Generale

Quali sono tutte le differenze funzionali tra l'SSO in un piano Enterprise/Edu e un piano Business?

A parte il fatto che l'SSO per il piano Business è self-service, le differenze funzionali sono:

• Nel piano Business non è prevista la sincronizzazione dei gruppi SCIM/AD, quindi il provisioning e il deprovisioning degli utenti sono manuali.

• Ambito: l'SSO del piano Business si applica solo a ChatGPT e non si estende a platform.openai.com. Questo è diverso dall'SSO su Enterprise/Edu, dove l'SSO può essere opzionalmente esteso sia a ChatGPT sia alla piattaforma.

• Migrazione degli account: Enterprise/Edu impone agli utenti su un dominio verificato di migrare o eliminare gli account per consumatori corrispondenti; gli utenti con il piano ChatGPT Business potranno eseguire la migrazione degli account a livello di singolo utente, ma gli amministratori delle aree di lavoro del piano Business non possono imporla.

Quali protocolli SSO supporta ChatGPT Business?

SAML e OIDC.

Cosa significano IdP / SSO / SP?

• Identity Provider (IdP): si riferisce al servizio che utilizzi per gestire l'identità digitale.

• Single Sign-On (SSO): un unico accesso tramite IdP gestito centralmente consente a un utente di accedere a tutte le app collegate senza reinserire le credenziali.

• Service Provider (SP) – ChatGPT: l'app (ovvero ChatGPT) che considera attendibile il token dell'IdP e concede all'utente l'accesso.

Dove posso configurare l'SSO per la mia area di lavoro Business?

Nelle impostazioni della tua area di lavoro di ChatGPT Business disponibili all'indirizzo https://chatgpt.com/admin/identity dovresti trovarti nella scheda Identità e Provisioning, dove puoi configurare quanto segue per la tua area di lavoro:

1. Domini verificati

2. Gestione delle identità

Come posso configurare la sincronizzazione della directory per il provisioning e deprovisioning SCIM per l'area di lavoro del piano Business?

Passa a ChatGPT Enterprise se hai bisogno della sincronizzazione della Directory (SCIM).

È necessario verificare un dominio prima di abilitare l'SSO?

Sì. La verifica del dominio dimostra che possiedi il namespace e-mail che intendi federare con il tuo Identity Provider (IdP). La configurazione di SSO è disabilitata finché non viene verificato almeno un dominio.

La verifica di un dominio comporta costi aggiuntivi?

No, non comporta costi aggiuntivi. La verifica del dominio è inclusa in ogni abbonamento ChatGPT Business.

Perché ricevo «Dominio già verificato da un'altra area di lavoro» quando provo ad abilitare l'SSO?

La procedura guidata Business genera errori quando il dominio è già di proprietà di un'area di lavoro Enterprise (o di un'altra area di lavoro Business o di un'altra istanza SSO della piattaforma API).

Il team IT della tua azienda può contattare il team vendite di OpenAI tramite il nostro modulo Contatta l'Ufficio vendite per discutere il consolidamento delle aree di lavoro. Consulta Come contattare il team vendite di OpenAI.

Posso invitare fornitori o collaboratori esterni che non sono presenti nel mio IdP?

Sì, puoi consentire gli inviti da domini esterni per invitare quegli utenti e collaboratori esterni nella tua area di lavoro di ChatGPT Business.

Cosa succede alle mie impostazioni SSO se in seguito eseguo l'upgrade di questa area di lavoro Business a ChatGPT Enterprise?

Per passare a Enterprise, contatta il team vendite di OpenAI tramite il modulo Contatta l'Ufficio vendite. Consulta Come contattare il team vendite di OpenAI.

Cosa succede se tutti si autenticano tramite SSO e la connessione non riesce? Come possiamo recuperare l'accesso?

In questo caso ci sono due opzioni:

1. L'amministratore dell'area di lavoro Business contatta il nostro team di supporto per assistenza nella disabilitazione dell'SSO. L'amministratore deve avere un metodo di accesso tramite password/social.

2. Se consenti i domini esterni, potresti implementare un account amministratore backdoor con un dominio esterno, in modo che l'imposizione dell'SSO non si applichi a tale account. Quindi utilizza questo utente (che dovrebbe autenticarsi con password/social) per accedere se la connessione non riesce.

Posso combinare l'accesso con SSO e password?

Sì. Se la tua area di lavoro Business usa l'SSO solo per ChatGPT, gli utenti che devono accedere anche alla piattaforma o Intercom possono semplicemente fare clic su Password dimenticata per impostare una password standard e continuare ad accedere a tali servizi con e-mail/password.

Quali Identity Provider (IdP) sono supportati?

ADP OpenID Connect, Auth0 SAML, CAS SAML, ClassLink SAML, Cloudflare SAML, CyberArk SAML, Duo SAML, Entra ID (Azure AD), Google SAML, JumpCloud SAML, Keycloak SAML, LastPass SAML, Login.gov OpenID Connect, Microsoft AD FS, miniOrange SAML, NetIQ SAML, Okta, OneLogin, Oracle, PingFederate, PingOne, Rippling, Salesforce, Shibboleth Generic SAML, Shibboleth, SimpleSAMLphp SAML, VMware Workspace One.

Anche “SAML personalizzato” e “OIDC personalizzato” sono disponibili per la selezione nella procedura guidata.

Il piano ChatGPT Business consente più di un dominio e-mail verificato per area di lavoro?

Sì.

Un'area di lavoro del piano ChatGPT Business ancora in prova gratuita può abilitare l'SSO oppure l'attivazione è bloccata finché il pagamento non viene acquisito?

Al momento non è disponibile un flusso di prova gratuita per il piano ChatGPT Business. Le nuove aree di lavoro devono completare l'acquisto promozionale di lancio da $1 con un pagamento effettuato prima di poter abilitare l'SSO.

L'SSO è interamente incluso nel prezzo del piano ChatGPT Business da $30/utente/mese oppure ci sono costi nascosti (ad esempio, un addebito per connessione) che dobbiamo comunicare?

Sì, non è previsto alcun costo aggiuntivo per l'SSO del piano Business oltre al prezzo base per licenza del piano Business. L'SSO è disponibile senza costi aggiuntivi.

In che modo vengono gestiti i certificati in scadenza?

Attualmente, la responsabilità del rinnovo dei certificati spetta agli amministratori delle aree di lavoro Business e ai rispettivi team IT. Il team di assistenza OpenAI è disponibile per fornire supporto qualora fosse necessario intervenire, ma l'operazione di rinnovo o rotazione del certificato dovrebbe essere eseguita nell'IdP del cliente.

Qual è il flusso consigliato se l'unico proprietario dell'area di lavoro che ha configurato l'SSO lascia l'azienda prima di trasferire l'accesso?

Il flusso attuale impedisce l'uscita: l'unico proprietario dell'area di lavoro deve trasferire la proprietà a un altro membro prima di poterla abbandonare.

Se gli utenti accedono prima con password e successivamente tramite SSO (con la stessa email), le loro conversazioni vengono unite automaticamente o vengono creati account duplicati?

Se l'asserzione SSO restituisce lo stesso indirizzo e-mail, ChatGPT collega l'accesso al profilo esistente: la cronologia delle conversazioni rimane intatta e non viene creato alcun account duplicato. Un nuovo account (vuoto) viene creato solo se la risposta SSO fornisce un indirizzo e-mail diverso; una volta corretta tale associazione, l'account originale dell'utente (con tutta la cronologia) è ancora presente.

Scenari SSO e comportamento previsto

L'organizzazione possiede sia aree di lavoro Enterprise che Business sullo stesso dominio verificato

Quando la procedura guidata di configurazione del piano Business controlla il dominio, indicherà semplicemente che il dominio è “già verificato”. Non rivela quale area di lavoro (Enterprise o di altro tipo) ne sia proprietaria, ma solo che qualcun altro ha già completato la verifica.

Due aree di lavoro aziendali separate condividono un unico dominio

Una sola area di lavoro Business può possedere la verifica del dominio.

Il team IT della tua azienda può contattare il team vendite di OpenAI tramite il nostro modulo Contatta l'Ufficio vendite per discutere il consolidamento delle aree di lavoro. Consulta Come contattare il team vendite di OpenAI.

SSO di ChatGPT abilitato mentre l'SSO della piattaforma è ancora disattivato

L'SSO per ChatGPT e l'SSO per la piattaforma API devono essere configurati nei rispettivi portali di amministrazione (ChatGPT e API).

L'area di lavoro Business viene declassata o annullata mentre l'SSO è attivo

La soluzione in questo caso è che ogni utente dovrà utilizzare la procedura “Password dimenticata” per riottenere l'accesso, poiché è l'unica opzione disponibile.

Gli utenti gestiti tramite SCIM su Enterprise accedono a un'area di lavoro Business

Questo scenario è sia possibile sia supportato. SCIM esegue il provisioning dell'invito originale nell'organizzazione/area di lavoro configurata. Una volta che l'utente esiste nel sistema OpenAI, nulla impedisce che venga invitato ad altre aree di lavoro Business/Enterprise. Questo comportamento previsto non cambierà con il rilascio dell'SSO self-service per i piani Team.

Aziende con più domini (ad es. acme.com e acme-intl.com)

Le aree di lavoro aziendali possono verificare più di un dominio di posta elettronica. Aggiungi ciascun dominio nello stesso portale e completa la verifica per ogni dominio che intendi usare con l'SSO.

Dominio già verificato sulla piattaforma ma non su ChatGPT

Il team IT della tua azienda può contattare il team vendite di OpenAI tramite il nostro modulo Contatta l'Ufficio vendite per discutere il consolidamento delle aree di lavoro. Consulta Come contattare il team vendite di OpenAI.

L'amministratore abbandona prima di completare la verifica del dominio

Assicurati che ci sia un altro amministratore/proprietario dell'area di lavoro che possa completare la verifica del dominio.