Descrição geral
O Sistema de Gestão de Identidades entre Domínios (SCIM) sincroniza utilizadores e grupos a partir do seu fornecedor de identidade. O SCIM gere o aprovisionamento; o início de sessão único (SSO) gere a forma como as pessoas se autenticam. Pode configurar o SCIM independentemente do SSO.
Verificar a disponibilidade e escolher um âmbito de aprovisionamento
As opções dependem dos seus produtos, plano, ligações existentes ao diretório e função de administrador.
| Âmbito do SCIM | Produtos ou planos elegíveis | Administrador necessário | Onde gerir |
|---|---|---|---|
| Ao nível do inquilino | Os inquilinos elegíveis, incluindo os que apenas têm Anúncios, podem atribuir espaços de trabalho do ChatGPT e contas de Anúncios compatíveis. Os inquilinos Enterprise e Edu também podem atribuir organizações da Plataforma de API. | administrador global | Consola de Administração. |
| Espaço de trabalho do ChatGPT | Espaços de trabalho elegíveis do ChatGPT Enterprise ou Edu. | proprietário do espaço de trabalho | O espaço de trabalho selecionado. |
| Organização da API | Organizações da API elegíveis com um plano de faturação Custom ou Unlimited suportado. | proprietário da organização da API | Plataforma de API. |
| Não disponível | Planos autónomos ChatGPT Business e ChatGPT for Teachers; utilize outro método de integração suportado. | proprietário ou administrador do espaço de trabalho | O espaço de trabalho do ChatGPT relevante. |
Um plano autónomo ChatGPT Business e o ChatGPT for Teachers não incluem SCIM. O SCIM ao nível do inquilino exige, pelo menos, um domínio verificado e um espaço de trabalho elegível do ChatGPT Enterprise ou ChatGPT Edu, ou uma conta de Anúncios. Um espaço de trabalho Business só pode ser incluído quando o mesmo inquilino também tiver um espaço de trabalho elegível do ChatGPT Enterprise e o espaço de trabalho Business estiver disponível em Acesso ao produto. A criação automática de contas é independente do SCIM, não exige SSO e não sincroniza utilizadores nem grupos do diretório.
Para obter informações sobre a configuração do espaço de trabalho do ChatGPT Business e os limites do plano, consulte: Configurar o início de sessão único para o ChatGPT Business.
Para funcionários que já utilizam uma conta pessoal do ChatGPT, consulte: Integrar funcionários com contas existentes do ChatGPT.
Escolher SCIM ao nível do inquilino ou do produto
O SCIM ao nível do inquilino pode aprovisionar espaços de trabalho do ChatGPT e contas de Anúncios compatíveis. Os inquilinos Enterprise e Edu também podem aprovisionar organizações da API através de atribuições de grupos sincronizados. As ligações existentes ao nível do produto continuam a gerir um espaço de trabalho do ChatGPT elegível ou uma organização da API elegível.
Se o seu espaço de trabalho do ChatGPT permitir escolher:
Usar SCIM apenas para este espaço de trabalho cria uma ligação específica para o espaço de trabalho.
Manter a opção de expandir a outros produtos abre a configuração ao nível do inquilino na Consola de administração.
A utilização da Consola de administração não exige a substituição de uma ligação SCIM existente ao nível do produto. As ligações SCIM ao nível do inquilino e do produto podem estar ambas ativadas. No entanto, não pode alterar uma atribuição de Acesso a produtos ao nível do inquilino para um espaço de trabalho do ChatGPT ou uma organização da API enquanto esse recurso tiver o SCIM ao nível do produto ativado. Coordene qualquer migração com a equipa da OpenAI responsável pela sua conta antes de alterar uma ligação que esteja a funcionar.
Antes de alterar os âmbitos, reveja os utilizadores, grupos, atribuições de produtos e funções existentes. Coordene qualquer migração com a equipa da OpenAI responsável pela sua conta. Não elimine uma ligação que esteja a funcionar para resolver um erro de configuração.
O SCIM ao nível do inquilino pode sincronizar o endereço de e-mail principal de um utilizador gerido com a respetiva conta OpenAI existente quando tanto o domínio de e-mail atual como o novo estão verificados para o inquilino do diretório.
Ligar um diretório do inquilino
Um administrador global pode utilizar a Consola de administração para ligar um diretório partilhado ao nível do inquilino para espaços de trabalho Enterprise ou Edu e contas de Anúncios elegíveis. Os inquilinos Enterprise e Edu também podem utilizar este diretório para atribuir grupos sincronizados a organizações da API. Antes de começar, verifique pelo menos um domínio para o mesmo inquilino. As contas de Anúncios individuais não têm diretórios SCIM separados.
Inicie sessão na Consola de administração como administrador global.
Selecione o inquilino OpenAI correto e abra as Definições globais.
Selecione Acesso e, em seguida, abra Diretório.
Selecione Ativar sincronização do diretório (SCIM).
Configure a aplicação do fornecedor de identidade com os valores apresentados para este inquilino.
No seu fornecedor de identidade, atribua um ou dois grupos ou utilizadores de teste com nomes que os identifiquem claramente.
Volte a Diretório e confirme que a ligação passa ao estado Ativa.
A configuração inicial pode demorar até 5 minutos. Se a configuração estiver incompleta, selecione Continuar configuração. Selecione Cancelar configuração apenas se pretender descartar a ligação por concluir.
Reveja o estado da ligação e os eventos recentes do diretório para verificar a ligação ou investigar a ausência de um utilizador ou grupo. Para rever as atribuições de grupos, abra Gerir diretório e selecione Gerir acesso a produtos.
Consoante o seu fornecedor de identidade, o SSO e o SCIM podem partilhar uma aplicação ou exigir aplicações separadas. Siga as instruções específicas do fornecedor e não reutilize os valores de ligação de outro espaço de trabalho ou de outra organização da API.
As integrações compatíveis podem incluir Okta, Microsoft Entra ID, Google Workspace, PingFederate, OneLogin e Rippling. As opções adicionais de SCIM personalizado ou baseadas em SFTP dependem das integrações disponíveis para o seu inquilino.
Ligar o diretório de um espaço de trabalho do ChatGPT
Inicie sessão como proprietário de um espaço de trabalho Enterprise ou Edu elegível.
Abra Definições do espaço de trabalho e selecione Identidade e acesso.
Localize Sincronização de diretórios (SCIM) e selecione Ativar sincronização de diretórios.
Se aparecer uma escolha, selecione Utilizar o SCIM apenas para este espaço de trabalho.
Conclua a configuração específica do fornecedor e atribua os utilizadores ou grupos pretendidos.
Confirme que os utilizadores ou grupos sincronizados aparecem no espaço de trabalho selecionado.
Se os controlos de diretório do espaço de trabalho forem só de leitura, selecione Consola na nuvem ↗, quando disponível, e peça a um administrador global que gira a ligação ao nível do inquilino na Consola de Administração.
Ligar um diretório de organização da API ao nível do produto
Inicie sessão na Plataforma de API como proprietário de uma organização da API elegível.
Selecione a organização da API correta e abra as definições de Identidade.
Inicie a configuração disponível da sincronização de diretórios.
Configure a aplicação do fornecedor de identidade com os valores dessa organização da API.
Atribua os utilizadores ou grupos pretendidos no seu fornecedor de identidade.
Confirme que os utilizadores convidados aderem à organização da API correta.
Estes passos configuram uma ligação SCIM da API ao nível do produto na Plataforma de API. Para o SCIM ao nível do inquilino, atribua grupos sincronizados a organizações da API através de Acesso ao produto na Consola de Administração. Se as definições de identidade da API não estiverem disponíveis, peça ao proprietário da organização da API ou à sua equipa de conta da OpenAI que confirme a sua elegibilidade e configuração.
Os membros, projetos, faturação e funções específicas da API da organização continuam a ser geridos na Plataforma de API.
O SCIM da organização da API também pode sincronizar grupos a partir do seu fornecedor de identidade. Faça a gestão desses grupos e atribua funções da API suportadas na Plataforma de API.
Atribuir grupos sincronizados e acesso a produtos
Na Consola de Administração, abra as Definições globais do inquilino e selecione Utilizadores e grupos > SCIM Grupos.
Selecione o grupo sincronizado.
Em Acesso ao produto, selecione Configurar acesso ou abra a atribuição existente.
Selecione um espaço de trabalho do ChatGPT, uma organização da API ou uma conta de Anúncios compatível.
Reveja o recurso, as atribuições existentes e as informações de função disponíveis.
Selecione Guardar.
Abra o espaço de trabalho ou a conta de Anúncios selecionada, ou consulte o grupo da API na Plataforma de API. Confirme que o grupo aparece. Se faltar um novo membro do espaço de trabalho do ChatGPT, verifique os convites pendentes.
A atribuição de um grupo sincronizado a um espaço de trabalho do ChatGPT cria um grupo correspondente nesse espaço de trabalho. Se a pessoa ainda não for membro do espaço de trabalho, a OpenAI cria um convite com a função Membro.
A pessoa adere ao grupo do espaço de trabalho depois de aceitar o convite. Consoante as definições do espaço de trabalho, o convite poderá não gerar um e-mail. Os membros existentes do espaço de trabalho mantêm a função e o tipo de lugar atuais.
Pode atribuir o mesmo grupo sincronizado a vários espaços de trabalho do ChatGPT, organizações da API e contas de Anúncios compatíveis. Atribua cada recurso separadamente; o acesso a um não concede acesso a outro.
O editor de Acesso ao produto suporta espaços de trabalho do ChatGPT e contas de Anúncios, bem como organizações da API para inquilinos Enterprise e Edu. Não atribui a função de proprietário do espaço de trabalho do ChatGPT nem funções personalizadas do espaço de trabalho do ChatGPT. Reveja as funções da conta de Anúncios na conta de publicidade selecionada e configure as funções personalizadas no espaço de trabalho do ChatGPT selecionado.
Reveja as permissões existentes antes de expandir o acesso. Um grupo sincronizado poderá já ter acesso a um espaço de trabalho do ChatGPT, uma organização da API ou uma conta de Anúncios. Utilize a função com os privilégios mínimos necessários e peça a um administrador global que investigue acessos inesperados.
Quando concede a um grupo sincronizado acesso a uma conta de Anúncios através de Acesso ao produto, a função inicial na conta é Membro. Reveja a função específica da conta e utilize o acesso com os privilégios mínimos necessários.
Para obter informações sobre permissões específicas de Anúncios, consulte: Gerir a identidade e o acesso no Gestor de Anúncios.
Gerir o acesso a organizações da API
A atribuição de um grupo sincronizado a uma organização da API adiciona diretamente os respetivos utilizadores, sem exigir que aceitem um convite. O SCIM cria as associações em falta à organização e assume a gestão das associações existentes elegíveis. Os membros existentes mantêm a respetiva função na organização.
A OpenAI cria um grupo separado, gerido pelo SCIM, na organização da API. Um grupo manual existente da API com o mesmo nome permanece separado. Faça a gestão dos membros do grupo sincronizado no seu fornecedor de identidade e consulte o grupo correspondente na Plataforma de API.
O SCIM gere as associações que cria ou cuja gestão assume. A remoção da última atribuição de grupo elegível pode remover uma associação à organização, incluindo uma que tenha sido originalmente adicionada manualmente. Outra atribuição elegível pode preservar o acesso. As associações manuais cuja gestão não tenha sido assumida pelo SCIM continuam a ser geridas separadamente.
A atribuição a uma organização da API não concede acesso a todos os projetos da API. Reveja separadamente a associação e as permissões dos projetos na Plataforma de API. Teste com um grupo pequeno e reveja as associações existentes antes de atribuir acesso.
Gerir registos de utilizadores, convites e grupos
Um registo sincronizado do diretório não concede automaticamente acesso a todos os espaços de trabalho do ChatGPT, organizações da API ou contas de Anúncios. A associação ao produto, a atribuição de grupos, a política de início de sessão e as funções específicas do produto continuam a aplicar-se.
Identificar utilizadores existentes por correspondência
O aprovisionamento identifica uma conta OpenAI existente através do endereço de e-mail profissional configurado nessa conta. Confirme que o endereço de e-mail no fornecedor de identidade, o endereço do convite e a conta OpenAI pretendida identificam a mesma pessoa. Configure o seu fornecedor de identidade para enviar exatamente um endereço de e-mail principal por utilizador.
Se um utilizador ou grupo existente do inquilino corresponder a um registo sincronizado do diretório, pode passar a ser gerido pelo seu fornecedor de identidade. Os convites e as adesões existentes a espaços de trabalho do ChatGPT criados manualmente não passam automaticamente a ser geridos por SCIM.
Um membro existente do espaço de trabalho pode aderir a um grupo sincronizado desse espaço de trabalho sem alterar a sua adesão, função ou tipo de licença. Durante o processo de saída, revogue separadamente o acesso ao espaço de trabalho concedido manualmente.
Atualizar um endereço de e-mail gerido
O SCIM ao nível do inquilino pode atualizar o endereço de e-mail principal na conta OpenAI existente de um utilizador. O utilizador já tem de estar sincronizado através do diretório desse inquilino. Tanto o domínio de e-mail atual como o novo têm de estar verificados para o inquilino que gere o diretório. Pode alterar um endereço dentro de um domínio verificado ou entre dois domínios verificados para esse inquilino. Um endereço de e-mail secundário ou um alias não substitui o endereço de e-mail principal utilizado na sincronização.
Antes de fazer a alteração, confirme que o novo endereço não pertence a outra conta OpenAI. Se pertencer, pare e contacte o Apoio da OpenAI.
Confirme que o utilizador sincronizado existente corresponde à conta OpenAI pretendida.
Peça a um administrador global que confirme que ambos os domínios de e-mail estão verificados para o inquilino do diretório.
Atualize o endereço de e-mail principal do utilizador existente no seu fornecedor de identidade. Mantenha o registo existente no diretório e envie exatamente um endereço de e-mail principal.
Se o utilizador iniciar sessão através de SSO, atualize o mapeamento de início de sessão para utilizar o mesmo endereço.
Aguarde que a sincronização seja concluída com êxito e confirme que a conta OpenAI existente apresenta o novo endereço de e-mail.
Peça ao utilizador que volte a iniciar sessão com o endereço atualizado e o método de início de sessão exigido pelo produto e, em seguida, confirme o respetivo acesso ao produto.
A alteração do endereço de e-mail atualiza a conta existente e termina a sessão do utilizador. Não une contas OpenAI distintas. As alterações de endereço de e-mail por SCIM ao nível do inquilino continuam sujeitas à elegibilidade da conta e aos limites de alteração de e-mail.
O Apoio da OpenAI não pode alterar manualmente o endereço de e-mail de uma conta gerida através de SCIM ao nível do inquilino.
Uma ligação SCIM elegível ao nível do espaço de trabalho do ChatGPT pode atualizar o endereço de e-mail de um membro gerido por SCIM que já tenha aceite o convite, quando as alterações de e-mail estão ativadas nesse espaço de trabalho. Tanto o domínio de e-mail atual como o novo têm de estar verificados para o mesmo espaço de trabalho e o respetivo inquilino, o novo endereço não pode estar associado a outra conta OpenAI e o mapeamento de SSO tem de utilizar o endereço atualizado. Atualize o utilizador SCIM existente e teste primeiro numa única conta.
Atualmente, o SCIM de organizações da API ao nível do produto não permite alterar o endereço de e-mail de uma conta OpenAI existente.
Se um convite sincronizado utilizar um endereço de e-mail desatualizado ou se uma atualização de e-mail não chegar à conta pretendida, não elimine a conta, não remova nem recrie o registo no diretório, não convide o novo endereço como substituto e não desligue o diretório. Estas ações podem criar uma conta OpenAI distinta e deixar os projetos, agentes e histórico de conversas existentes associados à conta original. Peça ao seu administrador que confirme o registo existente no diretório, o endereço de e-mail principal, a verificação do domínio e o resultado da última sincronização. Contacte o Apoio da OpenAI se os registos não coincidirem, surgir um conflito entre contas ou a atualização continuar bloqueada.
Compreender os convites e a criação automática de contas
Um utilizador do ChatGPT recém-aprovisionado, ou um utilizador aprovisionado através de uma ligação SCIM da API ao nível do produto, pode ter de aceitar um convite antes de aderir ao produto. O SCIM ao nível do inquilino adiciona os utilizadores diretamente às organizações da API atribuídas, sem exigir a aceitação de um convite. Alguns fluxos SCIM criam um convite pendente sem enviar um e-mail. Um membro existente de um espaço de trabalho do ChatGPT não recebe outro convite para esse espaço de trabalho quando o utilizador correspondente do inquilino passa a ser gerido por SCIM.
Peça a um proprietário do espaço de trabalho que reveja os convites pendentes. No caso de um convite manual, o proprietário pode selecionar Reenviar convite, se essa opção estiver disponível. Os convites geridos por SCIM não podem ser reenviados diretamente; uma API pode devolver 409 scim_managed_resource. Se a opção Convidar membro estiver disponível, o proprietário pode introduzir novamente o mesmo endereço de e-mail sem alterar a função ou o tipo de licença existente. Contacte o Apoio da OpenAI se o convite continuar bloqueado.
A criação automática de contas pode adicionar utilizadores elegíveis do ChatGPT quando iniciam sessão com um endereço de e-mail de um domínio verificado. É independente do SCIM e não exige SSO. Se o espaço de trabalho exigir SSO, os colaboradores continuam a ter de o utilizar para iniciar sessão.
Antes de configurar o SCIM, reveja a criação automática de contas em cada espaço de trabalho. Esta definição pode já estar ativada quando cria um espaço de trabalho. Desative-a se pretender gerir o acesso através de SCIM. Os utilizadores adicionados através da criação automática de contas podem não ser geridos por SCIM, pelo que removê-los do fornecedor de identidade pode não revogar o respetivo acesso ao produto. Reveja a utilização de licenças, remova separadamente os utilizadores não geridos e verifique todas as vias de acesso durante o processo de saída.
Para saber mais sobre as predefinições e os controlos do espaço de trabalho, consulte: Gerir o seu inquilino na Consola de administração.
Gerir a propriedade, as funções e a visibilidade dos grupos
Faça a gestão dos membros do grupo sincronizado no seu fornecedor de identidade. Os administradores do espaço de trabalho podem manter grupos separados geridos manualmente.
Ao migrar um espaço de trabalho do ChatGPT para o SCIM ao nível do inquilino, um grupo existente do espaço de trabalho pode ser adotado se o respetivo nome corresponder exatamente ao do grupo sincronizado. Reveja os nomes de grupos duplicados e os membros existentes com a sua equipa de conta da OpenAI antes de atribuir acesso. Este comportamento do ChatGPT não se aplica a grupos manuais da API.
Se mudar o nome de um grupo sincronizado no seu fornecedor de identidade, o grupo sincronizado correspondente do espaço de trabalho também muda de nome.
O SCIM ao nível do espaço de trabalho utiliza uma ligação separada. Consoante a configuração, um grupo sincronizado com o mesmo nome de um grupo manual do espaço de trabalho pode colocar os membros desse grupo sob o controlo do fornecedor de identidade.
Quando suportado, um proprietário do espaço de trabalho pode utilizar Permissões e funções no espaço de trabalho do ChatGPT selecionado para atribuir funções personalizadas elegíveis do espaço de trabalho. Os grupos sincronizados também podem suportar a análise do espaço de trabalho, quando disponível.
Quando disponível, Detetável pelos utilizadores do espaço de trabalho, nas definições de Identidade e acesso do espaço de trabalho, controla se os grupos geridos pelo SCIM aparecem quando as pessoas partilham GPTs ou projetos. A desativação da definição pode ocultar esses grupos e remover as partilhas de grupo existentes na próxima atualização de um GPT ou projeto. Alterar a capacidade de deteção não interrompe a sincronização nem remove o grupo. Se o espaço de trabalho utilizar o SCIM ao nível do inquilino e as definições de identidade forem só de leitura, este controlo poderá não estar disponível. Informe-se junto da sua equipa de conta da OpenAI sobre as opções suportadas.
Testar a integração e a desvinculação
Adicione um utilizador de teste à aplicação pretendida do fornecedor de identidade ou ao grupo atribuído.
Aguarde que a sincronização seja concluída com êxito.
Confirme que o utilizador aparece no inquilino ou produto pretendido e que recebe apenas a função esperada.
Remova o utilizador da atribuição do fornecedor ou do grupo de aprovisionamento.
Aguarde pela próxima sincronização bem-sucedida e confirme que o acesso resultante do grupo é removido.
Verifique os convites diretos, outros grupos e funções específicas do produto que possam preservar um acesso separado.
A remoção de uma pessoa apenas no ChatGPT poderá ser temporária se o fornecedor de identidade continuar a atribuí-la. Desativar um utilizador no fornecedor nem sempre remove a atribuição da aplicação. Desaprovisionar um membro de um espaço de trabalho do ChatGPT não elimina a conta OpenAI nem o espaço de trabalho pessoal dessa pessoa. Após uma sincronização bem-sucedida, confirme que a pessoa já não é um membro ativo do espaço de trabalho e reveja a atribuição de lugares do espaço de trabalho. Se a pessoa continuar ativa, não puder ser removida ou não conseguir recuperar o acesso depois de voltar a ser adicionada, contacte o Suporte da OpenAI. A retenção de dados do espaço de trabalho do ChatGPT segue a política do espaço de trabalho selecionado.
Resolver problemas de sincronização do diretório
| Problema | O que verificar |
|---|---|
| A configuração do diretório não está disponível ou está bloqueada | Confirme o plano, a função de administrador, o inquilino selecionado e se o SCIM ao nível do inquilino ou do produto já está ativo. Coordene a migração antes de alterar uma ligação que esteja a funcionar. |
| Um utilizador ou grupo não aparece | Verifique as atribuições à aplicação no fornecedor de identidade, as definições de envio de grupos, o inquilino selecionado, os eventos recentes do diretório e o intervalo normal de sincronização do fornecedor. |
| Um utilizador sincronizado não consegue aceder a um produto | Verifique a atribuição de Acesso a produtos do grupo, o convite ou a adesão ao produto, o método de início de sessão exigido e a função específica do produto. O editor permite atribuir espaços de trabalho do ChatGPT e contas de Anúncios compatíveis, bem como organizações da API para inquilinos Enterprise e Edu. No caso de uma atribuição da API, verifique a adesão ao grupo e à organização na Plataforma de API. |
| Um utilizador removido continua a ter acesso | Reveja a atribuição no fornecedor de identidade, os convites diretos, outros grupos sincronizados ou manuais e as funções em cada produto. A remoção de uma via de acesso não remove as outras. Se o utilizador continuar ativo após uma sincronização bem-sucedida e já não existir nenhuma outra via de acesso, contacte o Apoio da OpenAI. Não desligue o diretório para resolver um problema numa única conta. |
| Um endereço de e-mail gerido não foi atualizado | Verifique o utilizador sincronizado existente, o endereço de e-mail principal enviado pelo fornecedor de identidade, a verificação de ambos os domínios de e-mail para o inquilino do diretório e o resultado da última sincronização. Uma ligação ao nível do espaço de trabalho do ChatGPT também exige que ambos os domínios estejam verificados para esse espaço de trabalho. Contacte o Apoio da OpenAI se a atualização continuar bloqueada. |
| Uma atualização de e-mail cria um conflito entre contas | Se o endereço de e-mail de destino já pertencer a outra conta OpenAI, pare e contacte o Apoio da OpenAI. Não elimine nenhuma das contas nem crie um utilizador de substituição. |
Muitos fornecedores de identidade sincronizam as alterações a cada 30 a 40 minutos, enquanto outros enviam atualizações mais cedo. Não existe um controlo geral da OpenAI que permita forçar uma sincronização imediata do diretório.
Para erros de autenticação ou de início de sessão, consulte: Resolver problemas de SSO, acesso ao espaço de trabalho e verificação de domínios.
Remover uma ligação ao diretório em segurança
A remoção de uma ligação ativa ao diretório ao nível do inquilino não pode ser anulada. Antes de a desligar, reveja as atribuições de produtos com a sua equipa de conta da OpenAI e confirme como serão tratadas as associações existentes. Não desligue o diretório para remover ou restaurar o acesso de uma pessoa.
Na Consola de Administração, abra as Definições globais do inquilino.
Selecione Acesso e, em seguida, abra Diretório.
Reveja o fornecedor ligado e os utilizadores, grupos e atribuições de produtos afetados.
Selecione Eliminar ligação.
Confirme a alteração apenas se pretender interromper a sincronização.
Reveja os restantes utilizadores, grupos, acessos a produtos e funções de administrador.
A remoção pode demorar até 5 minutos. Contacte a sua equipa de conta da OpenAI antes de substituir uma ligação funcional ou de alternar entre o SCIM ao nível do produto e do inquilino.