System for Cross-domain Identity Management (SCIM) synchronizuje użytkowników i grupy od dostawcy tożsamości. SCIM zarządza aprowizacją, a logowanie jednokrotne (SSO) — sposobem uwierzytelniania użytkowników. SCIM można skonfigurować niezależnie od logowania jednokrotnego.
Sprawdź dostępność i wybierz zakres aprowizacji
Dostępne opcje zależą od produktów, planu, istniejących połączeń katalogowych i roli administratora.
| Zakres SCIM | Kwalifikujące się produkty lub plany | Wymagany administrator | Miejsce zarządzania |
|---|---|---|---|
| Cała dzierżawa | Kwalifikujące się dzierżawy, w tym dzierżawy wyłącznie z Ads. Obsługiwane przypisania produktów obejmują przestrzenie robocze ChatGPT i konta Ads, ale nie organizacje Platformy API. | administrator globalny | Admin Console. |
| Przestrzeń robocza ChatGPT | Kwalifikujące się przestrzenie robocze ChatGPT Enterprise lub ChatGPT Edu. | właściciel przestrzeni roboczej | Wybrana przestrzeń robocza. |
| Organizacja API | Kwalifikujące się organizacje API z obsługiwanym planem rozliczeniowym Custom lub Unlimited. | właściciel organizacji API | Platforma API. |
| Niedostępne | Samodzielne plany ChatGPT Business i ChatGPT for Teachers. Użyj innej obsługiwanej metody wdrażania. | właściciel lub administrator przestrzeni roboczej | Odpowiednia przestrzeń robocza ChatGPT. |
Samodzielny plan ChatGPT Business ani ChatGPT for Teachers nie obejmuje SCIM. SCIM dla całej dzierżawy wymaga co najmniej jednej zweryfikowanej domeny oraz kwalifikującej się przestrzeni roboczej ChatGPT Enterprise lub ChatGPT Edu albo konta Ads. Przestrzeń roboczą Business można uwzględnić tylko wtedy, gdy ta sama dzierżawa ma również kwalifikującą się przestrzeń roboczą ChatGPT Enterprise, a przestrzeń Business jest dostępna w sekcji Dostęp do produktów. Automatyczne tworzenie kont jest niezależne od SCIM, nie wymaga logowania jednokrotnego ani nie synchronizuje użytkowników i grup katalogowych.
Informacje o konfiguracji przestrzeni roboczej ChatGPT Business i limitach planu: Konfigurowanie logowania jednokrotnego w ChatGPT Business.
Informacje dla pracowników, którzy już korzystają z osobistego konta ChatGPT: Wdrażanie pracowników z istniejącymi kontami ChatGPT.
Wybierz SCIM dla całej dzierżawy lub dla produktu
SCIM dla całej dzierżawy może aprowizować obsługiwane przestrzenie robocze ChatGPT i konta Ads. Nie aprowizuje organizacji API. Istniejące połączenia na poziomie produktu nadal zarządzają jedną kwalifikującą się przestrzenią roboczą ChatGPT lub jedną kwalifikującą się organizacją API.
Jeśli przestrzeń robocza ChatGPT umożliwia wybór:
Opcja Używaj SCIM tylko w tej przestrzeni roboczej tworzy połączenie przeznaczone dla tej przestrzeni.
Opcja Zachowaj możliwość rozszerzenia na inne produkty otwiera konfigurację dla całej dzierżawy w Admin Console.
Korzystanie z Admin Console nie wymaga zastąpienia istniejącego połączenia SCIM na poziomie produktu. Nie można włączyć SCIM dla całej dzierżawy, jeśli połączona przestrzeń robocza ChatGPT lub organizacja API ma aktywne połączenie SCIM na poziomie produktu. Po włączeniu SCIM dla całej dzierżawy nie można uruchomić kolidującego połączenia na poziomie produktu. Przed zmodyfikowaniem działającego połączenia uzgodnij każdą migrację z zespołem OpenAI obsługującym Twoje konto. Oddzielne połączenia na poziomie produktu dla ChatGPT i API mogą działać równolegle, jeśli SCIM dla całej dzierżawy nie jest aktywny.
Przed zmianą zakresu sprawdź istniejących użytkowników, grupy, przypisania produktów i role. Uzgodnij każdą migrację z zespołem OpenAI obsługującym Twoje konto. Nie usuwaj działającego połączenia, aby usunąć błąd konfiguracji.
SCIM dla całej dzierżawy nie może zmienić adresu e-mail istniejącego konta OpenAI, a pomoc techniczna OpenAI nie może dokonać tej zmiany ręcznie. Jeśli musisz zaktualizować zarządzane adresy e-mail, użyj zamiast tego kwalifikującego się połączenia SCIM na poziomie przestrzeni roboczej ChatGPT. SCIM dla całej dzierżawy i SCIM na poziomie przestrzeni roboczej nie mogą być aktywne jednocześnie, dlatego przed włączeniem synchronizacji katalogu wybierz odpowiednią konfigurację.
Połącz katalog dzierżawy
Administrator globalny może za pomocą Admin Console połączyć wspólny katalog całej dzierżawy z kwalifikującymi się przestrzeniami roboczymi Enterprise lub Edu oraz kontami Ads. Przed rozpoczęciem zweryfikuj co najmniej jedną domenę dla tej samej dzierżawy. Poszczególne konta Ads nie mają oddzielnych katalogów SCIM. SCIM dla całej dzierżawy nie może zmienić adresu e-mail istniejącego konta OpenAI, a pomoc techniczna OpenAI nie może dokonać tej zmiany ręcznie.
Zaloguj się do Admin Console jako administrator globalny.
Wybierz właściwą dzierżawę OpenAI i otwórz Ustawienia globalne.
Wybierz Dostęp, a następnie otwórz Katalog.
Wybierz Włącz synchronizację katalogu (SCIM).
Skonfiguruj aplikację dostawcy tożsamości przy użyciu wartości wyświetlonych dla tej dzierżawy.
U dostawcy tożsamości przypisz jedną lub dwie jasno nazwane grupy pilotażowe albo użytkowników.
Wróć do sekcji Katalog i sprawdź, czy stan połączenia zmienił się na Aktywne.
Wstępna konfiguracja może potrwać do 5 minut. Jeśli konfiguracja jest niekompletna, wybierz Kontynuuj konfigurację. Wybierz Anuluj konfigurację tylko wtedy, gdy chcesz odrzucić niedokończone połączenie.
Sprawdź stan połączenia i ostatnie zdarzenia katalogowe, aby zweryfikować połączenie lub ustalić przyczynę braku użytkownika bądź grupy. Aby sprawdzić przypisania grup, otwórz Zarządzaj katalogiem i wybierz Zarządzaj dostępem do produktów.
W zależności od dostawcy tożsamości logowanie jednokrotne i SCIM mogą korzystać z jednej aplikacji lub wymagać oddzielnych aplikacji. Postępuj zgodnie z instrukcjami dla danego dostawcy i nie używaj ponownie wartości połączenia z innej przestrzeni roboczej ani organizacji API.
Obsługiwane integracje mogą obejmować Okta, Microsoft Entra ID, Google Workspace, PingFederate, OneLogin i Rippling. Dodatkowe niestandardowe opcje oparte na SCIM lub SFTP zależą od integracji dostępnych dla dzierżawy.
Połącz katalog przestrzeni roboczej ChatGPT
Zaloguj się jako właściciel kwalifikującej się przestrzeni roboczej Enterprise lub Edu.
Otwórz Ustawienia przestrzeni roboczej, a następnie wybierz Tożsamość i dostęp.
Znajdź opcję Synchronizacja katalogu (SCIM) i wybierz Włącz synchronizację katalogu.
Jeśli pojawi się możliwość wyboru, wybierz Używaj SCIM tylko w tej przestrzeni roboczej.
Dokończ konfigurację dla danego dostawcy i przypisz odpowiednich użytkowników lub grupy.
Sprawdź, czy zsynchronizowani użytkownicy lub grupy są widoczni w wybranej przestrzeni roboczej.
Jeśli ustawienia katalogu przestrzeni roboczej są tylko do odczytu, wybierz wyświetloną opcję Cloud Console ↗ i poproś administratora globalnego o zarządzanie połączeniem całej dzierżawy w Admin Console.
Połącz katalog organizacji API
Zaloguj się na Platformie API jako właściciel kwalifikującej się organizacji API.
Wybierz właściwą organizację API i otwórz ustawienia Tożsamość.
Rozpocznij dostępną konfigurację synchronizacji katalogu.
Skonfiguruj aplikację dostawcy tożsamości przy użyciu wartości dla tej organizacji API.
Przypisz odpowiednich użytkowników lub grupy u dostawcy tożsamości.
Sprawdź, czy zaproszeni użytkownicy dołączają do właściwej organizacji API.
Zarządzaj aprowizacją organizacji API na Platformie API. SCIM dla całej dzierżawy w Admin Console nie aprowizuje organizacji API. Jeśli ustawienia tożsamości API są niedostępne, poproś właściciela organizacji API lub zespół OpenAI obsługujący Twoje konto o potwierdzenie uprawnień i konfiguracji.
Członkami organizacji API, projektami, rozliczeniami i rolami dotyczącymi API nadal zarządza się na Platformie API.
SCIM organizacji API może także synchronizować grupy od dostawcy tożsamości. Zarządzaj tymi grupami i przypisuj obsługiwane role API na Platformie API.
Przypisuj zsynchronizowane grupy i dostęp do produktów
W Admin Console otwórz Ustawienia globalne dzierżawy, a następnie wybierz Użytkownicy i grupy > SCIM Grupy.
Wybierz zsynchronizowaną grupę.
W sekcji Dostęp do produktów wybierz Skonfiguruj dostęp lub otwórz istniejące przypisanie.
Wybierz obsługiwaną przestrzeń roboczą ChatGPT lub konto Ads.
Sprawdź zasób, istniejące przypisania i dostępne informacje o rolach.
Wybierz Zapisz.
Otwórz wybraną przestrzeń roboczą lub konto Ads i sprawdź, czy grupa jest widoczna. Jeśli brakuje nowego członka przestrzeni roboczej, sprawdź oczekujące zaproszenia.
Przypisanie zsynchronizowanej grupy do przestrzeni roboczej ChatGPT powoduje utworzenie odpowiadającej jej grupy w tej przestrzeni. Jeśli dana osoba nie jest jeszcze członkiem przestrzeni roboczej, OpenAI tworzy zaproszenie z rolą Członek.
Po przyjęciu zaproszenia osoba dołącza do grupy w przestrzeni roboczej. W zależności od ustawień przestrzeni roboczej zaproszenie może nie spowodować wysłania wiadomości e-mail. Obecni członkowie przestrzeni roboczej zachowują bieżącą rolę i typ stanowiska.
Tę samą zsynchronizowaną grupę można przypisać do wielu obsługiwanych przestrzeni roboczych ChatGPT i kont Ads. Każdy zasób przypisz osobno. Dostęp do jednego nie zapewnia dostępu do innego.
Edytor Dostęp do produktów obsługuje przestrzenie robocze ChatGPT i konta Ads. Nie przypisuje organizacji API, roli właściciela przestrzeni roboczej ChatGPT ani niestandardowych ról w przestrzeni roboczej ChatGPT. Sprawdź role konta Ads na wybranym koncie reklamowym, a role niestandardowe skonfiguruj w wybranej przestrzeni roboczej ChatGPT.
Przed rozszerzeniem dostępu sprawdź istniejące uprawnienia. Zsynchronizowana grupa może już mieć dostęp do przestrzeni roboczej ChatGPT lub konta Ads. Przyznaj rolę z minimalnymi wymaganymi uprawnieniami, a w razie nieoczekiwanego dostępu poproś administratora globalnego o wyjaśnienie.
Gdy przyznajesz zsynchronizowanej grupie dostęp do konta Ads za pomocą sekcji Dostęp do produktów, jej początkową rolą na koncie jest Członek. Sprawdź rolę właściwą dla danego konta i zastosuj minimalny wymagany poziom dostępu.
Informacje o uprawnieniach dotyczących Ads: Zarządzanie tożsamością i dostępem w Ads Manager.
Zarządzaj rekordami użytkowników, zaproszeniami i grupami
Zsynchronizowany rekord katalogowy nie przyznaje automatycznie dostępu do każdej przestrzeni roboczej ChatGPT, organizacji API ani konta Ads. Nadal obowiązują członkostwo w produkcie, przypisanie do grupy, zasady logowania i role właściwe dla produktu.
Dopasuj istniejących użytkowników i poznaj ograniczenia zmiany adresu e-mail
Aprowizacja dopasowuje istniejące konto OpenAI na podstawie skonfigurowanego służbowego adresu e-mail. Upewnij się, że adres e-mail u dostawcy tożsamości, adres zaproszenia i docelowe konto OpenAI należą do tej samej osoby. Skonfiguruj dostawcę tożsamości tak, aby wysyłał dokładnie jeden podstawowy adres e-mail każdego użytkownika.
SCIM dla całej dzierżawy nie może zmienić adresu e-mail istniejącego konta OpenAI, a pomoc techniczna OpenAI nie może dokonać tej zmiany ręcznie. Kwalifikujące się połączenie SCIM na poziomie przestrzeni roboczej ChatGPT może zaktualizować adres e-mail przyjętego członka zarządzanego przez SCIM, jeśli w tej przestrzeni włączono zmiany adresów e-mail. Stara i nowa domena adresu e-mail muszą być zweryfikowane dla tej samej przestrzeni roboczej i jej dzierżawy, nowy adres nie może być powiązany z innym kontem OpenAI, a mapowanie logowania jednokrotnego musi używać zaktualizowanego adresu. Zaktualizuj istniejącego użytkownika SCIM i najpierw przetestuj jedno konto.
Jeśli zsynchronizowane zaproszenie używa nieaktualnego adresu e-mail, nie usuwaj konta, nie usuwaj i nie twórz ponownie rekordu katalogowego, nie zapraszaj w zastępstwie nowego adresu ani nie odłączaj katalogu. Takie działania mogą utworzyć oddzielne konto OpenAI, pozostawiając istniejące projekty, agentów i historię rozmów przypisane do pierwotnego konta. Przed wprowadzeniem zmian sprawdź konfigurację katalogu i skontaktuj się z pomocą techniczną OpenAI. Pomoc techniczna OpenAI nie może ręcznie zmienić adresu e-mail konta zarządzanego przez SCIM dla całej dzierżawy.
Jeśli istniejący użytkownik lub grupa dzierżawy pasuje do zsynchronizowanego rekordu katalogowego, może przejść pod zarządzanie dostawcy tożsamości. Istniejące, ręcznie utworzone zaproszenia, członkostwa i grupy w przestrzeni roboczej ChatGPT nie przechodzą automatycznie pod zarządzanie SCIM.
Obecny członek przestrzeni roboczej może dołączyć do zsynchronizowanej grupy bez zmiany dotychczasowego członkostwa, roli ani typu stanowiska. Podczas wycofywania dostępu oddzielnie usuń dostęp do przestrzeni roboczej przyznany ręcznie.
Poznaj zasady zaproszeń i automatycznego tworzenia kont
Nowo aprowizowany użytkownik ChatGPT lub API może przed dołączeniem do produktu musieć przyjąć zaproszenie. Niektóre procesy SCIM tworzą oczekujące zaproszenie bez wysyłania wiadomości e-mail. Obecny członek przestrzeni roboczej ChatGPT nie otrzymuje kolejnego zaproszenia, gdy odpowiadający mu użytkownik dzierżawy przechodzi pod zarządzanie SCIM.
Poproś właściciela przestrzeni roboczej o sprawdzenie oczekujących zaproszeń. W przypadku zaproszenia ręcznego właściciel może wybrać opcję Wyślij zaproszenie ponownie, jeśli jest dostępna. Zaproszeń zarządzanych przez SCIM nie można wysłać ponownie bezpośrednio. Interfejs API może zwrócić błąd 409 scim_managed_resource. Jeśli opcja Zaproś członka jest dostępna, właściciel może ponownie wpisać ten sam adres e-mail bez zmiany istniejącej roli ani typu stanowiska. Jeśli zaproszenie nadal jest zablokowane, skontaktuj się z pomocą techniczną OpenAI.
Automatyczne tworzenie kont może dodawać kwalifikujących się użytkowników ChatGPT, gdy logują się adresem e-mail ze zweryfikowanej domeny. Jest niezależne od SCIM i nie wymaga logowania jednokrotnego. Unikaj jednoczesnego włączania automatycznego tworzenia kont i SCIM. Użytkownicy utworzeni w ten sposób mogą nie być zarządzani przez SCIM, dlatego usunięcie ich u dostawcy tożsamości może nie odebrać im dostępu do produktu. Sprawdź wykorzystanie stanowisk, oddzielnie usuń niezarządzanych użytkowników i podczas wycofywania dostępu skontroluj każdą ścieżkę dostępu.
Zarządzaj własnością grup, rolami i widocznością
Zarządzaj członkostwem w zsynchronizowanych grupach u dostawcy tożsamości. Administratorzy przestrzeni roboczej mogą utrzymywać oddzielne grupy zarządzane ręcznie.
W przypadku SCIM dla całej dzierżawy istniejąca, ręcznie zarządzana grupa przestrzeni roboczej ChatGPT nie zostaje przejęta, nawet jeśli ma taką samą nazwę jak grupa zsynchronizowana. OpenAI tworzy oddzielną zsynchronizowaną grupę przestrzeni roboczej, dlatego przed przypisaniem dostępu sprawdź nazwy istniejących grup.
Jeśli zmienisz nazwę zsynchronizowanej grupy u dostawcy tożsamości, zmieni się też nazwa odpowiadającej jej zsynchronizowanej grupy w przestrzeni roboczej.
SCIM na poziomie przestrzeni roboczej korzysta z oddzielnego połączenia. Zależnie od konfiguracji zsynchronizowana grupa o tej samej nazwie co ręcznie utworzona grupa przestrzeni roboczej może przekazać członkostwo tej grupy pod kontrolę dostawcy tożsamości.
Jeśli funkcja jest obsługiwana, właściciel może użyć sekcji Uprawnienia i role w wybranej przestrzeni roboczej ChatGPT, aby przypisać kwalifikujące się niestandardowe role. Zsynchronizowane grupy mogą również obsługiwać analitykę przestrzeni roboczej, jeśli jest dostępna.
Jeśli jest dostępne, ustawienie Widoczna dla użytkowników przestrzeni roboczej w sekcji Tożsamość i dostęp określa, czy grupy zarządzane przez SCIM pojawiają się podczas udostępniania GPT lub projektów. Wyłączenie tego ustawienia może ukryć te grupy i usunąć istniejące udostępnienia grupowe przy następnej aktualizacji GPT lub projektu. Zmiana widoczności nie zatrzymuje synchronizacji ani nie usuwa grupy. Jeśli przestrzeń robocza korzysta z SCIM dla całej dzierżawy, a jej ustawienia tożsamości są tylko do odczytu, ta opcja może być niedostępna. Zapytaj zespół OpenAI obsługujący Twoje konto o dostępne opcje.
Przetestuj wdrażanie i wycofywanie dostępu
Dodaj jednego użytkownika testowego do odpowiedniej aplikacji dostawcy tożsamości lub przypisanej grupy.
Poczekaj na pomyślną synchronizację.
Sprawdź, czy użytkownik pojawia się w odpowiedniej dzierżawie lub produkcie i otrzymuje tylko oczekiwaną rolę.
Usuń użytkownika z przypisania dostawcy lub grupy aprowizacji.
Poczekaj na następną pomyślną synchronizację i sprawdź, czy dostęp wynikający z członkostwa w grupie został usunięty.
Sprawdź bezpośrednie zaproszenia, inne grupy i role właściwe dla produktów, które mogą zapewniać oddzielny dostęp.
Usunięcie osoby tylko w ChatGPT może być tymczasowe, jeśli dostawca tożsamości nadal ją przypisuje. Wyłączenie użytkownika u dostawcy nie zawsze usuwa przypisanie do aplikacji. Cofnięcie aprowizacji nie usuwa konta OpenAI ani osobistej przestrzeni roboczej tej osoby. Po pomyślnej synchronizacji sprawdź, czy osoba nie jest już aktywnym członkiem przestrzeni roboczej, i przejrzyj przydział stanowisk w tej przestrzeni. Jeśli osoba pozostaje aktywna, nie można jej usunąć albo po ponownym dodaniu nie może odzyskać dostępu, skontaktuj się z pomocą techniczną OpenAI. Przechowywanie danych podlega zasadom wybranej przestrzeni roboczej.
Rozwiązuj problemy z synchronizacją katalogu
| Problem | Co sprawdzić |
|---|---|
| Brak konfiguracji katalogu lub konfiguracja jest zablokowana | Sprawdź plan, rolę administratora, wybraną dzierżawę oraz to, czy SCIM dla całej dzierżawy lub na poziomie produktu jest już aktywny. Przed zmianą działającego połączenia uzgodnij migrację. |
| Użytkownik lub grupa nie jest widoczna | Sprawdź przypisania aplikacji u dostawcy tożsamości, ustawienia przekazywania grup, wybraną dzierżawę, ostatnie zdarzenia katalogowe i standardowy interwał synchronizacji dostawcy. |
| Zsynchronizowany użytkownik nie może uzyskać dostępu do produktu | Sprawdź przypisanie grupy w sekcji Dostęp do produktów, zaproszenie lub członkostwo w produkcie, wymaganą metodę logowania oraz rolę właściwą dla produktu. Edytor może przypisywać obsługiwane przestrzenie robocze ChatGPT i konta Ads, ale nie organizacje API. |
| Usunięty użytkownik nadal ma dostęp | Sprawdź przypisanie u dostawcy tożsamości, bezpośrednie zaproszenia, inne zsynchronizowane lub ręcznie zarządzane grupy oraz role w każdym produkcie. Usunięcie jednej ścieżki dostępu nie usuwa pozostałych. Jeśli po pomyślnej synchronizacji użytkownik nadal jest aktywny i nie ma innej ścieżki dostępu, skontaktuj się z pomocą techniczną OpenAI. Nie odłączaj katalogu, aby naprawić problem z jednym kontem. |
| Aktualizacja adresu e-mail powoduje konflikt kont | Jeśli docelowy adres e-mail należy już do innego konta OpenAI, przerwij operację i skontaktuj się z pomocą techniczną OpenAI. Nie usuwaj żadnego z kont ani nie twórz użytkownika zastępczego. |
Wielu dostawców tożsamości synchronizuje zmiany co 30–40 minut, a inni wysyłają aktualizacje wcześniej. OpenAI nie udostępnia ogólnej opcji wymuszenia natychmiastowej synchronizacji katalogu.
Informacje o błędach uwierzytelniania lub logowania: Rozwiązywanie problemów z logowaniem jednokrotnym, dostępem do przestrzeni roboczej i weryfikacją domeny.
Bezpiecznie usuń połączenie katalogowe
Usunięcia aktywnego połączenia katalogowego całej dzierżawy nie można cofnąć. Istniejący zsynchronizowani użytkownicy i grupy pozostają w dzierżawie i przechodzą pod zarządzanie ręczne. Odłączenie nie odbiera automatycznie istniejącego dostępu do produktów.
W Admin Console otwórz Ustawienia globalne dzierżawy.
Wybierz Dostęp, a następnie otwórz Katalog.
Sprawdź połączonego dostawcę oraz użytkowników, grupy i przypisania produktów, których dotyczy zmiana.
Wybierz Usuń połączenie.
Potwierdź zmianę tylko wtedy, gdy chcesz zatrzymać synchronizację.
Sprawdź pozostałych użytkowników, grupy, dostęp do produktów i role administratorów.
Usuwanie może potrwać do 5 minut. Przed zastąpieniem działającego połączenia lub przejściem między SCIM na poziomie produktu a SCIM dla całej dzierżawy skontaktuj się z zespołem OpenAI obsługującym Twoje konto.
────────────────────────────────────────────────────────────