Visão geral
O Controle de acesso baseado em funções (RBAC) permite que os proprietários do espaço de trabalho configurem o acesso a recursos com funções personalizadas reutilizáveis. Um membro pode receber funções diretamente e por meio dos grupos dos quais faz parte, e pode ter mais de uma função.
As funções personalizadas controlam as permissões de uso dos recursos. As funções predefinidas do espaço de trabalho, como Membro, Administrador e Proprietário, determinam o que cada pessoa pode administrar. Para saber mais sobre funções predefinidas e tipos de licença, consulte: Gerenciamento de membros, funções do espaço de trabalho e licenças.
Disponibilidade
O RBAC está disponível para ChatGPT Enterprise, Edu, Healthcare e Teachers em todos os países com suporte. Configure o RBAC na web em Configurações do espaço de trabalho > Permissões e funções no ChatGPT ou pelos controles de funções e permissões compatíveis no Console de administração.
Antes de começar
Os proprietários do espaço de trabalho podem criar, excluir, atribuir e desatribuir funções personalizadas, além de gerenciar as permissões padrão de todo o espaço de trabalho.
Os administradores do espaço de trabalho podem ter a possibilidade de visualizar ou atualizar funções existentes nas interfaces de administração compatíveis. Eles não podem criar, excluir, atribuir ou desatribuir funções personalizadas.
Membros e visualizadores de análises não podem gerenciar as configurações de RBAC de todo o espaço de trabalho.
A delegação a gerentes de grupo está disponível no ChatGPT Enterprise. Somente um proprietário do espaço de trabalho pode ativar ou desativar Editar permissões das funções atribuídas para gerentes de grupo.
Um administrador global do locatário não recebe automaticamente uma função em um espaço de trabalho do ChatGPT. As funções personalizadas não concedem acesso a chaves de administrador. Somente proprietários e administradores do espaço de trabalho podem criar chaves de administrador para ele, e as permissões sensíveis de conformidade exigem um proprietário. Para mais detalhes, consulte: Gerenciamento de chaves de administrador no Console de administração.
Entender as configurações padrão do espaço de trabalho e as funções personalizadas
As configurações do espaço de trabalho servem de base para as permissões compatíveis. Uma função personalizada comum pode usar os seguintes estados:
| Estado | Efeito |
|---|---|
| Padrão | Herda a configuração do espaço de trabalho. |
| Ativado | Concede a permissão por meio dessa função. |
| Desativado | Nega a permissão por meio dessa função. Outra função atribuída ainda pode concedê-la. |
As permissões das funções comuns se somam. Se qualquer função atribuída conceder acesso, seja explicitamente ou por herdar uma configuração ativada do espaço de trabalho, o membro mantém o acesso. Isso se aplica às funções atribuídas diretamente e por meio de grupos.
Se todas as funções comuns aplicáveis estiverem definidas como Desativado, o acesso será negado pelo RBAC comum. Se todas as funções aplicáveis usarem Padrão, será aplicada a configuração do espaço de trabalho. Algumas permissões, incluindo certos controles do Work e de plugins, têm apenas as opções Ativado e Desativado.
O tipo de licença, o plano e a elegibilidade para o produto continuam se aplicando. O Modo de bloqueio é avaliado separadamente e pode restringir um recurso mesmo quando uma função comum permite seu uso.
Definir as permissões padrão do espaço de trabalho
Abra seu espaço de trabalho do ChatGPT.
Acesse Configurações do espaço de trabalho > Permissões e funções.
Abra a aba Espaço de trabalho.
Revise as permissões disponíveis e defina a configuração base do espaço de trabalho.
Os controles disponíveis estão listados em Permissões e funções. A configuração padrão do espaço de trabalho se aplica a uma permissão compatível de função personalizada quando essa função usa Padrão.
Você pode controlar o acesso a cada app individualmente. A interface de um app não pode ser desativada de forma independente.
Criar ou editar uma função personalizada
Os proprietários do espaço de trabalho podem criar funções personalizadas.
Acesse Configurações do espaço de trabalho > Permissões e funções.
Abra Funções personalizadas.
Selecione Criar função.
Insira um nome e uma descrição e selecione Salvar.
Na página de permissões da função, escolha Padrão, Ativado ou Desativado para cada permissão compatível. Para permissões com dois estados, escolha Ativado ou Desativado.
Para editar uma função existente, abra-a em Funções personalizadas e atualize as configurações permitidas. As permissões de administração dependem da sua função no espaço de trabalho e da interface compatível, conforme descrito acima.
As alterações em uma função personalizada afetam todos os grupos aos quais ela está atribuída. Use funções separadas quando os grupos precisarem de configurações de permissão independentes.
Atribuir uma função personalizada
Os proprietários do espaço de trabalho podem atribuir funções diretamente a membros individuais, quando essa opção estiver disponível, ou a grupos criados manualmente ou sincronizados por SCIM. Recomenda-se usar grupos para gerenciar o acesso em escala. Para saber como configurar grupos, consulte: Gerenciamento de grupos e gerentes de grupo.
Atribuir uma função a grupos
Acesse Configurações do espaço de trabalho > Permissões e funções.
Abra Funções personalizadas e selecione a função.
Abra Atribuições de função.
Selecione + Adicionar.
Escolha um ou mais grupos.
Selecione Concluído.
Os membros recebem as permissões de todas as funções aplicáveis, atribuídas diretamente ou por meio de grupos. As alterações podem levar até 5 minutos para entrar em vigor.
Atribuir uma função diretamente a um membro
Onde houver suporte a atribuições diretas, abra o perfil do membro, acesse Funções diretas e selecione Atribuir função direta. Escolha a função personalizada a ser atribuída. Uma função direta se combina com as funções que o membro recebe por meio de grupos.
Delegar a edição de funções atribuídas
No ChatGPT Enterprise, um proprietário do espaço de trabalho pode permitir que gerentes de grupo editem as configurações permitidas das funções personalizadas atribuídas ao grupo. Os gerentes de grupo não podem criar, excluir, atribuir ou desatribuir funções. Editar uma função compartilhada por vários grupos afeta todos esses grupos.
Para saber mais sobre a atribuição e remoção de gerentes e as configurações de permissões delegadas, consulte: Gerenciamento de grupos e gerentes de grupo.
Configurar o acesso a modelos e as exceções de segurança
Acesso a modelos
Os proprietários podem controlar o acesso aos modelos elegíveis por meio das configurações do espaço de trabalho ou de funções personalizadas. Uma função não pode disponibilizar um modelo se o espaço de trabalho não for elegível para ele. Escolher um modelo inicial ou padrão não concede acesso a ele.
Nos espaços de trabalho Enterprise e Edu elegíveis, o GPT-6 Astra vem desativado por padrão no lançamento. Configure o acesso ao Astra separadamente; as configurações anteriores de Acesso antecipado a modelos não são transferidas. Revise todas as funções atribuídas, pois uma função que permite o acesso pode mantê-lo ativado mesmo quando outra está definida como Desativado.
Quando foram lançados no Work e no Codex, o GPT-6 Sol e o GPT-6 Luna estavam desativados por padrão nos espaços de trabalho Enterprise e Edu. Os administradores precisam ativar qualquer modelo que ainda esteja desativado para que os membros possam usá-lo. Os modelos já ativados não precisam ser ativados novamente para esta liberação no Chat. O seletor de modelos e o controle deslizante mostram apenas as opções disponíveis para o membro.
Para o GPT-6 no Chat do Enterprise, use a permissão existente do GPT-6 Sol para controlar o acesso de Instantâneo a Extra alto. Espaços de trabalho com o Sol ativado podem receber acesso durante a liberação gradual. Este lançamento no Chat não inclui um novo período de prévia para administradores.
O acesso depende das configurações administrativas existentes e de todas as funções atribuídas. As permissões das funções comuns se somam, conforme descrito acima: uma função pode permitir o acesso mesmo que outra o desative. Os membros ainda precisam atender aos requisitos de elegibilidade de plano, licença e produto. O Pro usa a permissão separada do GPT-6 Astra.
Se um membro não encontrar um desses modelos no Work ou no Codex, verifique se o espaço de trabalho é elegível para o modelo e revise o acesso efetivo do membro aos modelos.
Os administradores podem abrir o Console de administração, selecionar o espaço de trabalho do ChatGPT, abrir Modelos e selecionar Testar para verificar o acesso do membro e as configurações que o afetam. O teste não ativa modelos nem altera permissões.
Para saber mais sobre a disponibilidade de modelos, os requisitos do cliente e o procedimento completo, consulte: Modelos e limites do ChatGPT Enterprise e Edu.
Modo de bloqueio
Espaços de trabalho com suporte a funções do Modo de bloqueio podem criar uma função personalizada para os membros que precisam dele. O Modo de bloqueio é uma configuração de segurança no nível da função, não um simples controle para ativar ou desativar uma permissão.
Uma função do Modo de bloqueio pode restringir recursos com acesso à rede, incluindo busca na web em tempo real, pesquisa aprofundada, modo agente, acesso à rede no Canvas e alguns comportamentos de apps ou MCP, dependendo das configurações do espaço de trabalho. Essas restrições podem se aplicar mesmo quando uma função comum permite o uso do recurso.
Antes de atribuir uma função do Modo de bloqueio, verifique quais apps e ações ela permite. Os membros também devem ter as permissões necessárias em cada sistema de origem conectado; o acesso a apps no ChatGPT não se sobrepõe a essas permissões.
Para mais detalhes, consulte: Modo de bloqueio.
Gerenciar o acesso a plugins de uma função
Nos espaços de trabalho Enterprise e Edu, o acesso a um plugin específico pode ser configurado para uma função personalizada ou herdado da configuração padrão do espaço de trabalho. Essas configurações por plugin são independentes da permissão Usar plugins, válida para todo o espaço de trabalho, e de outras permissões de plugins que oferecem apenas as opções Ativado e Desativado.
Acesse o Console de administração, selecione o espaço de trabalho do ChatGPT desejado e abra Plugins.
Selecione o plugin e revise a função que deseja alterar.
Escolha se a função terá uma configuração própria de acesso ao plugin ou se herdará a configuração padrão do espaço de trabalho.
Revise o acesso atual e o proposto para os apps necessários e as dependências compartilhadas. Confirme apenas as alterações em plugins e apps que você pretende fazer.
Revise os resultados e resolva eventuais falhas nas alterações.
Ao verificar o acesso, revise todas as funções atribuídas ao membro diretamente e por meio de grupos. O acesso ao plugin não se sobrepõe às configurações independentes de acesso, ações, aprovação ou autorização do provedor dos apps incluídos.
Um plugin com acesso restrito pode continuar visível no diretório com a indicação Desativado pelo administrador. Para saber mais sobre a administração de plugins e conflitos com apps necessários, consulte: Controles administrativos, segurança e conformidade para plugins e apps.
Verificar o acesso efetivo de um membro
Revise o tipo de licença do membro, a elegibilidade do plano, as configurações padrão do espaço de trabalho e todas as funções atribuídas diretamente e por meio de grupos. Aguarde até 5 minutos para que alterações recentes no RBAC sejam aplicadas.
Os exemplos a seguir usam funções comuns, salvo indicação em contrário:
| Configuração | Resultado |
|---|---|
| A Busca na web está definida como Ativado no espaço de trabalho; a única função comum do membro usa Padrão. | A Busca na web é permitida por essa função. |
| Uma função comum define a Busca na web como Desativado; outra a define como Ativado. | A Busca na web é permitida porque uma das funções concede acesso. |
| Todas as funções comuns aplicáveis definem a Busca na web como Desativado. | O RBAC comum não concede acesso, mesmo que a configuração base do espaço de trabalho seja Ativado. |
| Uma função comum permite um recurso com acesso à rede; uma função do Modo de bloqueio o restringe. | A restrição do Modo de bloqueio se aplica. |
Para verificar o acesso a modelos, os administradores dos planos Business, Enterprise, Healthcare e Edu podem usar Testar na seção Modelos do Console de administração. Essa opção mostra o acesso efetivo aos modelos e as configurações que o determinam. Ela não concede acesso nem altera permissões. Para ver o procedimento, consulte: Modelos e limites do ChatGPT Enterprise e Edu.
Perguntas frequentes
Definir uma permissão como Desativado em uma função remove o acesso de um membro?
Não, se outra função comum aplicável conceder a permissão. Revise tanto as atribuições diretas quanto as funções recebidas por meio de grupos. O Modo de bloqueio e a elegibilidade para o produto são avaliados separadamente.
O RBAC pode se sobrepor ao tipo de licença de um membro?
Não. O RBAC controla os recursos dentro dos limites de acesso permitidos pelo tipo de licença e pelo plano do espaço de trabalho. Uma licença exclusiva do Codex não recebe acesso ao ChatGPT por meio de uma função personalizada.
E se uma permissão tiver apenas as opções Ativado e Desativado?
Configure explicitamente Ativado ou Desativado para o espaço de trabalho e as funções relevantes. A opção Padrão está disponível apenas para permissões compatíveis.