Présentation

Le contrôle d’accès basé sur les rôles (RBAC) permet aux propriétaires d’espaces de travail de configurer l’accès aux fonctionnalités à l’aide de rôles personnalisés réutilisables. Un membre peut recevoir des rôles directement ou via son appartenance à des groupes, et peut en cumuler plusieurs.

Les rôles personnalisés contrôlent les autorisations d’accès aux fonctionnalités. Les rôles intégrés à l’espace de travail, tels que Membre, Administrateur et Propriétaire, déterminent ce qu’une personne peut administrer. Pour en savoir plus sur les rôles intégrés et les types de licences, consultez : Gestion des membres, des rôles de l’espace de travail et des licences.

Disponibilité

Le RBAC est disponible pour ChatGPT Enterprise, Edu, Healthcare et Teachers dans tous les pays pris en charge. Configurez le RBAC sur le web via Paramètres de l’espace de travail > Autorisations et rôles dans ChatGPT, ou via les contrôles de rôles et d’autorisations pris en charge dans la console d’administration.

Avant de commencer

• Les propriétaires d’espaces de travail peuvent créer, supprimer, attribuer et retirer des rôles personnalisés, ainsi que gérer les autorisations par défaut à l’échelle de l’espace de travail.

• Les administrateurs d’espaces de travail peuvent, selon les cas, consulter ou mettre à jour les rôles existants via les interfaces d’administration prises en charge. Ils ne peuvent pas créer, supprimer, attribuer ou retirer des rôles personnalisés.

• Les membres et les lecteurs des données analytiques ne peuvent pas gérer les paramètres RBAC à l’échelle de l’espace de travail.

• La délégation aux gestionnaires de groupes est disponible dans ChatGPT Enterprise. Seul un propriétaire de l’espace de travail peut activer ou désactiver Modifier les autorisations des rôles attribués pour les gestionnaires de groupes.

Un administrateur global du locataire ne reçoit pas automatiquement de rôle dans un espace de travail ChatGPT. Les rôles personnalisés n’accordent pas l’accès aux clés d’administration. Seuls les propriétaires et les administrateurs de l’espace de travail peuvent créer des clés d’administration pour celui-ci, et les autorisations de conformité sensibles nécessitent un propriétaire. Pour en savoir plus, consultez : Gestion des clés d’administration dans la console d’administration.

Comprendre les paramètres par défaut de l’espace de travail et les rôles personnalisés

Les paramètres de l’espace de travail définissent la configuration de base des autorisations éligibles. Un rôle personnalisé ordinaire peut utiliser les états suivants :

Les autorisations des rôles ordinaires se cumulent. Si l’un des rôles attribués accorde l’accès, explicitement ou en héritant d’un paramètre activé de l’espace de travail, le membre conserve l’accès. Cela s’applique aux rôles attribués directement ou via des groupes.

Si tous les rôles ordinaires applicables sont définis sur Désactivé, l’accès est refusé par le RBAC ordinaire. Si tous les rôles applicables utilisent Par défaut, le paramètre de l’espace de travail s’applique. Certaines autorisations, notamment certains contrôles de Work et des plugins, ne proposent que les options Activé et Désactivé.

Les conditions liées au type de licence, à l’offre et à l’éligibilité au produit continuent de s’appliquer. Le mode de verrouillage est évalué séparément et peut restreindre une fonctionnalité même lorsqu’un rôle ordinaire en accorde l’accès.

Définir les autorisations par défaut de l’espace de travail

1. Ouvrez votre espace de travail ChatGPT.

2. Accédez à Paramètres de l’espace de travail > Autorisations et rôles.

3. Ouvrez l’onglet Espace de travail.

4. Examinez les autorisations disponibles et configurez les paramètres de base de l’espace de travail.

Les contrôles disponibles sont répertoriés dans Autorisations et rôles. Le paramètre par défaut de l’espace de travail s’applique à une autorisation éligible d’un rôle personnalisé lorsque ce rôle utilise Par défaut.

Vous pouvez contrôler l’accès à chaque application individuellement. L’interface utilisateur d’une application ne peut pas être désactivée indépendamment.

Créer ou modifier un rôle personnalisé

Les propriétaires d’espaces de travail peuvent créer des rôles personnalisés.

1. Accédez à Paramètres de l’espace de travail > Autorisations et rôles.

2. Ouvrez Rôles personnalisés.

3. Sélectionnez Créer un rôle.

4. Saisissez un nom et une description, puis sélectionnez Enregistrer.

5. Sur la page des autorisations du rôle, choisissez Par défaut, Activé ou Désactivé pour chaque autorisation éligible. Pour les autorisations à deux états, choisissez Activé ou Désactivé.

Pour modifier un rôle existant, ouvrez-le dans Rôles personnalisés et mettez à jour les paramètres que vous êtes autorisé à modifier. Les autorisations d’administration dépendent de votre rôle dans l’espace de travail et de l’interface prise en charge, comme décrit ci-dessus.

Les modifications d’un rôle personnalisé affectent tous les groupes auxquels il est attribué. Utilisez des rôles distincts lorsque les groupes ont besoin de paramètres d’autorisation indépendants.

Attribuer un rôle personnalisé

Les propriétaires d’espaces de travail peuvent attribuer des rôles directement à des membres individuels, lorsque cette option est disponible, ou à des groupes créés manuellement ou synchronisés via SCIM. Les groupes sont recommandés pour gérer les accès à grande échelle. Pour configurer les groupes, consultez : Gestion des groupes et des gestionnaires de groupes.

Attribuer un rôle à des groupes

1. Accédez à Paramètres de l’espace de travail > Autorisations et rôles.

2. Ouvrez Rôles personnalisés et sélectionnez le rôle.

3. Ouvrez Attributions de rôles.

4. Sélectionnez + Ajouter.

5. Choisissez un ou plusieurs groupes.

6. Sélectionnez Terminé.

Les membres reçoivent les autorisations de tous les rôles qui leur sont attribués directement ou via des groupes. Les modifications peuvent prendre jusqu’à 5 minutes pour entrer en vigueur.

Attribuer un rôle directement à un membre

Lorsque les attributions directes sont disponibles, ouvrez le profil du membre, accédez à Rôles directs, puis sélectionnez Attribuer un rôle direct. Choisissez le rôle personnalisé à attribuer. Un rôle direct se cumule avec les rôles que le membre reçoit via des groupes.

Déléguer la modification des rôles attribués

Dans ChatGPT Enterprise, un propriétaire de l’espace de travail peut autoriser les gestionnaires de groupes à modifier les paramètres autorisés des rôles personnalisés attribués à leur groupe. Les gestionnaires de groupes ne peuvent pas créer, supprimer, attribuer ou retirer des rôles. La modification d’un rôle partagé par plusieurs groupes affecte tous ces groupes.

Pour en savoir plus sur l’attribution et le retrait du rôle de gestionnaire, ainsi que sur les paramètres des autorisations déléguées, consultez : Gestion des groupes et des gestionnaires de groupes.

Configurer l’accès aux modèles et les exceptions de sécurité

Accès aux modèles

Les propriétaires peuvent contrôler l’accès aux modèles éligibles via les paramètres de l’espace de travail ou les rôles personnalisés. Un rôle ne peut pas rendre un modèle disponible si l’espace de travail n’y est pas éligible. Choisir un modèle de départ ou par défaut n’en accorde pas l’accès.

Dans les espaces de travail Enterprise et Edu éligibles, GPT-6 Astra est désactivé par défaut au lancement. Configurez l’accès à Astra séparément ; les anciens paramètres d’accès anticipé aux modèles ne sont pas repris. Examinez tous les rôles attribués, car un rôle qui autorise l’accès peut le maintenir activé même lorsqu’un autre rôle est défini sur Désactivé.

Lors de leurs lancements dans Work et Codex, GPT-6 Sol et GPT-6 Luna étaient désactivés par défaut dans les espaces de travail Enterprise et Edu. Les administrateurs doivent activer tout modèle encore désactivé avant que les membres puissent l’utiliser. Les modèles déjà activés n’ont pas besoin d’être réactivés pour ce déploiement dans Chat. Le sélecteur de modèles et le curseur n’affichent que les options disponibles pour le membre.

Pour GPT-6 dans Chat avec l’offre Enterprise, utilisez l’autorisation existante GPT-6 Sol pour contrôler l’accès aux niveaux allant d’Instantané à Très élevé. Les espaces de travail dans lesquels Sol est activé peuvent obtenir l’accès pendant le déploiement. Cette version de Chat n’introduit pas de nouvelle période de préversion pour les administrateurs.

L’accès dépend des paramètres d’administration existants et de tous les rôles attribués. Les autorisations des rôles ordinaires se cumulent, comme décrit ci-dessus : un rôle peut autoriser l’accès même si un autre le désactive. Les membres doivent toujours remplir les conditions d’éligibilité liées à l’offre, à la licence et au produit. Pro utilise l’autorisation distincte GPT-6 Astra.

Si un membre ne trouve pas l’un de ces modèles dans Work ou Codex, vérifiez si l’espace de travail est éligible à ce modèle et examinez l’accès effectif du membre aux modèles.

Les administrateurs peuvent ouvrir la console d’administration, sélectionner l’espace de travail ChatGPT, puis ouvrir Modèles et sélectionner Tester pour examiner les accès du membre et les paramètres qui les influencent. Le test n’active aucun modèle et ne modifie pas les autorisations.

Pour en savoir plus sur la disponibilité des modèles, les exigences relatives aux clients et la procédure complète, consultez : Modèles et limites de ChatGPT Enterprise et Edu.

Mode de verrouillage

Les espaces de travail prenant en charge les rôles en mode de verrouillage peuvent créer un rôle personnalisé pour les membres qui en ont besoin. Le mode de verrouillage est une configuration de sécurité au niveau du rôle, et non un simple bouton d’activation d’une autorisation.

Un rôle en mode de verrouillage peut restreindre les fonctionnalités utilisant le réseau, notamment la recherche web en direct, la recherche approfondie, le mode agent, l’accès réseau de canvas et certains comportements des applications ou de MCP, selon les paramètres de l’espace de travail. Ces restrictions peuvent s’appliquer même lorsqu’un rôle ordinaire accorde l’accès à la fonctionnalité.

Avant d’attribuer un rôle en mode de verrouillage, vérifiez les applications et les actions qu’il autorise. Les membres doivent également disposer des autorisations nécessaires dans chaque système source connecté ; l’accès aux applications dans ChatGPT ne prévaut pas sur ces autorisations.

Pour en savoir plus, consultez : Mode de verrouillage.

Gérer l’accès aux plugins pour un rôle

Dans les espaces de travail Enterprise et Edu, l’accès à un plugin donné peut être configuré pour un rôle personnalisé ou hérité du paramètre par défaut de l’espace de travail. Ces paramètres propres à chaque plugin sont distincts de l’autorisation Utiliser les plugins à l’échelle de l’espace de travail et des autres autorisations des plugins qui ne proposent que les options Activé et Désactivé.

1. Accédez à la console d’administration, sélectionnez l’espace de travail ChatGPT concerné et ouvrez Plugins.

2. Sélectionnez le plugin et examinez le rôle que vous souhaitez modifier.

3. Choisissez si le rôle dispose de son propre paramètre d’accès au plugin ou hérite du paramètre par défaut de l’espace de travail.

4. Examinez les accès actuels et proposés pour les applications requises et les dépendances partagées. Confirmez uniquement les modifications des plugins et des applications que vous souhaitez effectuer.

5. Examinez les résultats et résolvez les éventuels échecs de modification.

Lors de la vérification des accès, examinez tous les rôles attribués au membre directement ou via des groupes. L’accès à un plugin ne prévaut pas sur les paramètres indépendants d’accès, d’action, d’approbation ou d’autorisation auprès du fournisseur des applications incluses.

Un plugin à accès restreint peut rester visible dans le répertoire avec la mention Désactivé par l’administrateur. Pour en savoir plus sur l’administration des plugins et les conflits liés aux applications requises, consultez : Contrôles d’administration, sécurité et conformité des plugins et des applications.

Vérifier les accès effectifs d’un membre

Examinez le type de licence du membre, son éligibilité au regard de l’offre, les paramètres par défaut de l’espace de travail et tous les rôles attribués directement ou via des groupes. Prévoyez jusqu’à 5 minutes pour l’application des modifications récentes du RBAC.

Les exemples suivants utilisent des rôles ordinaires, sauf indication contraire :

Pour l’accès aux modèles, les administrateurs des offres Business, Enterprise, Healthcare et Edu peuvent utiliser Tester dans la section Modèles de la console d’administration. Cette option affiche l’accès effectif aux modèles et les paramètres qui y contribuent. Elle n’accorde aucun accès et ne modifie pas les autorisations. Pour connaître la procédure, consultez : Modèles et limites de ChatGPT Enterprise et Edu.

FAQ

Définir une autorisation sur Désactivé dans un rôle supprime-t-il l’accès d’un membre ?

Pas si un autre rôle ordinaire applicable accorde cette autorisation. Examinez à la fois les attributions directes et les rôles reçus via des groupes. Le mode de verrouillage et l’éligibilité au produit sont évalués séparément.

Le RBAC peut-il outrepasser le type de licence d’un membre ?

Non. Le RBAC contrôle les fonctionnalités dans les limites des accès autorisés par le type de licence et l’offre de l’espace de travail. Une licence réservée à Codex n’obtient pas l’accès à ChatGPT via un rôle personnalisé.

Que faire si une autorisation ne propose que les options Activé et Désactivé ?

Définissez explicitement l’option Activé ou Désactivé pour l’espace de travail et les rôles concernés. L’option Par défaut n’est disponible que pour les autorisations éligibles.