概要
ロールベースのアクセス制御（RBAC) を使うと、ワークスペースのオーナーは、再利用可能なカスタムロールで機能へのアクセスを設定できます。メンバーには、直接または所属グループを通じてロールを割り当てることができ、複数のロールを持たせることもできます。
カスタムロールは、機能の利用権限を制御します。メンバー、管理者、オーナーなど、ワークスペースの組み込みロールは、ユーザーが管理できる範囲を決定します。組み込みロールとシートタイプについては、メンバー、ワークスペースのロール、シートの管理をご覧ください。
提供状況
RBAC は、サポート対象のすべての国で、ChatGPT Enterprise、Edu、Healthcare、Teachers で利用できます。RBAC は、ウェブ版 ChatGPT のワークスペースの設定 > 権限とロール、または管理コンソールの対応するロールと権限の設定項目から設定できます。
開始前の確認事項
ワークスペースのオーナーは、カスタムロールの作成、削除、割り当て、割り当て解除と、ワークスペース全体の権限のデフォルト設定の管理ができます。
ワークスペースの管理者は、対応する管理インターフェースから既存のロールを表示または更新できる場合があります。カスタムロールの作成、削除、割り当て、割り当て解除はできません。
メンバーと分析閲覧者は、ワークスペース全体の RBAC 設定を管理できません。
ChatGPT Enterprise では、グループマネージャーへの権限委任を利用できます。グループマネージャーの割り当てられたロールの権限の編集を有効または無効にできるのは、ワークスペースのオーナーのみです。
テナントのグローバル管理者に、ChatGPT ワークスペースのロールが自動的に付与されることはありません。カスタムロールでは、管理者キーへのアクセス権は付与されません。ワークスペースの管理者キーを作成できるのは、ワークスペースのオーナーと管理者のみです。また、機密性の高いコンプライアンス権限にはオーナーのロールが必要です。詳細は、管理コンソールでの管理者キーの管理をご覧ください。
ワークスペースのデフォルト設定とカスタムロールの仕組み
ワークスペースの設定は、対応する権限の基本設定となります。通常のカスタムロールでは、次の状態を選択できます。
| 状態 | 適用内容 |
|---|---|
| デフォルト | ワークスペースの設定を継承します。 |
| オン | そのロールを通じて権限を付与します。 |
| オフ | そのロールを通じた権限の付与を拒否します。ただし、割り当てられた別のロールから付与される場合はあります。 |
通常のロールで付与される権限は、足し合わせて適用されます。割り当てられたロールのいずれかが、明示的に、またはワークスペースの有効な設定を継承してアクセスを許可していれば、メンバーはアクセス権を維持します。これは、直接割り当てられたロールとグループ経由で割り当てられたロールの両方に当てはまります。
適用対象のすべての通常ロールがオフに設定されている場合、通常の RBAC ではアクセスが拒否されます。適用対象のすべてのロールがデフォルトを使用している場合、ワークスペースの設定が適用されます。Work やプラグインの一部の設定を含め、オンとオフのみを選択できる権限もあります。
シートタイプ、プラン、製品の利用資格に関する条件は引き続き適用されます。ロックダウンモードは別途判定され、通常のロールで許可されている機能でも制限されることがあります。
ワークスペースの権限のデフォルト設定
ChatGPT ワークスペースを開きます。
ワークスペースの設定 > 権限とロールに移動します。
ワークスペースタブを開きます。
設定可能な権限を確認し、ワークスペースの基本設定を行います。
利用可能な設定項目は、権限とロールに一覧表示されます。カスタムロールの対応する権限でデフォルトを選択すると、ワークスペースのデフォルト設定が適用されます。
アプリへのアクセスは、アプリごとに制御できます。アプリの UI だけを無効にすることはできません。
カスタムロールの作成と編集
ワークスペースのオーナーは、カスタムロールを作成できます。
ワークスペースの設定 > 権限とロールに移動します。
カスタムロールを開きます。
ロールを作成を選択します。
名前と説明を入力し、保存を選択します。
ロールの権限ページで、対応する各権限についてデフォルト、オン、オフを選択します。選択肢が 2 つの権限では、オンまたはオフを選択します。
既存のロールを編集するには、カスタムロールで対象のロールを開き、変更が許可されている設定を更新します。前述のとおり、管理権限は、ワークスペースでのロールと、対応する管理インターフェースによって異なります。
カスタムロールを変更すると、そのロールが割り当てられたすべてのグループに影響します。グループごとに独立した権限設定が必要な場合は、別々のロールを使用してください。
カスタムロールの割り当て
ワークスペースのオーナーは、対応している場合は個々のメンバーに直接ロールを割り当てることができます。また、手動で作成したグループや SCIM で同期したグループにも割り当てられます。多数のメンバーのアクセスを管理する場合は、グループの利用をお勧めします。グループの設定については、グループとグループマネージャーの管理をご覧ください。
グループへのロールの割り当て
ワークスペースの設定 > 権限とロールに移動します。
カスタムロールを開き、対象のロールを選択します。
ロールの割り当てを開きます。
+ 追加を選択します。
1 つ以上のグループを選択します。
完了を選択します。
メンバーには、直接およびグループ経由で割り当てられた、適用対象のすべてのロールから権限が付与されます。変更が反映されるまで、最大 5 分かかることがあります。
メンバーへのロールの直接割り当て
直接割り当てを利用できる場合は、メンバーのプロフィールを開き、直接割り当てられたロールに移動して、ロールを直接割り当てを選択します。割り当てるカスタムロールを選択します。直接割り当てられたロールは、メンバーがグループ経由で付与されたロールと組み合わせて適用されます。
割り当て済みロールの編集権限の委任
ChatGPT Enterprise では、ワークスペースのオーナーは、グループマネージャーに対し、自分のグループに割り当てられたカスタムロールの設定を、許可された範囲で編集できるように設定できます。グループマネージャーは、ロールの作成、削除、割り当て、割り当て解除はできません。複数のグループで共有するロールを編集すると、そのすべてのグループに影響します。
マネージャーの割り当て、委任する権限の設定、削除については、グループとグループマネージャーの管理をご覧ください。
モデルへのアクセスとセキュリティ例外の設定
モデルへのアクセス
オーナーは、ワークスペースの設定やカスタムロールを通じて、利用対象のモデルへのアクセスを管理できます。ワークスペースがモデルの利用条件を満たしていない場合、ロールでそのモデルを利用可能にすることはできません。開始時のモデルやデフォルトのモデルを選択しても、アクセス権は付与されません。
モデルへのアクセスは、デフォルトでオフになっている場合があります。無効になっているモデルをメンバーが利用するには、管理者がそのモデルを有効にする必要があります。モデル選択メニューとスライダーには、そのメンバーが利用できる選択肢のみが表示されます。
ワークスペースの設定と、グループから継承したロールを含む、割り当て済みのすべてのロールを確認してください。通常のロールの権限は、許可を積み重ねる形で組み合わされます。あるロールでアクセスがオフになっていても、別のロールで許可されていればアクセスできます。メンバーは、プラン、シート、製品の利用条件も満たし、利用したい機能へのアクセス権を持っている必要があります。
メンバーがモデルを見つけられない場合は、まずワークスペースが利用条件を満たしているか確認し、次にそのメンバーに実際に適用されているモデルへのアクセス権を確認してください。
管理者は、管理コンソールを開いて ChatGPT ワークスペースを選択し、モデルを開いてテストを選択すると、メンバーのアクセス権と、それに影響する設定を確認できます。テストを行っても、モデルが有効になったり、権限が変更されたりすることはありません。
モデルの提供状況、クライアントの要件、詳しい手順については、ChatGPT Enterprise と Edu のモデルと制限をご覧ください。
ロックダウンモード
ロックダウンモードのロールに対応しているワークスペースでは、必要とするメンバー向けにカスタムロールを作成できます。ロックダウンモードは、個々の権限の切り替えではなく、ロール単位のセキュリティ設定です。
ロックダウンモードのロールでは、ワークスペースの設定に応じて、リアルタイムのウェブ検索、deep research、エージェントモード、canvas のネットワーク通信、一部のアプリや MCP の動作など、ネットワークを利用する機能を制限できます。これらの制限は、通常のロールでその機能が許可されている場合でも適用されることがあります。
ロックダウンモードのロールを割り当てる前に、そのロールで許可されるアプリとアクションを確認してください。メンバーは、接続先の各システムでも必要な権限を持っている必要があります。ChatGPT のアプリへのアクセス権が、接続先の権限を上書きすることはありません。
詳細は、ロックダウンモードをご覧ください。
ロールのプラグインアクセスの管理
Enterprise と Edu のワークスペースでは、個々のプラグインへのアクセスをカスタムロールごとに設定するか、ワークスペースのデフォルト設定から継承できます。これらのプラグイン別設定は、ワークスペース全体のプラグインの使用権限や、オンとオフのみを選択できるその他のプラグイン権限とは別のものです。
管理コンソールに移動し、対象の ChatGPT ワークスペースを選択して、プラグインを開きます。
プラグインを選択し、変更するロールを確認します。
ロール独自のプラグインアクセス設定を使用するか、ワークスペースのデフォルト設定を継承するかを選択します。
必須アプリと共有の依存関係について、現在のアクセス設定と変更後の設定を確認します。意図したプラグインとアプリの変更のみを確定します。
結果を確認し、適用に失敗した変更に対処します。
アクセスを確認する際は、メンバーに直接およびグループ経由で割り当てられたすべてのロールを確認してください。プラグインへのアクセスは、含まれるアプリに個別に設定されたアクセス、アクション、承認、プロバイダー認可の設定を上書きしません。
制限されたプラグインも、管理者により無効化と表示された状態でディレクトリに残る場合があります。プラグインの管理と必須アプリの競合については、プラグインとアプリの管理者向け制御、セキュリティ、コンプライアンスをご覧ください。
メンバーに実際に適用されるアクセス権の確認
メンバーのシートタイプ、プランの利用資格、ワークスペースのデフォルト設定、および直接とグループ経由のすべてのロール割り当てを確認します。直近の RBAC の変更が反映されるまで、最大 5 分お待ちください。
以下の例では、特に記載がない限り、通常のロールを使用しています。
| 設定 | 結果 |
|---|---|
| ワークスペースのウェブ検索はオンで、メンバーに割り当てられた唯一の通常ロールはデフォルトを使用しています。 | そのロールを通じてウェブ検索が許可されます。 |
| ある通常ロールではウェブ検索がオフに、別の通常ロールではオンに設定されています。 | 1 つのロールがアクセスを許可しているため、ウェブ検索が許可されます。 |
| 適用対象のすべての通常ロールで、ウェブ検索がオフに設定されています。 | ワークスペースの基本設定がオンでも、通常の RBAC ではアクセスは許可されません。 |
| 通常ロールではネットワークを利用する機能が許可されていますが、ロックダウンモードのロールでは制限されています。 | ロックダウンモードの制限が適用されます。 |
モデルへのアクセスについては、Business、Enterprise、Healthcare、Edu の管理者は、管理コンソールのモデルセクションでテストを使用できます。実際に適用されるモデルへのアクセス権と、それに影響する設定が表示されます。アクセス権の付与や権限の変更は行われません。手順については、ChatGPT Enterprise と Edu のモデルと制限をご覧ください。
よくある質問
1 つのロールで権限をオフにした場合のメンバーのアクセス権への影響
適用対象の別の通常ロールで権限が付与されている場合、アクセス権は失われません。直接割り当てられたロールと、グループ経由で付与されたロールの両方を確認してください。ロックダウンモードと製品の利用資格は、別途判定されます。
RBAC によるメンバーのシートタイプの制限の上書き可否
上書きはできません。RBAC は、シートタイプとワークスペースのプランで許可されるアクセスの範囲内で機能を制御します。Codex 専用シートにカスタムロールを割り当てても、ChatGPT へのアクセス権は付与されません。
権限の選択肢がオンとオフのみの場合
ワークスペースと関連するロールで、オンまたはオフを明示的に設定してください。デフォルトは、対応する権限でのみ選択できます。