Mga kinakailangan
Para i-set up ang SSO, kailangan mong:
Magkaroon ng OpenAI plan na may Global Admin Console
Maging Global Admin
Bago magpatuloy, pakisuri ang aming mga pahina ng dokumentasyon para sa Pangkalahatang-ideya ng SSO at Pamamahala ng User para matiyak na pamilyar ka sa aming arkitektura ng SSO.
Kung dati ka nang nag-configure ng SSO para sa isang organisasyon sa API Platform o ChatGPT workspace, dapat available na ang iyong mga setting ng SSO para i-configure sa pahina ng OpenAI Identity. Kung ang workspace o org na gusto mong paganahin ang SSO ay hindi ipinapakita sa iyong Global Admin Console, mangyaring makipag-ugnayan sa support@openai.com.
⚠️ Malaa-lock out ang iyong mga user kung hindi tama ang pagka-set up ng SSO!
Ang maling setup ay maaaring magresulta sa pagka-lock out ng iyong mga user sa mga org at workspace kung saan nakatakda ang SSO bilang required. Inirerekomenda namin na ikaw, bilang global admin, ay panatilihing Optional ang SSO sa Admin Portal.
Sa panahon ng setup, panatilihing bukas ang dalawang magkaibang naka-login na window:
Isang naka-login sa pamamagitan ng incognito window
Isang naka-login sa pamamagitan ng iyong karaniwang browser
Nagbibigay-daan ito sa iyong i-test ang proseso ng pag-login at ang setup ng iyong SSO/Domain Verification sa isang window, at ibalik ang mga pagbabago kung kinakailangan gamit ang ikalawang window.
Pagsubok sa SSO
Kung gusto mong subukan ang proseso ng setup nang hindi nanganganib na maapektuhan ang iyong mga user, maaari mo itong gawin sa pamamagitan ng application dito.
Ang matagumpay na pagkumpleto ng connection sa test application na ito ay hindi maiuugnay pabalik sa iyong production org, at hindi rin nito ise-save ang connection (kaya magagamit mong muli ang parehong mga parameter sa iyong production instance kapag handa ka na). Ibig sabihin, ligtas itong gamitin bilang sandbox o playground habang pinag-aaralan mo ang mga kinakailangan at inaayos ang anumang kulang na prerequisite.
Pagpapagana ng SSO
Para magsimula, pumunta sa pahina ng OpenAI Identity mula sa Global Admin Console. Maaari mo ring puntahan ang pahinang iyon mula sa link sa pahinang “Identity at Provisioning” sa ilalim ng iyong mga setting na “Manage Workspace” sa ChatGPT, o sa tab na Identity sa mga setting ng iyong organisasyon sa API Platform.
Ipapakita ng ilan sa mga halimbawa sa ibaba ang setup sa Okta, pero dapat mailapat ang parehong logic sa lahat ng SAML IdP.
Pag-verify ng Domain
Upang ma-enable ang SSO, kinakailangan muna naming ma-verify mo ang hindi bababa sa isang domain.
Mahalaga: Tandaang suriin ang downstream na epekto na maaaring idulot ng pag-verify ng domain sa mga user na may domain na iyon.
I-click ang button na "+ Add Domain" at ilagay ang iyong DNS para makapagsimula:
Kapag naisumite na, magbibigay kami ng key para ma-verify mo ang pagmamay-ari ng iyong domain. Pumunta sa iyong DNS provider, at magdagdag ng TXT record gamit ang ibinigay na value:
Dapat maabot ang iyong TXT record sa pamamagitan ng DNS lookup upang magtagumpay ang verification check.
Pagkatapos makumpleto ito sa iyong DNS provider, bumalik sa setup page at i-click ang button na "Check". Kung matagumpay na napatunayan ang pagmamay-ari ng iyong domain, makikita mong maa-update ang status sa "Verified."
Maaari kang magdagdag ng hanggang 99 na verified domain bawat Admin Portal, at nagbibigay kami ng 7 araw para makumpleto mo ang verification check bago markahan ang domain bilang expired. Maaari lang ma-verify ang mga domain sa iisang Admin Portal. Kung kailangan mong i-verify ang parehong domain sa isang organization o workspace na wala sa iyong Admin Portal, mangyaring makipag-ugnayan sa Support.
Pag-configure ng Iyong Application
Pagkatapos matagumpay na ma-verify ang iyong domain, maaari kang magpatuloy sa pag-set up ng SSO sa pamamagitan ng pag-configure ng iyong IdP application.
Para magsimula, i-click ang button na “Set up SSO”:
Pagpili ng Iyong Identity Provider
May opsyon kang pumili mula sa listahan ng pinakasikat na mga IdP na native na sumusuporta sa SAML integrations. Kung hindi mo makita ang iyong IdP sa listahan, o kung gusto mong gumamit ng OIDC connection, maaari mong piliin ang angkop na Custom connection button na makikita sa ibaba:
Paggawa/Pagkonekta ng Application
Maaari mo na ngayong sundan ang step-by-step na configuration wizard para tumulong sa paggawa at pagkonekta ng iyong IdP application sa amin. Depende sa IdP na ginagamit mo, maaaring bahagyang mag-iba ang iyong mga tagubilin, pero pareho ang pangkalahatang setup:
Tandaan na ang mga URL na ibinigay sa hakbang ng paggawa ay natatangi sa iyong organisasyon:
Mahalaga: Kung pipiliin mong i-reset ang isang maayos na SSO connection, magbabago ang mga URL value na ito. Kapag muling nagseset up ng SSO, kakailanganin mong tiyaking naa-update mo rin ang mga ito sa iyong application.
Kapag nakumpleto mo na ang setup ng URL, maaari ka nang magpatuloy sa pagtukoy ng attribute mapping para sa mga user na na-authenticate sa pamamagitan ng iyong application.
Attribute Mapping
Ang attribute mapping na itatakda mo sa iyong SSO application ang sa huli ay tumutukoy kung aling mga OpenAI account ang maa-authenticate at kung paano lalabas ang iyong mga user sa mga produkto ng OpenAI. Sinusuportahan ng kasalukuyan naming modelo ng user ang tatlong property:
Email Address (kinakailangan sa SAML response, tumutukoy kung aling account ang maa-access)
First Name (opsyonal, pero inirerekomenda)
Last Name (opsyonal, pero inirerekomenda)
Tandaan: hindi namin sinusuportahan ang pagde-decrypt ng mga SAML Response. Pakitiyak na hindi mo ini-encrypt ang iyong response o assertion upang magarantiya na matutukoy namin nang tama ang mga attribute.
Depende sa iyong IdP, mag-iiba ang eksaktong attribute mapping. Inirerekomenda naming sundin ang eksaktong mapping na ipinapakita para sa iyong IdP sa setup wizard, hal. ang Okta ay magiging:
Kung nakakakita ka ng mga bagong user na pumapasok na ang kanilang mga email address ay nakatakda sa kanilang display name, pakisuri ang iyong attribute mapping at tiyaking hindi mo ini-encrypt ang iyong mga response.
Bilang alternatibo, kung ang mga bagong user ay hinihilingang ilagay ang kanilang pangalan at kaarawan, malamang na nagpapahiwatig ito na hindi namin natutukoy ang wastong value ng pangalan mula sa iyong attribute response.
Mga Pagbabago sa Email
Paminsan-minsan, maaaring ma-update ang email address ng isang user sa iyong IdP, hal.
Legal na pagpapalit ng pangalan pagkatapos ng kasal
Na-acquire ang kanilang kumpanya at mayroon na silang bagong domain
atbp.
Kung mababago nito ang value ng emailaddress claim sa SSO SAMLResponse, maa-access ang ibang OpenAI user na nakatali sa bagong email address (at gagawin ito kung hindi pa umiiral) kapag matagumpay ang SSO. Kailangang imbitahan ang user na ito sa Org o workspace nang hiwalay sa orihinal na user.
Mga Pangunahing Email Address
Sa ilang sitwasyon, maaaring may mga user kang may maraming magkakaibang email address. Karaniwang nangyayari ito sa mas malalaking kumpanyang may distributed mailing systems o sa mga Edu customer na may iba’t ibang paaralan, hal.
Sa ganitong sitwasyon, inirerekomenda naming tiyaking iisang email address lang ang kasama sa mga attribute ng iyong SAML response, dahil maaaring magdulot ng kalituhan ang maraming email kapag sinusubukan naming iugnay ito sa bago o umiiral nang user.
Bukod pa rito, kung may static na email address ang mga user (hal. UPN), inirerekomenda naming gamitin ito sa iyong attribute mapping para matiyak na magkakaroon sila ng stable na OpenAI user account na hindi maaapektuhan kapag nabago ang iba nilang email address.
Pag-provision ng Access sa IdP Application
Kapag matagumpay mo nang nagawa ang iyong attribute mapping, gagabayan ka ng wizard sa mga hakbang para mag-provision ng access sa mga angkop na user sa pamamagitan ng mga gustong group.
Pakisuri ang aming mga rekomendasyon sa Pamamahala ng User para sa pinakamahuhusay na kasanayan.
Pagtatakda ng Metadata ng IdP
Sa puntong ito ng setup, mayroon kang dalawang magkahiwalay na opsyon para tukuyin ang metadata ng iyong IdP: Dynamic Configuration at Manual Configuration.
Dynamic Configuration
Ito ang inirerekomenda at pinakasimpleng opsyon. Sa Dynamic Configuration, kailangan mo lang ibigay ang Metadata URL (na ngayon ay napunan ng SSO URL at Entity ID na na-configure mo kanina) na nauugnay sa iyong application. Ipapakita sa iyo ng setup wizard kung saan mo ito mahahanap sa iyong IdP:
Manual Configuration
Gaya ng ipinahihiwatig ng pangalan, nangangailangan ng kaunti pang trabaho ang Manual Configuration. Depende sa iyong IdP, kakailanganin mong ilagay ang katumbas na SSO URL at IdP issuer, kasama ang x.509 certificate:
IdP-Initiated Login
Kung gusto mong makapag-click ang iyong mga user ng tile sa kanilang dashboard at awtomatikong ma-authenticate, maaari mong i-configure ang IdP-initiated auth sa iyong application bilang bahagi ng proseso ng setup. Bagama’t mag-iiba ang eksaktong proseso depende sa iyong IdP, gagamit ang pangkalahatang proseso ng ibinigay na URL sa anyong:
ChatGPT: https://chatgpt.com/auth/login?sso=true&connection=conn_0123abc
API Platform: https://platform.openai.com/enterprise/conn_01ABC02DEF/login
Bilang halimbawa, gagabayan ka ng Okta sa paggawa ng bagong Bookmark Application gamit ang URL na ito:
Samantala, papayagan ka ng Entra ID na ilagay ang ibinigay na “Sign on URL” sa angkop na form:
Mahalaga: Kung pipiliin mong i-reset ang isang maayos na SSO connection, ang mga URL value na ito ay magbabago.
Ibig sabihin nito, kapag na-configure mo ang bagong connection, kakailanganin mo ring i-update ang iyong Sign on URL nang naaayon, kung hindi ay hindi makakapag-authenticate ang mga user sa pamamagitan ng kanilang mga tile.
Pagkumpleto ng Setup
Kapag na-configure mo na ang metadata ng iyong IdP, maaari mong i-click ang “Continue” para magpatuloy sa pag-set up ng anumang opsyonal na bookmark apps. Ang huling mandatoryong hakbang sa configuration ay nasa pahinang “Test Single Sign-On”:
Pagkatapos pindutin ang “Continue to sign-in,” susubukan ng wizard ang iyong bagong koneksyon. Kung matagumpay ang lahat, epektibo mo nang napagana ang SSO. Dapat makita mo na ngayon na makikita ito sa iyong configuration page:
Ang mga user sa iyong IdP group na may kaukulang mga account o imbitasyon ay dapat makapag-login na gamit ang SSO:
Maaari silang pumunta sa chatgpt.com o platform.openai.com, ilagay ang kanilang email, at pagkatapos ay mag-authenticate matapos namin silang i-forward sa kanilang IdP
Maaari nilang gamitin ang Bookmark Tile URL na (opsyonal) mong na-configure habang nagse-setup
Kung napansin mong hindi matagumpay na makapag-authenticate ang iyong mga user, at nagkakaproblema kang ibalik ang mga pagbabago, mangyaring makipag-ugnayan agad sa Support para sa tulong.
Tandaan na ang pagpapagana ng SSO sa API Platform ay naglalapat ng pag-verify ng domain sa lahat ng user na may domain na iyon. Ibig sabihin nito, kahit hindi kabilang ang mga user sa iyong Enterprise organization, kailangan pa rin silang maging bahagi ng iyong IdP group para ma-access ang kanilang mga personal na organisasyon.
Pag-troubleshoot ng mga Login
Kung pagkatapos paganahin ang SSO ay nakakaranas ka ng mga isyu sa pag-log in, maaari mong suriin ang aming pahina ng FAQ at Troubleshooting para sa tulong sa pagtukoy ng mga karaniwang error. Kung wala kang makitang sapat na sagot doon, huwag mag-atubiling makipag-ugnayan sa Support.