Единая аутентификация (SSO) и System for Cross-domain Identity Management (SCIM) для Ads Manager настраиваются на уровне тенанта OpenAI в Global Admin Console. После этого доступ к Ads управляется через административные роли для Ads и роли рекламных аккаунтов.
Перед началом
Чтобы настраивать параметры идентификации на уровне тенанта и управлять участниками тенанта, у вас должна быть роль Global Admin.
Чтобы создавать рекламные аккаунты в тенанте, у пользователя должна быть роль Ads Admin.
Для доступа к существующему рекламному аккаунту требуется роль в рекламном аккаунте: Ad Account Admin, Ad Account Member или Ad Account Viewer.
Используйте один и тот же рабочий адрес электронной почты у поставщика удостоверений, в Global Admin Console и в Ads Manager.
Как работают роли Ads
Global Admin и Ads Admin — это отдельные роли. Global Admin может управлять тенантом, параметрами идентификации и пользователями, но эта роль не дает автоматического разрешения на создание рекламного аккаунта. Назначьте роль Ads Admin пользователям, которым нужно создавать рекламные аккаунты.
После создания рекламного аккаунта назначьте каждому пользователю или группе подходящую роль в рекламном аккаунте. Один адрес электронной почты может иметь доступ к нескольким рекламным аккаунтам, если этому пользователю назначена роль в каждом из них.
Настройка единой аутентификации (SSO) для Ads Manager
Откройте Global Admin Console и выберите тенант, которым хотите управлять.
Настройте и подтвердите домен и поставщика удостоверений, следуя статье «Настройка единой аутентификации (SSO)».
Добавьте в тенант пользователей или группы, которым нужен доступ к Ads.
Назначьте Ads Admin всем, кому нужно создавать рекламные аккаунты. Для существующего рекламного аккаунта назначьте Ad Account Admin, Ad Account Member или Ad Account Viewer в зависимости от потребностей.
Попросите пользователя открыть Ads Manager и войти с тем же рабочим адресом электронной почты, который настроен в тенанте.
Если ваша организация также использует ChatGPT или платформу API, работающая единая аутентификация (SSO) в этих продуктах сама по себе не предоставляет доступ к Ads. Убедитесь, что пользователь находится в правильном тенанте и имеет необходимую роль Ads.
Настройка SCIM для Ads Manager
Для клиентов, использующих только Ads, подготовка учетных записей через SCIM управляется на уровне тенанта в Global Admin Console. SCIM на уровне тенанта для Ads не заменяет конфигурации SCIM на уровне продукта, используемые для ChatGPT или платформы API.
Настройте SCIM, следуя FAQ по интеграции SCIM и инструкциям вашего поставщика удостоверений.
Назначьте нужных пользователей или группы приложению OpenAI у вашего поставщика удостоверений и убедитесь, что подготовка учетных записей прошла успешно.
В Global Admin Console убедитесь, что подготовленный пользователь появился в тенанте. Если приглашение ожидает принятия, пользователь должен принять его.
Назначьте Ads Admin, если пользователю нужно создавать рекламные аккаунты, или назначьте роль в рекламном аккаунте для каждого существующего аккаунта, к которому пользователь должен иметь доступ.
Попросите пользователя войти в Ads Manager с подготовленным адресом электронной почты.
Вы также можете назначить группу, синхронизированную через SCIM, роли Ads. Так доступ по роли будет следовать членству в группе, которым управляет ваш поставщик удостоверений.
Создание еще одного рекламного аккаунта
Убедитесь, что у пользователя есть роль Ads Admin в тенанте. Одной роли Global Admin недостаточно.
Откройте Ads Manager с адресом электронной почты, связанным с тенантом.
Используйте опцию создания нового рекламного аккаунта. Если опция не отображается, проверьте роль Ads Admin и убедитесь, что пользователь работает в нужном тенанте.
После создания назначьте роли в рекламном аккаунте пользователям или группам, которым нужен доступ.
Не полагайтесь на прямой URL онбординга для создания дополнительного аккаунта. Если у пользователя уже есть сеанс Ads Manager, сайт может открыть его существующий аккаунт вместо запуска нового процесса онбординга.
Устранение неполадок со входом и доступом
Пользователя отправляет на вход с паролем вместо поставщика удостоверений
Убедитесь, что пользователь ввел тот же рабочий адрес электронной почты, который настроен в тенанте и у поставщика удостоверений.
Убедитесь, что домен электронной почты подтвержден и единая аутентификация (SSO) настроена для нужного тенанта.
Попросите пользователя выйти из других аккаунтов OpenAI или повторить попытку в приватном окне браузера, чтобы не использовать существующий сеанс для другого адреса электронной почты.
Если проблема сохраняется, обратитесь в службу поддержки OpenAI и укажите адрес электронной почты пользователя, идентификатор тенанта, примерное время и часовой пояс, а также приложите снимок экрана страницы или ошибки.
Пользователь может войти, но не может создать рекламный аккаунт
Убедитесь, что у пользователя есть роль Ads Admin. Роли Global Admin и роли в рекламном аккаунте не включают автоматически разрешение на создание нового рекламного аккаунта.
Пользователь, подготовленный через SCIM, не может получить доступ к Ads Manager
Убедитесь, что событие подготовки учетной записи успешно выполнено у поставщика удостоверений.
Убедитесь, что пользователь отображается в правильном тенанте и принял все ожидающие приглашения.
Убедитесь, что у пользователя или его синхронизированной группы есть необходимая роль Ads Admin или роль в рекламном аккаунте.
Убедитесь, что адрес электронной почты, используемый для входа, точно совпадает с подготовленной идентификацией.
Часто задаваемые вопросы
Управляются ли единая аутентификация (SSO) или SCIM на уровне тенанта?
Да. Для клиентов, использующих только Ads, единая аутентификация (SSO) и SCIM настраиваются в Global Admin Console на уровне тенанта. Затем для управления разрешениями, относящимися к Ads, используются Ads Admin и роли в рекламных аккаунтах.
Global Admin — это то же самое, что Ads Admin?
Нет. Global Admin управляет тенантом и конфигурацией идентификации. Ads Admin дает разрешение на создание рекламных аккаунтов и управление доступом к Ads.
Предоставляет ли SCIM автоматически доступ ко всем рекламным аккаунтам?
Нет. SCIM подготавливает идентификацию пользователя в тенанте. Пользователю или синхронизированной группе также должна быть назначена подходящая роль Ads Admin или роль в рекламном аккаунте.
Может ли один и тот же адрес электронной почты получать доступ к нескольким рекламным аккаунтам?
Да. Назначьте пользователю подходящую роль в каждом рекламном аккаунте. После этого пользователь сможет использовать тот же адрес электронной почты для доступа к этим аккаунтам.
Почему единая аутентификация (SSO) работает для другого продукта OpenAI, но не для Ads Manager?
Аутентификация и доступ к продукту — это разные вещи. Убедитесь, что пользователь находится в нужном тенанте и имеет роль, относящуюся к Ads, даже если единая аутентификация (SSO) уже работает для ChatGPT или платформы API.