概要

ロールベースのアクセス制御（RBAC) を使うと、ワークスペースのオーナーは再利用可能なカスタムロールで機能へのアクセスを設定できます。メンバーには、直接または所属グループを通じてロールを割り当てることができ、複数のロールを割り当てることもできます。

カスタムロールは、機能の利用権限を制御します。メンバー、管理者、オーナーなどの組み込みのワークスペースロールは、ユーザーが管理できる範囲を決定します。組み込みロールとシートタイプについては、メンバー、ワークスペースロール、シートの管理をご覧ください。

提供対象

RBAC は、サポート対象のすべての国で ChatGPT Enterprise、Edu、Healthcare、Teachers 向けに提供されています。ウェブ版 ChatGPT のワークスペース設定 > 権限とロール、または管理コンソールの対応するロール・権限管理機能から RBAC を設定できます。

事前確認

• ワークスペースのオーナーは、カスタムロールの作成、削除、割り当て、割り当て解除に加え、ワークスペース全体の権限のデフォルト設定を管理できます。

• ワークスペースの管理者は、対応する管理画面から既存のロールを表示または更新できる場合があります。カスタムロールの作成、削除、割り当て、割り当て解除はできません。

• メンバーとアナリティクス閲覧者は、ワークスペース全体の RBAC 設定を管理できません。

• ChatGPT Enterprise では、グループマネージャーへの権限委任を利用できます。グループマネージャーの割り当てられたロールの権限を編集を有効または無効にできるのは、ワークスペースのオーナーだけです。

テナントのグローバル管理者に、ChatGPT ワークスペースのロールが自動的に付与されることはありません。カスタムロールで管理者キーへのアクセス権を付与することはできません。ワークスペースの管理者キーを作成できるのは、ワークスペースのオーナーと管理者だけです。また、機密性の高いコンプライアンス権限にはオーナーのロールが必要です。詳細は、管理コンソールでの管理者キーの管理をご覧ください。

ワークスペースのデフォルト設定とカスタムロールの仕組み

ワークスペースの設定は、対象となる権限の基本設定として機能します。通常のカスタムロールでは、次の設定を使用できます。

通常のロールによる権限は、足し合わせて適用されます。割り当てられたいずれかのロールが、明示的に、または有効なワークスペース設定の継承によってアクセスを許可している場合、メンバーは引き続きアクセスできます。これは、直接割り当てられたロールと、グループを通じて割り当てられたロールの両方に当てはまります。

適用対象となる通常のロールがすべてオフに設定されている場合、通常の RBAC ではアクセスが拒否されます。適用対象となるすべてのロールでデフォルトを使用している場合、ワークスペースの設定が適用されます。Work やプラグインの一部の制御を含む権限には、オンとオフしかないものもあります。

シートタイプ、プラン、製品の利用条件は引き続き適用されます。ロックダウンモードは別途評価され、通常のロールが許可している機能でも制限することがあります。

ワークスペースの権限のデフォルト設定

1. ChatGPT ワークスペースを開きます。

2. ワークスペース設定 > 権限とロールに移動します。

3. ワークスペースタブを開きます。

4. 利用可能な権限を確認し、ワークスペースの基本設定を行います。

利用可能な管理項目は、権限とロールに一覧表示されます。カスタムロールの対象権限でデフォルトを使用すると、ワークスペースのデフォルト設定が適用されます。

アプリへのアクセスは、アプリごとに制御できます。アプリの UI だけを無効にすることはできません。

カスタムロールの作成・編集

ワークスペースのオーナーは、カスタムロールを作成できます。

1. ワークスペース設定 > 権限とロールに移動します。

2. カスタムロールを開きます。

3. ロールを作成を選択します。

4. 名前と説明を入力し、保存を選択します。

5. ロールの権限ページで、対象となる各権限についてデフォルト、オン、オフのいずれかを選択します。選択肢が 2 つの権限では、オンまたはオフを選択します。

既存のロールを編集するには、カスタムロールでそのロールを開き、変更が許可されている設定を更新します。前述のとおり、管理権限はワークスペースのロールと、使用する管理画面の対応状況によって異なります。

カスタムロールへの変更は、そのロールが割り当てられたすべてのグループに影響します。グループごとに独立した権限設定が必要な場合は、別々のロールを使用してください。

カスタムロールの割り当て

ワークスペースのオーナーは、対応している場合は個々のメンバーに直接ロールを割り当てられます。また、手動で作成したグループや SCIM で同期したグループにも割り当てられます。大規模なアクセス管理には、グループの使用をお勧めします。グループの設定については、グループとグループマネージャーの管理をご覧ください。

グループへのロールの割り当て

1. ワークスペース設定 > 権限とロールに移動します。

2. カスタムロールを開き、ロールを選択します。

3. ロールの割り当てを開きます。

4. + 追加を選択します。

5. グループを 1 つ以上選択します。

6. 完了を選択します。

メンバーには、直接またはグループを通じて割り当てられた、適用対象となるすべてのロールから権限が付与されます。変更が反映されるまでに最大 5 分かかることがあります。

メンバーへのロールの直接割り当て

直接割り当てが利用できる場合は、メンバーのプロフィールを開き、直接割り当てられたロールに移動して、ロールを直接割り当てを選択します。割り当てるカスタムロールを選択します。直接割り当てられたロールは、メンバーがグループを通じて受け取るロールと組み合わせて適用されます。

割り当て済みロールの編集権限の委任

ChatGPT Enterprise では、ワークスペースのオーナーは、グループマネージャーが自分のグループに割り当てられたカスタムロールの許可された設定を編集できるようにできます。グループマネージャーは、ロールの作成、削除、割り当て、割り当て解除はできません。複数のグループで共有されているロールを編集すると、そのすべてのグループに影響します。

マネージャーの割り当て、委任する権限の設定、マネージャーの削除については、グループとグループマネージャーの管理をご覧ください。

モデルへのアクセスとセキュリティ例外の設定

モデルへのアクセス

オーナーは、ワークスペースの設定またはカスタムロールを通じて、利用条件を満たすモデルへのアクセスを制御できます。ワークスペースがモデルの利用条件を満たしていない場合、ロールでそのモデルを利用可能にすることはできません。開始時のモデルやデフォルトのモデルを選択しても、アクセス権は付与されません。

対象となる Enterprise および Edu ワークスペースでは、GPT-6 Astra は提供開始時にデフォルトでオフになっています。Astra へのアクセスは個別に設定してください。以前のモデル早期アクセス設定は引き継がれません。割り当てられているすべてのロールを確認してください。別のロールがオフでも、アクセスを許可するロールがあれば、アクセスが引き続き有効になるためです。

GPT-6 Sol と GPT-6 Luna は、Work および Codex での提供開始時には、Enterprise および Edu ワークスペースでデフォルトでオフになっていました。まだ無効になっているモデルをメンバーが使用するには、管理者がそのモデルを有効にする必要があります。すでに有効なモデルは、今回の Chat への展開にあたって再度有効にする必要はありません。モデル選択メニューとスライダーには、メンバーが利用できる選択肢だけが表示されます。

Enterprise の Chat で GPT-6 を使用する場合、既存の GPT-6 Sol の権限で、即時モードから超高までのアクセスを制御します。Sol が有効なワークスペースには、段階的な展開の中でアクセスが付与されます。今回の Chat リリースでは、新たな管理者向けプレビュー期間は設けられません。

アクセスは、既存の管理者設定と、割り当てられているすべてのロールによって決まります。前述のとおり、通常のロールの権限は足し合わせて適用されます。あるロールでアクセスがオフになっていても、別のロールで許可できます。メンバーは、プラン、シート、製品の利用条件も引き続き満たす必要があります。Pro には、別の GPT-6 Astra の権限が適用されます。

メンバーが Work や Codex でこれらのモデルを見つけられない場合は、ワークスペースがそのモデルの利用条件を満たしているかを確認し、メンバーに実際に適用されているモデルへのアクセス権を確認してください。

管理者は、管理コンソールで ChatGPT ワークスペースを選択し、モデルを開いてテストを選択すると、メンバーのアクセス権と、それに影響する設定を確認できます。テストによってモデルが有効になったり、権限が変更されたりすることはありません。

利用可能なモデル、クライアント要件、詳しい手順については、ChatGPT Enterprise と Edu のモデルと制限をご覧ください。

ロックダウンモード

ロックダウンモードのロールに対応しているワークスペースでは、そのモードを必要とするメンバー向けにカスタムロールを作成できます。ロックダウンモードは、単一の権限を切り替えるものではなく、ロール単位のセキュリティ設定です。

ロックダウンモードのロールは、ワークスペースの設定に応じて、リアルタイムのウェブ検索、deep research、エージェントモード、canvas のネットワーク通信、アプリ・MCP・コネクターの一部の動作など、ネットワークを使用する機能を制限できます。通常のロールがその機能を許可している場合でも、これらの制限が適用されることがあります。

ロックダウンモードのロールを割り当てる前に、そのロールで許可されるアプリとアクションを確認してください。メンバーには、接続先の各システムで必要な権限も求められます。ChatGPT でのアプリへのアクセス権が、接続先の権限より優先されることはありません。

詳細は、ロックダウンモードをご覧ください。

ロールのプラグインアクセス管理

Enterprise および Edu ワークスペースでは、個々のプラグインへのアクセスをカスタムロールで設定するか、ワークスペースのデフォルト設定から継承できます。これらのプラグインごとの設定は、ワークスペース全体のプラグインを使用権限や、オンとオフしかないその他のプラグイン権限とは別のものです。

1. 管理コンソールに移動し、対象の ChatGPT ワークスペースを選択して、プラグインを開きます。

2. プラグインを選択し、変更するロールを確認します。

3. ロール独自のプラグインアクセス設定を使用するか、ワークスペースのデフォルト設定を継承するかを選択します。

4. 必須アプリと共通の依存先について、現在と変更後のアクセスを確認します。意図したプラグインとアプリの変更だけを確定します。

5. 結果を確認し、失敗した変更があれば対処します。

アクセスを確認する際は、メンバーに直接割り当てられたロールと、グループを通じて割り当てられたロールをすべて確認してください。プラグインへのアクセス権が、含まれるアプリの個別のアクセス、アクション、承認、プロバイダー認可の設定より優先されることはありません。

制限されたプラグインは、ディレクトリに管理者によって無効化と表示された状態で残ることがあります。プラグインの管理と必須アプリの設定競合については、プラグインとアプリの管理者向け制御、セキュリティ、コンプライアンスをご覧ください。

メンバーに実際に適用されるアクセス権の確認

メンバーのシートタイプ、プランの利用条件、ワークスペースのデフォルト設定、および直接またはグループを通じて割り当てられたすべてのロールを確認してください。直近の RBAC の変更が反映されるまで、最大 5 分お待ちください。

以下の例では、特に記載がない限り、通常のロールを使用しています。

モデルへのアクセスについては、Business、Enterprise、Healthcare、Edu の管理者は、管理コンソールのモデルセクションにあるテストを使用できます。実際に適用されるモデルへのアクセス権と、それに影響する設定が表示されます。アクセス権の付与や権限の変更は行われません。手順については、ChatGPT Enterprise と Edu のモデルと制限をご覧ください。

よくある質問

1 つのロールで権限をオフにすると、メンバーはアクセスできなくなりますか？

適用対象となる別の通常ロールがその権限を付与していれば、アクセスは失われません。直接割り当てられたロールと、グループを通じて受け取るロールの両方を確認してください。ロックダウンモードと製品の利用条件は、別途評価されます。

RBAC でメンバーのシートタイプによる制限を上書きできますか？

いいえ。RBAC は、シートタイプとワークスペースのプランで許可されたアクセスの範囲内で、機能を制御します。Codex 専用シートにカスタムロールを割り当てても、ChatGPT へのアクセス権は付与されません。

権限にオンとオフしかない場合はどうすればよいですか？

ワークスペースと関連するロールで、オンまたはオフを明示的に設定してください。デフォルトは、対応する権限でのみ使用できます。