Systém na správu identít medzi doménami (SCIM) synchronizuje používateľov a skupiny od vášho poskytovateľa identity. SCIM spravuje zriaďovanie, zatiaľ čo jediné prihlásenie (SSO) spravuje spôsob overovania používateľov. SCIM môžete nakonfigurovať nezávisle od SSO / jediného prihlásenia.
Skontrolujte dostupnosť a vyberte rozsah zriaďovania
Dostupné možnosti závisia od vašich produktov, plánu, existujúcich pripojení adresárov a roly správcu.
| Rozsah SCIM | Podporované produkty alebo plány | Požadovaný správca | Kde ho spravovať |
|---|---|---|---|
| V rámci celého tenantu | Podporované tenanty vrátane tenantov iba pre reklamy; podporované priradenia produktov zahŕňajú pracovné priestory ChatGPT a reklamné účty, nie organizácie Platformy API. | globálny správca | Admin Console. |
| Pracovný priestor ChatGPT | Podporované pracovné priestory ChatGPT Enterprise alebo ChatGPT Edu. | vlastník pracovného priestoru | Vybratý pracovný priestor. |
| Organizácia API | Podporované organizácie API s podporovaným fakturačným plánom Custom alebo Unlimited. | vlastník organizácie API | Platforma API. |
| Nedostupné | Samostatné plány ChatGPT Business a ChatGPT for Teachers; použite iný podporovaný spôsob registrácie. | vlastník alebo správca pracovného priestoru | Príslušný pracovný priestor ChatGPT. |
Samostatný plán ChatGPT Business ani ChatGPT for Teachers nezahŕňa SCIM. SCIM pre celý tenant vyžaduje aspoň jednu overenú doménu a podporovaný pracovný priestor ChatGPT Enterprise, pracovný priestor ChatGPT Edu alebo reklamný účet. Pracovný priestor Business možno zahrnúť iba vtedy, ak má ten istý tenant aj podporovaný pracovný priestor ChatGPT Enterprise a pracovný priestor Business je dostupný v časti Prístup k produktom. Automatické vytváranie účtov je oddelené od SCIM, nevyžaduje SSO / jediné prihlásenie a nesynchronizuje používateľov ani skupiny adresára.
Informácie o nastavení pracovného priestoru ChatGPT Business a limitoch plánu nájdete v článku: Nastavenie jediného prihlásenia pre ChatGPT Business.
Informácie pre zamestnancov, ktorí už používajú osobný účet ChatGPT, nájdete v článku: Registrácia zamestnancov s existujúcimi účtami ChatGPT.
Vyberte SCIM pre celý tenant alebo na úrovni produktu
SCIM pre celý tenant môže zriaďovať podporované pracovné priestory ChatGPT a reklamné účty. Organizácie API nezriaďuje. Existujúce pripojenia na úrovni produktu naďalej spravujú jeden podporovaný pracovný priestor ChatGPT alebo jednu podporovanú organizáciu API.
Ak váš pracovný priestor ChatGPT ponúka na výber:
Možnosť Použiť SCIM iba pre tento pracovný priestor vytvorí pripojenie špecifické pre pracovný priestor.
Možnosť Zachovať možnosť rozšírenia na ďalšie produkty otvorí nastavenie pre celý tenant v Admin Console.
Používanie Admin Console nevyžaduje nahradenie existujúceho pripojenia SCIM na úrovni produktu. SCIM pre celý tenant nemožno povoliť, kým má prepojený pracovný priestor ChatGPT alebo organizácia API aktívne SCIM na úrovni produktu. Po aktivovaní SCIM pre celý tenant nemôžete spustiť konfliktné pripojenie na úrovni produktu. Pred úpravou funkčného pripojenia koordinujte každú migráciu so svojím tímom pre účet OpenAI. Samostatné pripojenia ChatGPT a API na úrovni produktu môžu fungovať súčasne, ak SCIM pre celý tenant nie je aktívne.
Pred zmenou rozsahu skontrolujte existujúcich používateľov, skupiny, priradenia produktov a roly. Každú migráciu koordinujte so svojím tímom pre účet OpenAI. Funkčné pripojenie neodstraňujte, aby ste vyriešili chybu nastavenia.
SCIM pre celý tenant nemôže zmeniť e-mailovú adresu existujúceho účtu OpenAI a podpora OpenAI ju nemôže zmeniť manuálne. Ak potrebujete aktualizovať spravované e-mailové adresy, použite namiesto toho podporované pripojenie SCIM na úrovni pracovného priestoru ChatGPT. SCIM pre celý tenant a SCIM na úrovni pracovného priestoru nemôžu byť aktívne súčasne, preto pred povolením synchronizácie adresára vyberte vhodné nastavenie.
Pripojenie adresára tenantu
Globálny správca môže pomocou Admin Console pripojiť zdieľaný adresár pre celý tenant pre podporované pracovné priestory Enterprise alebo Edu a reklamné účty. Pred začatím overte aspoň jednu doménu pre ten istý tenant. Jednotlivé reklamné účty nemajú samostatné adresáre SCIM. SCIM pre celý tenant nemôže zmeniť e-mailovú adresu existujúceho účtu OpenAI a podpora OpenAI ju nemôže zmeniť manuálne.
Prihláste sa do Admin Console ako globálny správca.
Vyberte správny tenant OpenAI a otvorte Globálne nastavenia.
Vyberte Prístup a potom otvorte Adresár.
Vyberte Povoliť synchronizáciu adresára (SCIM).
Nakonfigurujte aplikáciu poskytovateľa identity pomocou hodnôt zobrazených pre tento tenant.
U svojho poskytovateľa identity priraďte jednu alebo dve jasne pomenované pilotné skupiny alebo používateľov.
Vráťte sa do časti Adresár a potvrďte, že sa stav pripojenia zmenil na Aktívne.
Úvodné nastavenie môže trvať až 5 minút. Ak nastavenie nie je dokončené, vyberte Pokračovať v nastavení. Možnosť Zrušiť nastavenie vyberte iba vtedy, ak chcete nedokončené pripojenie zahodiť.
Skontrolujte stav pripojenia a nedávne udalosti adresára, aby ste overili pripojenie alebo zistili príčinu chýbajúceho používateľa či skupiny. Ak chcete skontrolovať priradenia skupín, otvorte Spravovať adresár a vyberte Spravovať prístup k produktom.
V závislosti od poskytovateľa identity môžu SSO / jediné prihlásenie a SCIM zdieľať jednu aplikáciu alebo vyžadovať samostatné aplikácie. Postupujte podľa pokynov pre konkrétneho poskytovateľa a nepoužívajte hodnoty pripojenia iného pracovného priestoru ani organizácie API.
Podporované integrácie môžu zahŕňať Okta, Microsoft Entra ID, Google Workspace, PingFederate, OneLogin a Rippling. Ďalšie vlastné možnosti založené na SCIM alebo SFTP závisia od integrácií dostupných pre váš tenant.
Pripojenie adresára pracovného priestoru ChatGPT
Prihláste sa ako vlastník podporovaného pracovného priestoru Enterprise alebo Edu.
Otvorte Nastavenia pracovného priestoru a potom vyberte Identita a prístup.
Nájdite položku Synchronizácia adresára (SCIM) a vyberte Povoliť synchronizáciu adresára.
Ak sa zobrazí výber, zvoľte Použiť SCIM iba pre tento pracovný priestor.
Dokončite nastavenie pre konkrétneho poskytovateľa a priraďte požadovaných používateľov alebo skupiny.
Potvrďte, že sa synchronizovaní používatelia alebo skupiny zobrazujú vo vybratom pracovnom priestore.
Ak sú ovládacie prvky adresára pracovného priestoru iba na čítanie, vyberte zobrazenú možnosť Cloud Console ↗ a požiadajte globálneho správcu, aby spravoval pripojenie pre celý tenant v Admin Console.
Pripojenie adresára organizácie API
Prihláste sa do Platformy API ako vlastník podporovanej organizácie API.
Vyberte správnu organizáciu API a otvorte nastavenia Identity.
Spustite dostupné nastavenie synchronizácie adresára.
Nakonfigurujte aplikáciu poskytovateľa identity pomocou hodnôt pre danú organizáciu API.
U svojho poskytovateľa identity priraďte požadovaných používateľov alebo skupiny.
Potvrďte, že sa pozvaní používatelia pripojili k správnej organizácii API.
Zriaďovanie organizácie API spravujte v Platforme API. SCIM pre celý tenant v Admin Console nezriaďuje organizácie API. Ak nastavenia identity API nie sú dostupné, požiadajte vlastníka organizácie API alebo svoj tím pre účet OpenAI, aby overil vašu oprávnenosť a nastavenie.
Členovia organizácie API, projekty, fakturácia a roly špecifické pre API sa naďalej spravujú v Platforme API.
SCIM organizácie API môže synchronizovať aj skupiny od vášho poskytovateľa identity. Tieto skupiny spravujte a podporované roly API priraďujte v Platforme API.
Priradenie synchronizovaných skupín a prístupu k produktom
V Admin Console otvorte Globálne nastavenia tenantu a potom vyberte Používatelia a skupiny > SCIM Skupiny.
Vyberte synchronizovanú skupinu.
V časti Prístup k produktom vyberte Konfigurovať prístup alebo otvorte existujúce priradenie.
Vyberte podporovaný pracovný priestor ChatGPT alebo reklamný účet.
Skontrolujte zdroj, existujúce priradenia a dostupné informácie o rolách.
Vyberte Uložiť.
Otvorte vybratý pracovný priestor alebo reklamný účet a potvrďte, že sa v ňom skupina zobrazuje. Ak nový člen pracovného priestoru chýba, skontrolujte čakajúce pozvánky.
Priradením synchronizovanej skupiny k pracovnému priestoru ChatGPT sa vytvorí zodpovedajúca skupina pracovného priestoru. Ak osoba ešte nie je členom pracovného priestoru, OpenAI vytvorí pozvánku s rolou Člen.
Po prijatí pozvánky sa osoba pripojí ku skupine pracovného priestoru. V závislosti od nastavení pracovného priestoru sa k pozvánke nemusí odoslať e-mail. Existujúcim členom pracovného priestoru zostane ich aktuálna rola a typ licencie.
Tú istú synchronizovanú skupinu môžete priradiť k viacerým podporovaným pracovným priestorom ChatGPT a reklamným účtom. Každý zdroj priraďte samostatne; prístup k jednému neudeľuje prístup k ďalšiemu.
Editor Prístup k produktom podporuje pracovné priestory ChatGPT a reklamné účty. Nepriraďuje organizácie API, rolu vlastníka pracovného priestoru ChatGPT ani vlastné roly pracovného priestoru ChatGPT. Roly reklamného účtu skontrolujte vo vybratom reklamnom účte a vlastné roly nakonfigurujte vo vybratom pracovnom priestore ChatGPT.
Pred rozšírením prístupu skontrolujte existujúce povolenia. Synchronizovaná skupina už môže mať prístup k pracovnému priestoru ChatGPT alebo reklamnému účtu. Použite rolu s najnižšími potrebnými oprávneniami a požiadajte globálneho správcu, aby preveril neočakávaný prístup.
Keď synchronizovanej skupine udelíte prístup k reklamnému účtu cez Prístup k produktom, jej počiatočná rola v účte je Člen. Skontrolujte rolu pre konkrétny účet a použite prístup s najnižšími potrebnými oprávneniami.
Informácie o povoleniach pre reklamy nájdete v článku: Správa identity a prístupu v Správcovi reklám.
Správa záznamov používateľov, pozvánok a skupín
Synchronizovaný záznam adresára automaticky neudeľuje prístup ku každému pracovnému priestoru ChatGPT, organizácii API ani reklamnému účtu. Naďalej platí členstvo v produktoch, priradenie ku skupinám, pravidlá prihlasovania a roly špecifické pre jednotlivé produkty.
Priraďovanie existujúcich používateľov a obmedzenia zmien e-mailu
Zriaďovanie priradí existujúci účet OpenAI podľa nakonfigurovaného pracovného e-mailu. Overte, že e-mail u poskytovateľa identity, adresa pozvánky a zamýšľaný účet OpenAI patria tej istej osobe. Nakonfigurujte poskytovateľa identity tak, aby pre každého používateľa odosielal presne jednu primárnu e-mailovú adresu.
SCIM pre celý tenant nemôže zmeniť e-mailovú adresu existujúceho účtu OpenAI a podpora OpenAI ju nemôže zmeniť manuálne. Podporované pripojenie SCIM na úrovni pracovného priestoru ChatGPT môže aktualizovať e-mail prijatého člena spravovaného cez SCIM, ak sú pre daný pracovný priestor povolené zmeny e-mailu. Stará aj nová e-mailová doména musia byť overené pre ten istý pracovný priestor a jeho tenant, nová adresa nesmie byť prepojená s iným účtom OpenAI a mapovanie SSO musí používať aktualizovanú adresu. Aktualizujte existujúceho používateľa SCIM a najskôr otestujte jeden účet.
Ak synchronizovaná pozvánka používa neaktuálnu e-mailovú adresu, neodstraňujte účet ani záznam adresára a nevytvárajte ho znova, nepozývajte novú adresu ako náhradu a neodpájajte adresár. Tieto kroky môžu vytvoriť samostatný účet OpenAI, pričom existujúce projekty, agenti a história konverzácií zostanú priradené k pôvodnému účtu. Pred vykonaním zmien overte konfiguráciu adresára a kontaktujte podporu OpenAI. Podpora OpenAI nemôže manuálne zmeniť e-mailovú adresu účtu spravovaného prostredníctvom SCIM pre celý tenant.
Ak sa existujúci používateľ alebo skupina tenantu zhoduje so synchronizovaným záznamom adresára, môže prejsť pod správu vášho poskytovateľa identity. Existujúce manuálne vytvorené pozvánky, členstvá a skupiny pracovného priestoru ChatGPT neprejdú automaticky pod správu SCIM.
Existujúci člen pracovného priestoru sa môže pripojiť k synchronizovanej skupine pracovného priestoru bez zmeny svojho členstva, roly alebo typu licencie. Pri odoberaní prístupu odstráňte manuálne udelený prístup k pracovnému priestoru samostatne.
Pozvánky a automatické vytváranie účtov
Novozriadený používateľ ChatGPT alebo API môže pred pripojením k produktu potrebovať prijať pozvánku. Niektoré postupy SCIM vytvoria čakajúcu pozvánku bez odoslania e-mailu. Existujúci člen pracovného priestoru ChatGPT nedostane ďalšiu pozvánku, keď sa zodpovedajúci používateľ tenantu začne spravovať cez SCIM.
Požiadajte vlastníka pracovného priestoru, aby skontroloval čakajúce pozvánky. Pri manuálnej pozvánke môže vlastník vybrať možnosť Znova odoslať pozvánku, ak je dostupná. Pozvánky spravované cez SCIM nemožno znova odoslať priamo; API môže vrátiť chybu 409 scim_managed_resource. Ak je dostupná možnosť Pozvať člena, vlastník môže znova zadať rovnaký e-mail bez zmeny existujúcej roly alebo typu licencie. Ak pozvánka zostáva zablokovaná, kontaktujte podporu OpenAI.
Automatické vytváranie účtov môže pridať podporovaných používateľov ChatGPT, keď sa prihlásia e-mailom z overenej domény. Je oddelené od SCIM a nevyžaduje SSO / jediné prihlásenie. Automatické vytváranie účtov a SCIM nepovoľujte súčasne. Takto vytvorení používatelia nemusia byť spravovaní cez SCIM, takže ich odstránenie u poskytovateľa identity nemusí odobrať ich prístup k produktu. Skontrolujte využitie licencií, nespravovaných používateľov odstráňte samostatne a pri odoberaní prístupu overte všetky prístupové cesty.
Správa vlastníctva, rolí a viditeľnosti skupín
Členstvo v synchronizovaných skupinách spravujte u svojho poskytovateľa identity. Správcovia pracovného priestoru môžu udržiavať samostatné manuálne spravované skupiny.
Pri SCIM pre celý tenant sa existujúca manuálne spravovaná skupina pracovného priestoru ChatGPT neprevezme, ani keď má rovnaký názov ako synchronizovaná skupina. OpenAI vytvorí samostatnú synchronizovanú skupinu pracovného priestoru, preto pred priradením prístupu skontrolujte názvy existujúcich skupín.
Ak premenujete synchronizovanú skupinu u poskytovateľa identity, premenuje sa aj zodpovedajúca synchronizovaná skupina pracovného priestoru.
SCIM na úrovni pracovného priestoru používa samostatné pripojenie. V závislosti od konfigurácie môže synchronizovaná skupina s rovnakým názvom ako manuálna skupina pracovného priestoru previesť členstvo tejto skupiny pod správu poskytovateľa identity.
Ak je táto funkcia podporovaná, vlastník pracovného priestoru môže v časti Povolenia a roly vybratého pracovného priestoru ChatGPT priradiť podporované vlastné roly pracovného priestoru. Synchronizované skupiny môžu podporovať aj analytiku pracovného priestoru, ak je dostupná.
Ak je táto možnosť dostupná, nastavenie Viditeľné pre používateľov pracovného priestoru v časti Identita a prístup pracovného priestoru určuje, či sa skupiny spravované cez SCIM zobrazia pri zdieľaní modelov GPT alebo projektov. Vypnutie tohto nastavenia môže skupiny skryť a pri najbližšej aktualizácii modelu GPT alebo projektu odstrániť existujúce zdieľania so skupinami. Zmena viditeľnosti nezastaví synchronizáciu ani neodstráni skupinu. Ak pracovný priestor používa SCIM pre celý tenant a jeho nastavenia identity sú iba na čítanie, tento ovládací prvok nemusí byť dostupný. Informácie o podporovaných možnostiach vám poskytne váš tím pre účet OpenAI.
Testovanie pridávania a odoberania používateľov
Pridajte jedného testovacieho používateľa do určenej aplikácie alebo priradenej skupiny u poskytovateľa identity.
Počkajte na úspešnú synchronizáciu.
Potvrďte, že sa používateľ zobrazuje v určenom tenante alebo produkte a získal iba očakávanú rolu.
Odstráňte používateľa z priradenia poskytovateľa alebo zo zriaďovacej skupiny.
Počkajte na ďalšiu úspešnú synchronizáciu a potvrďte, že prístup odvodený od skupiny bol odobratý.
Skontrolujte priame pozvánky, ďalšie skupiny a roly špecifické pre produkty, ktoré by mohli zachovať samostatný prístup.
Odstránenie osoby iba v ChatGPT môže byť dočasné, ak jej poskytovateľ identity naďalej prideľuje prístup. Zakázanie používateľa u poskytovateľa nemusí vždy odstrániť priradenie aplikácie. Zrušenie zriadenia neodstráni účet OpenAI ani osobný pracovný priestor danej osoby. Po úspešnej synchronizácii potvrďte, že osoba už nie je aktívnym členom pracovného priestoru, a skontrolujte pridelenie licencií v pracovnom priestore. Ak osoba zostáva aktívna, nemožno ju odstrániť alebo po opätovnom pridaní nemôže znova získať prístup, kontaktujte podporu OpenAI. Uchovávanie údajov pracovného priestoru sa riadi pravidlami vybratého pracovného priestoru.
Riešenie problémov so synchronizáciou adresára
| Problém | Čo skontrolovať |
|---|---|
| Nastavenie adresára chýba alebo je zablokované | Overte plán, rolu správcu, vybratý tenant a to, či už je aktívne SCIM pre celý tenant alebo na úrovni produktu. Pred zmenou funkčného pripojenia koordinujte migráciu. |
| Používateľ alebo skupina sa nezobrazuje | Skontrolujte priradenia aplikácií u poskytovateľa identity, nastavenia odosielania skupín, vybratý tenant, nedávne udalosti adresára a bežný interval synchronizácie poskytovateľa. |
| Synchronizovaný používateľ nemá prístup k produktu | Skontrolujte priradenie skupiny v časti Prístup k produktom, pozvánku alebo členstvo v produkte, požadovaný spôsob prihlásenia a rolu špecifickú pre produkt. Editor môže priraďovať podporované pracovné priestory ChatGPT a reklamné účty, nie však organizácie API. |
| Odstránený používateľ má stále prístup | Skontrolujte priradenie u poskytovateľa identity, priame pozvánky, ďalšie synchronizované alebo manuálne skupiny a roly v každom produkte. Odstránenie jednej prístupovej cesty neodstráni inú. Ak je používateľ po úspešnej synchronizácii stále aktívny a nezostala žiadna iná prístupová cesta, kontaktujte podporu OpenAI. Neodpájajte adresár, aby ste opravili jeden účet. |
| Aktualizácia e-mailu spôsobuje konflikt účtov | Ak cieľový e-mail už patrí inému účtu OpenAI, zastavte postup a kontaktujte podporu OpenAI. Neodstraňujte žiadny z účtov ani nevytvárajte náhradného používateľa. |
Mnohí poskytovatelia identity synchronizujú zmeny každých 30 až 40 minút, iní odosielajú aktualizácie skôr. OpenAI nemá všeobecný ovládací prvok na vynútenie okamžitej synchronizácie adresára.
Informácie o chybách overovania alebo prihlasovania nájdete v článku: Riešenie problémov so SSO, prístupom k pracovnému priestoru a overením domény.
Bezpečné odstránenie pripojenia adresára
Odstránenie aktívneho pripojenia adresára pre celý tenant nemožno vrátiť späť. Existujúci synchronizovaní používatelia a skupiny zostanú v tenante a prejdú na manuálnu správu. Odpojenie automaticky nezruší existujúci prístup k produktom.
V Admin Console otvorte Globálne nastavenia tenantu.
Vyberte Prístup a potom otvorte Adresár.
Skontrolujte pripojeného poskytovateľa a dotknutých používateľov, skupiny a priradenia produktov.
Vyberte Odstrániť pripojenie.
Zmenu potvrďte iba vtedy, ak chcete zastaviť synchronizáciu.
Skontrolujte zostávajúcich používateľov, skupiny, prístup k produktom a roly správcov.
Odstránenie môže trvať až 5 minút. Pred nahradením funkčného pripojenia alebo prechodom medzi SCIM na úrovni produktu a pre celý tenant kontaktujte svoj tím pre účet OpenAI.
────────────────────────────────────────────────────────────