GPT-6 en Chat de Enterprise, usa el permiso existente de GPT-6 Sol para controlar el acceso a los niveles desde Instant hasta Muy alta. Las áreas de trabajo con Sol activado pueden recibir acceso durante el despliegue. Este lanzamiento en Chat no incluye un nuevo periodo de vista previa para administradores.
El acceso depende de la configuración de administración existente y de todos los roles asignados. Los permisos de los roles ordinarios se acumulan, como se ha descrito anteriormente: un rol puede permitir el acceso aunque otro lo desactive. Los miembros deben seguir cumpliendo los requisitos de acceso relativos al plan, la plaza y el producto. Pro usa el permiso independiente de GPT-6 Astra.
Si un miembro no encuentra uno de estos modelos en Work o Codex, comprueba si el área de trabajo cumple los requisitos para acceder al modelo y revisa el acceso efectivo del miembro a los modelos.
Los administradores pueden abrir la consola de administración, seleccionar el área de trabajo de ChatGPT y, después, abrir Modelos y seleccionar Probar para comprobar el acceso del miembro y los ajustes que influyen en él. La prueba no activa ningún modelo ni modifica los permisos.
Para obtener información sobre la disponibilidad de modelos, los requisitos del cliente y el procedimiento completo, consulta: Modelos y límites de ChatGPT Enterprise y Edu.
Modo restringido
Las áreas de trabajo que admiten roles de Modo restringido pueden crear un rol personalizado para los miembros que lo necesiten. El Modo restringido es una configuración de seguridad a nivel de rol, no un simple interruptor de permiso.
Un rol de Modo restringido puede restringir funciones con acceso a la red, como la búsqueda web en tiempo real, la investigación avanzada, el modo agente, las conexiones de red de canvas y algunas operaciones de aplicaciones, MCP o conectores, según la configuración del área de trabajo. Estas restricciones pueden aplicarse aunque un rol ordinario permita la función.
Antes de asignar un rol de Modo restringido, revisa qué aplicaciones y acciones permite. Los miembros también deben tener los permisos necesarios en cada sistema de origen conectado; el acceso a aplicaciones en ChatGPT no anula los permisos de esos sistemas de origen.
Para obtener más información, consulta: Modo restringido.
Gestionar el acceso a complementos de un rol
En las áreas de trabajo Enterprise y Edu, el acceso a un complemento concreto puede configurarse para un rol personalizado o heredarse del valor predeterminado del área de trabajo. Estos ajustes por complemento son independientes del permiso Usar complementos de toda el área de trabajo y de otros permisos de complementos que solo tienen las opciones Activado y Desactivado.
Ve a la consola de administración, selecciona el área de trabajo de ChatGPT que corresponda y abre Complementos.
Selecciona el complemento y revisa el rol que quieras modificar.
Elige si el rol tiene su propia configuración de acceso al complemento o hereda el valor predeterminado del área de trabajo.
Revisa el acceso actual y el propuesto para las aplicaciones necesarias y las dependencias compartidas. Confirma solo los cambios de complementos y aplicaciones que quieras realizar.
Revisa los resultados y resuelve cualquier cambio que haya fallado.
Al comprobar el acceso, revisa todos los roles asignados al miembro, tanto directamente como a través de grupos. El acceso a un complemento no anula la configuración independiente de acceso, acciones, aprobación o autorización del proveedor de las aplicaciones incluidas.
Un complemento restringido puede seguir visible en el directorio con la indicación Desactivado por el administrador. Para obtener información sobre la administración de complementos y los conflictos con aplicaciones necesarias, consulta: Controles de administración, seguridad y cumplimiento normativo para complementos y aplicaciones.
Comprobar el acceso efectivo de un miembro
Revisa el tipo de plaza del miembro, los requisitos de acceso del plan, los valores predeterminados del área de trabajo y todos los roles asignados directamente y a través de grupos. Espera hasta 5 minutos para que se apliquen los cambios recientes de RBAC.
Los siguientes ejemplos usan roles ordinarios, salvo que se indique lo contrario:
| Configuración | Resultado |
|---|---|
| La búsqueda web del área de trabajo está en Activado; el único rol ordinario del miembro usa Predeterminado. | La búsqueda web se permite a través de ese rol. |
| Un rol ordinario establece la búsqueda web en Desactivado; otro la establece en Activado. | La búsqueda web está permitida porque uno de los roles concede acceso. |
| Todos los roles ordinarios aplicables establecen la búsqueda web en Desactivado. | RBAC ordinario no concede acceso, aunque la configuración base del área de trabajo esté en Activado. |
| Un rol ordinario permite una función con acceso a la red; un rol de Modo restringido la restringe. | Se aplica la restricción del Modo restringido. |
Para comprobar el acceso a modelos, los administradores de Business, Enterprise, Healthcare y Edu pueden usar Probar en la sección Modelos de la consola de administración. Esta opción muestra el acceso efectivo a los modelos y los ajustes que lo determinan. No concede acceso ni modifica los permisos. Para conocer el procedimiento, consulta: Modelos y límites de ChatGPT Enterprise y Edu.
Preguntas frecuentes
¿Establecer un permiso en Desactivado en un rol elimina el acceso de un miembro?
No, si otro rol ordinario aplicable concede el permiso. Revisa tanto las asignaciones directas como los roles recibidos a través de grupos. El Modo restringido y los requisitos de acceso al producto se evalúan por separado.
¿Puede RBAC anular las restricciones del tipo de plaza de un miembro?
No. RBAC controla las funciones dentro de los límites de acceso que permiten el tipo de plaza y el plan del área de trabajo. Una plaza exclusiva de Codex no obtiene acceso a ChatGPT mediante un rol personalizado.
¿Qué ocurre si un permiso solo tiene las opciones Activado y Desactivado?
Establece explícitamente Activado o Desactivado para el área de trabajo y los roles correspondientes. Predeterminado solo está disponible para los permisos compatibles.