Panoramica
Il Controllo degli accessi basato sui ruoli (RBAC) consente ai proprietari dell'area di lavoro di configurare l'accesso alle funzionalità mediante ruoli personalizzati riutilizzabili. Un membro può ricevere ruoli direttamente e tramite l'appartenenza ai gruppi e può avere più di un ruolo.
I ruoli personalizzati controllano le autorizzazioni per le funzionalità. I ruoli predefiniti dell'area di lavoro, come Membro, Amministratore e Proprietario, determinano cosa può amministrare una persona. Per i ruoli predefiniti e i tipi di licenza, consulta: Gestione di membri, ruoli dell'area di lavoro e licenze.
Disponibilità
Il RBAC è disponibile per ChatGPT Enterprise, Edu, Healthcare e Teachers in tutti i Paesi supportati. Configura il RBAC sul web tramite Impostazioni dell'area di lavoro > Autorizzazioni e ruoli in ChatGPT oppure usando i controlli supportati per ruoli e autorizzazioni nella Console di amministrazione.
Prima di iniziare
I proprietari dell'area di lavoro possono creare, eliminare, assegnare e revocare ruoli personalizzati, nonché gestire le autorizzazioni predefinite per l'intera area di lavoro.
Gli amministratori dell'area di lavoro potrebbero poter visualizzare o aggiornare i ruoli esistenti tramite le interfacce di amministrazione supportate. Non possono creare, eliminare, assegnare o revocare ruoli personalizzati.
I membri e i visualizzatori di Analytics non possono gestire le impostazioni RBAC per l'intera area di lavoro.
La delega ai responsabili dei gruppi è disponibile in ChatGPT Enterprise. Solo un proprietario dell'area di lavoro può attivare o disattivare Modifica autorizzazioni nei ruoli assegnati per i responsabili dei gruppi.
Un amministratore globale del tenant non riceve automaticamente un ruolo in un'area di lavoro ChatGPT. I ruoli personalizzati non concedono l'accesso alle chiavi di amministrazione. Solo i proprietari e gli amministratori dell'area di lavoro possono creare chiavi di amministrazione dell'area di lavoro; per le autorizzazioni sensibili relative alla conformità è richiesto un proprietario. Per i dettagli, consulta: Gestione delle chiavi di amministrazione nella Console di amministrazione.
Comprendere le impostazioni predefinite dell'area di lavoro e i ruoli personalizzati
Le impostazioni dell'area di lavoro definiscono la configurazione di base per le autorizzazioni idonee. Un ruolo personalizzato ordinario può usare questi stati:
| Stato | Effetto |
|---|---|
| Predefinita | Eredita l'impostazione dell'area di lavoro. |
| Attiva | Concede l'autorizzazione tramite quel ruolo. |
| Disattiva | Nega l'autorizzazione tramite quel ruolo. Un altro ruolo assegnato può comunque concederla. |
Le autorizzazioni dei ruoli ordinari si combinano in modo cumulativo. Se un ruolo assegnato concede l'accesso, esplicitamente o ereditando un'impostazione attiva dell'area di lavoro, il membro conserva l'accesso. Questo vale per i ruoli assegnati direttamente e tramite gruppi.
Se tutti i ruoli ordinari applicabili sono impostati su Disattiva, l'accesso viene negato dal normale RBAC. Se tutti i ruoli applicabili usano Predefinita, si applica l'impostazione dell'area di lavoro. Alcune autorizzazioni, inclusi determinati controlli di Work e dei plugin, prevedono solo Attiva e Disattiva.
Continuano ad applicarsi il tipo di licenza, il piano e l'idoneità per il prodotto. La Modalità di blocco viene valutata separatamente e può limitare una funzionalità anche quando un ruolo ordinario la concede.
Impostare le autorizzazioni predefinite dell'area di lavoro
Apri la tua area di lavoro ChatGPT.
Vai a Impostazioni dell'area di lavoro > Autorizzazioni e ruoli.
Apri la scheda Area di lavoro.
Controlla le autorizzazioni disponibili e configura le impostazioni di base dell'area di lavoro.
I controlli disponibili sono elencati in Autorizzazioni e ruoli. L'impostazione predefinita dell'area di lavoro si applica a un'autorizzazione idonea di un ruolo personalizzato quando il ruolo usa Predefinita.
Puoi controllare l'accesso separatamente per ogni app. L'interfaccia utente di un'app non può essere disattivata separatamente.
Creare o modificare un ruolo personalizzato
I proprietari dell'area di lavoro possono creare ruoli personalizzati.
Vai a Impostazioni dell'area di lavoro > Autorizzazioni e ruoli.
Apri Ruoli personalizzati.
Seleziona Crea ruolo.
Inserisci un nome e una descrizione, quindi seleziona Salva.
Nella pagina delle autorizzazioni del ruolo, scegli Predefinita, Attiva o Disattiva per ogni autorizzazione idonea. Per le autorizzazioni con due stati, scegli Attiva o Disattiva.
Per modificare un ruolo esistente, aprilo in Ruoli personalizzati e aggiorna le impostazioni consentite. Le autorizzazioni di amministrazione dipendono dal ruolo nell'area di lavoro e dall'interfaccia supportata, come descritto sopra.
Le modifiche a un ruolo personalizzato interessano tutti i gruppi a cui è assegnato. Usa ruoli separati quando i gruppi richiedono impostazioni delle autorizzazioni indipendenti.
Assegnare un ruolo personalizzato
I proprietari dell'area di lavoro possono assegnare i ruoli direttamente ai singoli membri, ove disponibile, oppure a gruppi creati manualmente o sincronizzati tramite SCIM. Per gestire l'accesso su larga scala, è consigliabile usare i gruppi. Per configurare i gruppi, consulta: Gestione dei gruppi e dei responsabili dei gruppi.
Assegnare un ruolo ai gruppi
Vai a Impostazioni dell'area di lavoro > Autorizzazioni e ruoli.
Apri Ruoli personalizzati e seleziona il ruolo.
Apri Assegnazioni dei ruoli.
Seleziona + Aggiungi.
Scegli uno o più gruppi.
Seleziona Fine.
I membri ricevono le autorizzazioni da tutte le assegnazioni di ruolo applicabili, sia dirette sia tramite gruppi. L'applicazione delle modifiche può richiedere fino a 5 minuti.
Assegnare un ruolo direttamente a un membro
Ove siano disponibili le assegnazioni dirette, apri il profilo del membro, vai a Ruoli diretti e seleziona Assegna ruolo diretto. Scegli il ruolo personalizzato da assegnare. Un ruolo diretto si combina con quelli ricevuti dal membro tramite i gruppi.
Delegare la modifica dei ruoli assegnati
In ChatGPT Enterprise, un proprietario dell'area di lavoro può consentire ai responsabili dei gruppi di modificare le impostazioni consentite nei ruoli personalizzati assegnati al proprio gruppo. I responsabili dei gruppi non possono creare o eliminare ruoli, né assegnarli o revocarli. La modifica di un ruolo condiviso da più gruppi interessa tutti quei gruppi.
Per l'assegnazione dei responsabili, la configurazione delle autorizzazioni delegate e la rimozione, consulta: Gestione dei gruppi e dei responsabili dei gruppi.
Configurare l'accesso ai modelli e le eccezioni di sicurezza
Accesso ai modelli
I proprietari possono controllare l'accesso ai modelli idonei tramite le impostazioni dell'area di lavoro o i ruoli personalizzati. Un ruolo non può rendere disponibile un modello se l'area di lavoro non è idonea a usarlo. La scelta di un modello iniziale o predefinito non concede l'accesso.
Nelle aree di lavoro Enterprise ed Edu idonee, GPT-6 Astra è disattivato per impostazione predefinita al lancio. Configura separatamente l'accesso ad Astra; le precedenti impostazioni di Accesso anticipato ai modelli non vengono mantenute. Controlla tutti i ruoli assegnati, perché un ruolo che consente l'accesso può mantenerlo attivo anche quando un altro ruolo è impostato su Disattiva.
Per informazioni aggiornate sulla disponibilità dei modelli, sui requisiti dei client e sull'accesso, consulta: Modelli e limiti di ChatGPT Enterprise ed Edu.
Modalità di blocco
Le aree di lavoro che supportano i ruoli Modalità di blocco possono creare un ruolo personalizzato per i membri che ne hanno bisogno. La Modalità di blocco è una configurazione di sicurezza a livello di ruolo, non una singola opzione di autorizzazione.
Un ruolo Modalità di blocco può limitare le funzionalità con accesso alla rete, tra cui la ricerca sul web in tempo reale, deep research, la modalità agente, l'accesso alla rete di Canvas e alcuni comportamenti di app, MCP o connettori, in base alle impostazioni dell'area di lavoro. Queste restrizioni possono applicarsi anche quando un ruolo ordinario concede la funzionalità.
Prima di assegnare un ruolo Modalità di blocco, verifica quali app e azioni consente. I membri devono inoltre disporre delle autorizzazioni necessarie in ogni sistema di origine connesso; l'accesso alle app di ChatGPT non sostituisce tali autorizzazioni.
Per i dettagli, consulta: Modalità di blocco.
Verificare l'accesso effettivo di un membro
Controlla il tipo di licenza del membro, l'idoneità del piano, le impostazioni predefinite dell'area di lavoro e tutte le assegnazioni di ruolo dirette e tramite gruppi. Attendi fino a 5 minuti affinché vengano applicate le modifiche recenti al controllo degli accessi basato sui ruoli (RBAC).
Se non diversamente specificato, gli esempi seguenti usano ruoli ordinari:
| Configurazione | Risultato |
|---|---|
| Ricerca sul web è impostata su Attiva per l'area di lavoro; l'unico ruolo ordinario del membro usa Predefinita. | La ricerca sul web è consentita tramite quel ruolo. |
| Un ruolo ordinario imposta Ricerca sul web su Disattiva, mentre un altro la imposta su Attiva. | La ricerca sul web è consentita perché un ruolo concede l'accesso. |
| Tutti i ruoli ordinari applicabili impostano Ricerca sul web su Disattiva. | Il normale RBAC non concede l'accesso, anche se l'impostazione di base dell'area di lavoro è Attiva. |
| Un ruolo ordinario consente una funzionalità con accesso alla rete, mentre un ruolo Modalità di blocco la limita. | Si applica la restrizione della Modalità di blocco. |
Per l'accesso ai modelli, gli amministratori di Business, Enterprise, Healthcare ed Edu possono usare Test nella sezione Modelli della Console di amministrazione. Mostra l'accesso effettivo ai modelli e le impostazioni che vi contribuiscono. Non concede l'accesso né modifica le autorizzazioni. Per la procedura, consulta: Modelli e limiti di ChatGPT Enterprise ed Edu.
Domande frequenti
Impostare un'autorizzazione su Disattiva in un ruolo revoca l'accesso di un membro?
No, se un altro ruolo ordinario applicabile concede l'autorizzazione. Controlla sia le assegnazioni dirette sia i ruoli ricevuti tramite gruppi. La Modalità di blocco e l'idoneità per il prodotto vengono valutate separatamente.
Il RBAC può ignorare il tipo di licenza di un membro?
No. Il RBAC controlla le funzionalità entro i limiti di accesso consentiti dal tipo di licenza e dal piano dell'area di lavoro. Una licenza riservata a Codex non ottiene l'accesso a ChatGPT tramite un ruolo personalizzato.
Cosa accade se un'autorizzazione prevede solo Attiva e Disattiva?
Configura esplicitamente Attiva o Disattiva per l'area di lavoro e i ruoli pertinenti. Predefinita è disponibile solo per le autorizzazioni idonee.