Aperçu
Le contrôle d’accès basé sur les rôles (RBAC) permet aux propriétaires d’espaces de travail de configurer l’accès aux fonctionnalités à l’aide de rôles personnalisés réutilisables. Un membre peut recevoir des rôles directement ou par son appartenance à des groupes, et peut avoir plusieurs rôles.
Les rôles personnalisés contrôlent les autorisations liées aux fonctionnalités. Les rôles intégrés de l’espace de travail, comme Membre, Administrateur et Propriétaire, déterminent ce qu’une personne peut administrer. Pour en savoir plus sur les rôles intégrés et les types de licences, consultez : Gérer les membres, les rôles de l’espace de travail et les licences.
Disponibilité
Le RBAC est offert pour ChatGPT Enterprise, Edu, Healthcare et Teachers dans tous les pays pris en charge. Configurez le RBAC sur le Web dans Paramètres de l’espace de travail > Autorisations et rôles dans ChatGPT, ou à l’aide des commandes de rôles et d’autorisations prises en charge dans la console d’administration.
Avant de commencer
Les propriétaires d’espaces de travail peuvent créer, supprimer, attribuer et retirer des rôles personnalisés, ainsi que gérer les autorisations par défaut à l’échelle de l’espace de travail.
Les administrateurs d’espaces de travail peuvent avoir la possibilité de consulter ou de mettre à jour les rôles existants dans les interfaces d’administration prises en charge. Ils ne peuvent pas créer, supprimer, attribuer ni retirer de rôles personnalisés.
Les membres et les lecteurs des données analytiques ne peuvent pas gérer les paramètres RBAC à l’échelle de l’espace de travail.
La délégation aux gestionnaires de groupes est offerte dans ChatGPT Enterprise. Seul un propriétaire d’espace de travail peut activer ou désactiver l’option Modifier les autorisations des rôles attribués pour les gestionnaires de groupes.
Un administrateur global du locataire ne reçoit pas automatiquement un rôle dans un espace de travail ChatGPT. Les rôles personnalisés ne donnent pas accès aux clés d’administration. Seuls les propriétaires et les administrateurs d’espaces de travail peuvent créer des clés d’administration de l’espace de travail, et les autorisations sensibles liées à la conformité exigent un rôle de propriétaire. Pour en savoir plus, consultez : Gérer les clés d’administration dans la console d’administration.
Comprendre les paramètres par défaut de l’espace de travail et les rôles personnalisés
Les paramètres de l’espace de travail définissent la configuration de base des autorisations admissibles. Un rôle personnalisé ordinaire peut utiliser les états suivants :
| État | Effet |
|---|---|
| Par défaut | Hérite du paramètre de l’espace de travail. |
| Activé | Accorde l’autorisation par l’intermédiaire de ce rôle. |
| Désactivé | Refuse l’autorisation par l’intermédiaire de ce rôle. Un autre rôle attribué peut tout de même l’accorder. |
Les autorisations des rôles ordinaires s’additionnent. Si un rôle attribué accorde l’accès, explicitement ou en héritant d’un paramètre activé de l’espace de travail, le membre conserve cet accès. Cela s’applique aux rôles attribués directement et par l’intermédiaire de groupes.
Si tous les rôles ordinaires applicables sont réglés sur Désactivé, l’accès est refusé par le RBAC ordinaire. Si tous les rôles applicables utilisent Par défaut, le paramètre de l’espace de travail s’applique. Certaines autorisations, dont certaines commandes de Work et des plugiciels, proposent uniquement Activé et Désactivé.
Les critères d’admissibilité liés au type de licence, au forfait et au produit continuent de s’appliquer. Le mode de verrouillage est évalué séparément et peut restreindre une fonctionnalité même si un rôle ordinaire l’autorise.
Définir les autorisations par défaut de l’espace de travail
Ouvrez votre espace de travail ChatGPT.
Accédez à Paramètres de l’espace de travail > Autorisations et rôles.
Ouvrez l’onglet Espace de travail.
Passez en revue les autorisations disponibles et configurez les paramètres de base de l’espace de travail.
Les commandes disponibles sont répertoriées dans Autorisations et rôles. Un paramètre par défaut de l’espace de travail s’applique à une autorisation admissible d’un rôle personnalisé lorsque ce rôle utilise Par défaut.
Vous pouvez contrôler l’accès à chaque application individuellement. L’interface d’une application ne peut pas être désactivée indépendamment.
Créer ou modifier un rôle personnalisé
Les propriétaires d’espaces de travail peuvent créer des rôles personnalisés.
Accédez à Paramètres de l’espace de travail > Autorisations et rôles.
Ouvrez Rôles personnalisés.
Sélectionnez Créer un rôle.
Entrez un nom et une description, puis sélectionnez Enregistrer.
Sur la page des autorisations du rôle, choisissez Par défaut, Activé ou Désactivé pour chaque autorisation admissible. Pour les autorisations à deux états, choisissez Activé ou Désactivé.
Pour modifier un rôle existant, ouvrez-le dans Rôles personnalisés et mettez à jour les paramètres que vous êtes autorisé à modifier. Les autorisations d’administration dépendent de votre rôle dans l’espace de travail et de l’interface prise en charge, comme décrit ci-dessus.
Les modifications apportées à un rôle personnalisé touchent tous les groupes auxquels il est attribué. Utilisez des rôles distincts lorsque des groupes ont besoin de paramètres d’autorisation indépendants.
Attribuer un rôle personnalisé
Les propriétaires d’espaces de travail peuvent attribuer des rôles directement à des membres, lorsque cette option est disponible, ou à des groupes créés manuellement ou synchronisés par SCIM. Les groupes sont recommandés pour gérer l’accès à grande échelle. Pour configurer les groupes, consultez : Gérer les groupes et les gestionnaires de groupes.
Attribuer un rôle à des groupes
Accédez à Paramètres de l’espace de travail > Autorisations et rôles.
Ouvrez Rôles personnalisés et sélectionnez le rôle.
Ouvrez Attributions de rôles.
Sélectionnez + Ajouter.
Choisissez un ou plusieurs groupes.
Sélectionnez Terminé.
Les membres reçoivent les autorisations de tous les rôles applicables qui leur sont attribués directement ou par l’intermédiaire de groupes. Les modifications peuvent prendre jusqu’à 5 minutes pour entrer en vigueur.
Attribuer un rôle directement à un membre
Lorsque les attributions directes sont disponibles, ouvrez le profil du membre, accédez à Rôles directs, puis sélectionnez Attribuer un rôle direct. Choisissez le rôle personnalisé à attribuer. Un rôle direct s’ajoute aux rôles que le membre reçoit par l’intermédiaire de groupes.
Déléguer la modification des rôles attribués
Dans ChatGPT Enterprise, un propriétaire d’espace de travail peut autoriser les gestionnaires de groupes à modifier les paramètres autorisés des rôles personnalisés attribués à leur groupe. Les gestionnaires de groupes ne peuvent pas créer, supprimer, attribuer ni retirer de rôles. La modification d’un rôle partagé par plusieurs groupes touche tous ces groupes.
Pour en savoir plus sur l’attribution et le retrait des gestionnaires ainsi que sur les paramètres d’autorisation délégués, consultez : Gérer les groupes et les gestionnaires de groupes.
Configurer l’accès aux modèles et les exceptions de sécurité
Accès aux modèles
Les propriétaires peuvent contrôler l’accès aux modèles admissibles au moyen des paramètres de l’espace de travail ou des rôles personnalisés. Un rôle ne peut pas rendre un modèle disponible si l’espace de travail n’y est pas admissible. Le choix d’un modèle initial ou par défaut n’accorde pas l’accès.
Dans les espaces de travail Enterprise et Edu admissibles, GPT-6 Astra est désactivé par défaut au lancement. Configurez l’accès à Astra séparément; les anciens paramètres d’accès anticipé aux modèles ne sont pas repris. Passez en revue tous les rôles attribués, car un rôle qui autorise l’accès peut le maintenir activé même si un autre rôle est réglé sur Désactivé.
Lors de leur lancement dans Work et Codex, GPT-6 Sol et GPT-6 Luna étaient désactivés par défaut dans les espaces de travail Enterprise et Edu. Les administrateurs doivent activer tout modèle encore désactivé avant que les membres puissent l’utiliser. Les modèles déjà activés n’ont pas besoin d’être réactivés pour ce déploiement dans Chat. Le sélecteur de modèles et le curseur affichent uniquement les options disponibles pour le membre.
Pour GPT-6 dans Chat pour Enterprise, utilisez l’autorisation existante GPT-6 Sol pour contrôler l’accès aux niveaux Instantané à Très élevé. Les espaces de travail où Sol est activé peuvent obtenir l’accès pendant le déploiement. Cette version de Chat n’introduit pas de nouvelle période de préversion pour les administrateurs.
L’accès dépend des paramètres d’administration existants et de tous les rôles attribués. Les autorisations des rôles ordinaires s’additionnent, comme décrit ci-dessus : un rôle peut autoriser l’accès même si un autre le désactive. Les membres doivent toujours satisfaire aux critères d’admissibilité liés au forfait, à la licence et au produit. Pro utilise l’autorisation distincte GPT-6 Astra.
Si un membre ne trouve pas l’un de ces modèles dans Work ou Codex, vérifiez si l’espace de travail est admissible au modèle et examinez l’accès effectif du membre aux modèles.
Les administrateurs peuvent ouvrir la console d’administration, sélectionner l’espace de travail ChatGPT, puis ouvrir Modèles et sélectionner Tester pour examiner l’accès du membre et les paramètres qui l’influencent. Le test n’active pas de modèle et ne modifie pas les autorisations.
Pour connaître la disponibilité des modèles, les exigences relatives aux clients et la procédure complète, consultez : Modèles et limites de ChatGPT Enterprise et Edu.
Mode de verrouillage
Les espaces de travail qui prennent en charge les rôles en mode de verrouillage peuvent créer un rôle personnalisé pour les membres qui en ont besoin. Le mode de verrouillage est une configuration de sécurité au niveau du rôle, et non un simple commutateur d’autorisation.
Un rôle en mode de verrouillage peut restreindre les fonctionnalités utilisant le réseau, notamment la recherche Web en direct, la recherche approfondie, le mode agent, l’accès réseau de canvas et certains comportements d’applications, de MCP ou de connecteurs, selon les paramètres de l’espace de travail. Ces restrictions peuvent s’appliquer même si un rôle ordinaire autorise la fonctionnalité.
Avant d’attribuer un rôle en mode de verrouillage, vérifiez les applications et les actions qu’il autorise. Les membres doivent aussi disposer des autorisations nécessaires dans chaque système source connecté; l’accès aux applications dans ChatGPT ne supplante pas ces autorisations.
Pour en savoir plus, consultez : Mode de verrouillage.
Gérer l’accès aux plugiciels pour un rôle
Dans les espaces de travail Enterprise et Edu, l’accès à un plugiciel donné peut être configuré pour un rôle personnalisé ou hérité du paramètre par défaut de l’espace de travail. Ces paramètres propres à chaque plugiciel sont distincts de l’autorisation Utiliser les plugiciels à l’échelle de l’espace de travail et des autres autorisations de plugiciels qui proposent uniquement Activé et Désactivé.
Accédez à la console d’administration, sélectionnez l’espace de travail ChatGPT voulu, puis ouvrez Plugiciels.
Sélectionnez le plugiciel et examinez le rôle que vous souhaitez modifier.
Choisissez si le rôle dispose de son propre paramètre d’accès au plugiciel ou s’il hérite du paramètre par défaut de l’espace de travail.
Examinez l’accès actuel et proposé aux applications requises et aux dépendances partagées. Confirmez uniquement les modifications que vous souhaitez apporter aux plugiciels et aux applications.
Examinez les résultats et résolvez les problèmes liés aux modifications ayant échoué.
Lors de la vérification de l’accès, examinez tous les rôles attribués à un membre directement et par l’intermédiaire de groupes. L’accès aux plugiciels ne supplante pas les paramètres indépendants d’accès, d’action, d’approbation ou d’autorisation du fournisseur des applications incluses.
Un plugiciel restreint peut rester visible dans le répertoire avec la mention Désactivé par l’administrateur. Pour en savoir plus sur l’administration des plugiciels et les conflits liés aux applications requises, consultez : Commandes d’administration, sécurité et conformité pour les plugiciels et les applications.
Vérifier l’accès effectif d’un membre
Examinez le type de licence du membre, l’admissibilité selon le forfait, les paramètres par défaut de l’espace de travail et toutes les attributions de rôles directes et par groupe. Prévoyez jusqu’à 5 minutes pour l’application des modifications récentes du RBAC.
Les exemples suivants utilisent des rôles ordinaires, sauf indication contraire :
| Configuration | Résultat |
|---|---|
| La recherche Web de l’espace de travail est réglée sur Activé; le seul rôle ordinaire du membre utilise Par défaut. | La recherche Web est autorisée par l’intermédiaire de ce rôle. |
| Un rôle ordinaire règle la recherche Web sur Désactivé; un autre la règle sur Activé. | La recherche Web est autorisée parce qu’un rôle accorde l’accès. |
| Tous les rôles ordinaires applicables règlent la recherche Web sur Désactivé. | Le RBAC ordinaire n’accorde pas l’accès, même si le paramètre de base de l’espace de travail est réglé sur Activé. |
| Un rôle ordinaire autorise une fonctionnalité utilisant le réseau; un rôle en mode de verrouillage la restreint. | La restriction du mode de verrouillage s’applique. |
Pour l’accès aux modèles, les administrateurs des forfaits Business, Enterprise, Healthcare et Edu peuvent utiliser Tester dans la section Modèles de la console d’administration. Cette option affiche l’accès effectif aux modèles et les paramètres qui y contribuent. Elle n’accorde pas d’accès et ne modifie pas les autorisations. Pour connaître la procédure, consultez : Modèles et limites de ChatGPT Enterprise et Edu.
FAQ
Le fait de régler une autorisation sur Désactivé dans un rôle supprime-t-il l’accès d’un membre?
Non, si un autre rôle ordinaire applicable accorde l’autorisation. Examinez à la fois les attributions directes et les rôles reçus par l’intermédiaire de groupes. Le mode de verrouillage et l’admissibilité au produit sont évalués séparément.
Le RBAC peut-il passer outre au type de licence d’un membre?
Non. Le RBAC contrôle les fonctionnalités dans les limites de l’accès autorisé par le type de licence et le forfait de l’espace de travail. Une licence réservée à Codex ne donne pas accès à ChatGPT par l’intermédiaire d’un rôle personnalisé.
Que faire si une autorisation propose uniquement Activé et Désactivé?
Configurez explicitement Activé ou Désactivé pour l’espace de travail et les rôles concernés. L’option Par défaut est disponible uniquement pour les autorisations admissibles.