Panoramica

Il blocco delle aree di lavoro è una funzionalità che consente ai clienti ChatGPT Enterprise di limitare l’accesso a specifiche aree di lavoro ChatGPT, assicurando che gli utenti possano accedere e interagire nelle aree di lavoro consentite. Questa funzionalità assicura che gli utenti della tua organizzazione possano accedere solo ad aree di lavoro specifiche e approvate.

Come funziona

• Configurazione dell’header personalizzato: configuri quali aree di lavoro sono consentite aggiungendo alla configurazione di rete un header HTTP personalizzato, ChatGPT-Allowed-Workspace-Id. Questo header contiene uno o più ID di aree di lavoro (UUID) che specificano a quali aree di lavoro possono accedere gli utenti.

• ChatGPT filtra l’accesso:

  • Quando un utente accede a ChatGPT Enterprise, il sistema verifica se l’area di lavoro a cui sta tentando di accedere corrisponde a uno degli UUID delle aree di lavoro elencati nell’header ChatGPT-Allowed-Workspace-Id.

  • Se l’utente tenta di accedere a un’area di lavoro non elencata nell’header, ChatGPT filtra automaticamente la richiesta, bloccando l’accesso a quell’area di lavoro. Finché un utente ha accesso ad almeno un’area di lavoro, il filtraggio avviene in modo silenzioso. Nei casi in cui, dopo il filtraggio, l’utente non abbia più accesso ad alcuna area di lavoro, riceverà un errore 403 Forbidden.

  • Saranno accessibili solo le aree di lavoro elencate nell’header; tutte le altre aree di lavoro, incluse quelle personali, verranno filtrate dal sistema.

• Supporto di più aree di lavoro: se la tua organizzazione deve consentire l’accesso a più di un’area di lavoro, puoi includere nell’header più UUID di aree di lavoro, separati da virgole senza spazi.

Configurazione

Passaggio 1: recupera l'ID dell'area di lavoro

Per consentire l'accesso a specifiche aree di lavoro, devi trovare l'UUID di ciascuna area di lavoro consentita. Puoi trovare questo UUID nelle impostazioni di amministrazione di ChatGPT:

• Accedi al tuo account amministratore di ChatGPT Enterprise.

• Vai alla pagina Impostazioni di amministrazione.

• Trova l'ID dell'area di lavoro (UUID) corrispondente a ciascuna area di lavoro a cui vuoi consentire l'accesso.

Esempio di UUID di un'area di lavoro: 437adf77-4085-4b22-b7b1-de7b6f5ec6c0

Passaggio 2: collabora con i fornitori SASE

Per implementazioni estese a tutta l'azienda, le organizzazioni possono collaborare con i propri partner Secure Access Service Edge (SASE). Questi partner possono applicare la funzionalità di blocco delle aree di lavoro a livello di rete.

Passaggio 3: configura i controlli di rete

• Consenti l'accesso a più aree di lavoro (se necessario): per consentire l'accesso a più aree di lavoro, inserisci i rispettivi UUID separati da virgole.

• Specifica gli URL a cui applicare i controlli:

  • Assicurati che l'header venga applicato all'URL di ChatGPT. Imposta il filtro URL in modo che si applichi solo alle richieste inviate a https://chatgpt.com/*

Passaggio 4: gestisci gli errori

• Errore 403 Forbidden: se un utente tenta di accedere a un'area di lavoro e non ci sono aree di lavoro disponibili dopo il filtraggio, visualizzerà un errore 403 Forbidden e un messaggio che indica che non è autorizzato ad accedere all'area di lavoro.

• Errore 400 Bad Request: se il valore dell'header non è formattato correttamente (ad esempio, l'UUID dell'area di lavoro è errato), tutte le richieste con quell'header avranno esito negativo con un errore 400 Bad Request.

Passaggio 5: bloccare l'uso anonimo di ChatGPT (senza aver effettuato l'accesso)

ChatGPT può essere usato anche senza alcun account o area di lavoro. Questa modalità viene definita uso anonimo o senza aver effettuato l'accesso. Per bloccare efficacemente questo tipo di utilizzo, rivolgetevi al vostro fornitore SASE affinché blocchi l'accesso agli URL che iniziano con https://chatgpt.com/backend-anon/. In alternativa, usate la stessa configurazione del browser impiegata per inserire le intestazioni, bloccando anche gli URL con tale prefisso.

Passaggio 6: verifica la compatibilità con le applicazioni desktop e mobili di ChatGPT

Le app desktop e mobili di ChatGPT implementano il pinning dei certificati. Questo limita l'insieme dei certificati server accettati da un client, aggiungendo un'ulteriore protezione contro gli attacchi avanzati di intercettazione (MiTM) in cui un certificato valido è stato compromesso. La verifica del pinning avviene dopo che il certificato del server è già stato convalidato rispetto ai certificati radice attendibili.

Affinché le applicazioni desktop e mobili di ChatGPT funzionino correttamente quando è abilitata l'ispezione SSL (necessaria per implementare i controlli di rete descritti sopra), devi aggiungere i tuoi certificati all'elenco di pinning e distribuirli ai client tramite MDM. Consulta le istruzioni dettagliate qui: https://docsend.com/view/rrk4mx9aashcekp7

Domande frequenti

Il blocco delle aree di lavoro funziona nelle applicazioni per dispositivi mobili iOS, macOS e Android?

Il blocco delle aree di lavoro tramite l'inserimento di header a livello di rete può essere applicato alle applicazioni ChatGPT sui dispositivi gestiti in cui sono state distribuite eccezioni al pinning dei certificati tramite MDM, come descritto sopra.

Se un'organizzazione vuole impedire agli utenti di accedere a ChatGPT (anche con account personali) tramite le app per iOS, macOS e Android, può configurare il firewall di rete, il proxy o il servizio SASE per bloccare l'accesso ai seguenti domini:

• App per Android: android.chat.openai.com

• App web per desktop: desktop.chatgpt.com

• App per iOS: ios.chat.openai.com

Tieni presente che bloccare l'accesso ai domini sopra elencati blocca tutto il traffico verso le applicazioni: nessuno potrà quindi accedere a ChatGPT tramite queste piattaforme, indipendentemente dall'utilizzo di un account personale o Enterprise.