Vue d’ensemble

Le contrôle d’accès basé sur les rôles (RBAC) permet aux propriétaires d’espaces de travail de configurer l’accès aux fonctionnalités au moyen de rôles personnalisés réutilisables. Un membre peut se voir attribuer des rôles directement ou par son appartenance à des groupes, et peut avoir plusieurs rôles.

Les rôles personnalisés contrôlent les permissions liées aux fonctionnalités. Les rôles intégrés de l’espace de travail, comme Membre, Administrateur et Propriétaire, déterminent ce qu’une personne peut administrer. Pour en savoir plus sur les rôles intégrés et les types de sièges, consultez : Gestion des membres, des rôles de l’espace de travail et des sièges.

Disponibilité

Le RBAC est offert pour ChatGPT Enterprise, Edu, Healthcare et Teachers dans tous les pays pris en charge. Configurez le RBAC sur le Web dans Paramètres de l’espace de travail > Permissions et rôles dans ChatGPT, ou à l’aide des contrôles de rôles et de permissions pris en charge dans la console d’administration.

Avant de commencer

• Les propriétaires de l’espace de travail peuvent créer, supprimer, attribuer et retirer des rôles personnalisés, ainsi que gérer les permissions par défaut à l’échelle de l’espace de travail.

• Les administrateurs de l’espace de travail peuvent, dans certains cas, consulter ou mettre à jour les rôles existants dans les interfaces d’administration prises en charge. Ils ne peuvent pas créer, supprimer, attribuer ou retirer des rôles personnalisés.

• Les membres et les lecteurs des données analytiques ne peuvent pas gérer les paramètres RBAC à l’échelle de l’espace de travail.

• La délégation aux gestionnaires de groupe est offerte dans ChatGPT Enterprise. Seul un propriétaire de l’espace de travail peut activer ou désactiver Modifier les permissions des rôles attribués pour les gestionnaires de groupe.

Un administrateur global du locataire ne reçoit pas automatiquement un rôle dans un espace de travail ChatGPT. Les rôles personnalisés n’accordent pas l’accès aux clés d’administration. Seuls les propriétaires et les administrateurs de l’espace de travail peuvent créer des clés d’administration pour celui-ci, et les permissions sensibles liées à la conformité exigent le rôle de propriétaire. Pour en savoir plus, consultez : Gestion des clés d’administration dans la console d’administration.

Comprendre les paramètres par défaut de l’espace de travail et les rôles personnalisés

Les paramètres de l’espace de travail servent de base aux permissions admissibles. Un rôle personnalisé ordinaire peut utiliser les états suivants :

Les permissions des rôles ordinaires s’additionnent. Si un rôle attribué accorde l’accès, explicitement ou en héritant d’un paramètre activé de l’espace de travail, le membre conserve l’accès. Cela s’applique aux rôles attribués directement et par l’intermédiaire de groupes.

Si tous les rôles ordinaires applicables sont réglés sur Désactivé, l’accès est refusé par le RBAC ordinaire. Si tous les rôles applicables utilisent Par défaut, le paramètre de l’espace de travail s’applique. Certaines permissions, dont certains contrôles de Work et des plugiciels, n’offrent que les options Activé et Désactivé.

Le type de siège, le forfait et l’admissibilité au produit continuent de s’appliquer. Le mode de verrouillage est évalué séparément et peut restreindre une fonctionnalité même lorsqu’un rôle ordinaire l’autorise.

Définir les permissions par défaut de l’espace de travail

1. Ouvrez votre espace de travail ChatGPT.

2. Allez dans Paramètres de l’espace de travail > Permissions et rôles.

3. Ouvrez l’onglet Espace de travail.

4. Examinez les permissions offertes et configurez les paramètres de base de l’espace de travail.

Les contrôles offerts sont répertoriés dans Permissions et rôles. Un paramètre par défaut de l’espace de travail s’applique à une permission admissible d’un rôle personnalisé lorsque ce rôle utilise Par défaut.

Vous pouvez contrôler l’accès aux applications individuellement. L’interface d’une application ne peut pas être désactivée indépendamment.

Créer ou modifier un rôle personnalisé

Les propriétaires de l’espace de travail peuvent créer des rôles personnalisés.

1. Allez dans Paramètres de l’espace de travail > Permissions et rôles.

2. Ouvrez Rôles personnalisés.

3. Sélectionnez Créer un rôle.

4. Entrez un nom et une description, puis sélectionnez Enregistrer.

5. Sur la page des permissions du rôle, choisissez Par défaut, Activé ou Désactivé pour chaque permission admissible. Pour les permissions à deux états, choisissez Activé ou Désactivé.

Pour modifier un rôle existant, ouvrez-le dans Rôles personnalisés et mettez à jour ses paramètres permis. Les permissions d’administration dépendent de votre rôle dans l’espace de travail et de l’interface prise en charge, comme indiqué ci-dessus.

Les modifications apportées à un rôle personnalisé touchent tous les groupes auxquels il est attribué. Utilisez des rôles distincts lorsque des groupes ont besoin de paramètres de permissions indépendants.

Attribuer un rôle personnalisé

Les propriétaires de l’espace de travail peuvent attribuer des rôles directement à des membres lorsque cette option est offerte, ou à des groupes créés manuellement ou synchronisés par SCIM. Les groupes sont recommandés pour gérer les accès à grande échelle. Pour configurer les groupes, consultez : Gestion des groupes et des gestionnaires de groupe.

Attribuer un rôle à des groupes

1. Allez dans Paramètres de l’espace de travail > Permissions et rôles.

2. Ouvrez Rôles personnalisés et sélectionnez le rôle.

3. Ouvrez Attributions de rôles.

4. Sélectionnez + Ajouter.

5. Choisissez un ou plusieurs groupes.

6. Sélectionnez Terminé.

Les membres reçoivent les permissions de tous les rôles applicables qui leur sont attribués directement ou par l’intermédiaire de groupes. Les modifications peuvent prendre jusqu’à 5 minutes pour entrer en vigueur.

Attribuer un rôle directement à un membre

Lorsque les attributions directes sont offertes, ouvrez le profil du membre, allez dans Rôles directs et sélectionnez Attribuer un rôle direct. Choisissez le rôle personnalisé à attribuer. Un rôle direct se combine aux rôles que le membre reçoit par l’intermédiaire de groupes.

Déléguer la modification des rôles attribués

Dans ChatGPT Enterprise, un propriétaire de l’espace de travail peut autoriser les gestionnaires de groupe à modifier les paramètres permis des rôles personnalisés attribués à leur groupe. Les gestionnaires de groupe ne peuvent pas créer, supprimer, attribuer ou retirer des rôles. La modification d’un rôle partagé par plusieurs groupes touche tous ces groupes.

Pour en savoir plus sur la désignation et le retrait des gestionnaires ainsi que sur les paramètres de permissions déléguées, consultez : Gestion des groupes et des gestionnaires de groupe.

Configurer l’accès aux modèles et les exceptions de sécurité

Accès aux modèles

Les propriétaires peuvent contrôler l’accès aux modèles admissibles au moyen des paramètres de l’espace de travail ou des rôles personnalisés. Un rôle ne peut pas rendre un modèle accessible si l’espace de travail n’y est pas admissible. Le choix d’un modèle initial ou par défaut n’accorde pas l’accès.

Dans les espaces de travail Enterprise et Edu admissibles, GPT-6 Astra est désactivé par défaut au lancement. Configurez l’accès à Astra séparément; les anciens paramètres d’accès anticipé aux modèles ne sont pas repris. Examinez tous les rôles attribués, car un rôle qui autorise l’accès peut le maintenir activé même si un autre rôle est réglé sur Désactivé.

Lors de leur lancement dans Work et Codex, GPT-6 Sol et GPT-6 Luna étaient désactivés par défaut dans les espaces de travail Enterprise et Edu. Les administrateurs doivent activer tout modèle encore désactivé avant que les membres puissent l’utiliser. Les modèles déjà activés n’ont pas besoin d’être réactivés pour ce déploiement de Chat. Le sélecteur de modèles et le curseur affichent uniquement les options accessibles au membre.

Pour GPT-6 dans Chat avec Enterprise, utilisez la permission existante GPT-6 Sol pour contrôler l’accès aux niveaux allant d’Instantané à Très élevé. Les espaces de travail où Sol est activé peuvent obtenir l’accès pendant le déploiement. Cette version de Chat n’introduit pas de nouvelle période d’aperçu pour les administrateurs.

L’accès dépend des paramètres d’administration existants et de tous les rôles attribués. Les permissions des rôles ordinaires s’additionnent, comme indiqué ci-dessus : un rôle peut autoriser l’accès même si un autre le désactive. Les membres doivent toujours satisfaire aux exigences d’admissibilité liées au forfait, au siège et au produit. Pro utilise la permission distincte GPT-6 Astra.

Si un membre ne trouve pas l’un de ces modèles dans Work ou Codex, vérifiez si l’espace de travail est admissible au modèle et examinez les accès effectifs du membre aux modèles.

Les administrateurs peuvent ouvrir la console d’administration, sélectionner l’espace de travail ChatGPT, puis ouvrir Modèles et sélectionner Tester pour examiner les accès du membre et les paramètres qui les influencent. Le test n’active aucun modèle et ne modifie pas les permissions.

Pour connaître la disponibilité des modèles, les exigences relatives aux clients et la procédure complète, consultez : Modèles et limites de ChatGPT Enterprise et Edu.

Mode de verrouillage

Les espaces de travail qui prennent en charge les rôles en mode de verrouillage peuvent créer un rôle personnalisé pour les membres qui en ont besoin. Le mode de verrouillage est une configuration de sécurité au niveau du rôle, et non un simple commutateur de permission.

Un rôle en mode de verrouillage peut restreindre les fonctionnalités utilisant le réseau, notamment la recherche Web en direct, la recherche approfondie, le mode agent, l’accès réseau de canvas et certains comportements des applications ou du MCP, selon les paramètres de l’espace de travail. Ces restrictions peuvent s’appliquer même lorsqu’un rôle ordinaire autorise la fonctionnalité.

Avant d’attribuer un rôle en mode de verrouillage, vérifiez les applications et les actions qu’il autorise. Les membres doivent aussi disposer des permissions nécessaires dans chaque système source connecté; l’accès aux applications dans ChatGPT ne remplace pas ces permissions.

Pour en savoir plus, consultez : Mode de verrouillage.

Gérer l’accès aux plugiciels pour un rôle

Dans les espaces de travail Enterprise et Edu, l’accès à un plugiciel donné peut être configuré pour un rôle personnalisé ou hérité du paramètre par défaut de l’espace de travail. Ces paramètres propres à chaque plugiciel sont distincts de la permission Utiliser les plugiciels à l’échelle de l’espace de travail et des autres permissions liées aux plugiciels qui n’offrent que les options Activé et Désactivé.

1. Accédez à la console d’administration, sélectionnez l’espace de travail ChatGPT voulu, puis ouvrez Plugiciels.

2. Sélectionnez le plugiciel et examinez le rôle que vous voulez modifier.

3. Choisissez si le rôle a son propre paramètre d’accès au plugiciel ou s’il hérite du paramètre par défaut de l’espace de travail.

4. Examinez les accès actuels et proposés pour les applications requises et les dépendances partagées. Confirmez uniquement les modifications que vous souhaitez apporter aux plugiciels et aux applications.

5. Examinez les résultats et corrigez les modifications qui ont échoué.

Lors de la vérification des accès, examinez tous les rôles attribués à un membre directement et par l’intermédiaire de groupes. L’accès aux plugiciels ne remplace pas les paramètres indépendants d’accès, d’action, d’approbation ou d’autorisation du fournisseur des applications incluses.

Un plugiciel à accès restreint peut rester visible dans le répertoire avec la mention Désactivé par l’administrateur. Pour en savoir plus sur l’administration des plugiciels et les conflits liés aux applications requises, consultez : Contrôles d’administration, sécurité et conformité pour les plugiciels et les applications.

Vérifier les accès effectifs d’un membre

Examinez le type de siège du membre, son admissibilité au forfait, les paramètres par défaut de l’espace de travail et tous les rôles attribués directement ou par l’intermédiaire de groupes. Prévoyez jusqu’à 5 minutes pour l’application des modifications récentes du RBAC.

Les exemples suivants utilisent des rôles ordinaires, sauf indication contraire :

Pour vérifier l’accès aux modèles, les administrateurs des forfaits Business, Enterprise, Healthcare et Edu peuvent utiliser Tester dans la section Modèles de la console d’administration. Cette option affiche les accès effectifs aux modèles et les paramètres qui y contribuent. Elle n’accorde aucun accès et ne modifie pas les permissions. Pour connaître la procédure, consultez : Modèles et limites de ChatGPT Enterprise et Edu.

FAQ

Le fait de régler une permission sur Désactivé dans un rôle retire-t-il l’accès à un membre?

Non, si un autre rôle ordinaire applicable accorde la permission. Examinez à la fois les attributions directes et les rôles reçus par l’intermédiaire de groupes. Le mode de verrouillage et l’admissibilité au produit sont évalués séparément.

Le RBAC peut-il passer outre au type de siège d’un membre?

Non. Le RBAC contrôle les fonctionnalités dans les limites des accès autorisés par le type de siège et le forfait de l’espace de travail. Un siège réservé à Codex n’obtient pas l’accès à ChatGPT par un rôle personnalisé.

Que faire si une permission n’offre que les options Activé et Désactivé?

Sélectionnez explicitement Activé ou Désactivé pour l’espace de travail et les rôles concernés. L’option Par défaut n’est offerte que pour les permissions admissibles.