Pré-requisitos
Para configurar o SSO, tem de:
Ter um plano OpenAI com uma Consola de Administração Global
Ser Administrador global
Antes de avançar, consulte as nossas páginas de documentação Visão geral do SSO e Gestão de utilizadores para garantir que está familiarizado com a nossa arquitetura de SSO.
Se já tiver configurado o SSO para uma organização da Plataforma de API ou um espaço de trabalho do ChatGPT, as suas definições de SSO já deverão estar disponíveis para configuração na página OpenAI Identity. Se o espaço de trabalho ou a organização para a qual pretende ativar o SSO não aparecer na sua Consola de Administração Global, contacte support@openai.com.
⚠️ Os seus utilizadores ficarão sem acesso se o SSO não for configurado corretamente!
Uma configuração incorreta pode fazer com que os seus utilizadores fiquem sem acesso a organizações e espaços de trabalho onde o SSO esteja definido como obrigatório. Recomendamos que, enquanto administrador global, mantenha o SSO como Opcional no Portal de Administração.
Durante a configuração, mantenha abertas duas janelas de sessão distintas:
Uma sessão iniciada numa janela anónima
Uma sessão iniciada no seu navegador habitual
Isto permite-lhe testar o processo de início de sessão e a configuração de SSO/verificação de domínio numa janela, e reverter as alterações se necessário através da segunda janela.
Testar o SSO
Se quiser testar o processo de configuração sem arriscar causar impacto nos seus utilizadores, pode fazê-lo através da aplicação aqui.
Concluir uma ligação bem-sucedida nesta aplicação de teste não a associará à sua organização de produção, nem guardará a ligação (para que possa reutilizar os mesmos parâmetros na sua instância de produção quando estiver pronto). Isto significa que é seguro utilizá-la como sandbox ou ambiente de experimentação enquanto se familiariza com os requisitos e resolve quaisquer pré-requisitos em falta.
Ativar o SSO
Para começar, aceda à página OpenAI Identity a partir da Consola de Administração Global. Também pode aceder a essa página através da ligação na página «Identidade e aprovisionamento», nas definições «Gerir espaço de trabalho» no ChatGPT, ou no separador Identidade das definições da sua organização da Plataforma de API.
Alguns dos exemplos abaixo mostrarão a configuração no Okta, mas a mesma lógica deverá aplicar-se a todos os IdP SAML.
Verificação de domínio
Para ativar o SSO, exigimos primeiro que verifique pelo menos um domínio.
Importante: lembre-se de rever o impacto a jusante que a verificação de domínio pode ter nos utilizadores desse domínio.
Clique no botão "+ Adicionar domínio" e introduza o seu DNS para começar:
Depois de o enviar, fornecemos-lhe uma chave para verificar a propriedade do seu domínio. Aceda ao seu fornecedor de DNS e adicione um registo TXT com o valor fornecido:
O seu registo TXT tem de estar acessível através de uma pesquisa DNS para que a verificação seja bem-sucedida.
Depois de concluir isto no seu fornecedor de DNS, volte à página de configuração e clique no botão "Check". Se a propriedade do seu domínio tiver sido validada com sucesso, verá o estado atualizado para "Verified."
Pode adicionar até 99 domínios verificados por Portal de Administração, e dispõe de um período de 7 dias para concluir a verificação antes de um domínio ser marcado como expirado. Os domínios só podem ser verificados num único Portal de Administração. Se precisar de verificar o mesmo domínio numa organização ou espaço de trabalho que não esteja no seu Portal de Administração, contacte o Suporte.
Configurar a sua aplicação
Depois de verificar o seu domínio com êxito, pode prosseguir com a configuração do SSO configurando a sua aplicação IdP.
Para começar, clique no botão «Configurar SSO»:
Selecionar o seu fornecedor de identidade
Tem a opção de selecionar a partir de uma lista dos IdP mais populares que suportam nativamente integrações SAML. Se não vir o seu IdP na lista, ou se quiser utilizar uma ligação OIDC, pode escolher o botão de ligação personalizada adequado apresentado no fundo:
Criar/ligar a aplicação
Agora pode seguir o assistente de configuração passo a passo para ajudar a criar e ligar connosco a sua aplicação IdP. Dependendo do IdP que estiver a utilizar, as instruções podem variar ligeiramente, mas a configuração geral mantém-se:
Tenha em atenção que os URL fornecidos no passo de criação serão exclusivos da sua organização:
Importante: Se optar por repor uma ligação SSO funcional, estes valores de URL irão mudar. Ao configurar o SSO novamente, terá de se certificar de que os atualiza na sua aplicação em conformidade.
Depois de concluir a configuração do URL, pode prosseguir para a definição do mapeamento de atributos dos utilizadores autenticados através da sua aplicação.
Mapeamento de atributos
O mapeamento de atributos que definir na sua aplicação SSO determina, em última análise, que contas OpenAI são autenticadas e como os seus utilizadores aparecem nos produtos OpenAI. O nosso modelo de utilizador atual suporta três propriedades:
Endereço de e-mail (obrigatório na resposta SAML; determina que conta é acedida)
Nome próprio (opcional, mas recomendado)
Apelido (opcional, mas recomendado)
Nota: não suportamos a desencriptação de respostas SAML. Certifique-se de que não está a encriptar a sua resposta nem a asserção, para garantir que conseguimos identificar corretamente os atributos.
Consoante o seu IdP, o mapeamento exato de atributos irá variar. Recomendamos que siga exatamente o mapeamento apresentado para o seu IdP no assistente de configuração; por exemplo, para o Okta seria:
Se estiver a ver novos utilizadores a entrarem com os respetivos endereços de e-mail definidos como nome de apresentação, reveja o seu mapeamento de atributos e confirme que não está a encriptar as suas respostas.
Em alternativa, se estiver a ser pedido a novos utilizadores que introduzam o nome e a data de nascimento, isso provavelmente indica que não estamos a identificar um valor de nome adequado na sua resposta de atributos.
Alterações de e-mail
Ocasionalmente, o endereço de e-mail de um utilizador pode ser atualizado no seu IdP, por exemplo.
Uma alteração do nome legal após um casamento
A empresa foi adquirida e o utilizador tem um novo domínio
etc.
Se isto alterar o valor da declaração emailaddress na SAMLResponse do SSO, será acedido um utilizador OpenAI diferente associado ao novo endereço de e-mail (e criado, caso ainda não exista) após um SSO bem-sucedido. Este utilizador terá de ser convidado para a organização ou o espaço de trabalho separadamente do utilizador original.
Endereços de e-mail principais
Em alguns casos, pode ter utilizadores com vários endereços de e-mail diferentes. Este é um cenário comum em empresas de maior dimensão que têm sistemas de correio distribuídos ou em clientes Edu com diferentes escolas, por exemplo.
Nesta situação, recomendamos que garanta que a sua resposta SAML inclui apenas um único endereço de e-mail nos respetivos atributos, uma vez que incluir vários e-mails pode causar confusão quando tentamos associá-la a um utilizador novo ou existente.
Além disso, se os utilizadores tiverem um endereço de e-mail estático (por exemplo, um UPN), recomendamos que o utilize no seu mapeamento de atributos para garantir que terão uma conta de utilizador OpenAI estável, que não será afetada quando os outros endereços de e-mail forem alterados.
Aprovisionar acesso à aplicação IdP
Depois de criar com êxito o seu mapeamento de atributos, o assistente irá orientá-lo nos passos para aprovisionar o acesso aos utilizadores adequados através dos grupos pretendidos.
Consulte as nossas recomendações sobre Gestão de utilizadores para conhecer as boas práticas.
Definir metadados do IdP
Nesta fase da configuração, tem duas opções distintas para definir os metadados do seu IdP: Configuração dinâmica e Configuração manual.
Configuração dinâmica
Esta é a opção recomendada e mais simples. Com a Configuração dinâmica, só precisa de fornecer o URL de metadados (agora preenchido pelo URL de SSO e pelo ID da entidade que configurou anteriormente) associado à sua aplicação. O assistente de configuração irá mostrar-lhe onde pode encontrar isto no seu IdP:
Configuração manual
Como o nome indica, a Configuração manual exige um pouco mais de trabalho. Dependendo do seu IdP, terá de introduzir o URL de SSO e o emissor do IdP correspondentes, juntamente com um certificado x.509:
Início de sessão iniciado pelo IdP
Se quiser que os seus utilizadores possam clicar num mosaico no painel e ser autenticados automaticamente, pode configurar a autenticação iniciada pelo IdP para a sua aplicação como parte do processo de configuração. Embora o processo exato varie consoante o seu IdP, o processo geral utilizará um URL fornecido no formato:
ChatGPT: https://chatgpt.com/auth/login?sso=true&connection=conn_0123abc
Plataforma de API: https://platform.openai.com/enterprise/conn_01ABC02DEF/login
Por exemplo, o Okta irá orientá-lo na criação de uma nova aplicação de marcador com este URL:
Já o Entra ID permitirá que introduza o «URL de início de sessão» fornecido no formulário adequado:
Importante: Se optar por repor uma ligação SSO funcional, estes valores de URL irão mudar.
Isto significa que, ao configurar a nova ligação, também terá de atualizar o respetivo URL de início de sessão; caso contrário, os utilizadores não conseguirão autenticar-se através dos respetivos atalhos.
Concluir a configuração
Depois de configurar os metadados do seu IdP, pode clicar em «Continuar» para avançar com a configuração de quaisquer aplicações de marcador opcionais. O passo final obrigatório de configuração será na página «Testar início de sessão único»:
Depois de clicar em «Continuar para iniciar sessão», o assistente tentará testar a sua nova ligação. Se tudo correr bem, terá ativado efetivamente o SSO. Deverá agora ver isto refletido na sua página de configuração:
Os utilizadores no seu grupo IdP com contas ou convites correspondentes deverão agora conseguir iniciar sessão com SSO:
Podem aceder a chatgpt.com ou platform.openai.com, introduzir o e-mail e autenticar-se depois de os encaminharmos para o IdP
Podem utilizar o URL do mosaico de marcador que configurou (opcionalmente) durante a configuração
Se verificar que os seus utilizadores não conseguem autenticar-se com êxito e tiver dificuldades em reverter as alterações, contacte o Suporte para assistência imediata.
Lembre-se de que ativar o SSO na Plataforma de API aplica a verificação de domínio a todos os utilizadores com esse domínio. Isto significa que, mesmo que os utilizadores não pertençam à sua organização Enterprise, terão ainda assim de fazer parte do seu grupo IdP para acederem às suas organizações pessoais.
Resolução de problemas de início de sessão
Se, depois de ativar o SSO, tiver problemas ao iniciar sessão, pode consultar a nossa página de Perguntas frequentes e resolução de problemas para obter ajuda na identificação de erros comuns. Se não encontrar aí uma resposta suficiente, não hesite em contactar o Suporte.