Svrha
Ovaj je vodič namijenjen administratorima i IT timovima te pruža potrebne informacije koje treba razmotriti prije konfiguriranja jedinstvene prijave na vašim ChatGPT ili Platform računima. Jedinstvena prijava dostupna je korisnicima paketa Business, Enterprise i Edu.
Pozadinska arhitektura i terminologija
Jedinstvena prijava trenutačno je podržana putem SAML autentikacije za ChatGPT i API Platformu.
Radni prostor odnosi se na instancu ChatGPT-a
Organizacija odnosi se na instancu API Platforme
Pružatelj identiteta (IdP) odnosi se na uslugu koju upotrebljavate za upravljanje digitalnim identitetom. Podržavamo veze putem svih IdP-ova koji podržavaju SAML. Neki od najčešćih IdP-ova s kojima smo se povezali uključuju:
Okta
Azure Active Directory/Entra ID
Google Workspace
Duo
Cjelovit popis podržanih IdP-ova potražite na WorkOS-ovoj stranici integracija. Podržavamo sve integracije trećih strana na ovoj stranici koje se mogu povezati putem SAML-a ili OIDC-a.
Trenutačno svaki ChatGPT radni prostor ima odgovarajuću povezanu organizaciju Platforme. To znači da je ID organizacije (org-id) koji pronađete na stranici „Općenito” Platforme za Enterprise isti ID organizacije (org-id) povezan s vašim ChatGPT radnim prostorom za Enterprise. Zbog toga vaš radni prostor i organizacija dijele isti sloj autentikacije:
Zbog te arhitekture treba napomenuti nekoliko ključnih stvari:
Jedan ID organizacije (org-id) može podržavati samo jednu konfiguraciju IdP-a.
Potvrde domena i postavke SAML jedinstvene prijave dijele se između ChatGPT-a i API Platforme.
Jedinstvena prijava mora se omogućiti zasebno za ChatGPT i API Platformu. Međutim, nakon što je konfigurirate na jednome, „postavljanje” drugoga uglavnom se svodi na uključivanje prekidača i, po želji, dodavanje aplikacije oznake u vašem IdP-u.
Početak rada s jedinstvenom prijavom
Prije konfiguriranja jedinstvene prijave na računu važno je najprije razumjeti neke ključne pojmove o funkcionalnosti jedinstvene prijave OpenAI-a.
Opća terminologija identiteta
Dodjela Kada OpenAI govori o dodjeli u kontekstu korisnika, konkretno mislimo na dodjelu pozivnica. Ne podržavamo izravno dodjelu stvaranja korisničkih računa. Pozivnice se mogu dodijeliti putem:
SCIM-a (podržano u integraciji SCIM-a za ChatGPT i integraciji SCIM-a za API Platformu)
Stranice „Članovi” u ChatGPT-u ili na API Platformi
Automatsko stvaranje računa
API za pozivnice
Dodjela pozivnica zaseban je korak od autentikacije koja se provodi putem jedinstvene prijave.
Autentikacija – „Jeste li doista osoba kojom se predstavljate?”
Primjer: IdP autentificira korisnika za našu uslugu kako bismo pri prijavi znali da je osoba za koju se predstavlja.
Autorizacija – „Što smijete učiniti ili vidjeti?”
Primjer: nakon što vas vaš IdP autentificira, utvrđujemo čijih ste ChatGPT radnih prostora član.
Upoznavanje s postavkama jedinstvene prijave OpenAI-a
Potvrda domene To je preduvjet za omogućavanje jedinstvene prijave i automatskog stvaranja računa. U osnovi: „Jeste li vlasnik ove domene?”
Pri prijavi putem chatgpt.com ili platform.openai.com potvrđena domena određuje hoće li se korisnik preusmjeriti na našu stranicu za lozinku ili njegov IdP kada je postavljena i jedinstvena prijava
Nakon što se domena potvrdi u vašem radnom prostoru, svaki korisnik pozvan u radni prostor s adresom e-pošte s te domene pri sljedećoj prijavi dobit će upit za spajanje svojeg osobnog računa.
Autentikacija za ChatGPT temelji se na domeni I radnom prostoru: kada je domena potvrđena i jedinstvena prijava omogućena u radnom prostoru, samo korisnici u tom radnom prostoru koji dijele domenu bit će usmjereni na jedinstvenu prijavu. Korisnici koji dijele domenu, ali NISU dio radnog prostora (npr. korisnici računa Free, Plus, Pro ili Team s vaše domene), i dalje će se prijavljivati putem e-pošte/lozinke ili vanjskog računa.
Autentikacija za Platformu temelji se na domeni: kada je domena potvrđena i omogućena jedinstvena prijava, svi korisnici Platforme pod tom domenom izgubit će mogućnost prijave lozinkom. Više pojedinosti potražite u nastavku u odjeljku „Potvrda domene u ChatGPT-u u odnosu na API Platformu”.
Poddomaine se moraju potvrditi odvojeno od domena najviše razine
Da bismo mogli uspješno obraditi potvrdu vaše domene, vaš TXT zapis mora biti čitljiv putem DNS pretraživanja.
(samo ChatGPT) Automatsko stvaranje računa (AAC) Kada je omogućeno u ChatGPT radnom prostoru, novi korisnik čija e-pošta odgovara potvrđenim domenama automatski će primiti pozivnicu za Enterprise radni prostor pri registraciji. Ne preporučujemo omogućavanje AAC-a ako upotrebljavate SCIM.
(samo ChatGPT) Dopusti pozivnice za vanjske domene Ova postavka određuje mogu li se korisnici s nepotvrđenih domena pozvati u radni prostor. Korisnici s vanjskih domena neće se morati prijavljivati putem jedinstvene prijave jer se postavke jedinstvene prijave primjenjuju samo na korisnike koji pripadaju potvrđenoj domeni.
Omogući jedinstvenu prijavu Ova postavka određuje primjenjuju li se konfigurirane postavke jedinstvene prijave na radni prostor i/ili organizaciju.
Nametni jedinstvenu prijavu
Kada je onemogućena, ova postavka korisnicima s potvrđenom domenom omogućuje odabir između prijave putem jedinstvene prijave ili putem društvene prijave.
Globalni administratori mogu postaviti opciju Nametni jedinstvenu prijavu na Obavezno za ChatGPT i API Platformu izravno na stranici Upravljanje jedinstvenom prijavom u administratorskoj konzoli. Kada je omogućena, ova postavka određuje da se korisnici s potvrđenom domenom u radni prostor ili organizaciju s omogućenom jedinstvenom prijavom mogu prijaviti samo putem jedinstvene prijave. Autentikacija lozinkom i putem vanjskog računa više ne vrijedi za radni prostor/organizaciju, ali se i dalje može upotrebljavati u drugim radnim prostorima/organizacijama u kojima njihova domena nije potvrđena.
Potvrda domene u ChatGPT-u u odnosu na API Platformu
Kao što je ranije objašnjeno, potvrda domene primjenjuje se na zajedničke instance ChatGPT-a i Platforme. Međutim, postoji ključna razlika u tome kako potvrda domene utječe na prijave u ChatGPT u odnosu na Platformu ako je omogućena jedinstvena prijava:
Jedinstvena prijava na API Platformi u potpunosti se temelji na domeni. To znači da će, nakon što je domena potvrđena u bilo kojoj organizaciji i omogućena jedinstvena prijava, SVI korisnici s tom domenom izgubiti mogućnost prijave lozinkom. Ako nemaju mogućnost autentikacije putem vanjskog računa, bit će zaključani iz svojih organizacija osim ako pripadaju pristupnoj grupi IdP-a.
Suprotno tome, na strani ChatGPT-a to će utjecati samo na korisnike koji pripadaju radnom prostoru u kojem je domena potvrđena. Korisnici koji nisu u pristupnoj grupi IdP-a i dalje će se moći prijavljivati u radne prostore metodama opisanima u sljedećem odjeljku.
Iskustvo prijave za vaše korisnike
OpenAI podržava tri različite metode autentikacije:
Korisničko ime + lozinka
Autentikacija putem Microsofta/Googlea/Applea
Jedinstvena prijava
Imajte na umu da će se ponašanje razlikovati ovisno o tome prijavljuje li se korisnik u ChatGPT ili API Platformu, je li njegova domena potvrđena i jesu li u njegovim radnim prostorima/organizacijama nametnuta jedinstvena prijava.
Prijava koju pokreće pružatelj usluge
Svi korisnici mogu izravno otvoriti chatgpt.com ili platform.openai.com radi prijave. Pri upotrebi te opcije različite metode autentikacije mogu se pokrenuti kako je prikazano u nastavku:
Ako korisnik pripada većem broju radnih prostora, uključujući jedan u kojem je za njegovu domenu omogućena jedinstvena prijava, od njega će se zatražiti da odabere u koji se radni prostor želi prijaviti.
Prijava u ChatGPT koju pokreće pružatelj usluge
Ako utvrdimo da unesena e-pošta pripada radnom prostoru u kojem je njezina domena potvrđena, preusmjerit ćemo korisnika njegovu IdP-u radi autentikacije. U suprotnom će korisnik biti usmjeren na prijavu unosom lozinke.
Ako korisnik pripada većem broju radnih prostora, uključujući barem jedan u kojem je za njegovu domenu omogućena jedinstvena prijava, od njega će se zatražiti da odabere metodu prijave:
Napomena: ako je za određeni radni prostor omogućena opcija „Nametni jedinstvenu prijavu”, korisnici s potvrđenim domenama mogu se prijaviti samo putem jedinstvene prijave. Autentikacija putem vanjskog računa i lozinke neće biti dostupna.
Prijava na Platformu koju pokreće pružatelj usluge
Kao što je ranije spomenuto, kada korisnik s potvrđenom domenom unese svoju e-poštu na stranici za prijavu na Platformu, uvijek će biti preusmjeren svojem IdP-u radi autentikacije.
Zato je iznimno važno da to dobro razumijete prije omogućavanja jedinstvene prijave za Platformu. U suprotnom je vrlo lako pogreškom zaključati korisnike Platforme na osobnim računima.
Prijava koju pokreće IdP
Pri konfiguriranju jedinstvene prijave na odgovarajućim stranicama identiteta pronaći ćete jedinstveni URL pločice za ChatGPT i API Platformu:
ChatGPT: https://chatgpt.com/auth/login?sso=true&connection=conn_012abcdef
Platforma: https://platform.openai.com/enterprise/conn_012abc/login
Te URL-ove pločica možete konfigurirati u svojem IdP-u kako bi se vaši korisnici mogli automatski prijaviti/autentificirati jednim klikom.
Sljedeći koraci
Sada kada imate dobru osnovu o našoj arhitekturi, prijeđite na našu stranicu „Razumijevanje idealne konfiguracije upravljanja korisnicima” kako biste odredili idealnu implementaciju za svoj slučaj upotrebe. Nakon toga provest ćemo vas kroz konfiguriranje jedinstvene prijave i SCIM-a na vašem računu.