Panoramica
Il controllo degli accessi basato sui ruoli (RBAC) consente ai proprietari dell’area di lavoro di configurare l’accesso alle funzionalità tramite ruoli personalizzati riutilizzabili. Un membro può ricevere ruoli direttamente o tramite l’appartenenza a gruppi e può avere più di un ruolo.
I ruoli personalizzati gestiscono le autorizzazioni per le funzionalità. I ruoli predefiniti dell’area di lavoro, come Membro, Amministratore e Proprietario, determinano ciò che una persona può amministrare. Per i ruoli predefiniti e i tipi di postazione, consulta: Gestione dei membri, dei ruoli dell’area di lavoro e delle postazioni.
Disponibilità
Il controllo RBAC è disponibile per ChatGPT Enterprise, Edu, Healthcare e Teachers in tutti i paesi supportati. Configura il controllo RBAC sul web tramite Impostazioni dell’area di lavoro > Autorizzazioni e ruoli in ChatGPT oppure tramite i controlli supportati per ruoli e autorizzazioni nella Console di amministrazione.
Prima di iniziare
I proprietari dell’area di lavoro possono creare, eliminare, assegnare e revocare ruoli personalizzati e gestire le autorizzazioni predefinite per l’intera area di lavoro.
Gli amministratori dell’area di lavoro possono avere la possibilità di visualizzare o aggiornare i ruoli esistenti tramite le interfacce di amministrazione supportate. Non possono creare, eliminare, assegnare o revocare ruoli personalizzati.
I membri e gli utenti con accesso in sola lettura alle analisi non possono gestire le impostazioni RBAC dell’intera area di lavoro.
La delega ai responsabili dei gruppi è disponibile in ChatGPT Enterprise. Solo un proprietario dell’area di lavoro può abilitare o disabilitare Modifica autorizzazioni dei ruoli assegnati per i responsabili dei gruppi.
Un amministratore globale del tenant non riceve automaticamente un ruolo in un’area di lavoro ChatGPT. I ruoli personalizzati non concedono l’accesso alle chiavi di amministrazione. Solo i proprietari e gli amministratori dell’area di lavoro possono creare chiavi di amministrazione per l’area di lavoro; le autorizzazioni sensibili relative alla conformità richiedono il ruolo di proprietario. Per i dettagli, consulta: Gestione delle chiavi di amministrazione nella Console di amministrazione.
Comprendi le impostazioni predefinite dell’area di lavoro e i ruoli personalizzati
Le impostazioni dell’area di lavoro definiscono la configurazione di base per le autorizzazioni che la supportano. Un ruolo personalizzato ordinario può usare questi stati:
| Stato | Effetto |
|---|---|
| Predefinito | Eredita l’impostazione dell’area di lavoro. |
| Attivo | Concede l’autorizzazione tramite quel ruolo. |
| Disattivo | Nega l’autorizzazione tramite quel ruolo. Un altro ruolo assegnato può comunque concederla. |
Le autorizzazioni dei ruoli ordinari si sommano. Se almeno uno dei ruoli assegnati concede l’accesso, esplicitamente o ereditando un’impostazione abilitata dell’area di lavoro, il membro mantiene l’accesso. Questo vale per i ruoli assegnati direttamente e tramite gruppi.
Se tutti i ruoli ordinari applicabili sono impostati su Disattivo, il controllo RBAC ordinario nega l’accesso. Se tutti i ruoli applicabili usano Predefinito, si applica l’impostazione dell’area di lavoro. Alcune autorizzazioni, tra cui determinati controlli di Work e dei plugin, prevedono solo Attivo e Disattivo.
Restano validi i vincoli legati al tipo di postazione, al piano e ai requisiti di accesso al prodotto. La Modalità di blocco viene valutata separatamente e può limitare una funzionalità anche quando un ruolo ordinario la consente.
Imposta le autorizzazioni predefinite dell’area di lavoro
Apri la tua area di lavoro ChatGPT.
Vai a Impostazioni dell’area di lavoro > Autorizzazioni e ruoli.
Apri la scheda Area di lavoro.
Esamina le autorizzazioni disponibili e configura le impostazioni di base dell’area di lavoro.
I controlli disponibili sono elencati in Autorizzazioni e ruoli. L’impostazione predefinita dell’area di lavoro si applica a un’autorizzazione di un ruolo personalizzato che supporta questa opzione quando il ruolo usa Predefinito.
Puoi gestire l’accesso a ogni singola app. L’interfaccia di un’app non può essere disabilitata separatamente.
Crea o modifica un ruolo personalizzato
I proprietari dell’area di lavoro possono creare ruoli personalizzati.
Vai a Impostazioni dell’area di lavoro > Autorizzazioni e ruoli.
Apri Ruoli personalizzati.
Seleziona Crea ruolo.
Inserisci un nome e una descrizione, quindi seleziona Salva.
Nella pagina delle autorizzazioni del ruolo, scegli Predefinito, Attivo o Disattivo per ogni autorizzazione che supporta queste opzioni. Per le autorizzazioni a due stati, scegli Attivo o Disattivo.
Per modificare un ruolo esistente, aprilo in Ruoli personalizzati e aggiorna le impostazioni consentite. Le autorizzazioni amministrative dipendono dal tuo ruolo nell’area di lavoro e dall’interfaccia supportata, come descritto sopra.
Le modifiche a un ruolo personalizzato hanno effetto su tutti i gruppi a cui è assegnato. Usa ruoli separati quando i gruppi hanno bisogno di impostazioni indipendenti per le autorizzazioni.
Assegna un ruolo personalizzato
I proprietari dell’area di lavoro possono assegnare ruoli direttamente ai singoli membri, dove questa opzione è disponibile, oppure a gruppi creati manualmente o sincronizzati tramite SCIM. Per gestire l’accesso su larga scala, è consigliabile usare i gruppi. Per la configurazione dei gruppi, consulta: Gestione dei gruppi e dei relativi responsabili.
Assegna un ruolo ai gruppi
Vai a Impostazioni dell’area di lavoro > Autorizzazioni e ruoli.
Apri Ruoli personalizzati e seleziona il ruolo.
Apri Assegnazioni del ruolo.
Seleziona + Aggiungi.
Scegli uno o più gruppi.
Seleziona Fine.
I membri ricevono le autorizzazioni da tutti i ruoli assegnati loro direttamente o tramite gruppi. Le modifiche possono richiedere fino a 5 minuti per diventare effettive.
Assegna un ruolo direttamente a un membro
Se le assegnazioni dirette sono disponibili, apri il profilo del membro, vai a Ruoli diretti e seleziona Assegna ruolo diretto. Scegli il ruolo personalizzato da assegnare. Un ruolo diretto si combina con i ruoli che il membro riceve tramite gruppi.
Delega la modifica dei ruoli assegnati
In ChatGPT Enterprise, un proprietario dell’area di lavoro può consentire ai responsabili dei gruppi di modificare le impostazioni consentite dei ruoli personalizzati assegnati al proprio gruppo. I responsabili dei gruppi non possono creare, eliminare, assegnare o revocare ruoli. La modifica di un ruolo condiviso da più gruppi ha effetto su tutti quei gruppi.
Per l’assegnazione e la rimozione dei responsabili e le impostazioni delle autorizzazioni delegate, consulta: Gestione dei gruppi e dei relativi responsabili.
Configura l’accesso ai modelli e le eccezioni di sicurezza
Accesso ai modelli
I proprietari possono gestire l’accesso ai modelli per cui sono soddisfatti i requisiti tramite le impostazioni dell’area di lavoro o i ruoli personalizzati. Un ruolo non può rendere disponibile un modello se l’area di lavoro non soddisfa i requisiti per accedervi. La scelta di un modello iniziale o predefinito non concede l’accesso.
Nelle aree di lavoro Enterprise ed Edu che soddisfano i requisiti, GPT-6 Astra è disattivato per impostazione predefinita al lancio. Configura l’accesso ad Astra separatamente: le precedenti impostazioni di accesso anticipato ai modelli non vengono trasferite. Verifica tutti i ruoli assegnati, perché un ruolo che consente l’accesso può mantenerlo abilitato anche quando un altro ruolo è impostato su Disattivo.
Al momento del loro lancio in Work e Codex, GPT-6 Sol e GPT-6 Luna erano disattivati per impostazione predefinita nelle aree di lavoro Enterprise ed Edu. Gli amministratori devono abilitare i modelli ancora disabilitati prima che i membri possano usarli. I modelli già abilitati non devono essere abilitati di nuovo per questo rilascio in Chat. Il selettore dei modelli e il cursore mostrano solo le opzioni disponibili per il membro.
Per GPT-6 in Chat su Enterprise, usa l’autorizzazione esistente per GPT-6 Sol per gestire l’accesso ai livelli da Immediato a Molto alto. Le aree di lavoro con Sol abilitato possono ricevere l’accesso durante il rilascio graduale. Questo rilascio in Chat non introduce un nuovo periodo di anteprima per gli amministratori.
L’accesso dipende dalle impostazioni amministrative esistenti e da tutti i ruoli assegnati. Le autorizzazioni dei ruoli ordinari si sommano, come descritto sopra: un ruolo può consentire l’accesso anche se un altro lo disattiva. I membri devono comunque soddisfare i requisiti di accesso relativi al piano, alla postazione e al prodotto. Pro usa l’autorizzazione separata per GPT-6 Astra.
Se un membro non riesce a trovare uno di questi modelli in Work o Codex, verifica che l’area di lavoro soddisfi i requisiti per accedere al modello e controlla l’accesso effettivo del membro ai modelli.
Gli amministratori possono aprire la Console di amministrazione, selezionare l’area di lavoro ChatGPT, quindi aprire Modelli e selezionare Test per esaminare l’accesso del membro e le impostazioni che lo determinano. Il test non abilita un modello né modifica le autorizzazioni.
Per la disponibilità dei modelli, i requisiti del client e la procedura completa, consulta: Modelli e limiti di ChatGPT Enterprise ed Edu.
Modalità di blocco
Nelle aree di lavoro che supportano i ruoli con Modalità di blocco, è possibile creare un ruolo personalizzato per i membri che ne hanno bisogno. La Modalità di blocco è una configurazione di sicurezza a livello di ruolo, non un interruttore per una singola autorizzazione.
Un ruolo con Modalità di blocco può limitare le funzionalità con accesso alla rete, tra cui la ricerca web in tempo reale, deep research, la modalità agente, l’accesso alla rete di Canvas e alcune operazioni delle app o di MCP, a seconda delle impostazioni dell’area di lavoro. Queste restrizioni possono applicarsi anche quando un ruolo ordinario consente la funzionalità.
Prima di assegnare un ruolo con Modalità di blocco, verifica quali app e azioni consente. I membri devono inoltre disporre delle autorizzazioni necessarie in ogni sistema di origine connesso; l’accesso alle app in ChatGPT non prevale sulle autorizzazioni di tali sistemi.
Per i dettagli, consulta: Modalità di blocco.
Gestisci l’accesso ai plugin per un ruolo
Nelle aree di lavoro Enterprise ed Edu, l’accesso a un singolo plugin può essere configurato per un ruolo personalizzato oppure ereditato dall’impostazione predefinita dell’area di lavoro. Queste impostazioni per i singoli plugin sono separate dall’autorizzazione Usa plugin, valida per l’intera area di lavoro, e dalle altre autorizzazioni per i plugin che prevedono solo Attivo e Disattivo.
Vai alla Console di amministrazione, seleziona l’area di lavoro ChatGPT desiderata e apri Plugin.
Seleziona il plugin ed esamina il ruolo che vuoi modificare.
Scegli se il ruolo deve avere una propria impostazione di accesso al plugin o ereditare quella predefinita dell’area di lavoro.
Verifica le impostazioni di accesso attuali e proposte per le app necessarie e le dipendenze condivise. Conferma solo le modifiche ai plugin e alle app che intendi apportare.
Controlla i risultati e risolvi gli eventuali errori nell’applicazione delle modifiche.
Quando verifichi l’accesso, esamina tutti i ruoli assegnati al membro direttamente e tramite gruppi. L’accesso ai plugin non prevale sulle impostazioni indipendenti delle app incluse relative ad accesso, azioni, approvazioni o autorizzazioni del fornitore.
Un plugin soggetto a restrizioni può rimanere visibile nella directory con l’indicazione Disabilitato dall’amministratore. Per l’amministrazione dei plugin e i conflitti con le app necessarie, consulta: Controlli amministrativi, sicurezza e conformità per plugin e app.
Verifica l’accesso effettivo di un membro
Verifica il tipo di postazione del membro, i requisiti del piano, le impostazioni predefinite dell’area di lavoro e tutti i ruoli assegnati direttamente o tramite gruppi. Attendi fino a 5 minuti affinché le modifiche recenti al controllo RBAC vengano applicate.
Gli esempi seguenti utilizzano ruoli ordinari, salvo diversa indicazione:
| Configurazione | Risultato |
|---|---|
| La ricerca web dell’area di lavoro è impostata su Attivo; l’unico ruolo ordinario del membro usa Predefinito. | La ricerca web è consentita tramite quel ruolo. |
| Un ruolo ordinario imposta la ricerca web su Disattivo; un altro la imposta su Attivo. | La ricerca web è consentita perché un ruolo concede l’accesso. |
| Tutti i ruoli ordinari applicabili impostano la ricerca web su Disattivo. | Il controllo RBAC ordinario non concede l’accesso, anche se l’impostazione di base dell’area di lavoro è Attivo. |
| Un ruolo ordinario consente una funzionalità con accesso alla rete; un ruolo con Modalità di blocco la limita. | Si applica la restrizione della Modalità di blocco. |
Per l’accesso ai modelli, gli amministratori dei piani Business, Enterprise, Healthcare ed Edu possono usare Test nella sezione Modelli della Console di amministrazione. Il test mostra l’accesso effettivo ai modelli e le impostazioni che lo determinano. Non concede l’accesso né modifica le autorizzazioni. Per la procedura, consulta: Modelli e limiti di ChatGPT Enterprise ed Edu.
Domande frequenti
Impostare un’autorizzazione su Disattivo in un ruolo revoca l’accesso a un membro?
Non se un altro ruolo ordinario applicabile concede l’autorizzazione. Verifica sia le assegnazioni dirette sia i ruoli ricevuti tramite gruppi. La Modalità di blocco e i requisiti di accesso al prodotto vengono valutati separatamente.
Il controllo RBAC può superare i limiti del tipo di postazione di un membro?
No. Il controllo RBAC gestisce le funzionalità entro i limiti di accesso consentiti dal tipo di postazione e dal piano dell’area di lavoro. Una postazione riservata a Codex non ottiene l’accesso a ChatGPT tramite un ruolo personalizzato.
Cosa fare se un’autorizzazione prevede solo Attivo e Disattivo?
Imposta esplicitamente Attivo o Disattivo per l’area di lavoro e i ruoli interessati. L’opzione Predefinito è disponibile solo per le autorizzazioni che la supportano.