Omówienie
Kontrola dostępu oparta na rolach (RBAC) pozwala właścicielom przestrzeni roboczej konfigurować dostęp do funkcji za pomocą ról niestandardowych wielokrotnego użytku. Członkowi można przypisać role bezpośrednio lub poprzez członkostwo w grupach. Może on mieć więcej niż jedną rolę.
Role niestandardowe określają uprawnienia do korzystania z funkcji. Wbudowane role przestrzeni roboczej, takie jak Członek, Administrator i Właściciel, określają, czym dana osoba może administrować. Informacje o wbudowanych rolach i typach stanowisk znajdziesz w artykule: Zarządzanie członkami, rolami przestrzeni roboczej i stanowiskami.
Dostępność
Kontrola RBAC jest dostępna w ChatGPT Enterprise, Edu, Healthcare i Teachers we wszystkich obsługiwanych krajach. Skonfiguruj kontrolę RBAC w przeglądarce, przechodząc do sekcji Ustawienia przestrzeni roboczej > Uprawnienia i role w ChatGPT lub korzystając z obsługiwanych opcji zarządzania rolami i uprawnieniami w konsoli administratora.
Zanim zaczniesz
Właściciele przestrzeni roboczej mogą tworzyć i usuwać role niestandardowe, przypisywać je i cofać ich przypisanie oraz zarządzać domyślnymi uprawnieniami w całej przestrzeni roboczej.
Administratorzy przestrzeni roboczej mogą mieć możliwość przeglądania lub aktualizowania istniejących ról w obsługiwanych interfejsach administracyjnych. Nie mogą tworzyć ani usuwać ról niestandardowych, przypisywać ich ani cofać ich przypisania.
Członkowie i osoby z uprawnieniami do wyświetlania analityki nie mogą zarządzać ustawieniami RBAC dla całej przestrzeni roboczej.
W ChatGPT Enterprise można delegować uprawnienia menedżerom grup. Tylko właściciel przestrzeni roboczej może włączać i wyłączać dla menedżerów grup opcję Edytowanie uprawnień przypisanych ról.
Administrator globalny dzierżawy nie otrzymuje automatycznie roli w przestrzeni roboczej ChatGPT. Role niestandardowe nie przyznają dostępu do kluczy administratora. Tylko właściciele i administratorzy przestrzeni roboczej mogą tworzyć jej klucze administratora, a wrażliwe uprawnienia dotyczące zgodności wymagają roli właściciela. Szczegóły znajdziesz w artykule: Zarządzanie kluczami administratora w konsoli administratora.
Poznaj zasady działania domyślnych ustawień przestrzeni roboczej i ról niestandardowych
Ustawienia przestrzeni roboczej stanowią podstawę dla uprawnień, które obsługują dziedziczenie. Zwykła rola niestandardowa może korzystać z następujących stanów:
| Stan | Efekt |
|---|---|
| Domyślne | Dziedziczy ustawienie przestrzeni roboczej. |
| Włączone | Przyznaje uprawnienie poprzez tę rolę. |
| Wyłączone | Nie przyznaje uprawnienia poprzez tę rolę. Inna przypisana rola nadal może je przyznać. |
Uprawnienia wynikające ze zwykłych ról sumują się. Jeśli którakolwiek przypisana rola przyznaje dostęp — jawnie lub przez odziedziczenie włączonego ustawienia przestrzeni roboczej — członek zachowuje dostęp. Dotyczy to ról przypisanych bezpośrednio i poprzez grupy.
Jeśli we wszystkich przypisanych zwykłych rolach wybrano opcję Wyłączone, zwykła kontrola RBAC nie przyznaje dostępu. Jeśli wszystkie przypisane role korzystają z opcji Domyślne, obowiązuje ustawienie przestrzeni roboczej. Niektóre uprawnienia, w tym część ustawień Work i wtyczek, mają tylko opcje Włączone i Wyłączone.
Nadal obowiązują ograniczenia wynikające z typu stanowiska, planu i warunków dostępu do produktu. Tryb blokady jest sprawdzany niezależnie i może ograniczać dostęp do funkcji, nawet jeśli zwykła rola go przyznaje.
Ustaw domyślne uprawnienia przestrzeni roboczej
Otwórz swoją przestrzeń roboczą ChatGPT.
Przejdź do sekcji Ustawienia przestrzeni roboczej > Uprawnienia i role.
Otwórz kartę Przestrzeń robocza.
Przejrzyj dostępne uprawnienia i skonfiguruj podstawowe ustawienia przestrzeni roboczej.
Dostępne opcje znajdują się w sekcji Uprawnienia i role. Domyślne ustawienie przestrzeni roboczej obowiązuje dla uprawnienia roli niestandardowej obsługującego dziedziczenie, gdy w tej roli wybrano opcję Domyślne.
Możesz kontrolować dostęp do każdej aplikacji osobno. Nie można niezależnie wyłączyć interfejsu użytkownika aplikacji.
Utwórz lub edytuj rolę niestandardową
Właściciele przestrzeni roboczej mogą tworzyć role niestandardowe.
Przejdź do sekcji Ustawienia przestrzeni roboczej > Uprawnienia i role.
Otwórz sekcję Role niestandardowe.
Wybierz Utwórz rolę.
Wprowadź nazwę i opis, a następnie wybierz Zapisz.
Na stronie uprawnień roli wybierz opcję Domyślne, Włączone lub Wyłączone dla każdego uprawnienia, które obsługuje te opcje. Dla uprawnień z dwoma stanami wybierz Włączone lub Wyłączone.
Aby edytować istniejącą rolę, otwórz ją w sekcji Role niestandardowe i zmień ustawienia, które możesz edytować. Uprawnienia administracyjne zależą od Twojej roli w przestrzeni roboczej i obsługiwanego interfejsu, zgodnie z opisem powyżej.
Zmiany roli niestandardowej wpływają na każdą grupę, której ją przypisano. Używaj oddzielnych ról, gdy grupy potrzebują niezależnych ustawień uprawnień.
Przypisz rolę niestandardową
Właściciele przestrzeni roboczej mogą przypisywać role bezpośrednio poszczególnym członkom, jeśli ta opcja jest dostępna, lub grupom utworzonym ręcznie bądź synchronizowanym przez SCIM. Do zarządzania dostępem na dużą skalę zalecamy korzystanie z grup. Informacje o konfigurowaniu grup znajdziesz w artykule: Zarządzanie grupami i menedżerami grup.
Przypisz rolę grupom
Przejdź do sekcji Ustawienia przestrzeni roboczej > Uprawnienia i role.
Otwórz sekcję Role niestandardowe i wybierz rolę.
Otwórz sekcję Przypisania roli.
Wybierz + Dodaj.
Wybierz co najmniej jedną grupę.
Wybierz Gotowe.
Członkowie otrzymują uprawnienia wynikające ze wszystkich ról przypisanych im bezpośrednio i poprzez grupy. Zmiany mogą zacząć obowiązywać po upływie maksymalnie 5 minut.
Przypisz rolę bezpośrednio członkowi
Jeśli bezpośrednie przypisywanie ról jest dostępne, otwórz profil członka, przejdź do sekcji Role przypisane bezpośrednio i wybierz Przypisz rolę bezpośrednio. Wybierz rolę niestandardową, którą chcesz przypisać. Uprawnienia roli przypisanej bezpośrednio łączą się z uprawnieniami ról, które członek otrzymuje poprzez grupy.
Deleguj edytowanie przypisanych ról
W ChatGPT Enterprise właściciel przestrzeni roboczej może zezwolić menedżerom grup na edytowanie dozwolonych ustawień ról niestandardowych przypisanych do ich grupy. Menedżerowie grup nie mogą tworzyć ani usuwać ról, przypisywać ich ani cofać ich przypisania. Edycja roli współdzielonej przez wiele grup wpływa na wszystkie te grupy.
Informacje o przypisywaniu i usuwaniu menedżerów oraz ustawieniach delegowanych uprawnień znajdziesz w artykule: Zarządzanie grupami i menedżerami grup.
Skonfiguruj dostęp do modeli i wyjątki od zabezpieczeń
Dostęp do modeli
Właściciele mogą zarządzać dostępem do modeli dostępnych w danej przestrzeni roboczej za pomocą jej ustawień lub ról niestandardowych. Rola nie może udostępnić modelu, jeśli przestrzeń robocza nie spełnia warunków dostępu do niego. Wybór modelu początkowego lub domyślnego nie przyznaje do niego dostępu.
Dostęp do modelu może być domyślnie wyłączony. Administrator musi włączyć wyłączony model, zanim członkowie będą mogli z niego korzystać. Selektor modeli i suwak pokazują tylko opcje dostępne dla danego członka.
Sprawdź ustawienia przestrzeni roboczej i wszystkie przypisane role, w tym role dziedziczone z grup. Standardowe uprawnienia wynikające z ról sumują się: jedna rola może przyznawać dostęp, nawet jeśli inna go wyłącza. Członkowie muszą też spełniać wymagania dotyczące planu, stanowiska i produktu oraz mieć dostęp do funkcji, z której chcą korzystać.
Jeśli członek nie może znaleźć modelu, najpierw sprawdź, czy przestrzeń robocza spełnia warunki dostępu, a następnie zweryfikuj jego faktyczne uprawnienia do modeli.
Administratorzy mogą otworzyć Konsolę administratora, wybrać przestrzeń roboczą ChatGPT, a następnie otworzyć sekcję Modele i wybrać opcję Testuj, aby sprawdzić dostęp członka oraz ustawienia, które na niego wpływają. Testowanie nie włącza modelu ani nie zmienia uprawnień.
Informacje o dostępności modeli, wymaganiach dotyczących aplikacji klienckich i pełnej procedurze znajdziesz w artykule: Modele i limity w ChatGPT Enterprise i Edu.
Tryb blokady
W przestrzeniach roboczych obsługujących role trybu blokady można utworzyć rolę niestandardową dla członków, którzy potrzebują tego trybu. Tryb blokady to konfiguracja zabezpieczeń na poziomie roli, a nie pojedynczy przełącznik uprawnień.
Zależnie od ustawień przestrzeni roboczej rola trybu blokady może ograniczać funkcje z dostępem do sieci, w tym wyszukiwanie w internecie na żywo, głębokie badania, tryb agenta, dostęp do sieci w obszarze roboczym oraz niektóre działania aplikacji lub MCP. Te ograniczenia mogą obowiązywać nawet wtedy, gdy zwykła rola przyznaje dostęp do danej funkcji.
Przed przypisaniem roli trybu blokady sprawdź, na jakie aplikacje i działania zezwala. Członkowie muszą też mieć niezbędne uprawnienia w każdym połączonym systemie źródłowym; dostęp do aplikacji w ChatGPT nie zastępuje tych uprawnień.
Szczegóły znajdziesz w artykule: Tryb blokady.
Zarządzaj dostępem roli do wtyczek
W przestrzeniach roboczych Enterprise i Edu dostęp do poszczególnych wtyczek można skonfigurować dla roli niestandardowej lub odziedziczyć z domyślnych ustawień przestrzeni roboczej. Te ustawienia poszczególnych wtyczek są niezależne od uprawnienia Korzystanie z wtyczek obowiązującego w całej przestrzeni roboczej oraz innych uprawnień dotyczących wtyczek, które mają tylko opcje Włączone i Wyłączone.
Przejdź do konsoli administratora, wybierz odpowiednią przestrzeń roboczą ChatGPT i otwórz sekcję Wtyczki.
Wybierz wtyczkę i sprawdź rolę, którą chcesz zmienić.
Wybierz, czy rola ma własne ustawienie dostępu do wtyczki, czy dziedziczy domyślne ustawienie przestrzeni roboczej.
Sprawdź obecny i proponowany dostęp do wymaganych aplikacji i współdzielonych zależności. Potwierdź tylko te zmiany dotyczące wtyczek i aplikacji, które chcesz wprowadzić.
Sprawdź wyniki i rozwiąż problemy ze zmianami, których nie udało się wprowadzić.
Podczas weryfikowania dostępu sprawdź wszystkie role przypisane członkowi bezpośrednio i poprzez grupy. Dostęp do wtyczki nie zastępuje niezależnych ustawień dostępu, działań, zatwierdzania ani autoryzacji u dostawcy dla aplikacji wchodzących w jej skład.
Wtyczka z ograniczonym dostępem może pozostać widoczna w katalogu z oznaczeniem Wyłączona przez administratora. Informacje o administrowaniu wtyczkami i konfliktach związanych z wymaganymi aplikacjami znajdziesz w artykule: Narzędzia administracyjne, bezpieczeństwo i zgodność wtyczek i aplikacji.
Sprawdź rzeczywisty dostęp członka
Sprawdź typ stanowiska członka, uprawnienia wynikające z planu, domyślne ustawienia przestrzeni roboczej oraz wszystkie role przypisane bezpośrednio i poprzez grupy. Poczekaj do 5 minut, aż ostatnie zmiany RBAC zaczną obowiązywać.
Poniższe przykłady dotyczą zwykłych ról, chyba że zaznaczono inaczej:
| Konfiguracja | Wynik |
|---|---|
| Wyszukiwanie w internecie w przestrzeni roboczej ma ustawienie Włączone; jedyna zwykła rola członka korzysta z ustawienia Domyślne. | Ta rola zapewnia dostęp do wyszukiwania w internecie. |
| Jedna zwykła rola ma dla wyszukiwania w internecie ustawienie Wyłączone, a druga — Włączone. | Wyszukiwanie w internecie jest dozwolone, ponieważ jedna z ról przyznaje dostęp. |
| Wszystkie zwykłe role przypisane członkowi mają dla wyszukiwania w internecie ustawienie Wyłączone. | Zwykła kontrola RBAC nie przyznaje dostępu, nawet jeśli podstawowe ustawienie przestrzeni roboczej to Włączone. |
| Zwykła rola zezwala na korzystanie z funkcji z dostępem do sieci, a rola trybu blokady je ogranicza. | Obowiązuje ograniczenie trybu blokady. |
Aby sprawdzić dostęp do modeli, administratorzy planów Business, Enterprise, Healthcare i Edu mogą użyć opcji Testuj w sekcji Modele w konsoli administratora. Pokazuje ona rzeczywisty dostęp do modeli oraz ustawienia, które na niego wpływają. Nie przyznaje dostępu ani nie zmienia uprawnień. Instrukcję znajdziesz w artykule: Modele i limity w ChatGPT Enterprise i Edu.
Najczęściej zadawane pytania
Czy ustawienie uprawnienia na Wyłączone w jednej roli odbiera członkowi dostęp?
Nie, jeśli inna przypisana mu zwykła rola przyznaje to uprawnienie. Sprawdź zarówno role przypisane bezpośrednio, jak i otrzymane poprzez grupy. Tryb blokady i warunki dostępu do produktu są sprawdzane niezależnie.
Czy kontrola RBAC może znieść ograniczenia wynikające z typu stanowiska członka?
Nie. Kontrola RBAC zarządza dostępem do funkcji w zakresie dozwolonym przez typ stanowiska i plan przestrzeni roboczej. Stanowisko przeznaczone wyłącznie do Codex nie uzyska dostępu do ChatGPT za pośrednictwem roli niestandardowej.
Co zrobić, jeśli uprawnienie ma tylko opcje Włączone i Wyłączone?
Ustaw jawnie opcję Włączone lub Wyłączone dla przestrzeni roboczej i odpowiednich ról. Opcja Domyślne jest dostępna tylko dla uprawnień, które ją obsługują.