Aperçu

Le système de gestion des identités interdomaines (SCIM) synchronise les utilisateurs et les groupes de votre fournisseur d’identité. SCIM gère le provisionnement; l’authentification unique (SSO) gère la façon dont les personnes s’authentifient. Vous pouvez configurer SCIM indépendamment de l’authentification unique (SSO).

Vérifier la disponibilité et choisir une portée de provisionnement

Vos options dépendent de vos produits, de votre forfait, de vos connexions d’annuaire existantes et de votre rôle d’administrateur.

Un forfait autonome ChatGPT Business et ChatGPT for Teachers n’incluent pas SCIM. SCIM à l’échelle du locataire exige au moins un domaine vérifié et un espace de travail ChatGPT Enterprise ou ChatGPT Edu admissible, ou un compte publicitaire admissible. Un espace de travail Business ne peut être inclus que si le même locataire possède aussi un espace de travail ChatGPT Enterprise admissible et que l’espace Business est offert sous Accès aux produits. La création automatique de comptes est distincte de SCIM, ne nécessite pas l’authentification unique (SSO) et ne synchronise pas les utilisateurs ni les groupes de l’annuaire.

Pour la configuration d’un espace de travail ChatGPT Business et les limites du forfait, consultez : Configurer l’authentification unique pour ChatGPT Business.

Pour les employés qui utilisent déjà un compte ChatGPT personnel, consultez : Intégrer des employés ayant déjà un compte ChatGPT.

Choisir SCIM à l’échelle du locataire ou du produit

SCIM à l’échelle du locataire permet le provisionnement des espaces de travail ChatGPT et des comptes publicitaires pris en charge. Les locataires Enterprise et Edu peuvent aussi provisionner des organisations API au moyen d’affectations de groupes synchronisés. Les connexions existantes à l’échelle du produit continuent de gérer un seul espace de travail ChatGPT admissible ou une seule organisation API admissible.

Si votre espace de travail ChatGPT offre un choix :

• Utiliser SCIM uniquement pour cet espace de travail crée une connexion propre à l’espace de travail.

• Conserver la possibilité d’étendre la configuration à d’autres produits ouvre la configuration à l’échelle du locataire dans la console d’administration.

L’utilisation de la console d’administration ne vous oblige pas à remplacer une connexion SCIM existante à l’échelle du produit. Les connexions SCIM à l’échelle du locataire et du produit peuvent être activées simultanément. Toutefois, vous ne pouvez pas modifier une affectation d’accès aux produits à l’échelle du locataire pour un espace de travail ChatGPT ou une organisation API tant que SCIM est activé à l’échelle du produit pour cette ressource. Coordonnez toute migration avec l’équipe responsable de votre compte OpenAI avant de modifier une connexion fonctionnelle.

Avant de modifier la portée, passez en revue les utilisateurs, les groupes, les affectations aux produits et les rôles existants. Coordonnez toute migration avec l’équipe responsable de votre compte OpenAI. Ne supprimez pas une connexion fonctionnelle pour résoudre une erreur de configuration.

SCIM à l’échelle du locataire peut synchroniser l’adresse courriel principale d’un utilisateur géré avec son compte OpenAI existant lorsque le domaine de l’adresse actuelle et celui de la nouvelle adresse sont tous deux vérifiés pour le locataire de l’annuaire.

Connecter un annuaire de locataire

Un administrateur général peut utiliser la console d’administration pour connecter un annuaire partagé à l’échelle du locataire pour les espaces de travail Enterprise ou Edu et les comptes publicitaires admissibles. Les locataires Enterprise et Edu peuvent aussi utiliser cet annuaire pour affecter des groupes synchronisés à des organisations API. Avant de commencer, vérifiez au moins un domaine pour ce même locataire. Les comptes publicitaires individuels n’ont pas d’annuaires SCIM distincts.

1. Connectez-vous à la console d’administration en tant qu’administrateur général.

2. Sélectionnez le bon locataire OpenAI et ouvrez Paramètres généraux.

3. Sélectionnez Accès, puis ouvrez Annuaire.

4. Sélectionnez Activer la synchronisation de l’annuaire (SCIM).

5. Configurez l’application du fournisseur d’identité avec les valeurs affichées pour ce locataire.

6. Affectez un ou deux groupes ou utilisateurs pilotes clairement nommés dans votre fournisseur d’identité.

7. Retournez dans Annuaire et confirmez que la connexion devient Active.

La configuration initiale peut prendre jusqu’à 5 minutes. Si la configuration est incomplète, sélectionnez Poursuivre la configuration. Sélectionnez Annuler la configuration uniquement si vous souhaitez abandonner la connexion inachevée.

Consultez l’état de la connexion et les événements récents de l’annuaire pour vérifier la connexion ou rechercher la cause de l’absence d’un utilisateur ou d’un groupe. Pour examiner les affectations de groupes, ouvrez Gérer l’annuaire et sélectionnez Gérer l’accès aux produits.

Selon votre fournisseur d’identité, l’authentification unique (SSO) et SCIM peuvent partager une application ou nécessiter des applications distinctes. Suivez les instructions propres au fournisseur et ne réutilisez pas les valeurs de connexion d’un autre espace de travail ou d’une autre organisation API.

Les intégrations prises en charge peuvent inclure Okta, Microsoft Entra ID, Google Workspace, PingFederate, OneLogin et Rippling. Les options supplémentaires SCIM personnalisées ou basées sur SFTP dépendent des intégrations disponibles pour votre locataire.

Connecter l’annuaire d’un espace de travail ChatGPT

1. Connectez-vous comme propriétaire d’un espace de travail Enterprise ou Edu admissible.

2. Ouvrez Paramètres de l’espace de travail, puis sélectionnez Identité et accès.

3. Trouvez Synchronisation d’annuaire (SCIM) et sélectionnez Activer la synchronisation d’annuaire.

4. Si un choix s’affiche, sélectionnez Utiliser SCIM uniquement pour cet espace de travail.

5. Terminez la configuration propre au fournisseur et attribuez les utilisateurs ou groupes prévus.

6. Confirmez que les utilisateurs ou groupes synchronisés figurent dans l’espace de travail sélectionné.

Si les commandes d’annuaire de l’espace de travail sont en lecture seule, sélectionnez Console infonuagique ↗ lorsqu’elle s’affiche et demandez à un administrateur général de gérer la connexion à l’échelle du locataire dans la Console d’administration.

Connecter l’annuaire d’une organisation API au niveau du produit

1. Connectez-vous à la Plateforme API comme propriétaire d’une organisation API admissible.

2. Sélectionnez la bonne organisation API et ouvrez les paramètres Identité.

3. Démarrez la configuration offerte pour la synchronisation de l’annuaire.

4. Configurez l’application du fournisseur d’identité à l’aide des valeurs de cette organisation API.

5. Attribuez les utilisateurs ou groupes voulus dans votre fournisseur d’identité.

6. Confirmez que les utilisateurs invités rejoignent la bonne organisation API.

Ces étapes configurent une connexion SCIM d’API au niveau du produit dans la Plateforme API. Pour SCIM à l’échelle du locataire, attribuez des groupes synchronisés aux organisations API au moyen d’Accès aux produits dans la console d’administration. Si les paramètres d’identité de l’API ne sont pas offerts, demandez au propriétaire de votre organisation API ou à votre équipe de compte OpenAI de confirmer votre admissibilité et votre configuration.

Les membres, les projets, la facturation et les rôles propres à l’API de l’organisation API demeurent gérés dans la Plateforme API.

SCIM pour les organisations API peut aussi synchroniser des groupes de votre fournisseur d’identité. Gérez ces groupes et attribuez les rôles API pris en charge dans la Plateforme API.

Attribuer des groupes synchronisés et l’accès aux produits

1. Dans la console d’administration, ouvrez les Paramètres généraux du locataire, puis sélectionnez Utilisateurs et groupes > SCIM Groupes.

2. Sélectionnez le groupe synchronisé.

3. Sous Accès aux produits, sélectionnez Configurer l’accès ou ouvrez l’attribution existante.

4. Sélectionnez un espace de travail ChatGPT, une organisation API ou un compte publicitaire pris en charge.

5. Examinez la ressource, les attributions existantes et les renseignements disponibles sur les rôles.

6. Sélectionnez Enregistrer.

7. Ouvrez l’espace de travail ou le compte publicitaire sélectionné, ou examinez le groupe API dans la Plateforme API. Confirmez que le groupe apparaît. Si un nouveau membre de l’espace de travail ChatGPT est absent, vérifiez les invitations en attente.

L’attribution d’un groupe synchronisé à un espace de travail ChatGPT crée un groupe correspondant dans cet espace. Si une personne n’est pas déjà membre de l’espace de travail, OpenAI crée une invitation avec le rôle Membre.

La personne rejoint le groupe de l’espace de travail après avoir accepté l’invitation. Selon les paramètres de l’espace de travail, l’invitation peut ne pas générer de courriel. Les membres existants de l’espace de travail conservent leur rôle et leur type de place actuels.

Vous pouvez attribuer le même groupe synchronisé à plusieurs espaces de travail ChatGPT, organisations API et comptes publicitaires pris en charge. Attribuez chaque ressource séparément; l’accès à l’une ne donne pas accès aux autres.

L’éditeur Accès aux produits prend en charge les espaces de travail ChatGPT et les comptes publicitaires, ainsi que les organisations API des locataires Enterprise et Edu. Il n’attribue pas le rôle de propriétaire ni les rôles personnalisés d’un espace de travail ChatGPT. Examinez les rôles du compte publicitaire sélectionné et configurez les rôles personnalisés dans l’espace de travail ChatGPT sélectionné.

Examinez les autorisations existantes avant d’étendre l’accès. Un groupe synchronisé peut déjà avoir accès à un espace de travail ChatGPT, à une organisation API ou à un compte publicitaire. Utilisez le rôle requis ayant le moins de privilèges et demandez à un administrateur général d’examiner tout accès inattendu.

Lorsque vous donnez à un groupe synchronisé l’accès à un compte publicitaire par Accès aux produits, son rôle initial dans le compte est Membre. Examinez le rôle propre au compte et utilisez l’accès requis ayant le moins de privilèges.

Pour les autorisations propres aux publicités, consultez : Gérer l’identité et l’accès dans le Gestionnaire de publicités.

Gérer l’accès aux organisations API

L’attribution d’un groupe synchronisé à une organisation API ajoute directement ses utilisateurs, sans qu’ils aient à accepter une invitation. SCIM crée les adhésions manquantes à l’organisation et prend en charge les adhésions existantes admissibles. Les membres existants conservent leur rôle dans l’organisation.

OpenAI crée un groupe distinct géré par SCIM dans l’organisation API. Un groupe API manuel existant portant le même nom demeure distinct. Gérez l’appartenance au groupe synchronisé dans votre fournisseur d’identité et examinez le groupe correspondant dans la Plateforme API.

SCIM gère les adhésions qu’il crée ou prend en charge. La suppression de la dernière attribution de groupe admissible peut supprimer une adhésion à l’organisation, même si elle avait été ajoutée manuellement à l’origine. Une autre attribution admissible peut préserver l’accès. Les adhésions manuelles que SCIM n’a pas prises en charge demeurent gérées séparément.

L’attribution d’une organisation API ne donne pas accès à tous les projets API. Examinez séparément l’appartenance aux projets et les autorisations dans la Plateforme API. Faites un essai avec un petit groupe et examinez les adhésions existantes avant d’attribuer l’accès.

Gérer les dossiers d’utilisateurs, les invitations et les groupes

Un enregistrement d’annuaire synchronisé ne donne pas automatiquement accès à tous les espaces de travail ChatGPT, toutes les organisations API ni tous les comptes publicitaires. L’adhésion au produit, l’attribution de groupe, la politique de connexion et les rôles propres au produit continuent de s’appliquer.

Faire correspondre les utilisateurs existants

Le provisionnement établit une correspondance avec un compte OpenAI existant à l’aide de son adresse courriel professionnelle configurée. Confirmez que l’adresse courriel du fournisseur d’identité, l’adresse de l’invitation et le compte OpenAI visé correspondent à la même personne. Configurez votre fournisseur d’identité pour qu’il envoie exactement une adresse courriel principale pour chaque utilisateur.

Si un utilisateur ou un groupe existant du locataire correspond à un enregistrement synchronisé de l’annuaire, il peut devenir géré par votre fournisseur d’identité. Les invitations et les adhésions existantes à un espace de travail ChatGPT créées manuellement ne deviennent pas automatiquement gérées par SCIM.

Un membre existant d’un espace de travail peut rejoindre un groupe synchronisé de cet espace de travail sans modifier son adhésion, son rôle ni son type de siège existants. Révoquez séparément l’accès à l’espace de travail accordé manuellement lors des départs.

Mettre à jour une adresse courriel gérée

SCIM à l’échelle du locataire peut mettre à jour l’adresse courriel principale du compte OpenAI existant d’un utilisateur. L’utilisateur doit déjà être synchronisé au moyen de l’annuaire de ce locataire. Le domaine de l’adresse courriel actuelle et celui de la nouvelle adresse doivent tous deux être vérifiés pour le locataire qui gère l’annuaire. Vous pouvez modifier une adresse au sein d’un même domaine vérifié ou passer d’un domaine à un autre, pourvu que les deux soient vérifiés pour ce locataire. Une adresse courriel secondaire ou un alias ne remplace pas l’adresse courriel principale utilisée pour la synchronisation.

Avant d’effectuer le changement, confirmez que la nouvelle adresse n’appartient pas à un autre compte OpenAI. Si c’est le cas, arrêtez et communiquez avec l’assistance OpenAI.

1. Confirmez que l’utilisateur synchronisé existant correspond au compte OpenAI visé.

2. Demandez à un administrateur général de confirmer que les deux domaines de courriel sont vérifiés pour le locataire de l’annuaire.

3. Mettez à jour l’adresse courriel principale de l’utilisateur existant dans votre fournisseur d’identité. Conservez l’enregistrement existant dans l’annuaire et envoyez exactement une adresse courriel principale.

4. Si l’utilisateur se connecte par authentification unique (SSO), mettez à jour le mappage de connexion pour utiliser la même adresse.

5. Attendez qu’une synchronisation réussisse et confirmez que le compte OpenAI existant affiche la nouvelle adresse courriel.

6. Demandez à l’utilisateur de se reconnecter avec l’adresse mise à jour et la méthode de connexion exigée par le produit, puis confirmez son accès au produit.

Le changement d’adresse courriel met à jour le compte existant et déconnecte l’utilisateur. Il ne fusionne pas des comptes OpenAI distincts. Les changements d’adresse courriel par SCIM à l’échelle du locataire demeurent soumis à l’admissibilité du compte et aux limites de changement d’adresse courriel.

L’assistance OpenAI ne peut pas modifier manuellement l’adresse courriel d’un compte géré par SCIM à l’échelle du locataire.

Une connexion SCIM admissible à l’échelle d’un espace de travail ChatGPT peut mettre à jour l’adresse courriel d’un membre ayant accepté son invitation et géré par SCIM, lorsque les changements d’adresse courriel sont activés pour cet espace de travail. Le domaine de l’adresse courriel actuelle et celui de la nouvelle adresse doivent tous deux être vérifiés pour le même espace de travail et son locataire, la nouvelle adresse ne doit pas être liée à un autre compte OpenAI et le mappage de l’authentification unique (SSO) doit utiliser l’adresse mise à jour. Mettez à jour l’utilisateur SCIM existant et testez d’abord un seul compte.

SCIM pour les organisations API à l’échelle du produit ne prend actuellement pas en charge la modification de l’adresse courriel d’un compte OpenAI existant.

Si une invitation synchronisée utilise une adresse courriel désuète ou si une mise à jour d’adresse courriel n’atteint pas le compte visé, ne supprimez pas le compte, ne supprimez pas l’enregistrement de l’annuaire pour le recréer, n’invitez pas la nouvelle adresse en remplacement et ne déconnectez pas l’annuaire. Ces actions peuvent créer un compte OpenAI distinct et laisser les projets, les agents et l’historique des conversations existants rattachés au compte d’origine. Demandez à votre administrateur de confirmer l’enregistrement existant dans l’annuaire, l’adresse courriel principale, la vérification des domaines et le résultat de la dernière synchronisation. Communiquez avec l’assistance OpenAI si les enregistrements ne concordent pas, si un conflit de comptes survient ou si la mise à jour demeure bloquée.

Comprendre les invitations et la création automatique de comptes

Un utilisateur ChatGPT nouvellement provisionné, ou un utilisateur provisionné par une connexion SCIM API à l’échelle du produit, peut devoir accepter une invitation avant d’accéder au produit. SCIM à l’échelle du locataire ajoute directement les utilisateurs aux organisations API auxquelles ils sont affectés, sans qu’ils aient à accepter une invitation. Certains flux SCIM créent une invitation en attente sans envoyer de courriel. Un membre existant d’un espace de travail ChatGPT ne reçoit pas de nouvelle invitation à cet espace de travail lorsque l’utilisateur correspondant du locataire devient géré par SCIM.

Demandez à un propriétaire de l’espace de travail de passer en revue les invitations en attente. Pour une invitation manuelle, le propriétaire peut sélectionner Renvoyer l’invitation, si cette option est disponible. Les invitations gérées par SCIM ne peuvent pas être renvoyées directement; une API peut renvoyer 409 scim_managed_resource. Si l’option Inviter un membre est disponible, le propriétaire peut saisir de nouveau la même adresse courriel sans modifier le rôle ni le type de siège existants. Communiquez avec l’assistance OpenAI si l’invitation demeure bloquée.

La création automatique de comptes peut ajouter des utilisateurs ChatGPT admissibles lorsqu’ils se connectent avec une adresse courriel d’un domaine vérifié. Elle est distincte de SCIM et ne nécessite pas l’authentification unique (SSO). Si l’espace de travail exige l’authentification unique (SSO), les employés doivent tout de même l’utiliser pour se connecter.

Avant de configurer SCIM, vérifiez la création automatique de comptes pour chaque espace de travail. Ce paramètre peut déjà être activé lorsque vous créez un espace de travail. Désactivez-le si vous prévoyez gérer l’accès au moyen de SCIM. Les utilisateurs ajoutés par la création automatique de comptes peuvent ne pas être gérés par SCIM; leur suppression du fournisseur d’identité peut donc ne pas révoquer leur accès aux produits. Vérifiez l’utilisation des sièges, supprimez séparément les utilisateurs non gérés et vérifiez chaque voie d’accès lors des départs.

Pour les paramètres par défaut et les contrôles des espaces de travail, consultez : Gérer votre locataire dans la console d’administration.

Gérer la propriété, les rôles et la visibilité des groupes

Gérez l’appartenance aux groupes synchronisés dans votre fournisseur d’identité. Les administrateurs d’espace de travail peuvent conserver des groupes distincts gérés manuellement.

Lors de la migration d’un espace de travail ChatGPT vers SCIM à l’échelle du locataire, un groupe existant de l’espace peut être adopté si son nom correspond exactement à celui du groupe synchronisé. Examinez les noms de groupes en double et les membres existants avec votre équipe de compte OpenAI avant d’attribuer l’accès. Ce comportement de ChatGPT ne s’applique pas aux groupes API manuels.

Si vous renommez un groupe synchronisé dans votre fournisseur d’identité, le groupe synchronisé correspondant de l’espace de travail est aussi renommé.

SCIM au niveau de l’espace de travail utilise une connexion distincte. Selon sa configuration, un groupe synchronisé portant le même nom qu’un groupe manuel de l’espace de travail peut placer l’appartenance à ce groupe sous le contrôle du fournisseur d’identité.

Lorsque cette option est prise en charge, un propriétaire peut utiliser Autorisations et rôles dans l’espace de travail ChatGPT sélectionné pour attribuer des rôles personnalisés admissibles. Les groupes synchronisés peuvent aussi prendre en charge l’analytique de l’espace de travail, lorsqu’elle est offerte.

Lorsqu’il est offert, le paramètre Détectable par les utilisateurs de l’espace de travail dans les réglages Identité et accès détermine si les groupes gérés par SCIM apparaissent lorsque des personnes partagent des GPT ou des projets. La désactivation du paramètre peut masquer ces groupes et supprimer les partages de groupe existants à la prochaine mise à jour d’un GPT ou d’un projet. La modification de la visibilité n’arrête pas la synchronisation et ne supprime pas le groupe. Si l’espace de travail utilise SCIM à l’échelle du locataire et que ses réglages d’identité sont en lecture seule, cette commande peut ne pas être offerte. Renseignez-vous auprès de votre équipe de compte OpenAI sur les options prises en charge.

Tester l’intégration et le départ des utilisateurs

1. Ajoutez un utilisateur test à l’application prévue du fournisseur d’identité ou au groupe attribué.

2. Attendez la réussite de la synchronisation.

3. Confirmez que l’utilisateur apparaît dans le locataire ou le produit prévu et qu’il reçoit uniquement le rôle attendu.

4. Retirez l’utilisateur de l’attribution du fournisseur ou du groupe de provisionnement.

5. Attendez la prochaine synchronisation réussie et confirmez que l’accès provenant du groupe est supprimé.

6. Vérifiez les invitations directes, les autres groupes et les rôles propres au produit qui pourraient préserver un accès distinct.

Le retrait d’une personne uniquement dans ChatGPT peut être temporaire si le fournisseur d’identité continue de lui attribuer un accès. La désactivation d’un utilisateur chez le fournisseur ne supprime pas toujours l’attribution de l’application. Le déprovisionnement d’un membre d’un espace de travail ChatGPT ne supprime ni son compte OpenAI ni son espace de travail personnel. Après une synchronisation réussie, confirmez que la personne n’est plus membre actif de l’espace de travail et examinez l’attribution des places de cet espace. Si la personne demeure active, ne peut pas être retirée ou ne peut pas retrouver son accès après avoir été ajoutée de nouveau, communiquez avec l’assistance OpenAI. La conservation des données de l’espace de travail ChatGPT suit la politique de l’espace sélectionné.

Résoudre les problèmes de synchronisation de l’annuaire

De nombreux fournisseurs d’identité synchronisent les changements toutes les 30 à 40 minutes, tandis que d’autres envoient les mises à jour plus rapidement. Il n’existe aucune commande générale d’OpenAI permettant de forcer une synchronisation immédiate de l’annuaire.

Pour les erreurs d’authentification ou de connexion, consultez : Résoudre les problèmes d’authentification unique (SSO), d’accès aux espaces de travail et de vérification des domaines.

Supprimer une connexion d’annuaire en toute sécurité

La suppression d’une connexion d’annuaire active à l’échelle du locataire est irréversible. Avant de la déconnecter, examinez les attributions de produits avec votre équipe de compte OpenAI et confirmez comment les adhésions existantes seront traitées. Ne déconnectez pas l’annuaire pour supprimer ou rétablir l’accès d’une seule personne.

1. Dans la console d’administration, ouvrez les Paramètres généraux du locataire.

2. Sélectionnez Accès, puis ouvrez Annuaire.

3. Examinez le fournisseur connecté ainsi que les utilisateurs, les groupes et les attributions de produits touchés.

4. Sélectionnez Supprimer la connexion.

5. Confirmez le changement uniquement si vous souhaitez arrêter la synchronisation.

6. Examinez les utilisateurs, les groupes, les accès aux produits et les rôles d’administrateur restants.

La suppression peut prendre jusqu’à 5 minutes. Communiquez avec votre équipe de compte OpenAI avant de remplacer une connexion fonctionnelle ou de passer de SCIM au niveau du produit à SCIM à l’échelle du locataire, ou inversement.