Prehľad

Systém na správu identít medzi doménami (SCIM) synchronizuje používateľov a skupiny od vášho poskytovateľa identity. SCIM spravuje zriaďovanie, zatiaľ čo jediné prihlásenie (SSO) spravuje spôsob overovania používateľov. SCIM môžete nakonfigurovať nezávisle od SSO / jediného prihlásenia.

Kontrola dostupnosti a výber rozsahu zriaďovania

Vaše možnosti závisia od produktov, plánu, existujúcich pripojení adresára a roly správcu.

Samostatný plán ChatGPT Business ani ChatGPT for Teachers nezahŕňa SCIM. SCIM pre celého nájomníka vyžaduje aspoň jednu overenú doménu a oprávnený pracovný priestor ChatGPT Enterprise, pracovný priestor ChatGPT Edu alebo reklamný účet. Pracovný priestor Business možno zahrnúť iba vtedy, keď má ten istý nájomník aj oprávnený pracovný priestor ChatGPT Enterprise a pracovný priestor Business je dostupný v sekcii Prístup k produktom. Automatické vytváranie účtov je oddelené od SCIM, nevyžaduje SSO / jediné prihlásenie a nesynchronizuje používateľov ani skupiny adresára.

Informácie o nastavení pracovného priestoru ChatGPT Business a obmedzeniach plánu nájdete v článku: Nastavenie jediného prihlásenia pre ChatGPT Business.

Informácie pre zamestnancov, ktorí už používajú osobný účet ChatGPT, nájdete v článku: Registrácia zamestnancov s existujúcimi účtami ChatGPT.

Vyberte SCIM na úrovni celého tenanta alebo produktu

SCIM na úrovni celého tenanta môže zriaďovať používateľov v podporovaných pracovných priestoroch ChatGPT a reklamných účtoch. Tenanty Enterprise a Edu môžu tiež zriaďovať používateľov v organizáciách API prostredníctvom priradení synchronizovaných skupín. Existujúce pripojenia na úrovni produktu naďalej spravujú jeden pracovný priestor ChatGPT alebo jednu organizáciu API, ktoré spĺňajú podmienky.

Ak váš pracovný priestor ChatGPT ponúka možnosť výberu:

• Možnosť Používať SCIM len pre tento pracovný priestor vytvorí pripojenie určené pre daný pracovný priestor.

• Možnosť Ponechať možnosť rozšírenia na ďalšie produkty otvorí nastavenie pre celého tenanta v konzole správcu.

Používanie konzoly správcu nevyžaduje nahradenie existujúceho pripojenia SCIM na úrovni produktu. Pripojenia SCIM na úrovni celého tenanta aj na úrovni produktu môžu byť zapnuté súčasne. Priradenie v časti Prístup k produktom na úrovni celého tenanta však nemôžete zmeniť pre pracovný priestor ChatGPT ani organizáciu API, kým má daný zdroj zapnutý SCIM na úrovni produktu. Pred zmenou funkčného pripojenia koordinujte každú migráciu s tímom OpenAI, ktorý sa stará o váš účet.

Pred zmenou rozsahu skontrolujte existujúcich používateľov, skupiny, priradenia produktov a roly. Každú migráciu koordinujte s tímom OpenAI, ktorý sa stará o váš účet. Neodstraňujte funkčné pripojenie s cieľom vyriešiť chybu nastavenia.

SCIM na úrovni celého tenanta môže synchronizovať primárnu e-mailovú adresu spravovaného používateľa s jeho existujúcim účtom OpenAI, ak sú domény aktuálnej aj novej e-mailovej adresy overené pre tenanta, ktorému adresár patrí.

Pripojte adresár tenanta

Globálny správca môže v konzole správcu pripojiť zdieľaný adresár na úrovni celého tenanta pre pracovné priestory Enterprise alebo Edu a reklamné účty, ktoré spĺňajú podmienky. Tenanty Enterprise a Edu môžu tento adresár používať aj na priraďovanie synchronizovaných skupín k organizáciám API. Skôr než začnete, overte aspoň jednu doménu pre toho istého tenanta. Jednotlivé reklamné účty nemajú samostatné adresáre SCIM.

1. Prihláste sa do konzoly správcu ako globálny správca.

2. Vyberte správneho tenanta OpenAI a otvorte Globálne nastavenia.

3. Vyberte Prístup a potom otvorte Adresár.

4. Vyberte Zapnúť synchronizáciu adresára (SCIM).

5. Nakonfigurujte aplikáciu poskytovateľa identity pomocou hodnôt zobrazených pre tohto tenanta.

6. U poskytovateľa identity priraďte jednu alebo dve jasne pomenované testovacie skupiny alebo používateľov.

7. Vráťte sa do časti Adresár a overte, či pripojenie prejde do stavu Aktívne.

Úvodné nastavenie môže trvať až 5 minút. Ak nastavenie nie je dokončené, vyberte Pokračovať v nastavení. Možnosť Zrušiť nastavenie vyberte len vtedy, ak chcete zahodiť nedokončené pripojenie.

Skontrolujte stav pripojenia a nedávne udalosti adresára, aby ste overili pripojenie alebo zistili príčinu chýbajúceho používateľa či skupiny. Ak chcete skontrolovať priradenia skupín, otvorte Spravovať adresár a vyberte Spravovať prístup k produktom.

V závislosti od poskytovateľa identity môžu SSO / jediné prihlásenie a SCIM zdieľať jednu aplikáciu alebo vyžadovať samostatné aplikácie. Postupujte podľa pokynov pre konkrétneho poskytovateľa a nepoužívajte hodnoty pripojenia iného pracovného priestoru ani organizácie API.

Medzi podporované integrácie môžu patriť Okta, Microsoft Entra ID, Google Workspace, PingFederate, OneLogin a Rippling. Ďalšie vlastné možnosti založené na SCIM alebo SFTP závisia od integrácií dostupných pre vášho tenanta.

Pripojenie adresára pracovného priestoru ChatGPT

1. Prihláste sa ako vlastník podporovaného pracovného priestoru Enterprise alebo Edu.

2. Otvorte Nastavenia pracovného priestoru a potom vyberte Identita a prístup.

3. Nájdite položku Synchronizácia adresára (SCIM) a vyberte Povoliť synchronizáciu adresára.

4. Ak sa zobrazí výber, zvoľte Použiť SCIM iba pre tento pracovný priestor.

5. Dokončite nastavenie pre konkrétneho poskytovateľa a priraďte požadovaných používateľov alebo skupiny.

6. Potvrďte, že sa synchronizovaní používatelia alebo skupiny zobrazujú vo vybratom pracovnom priestore.

Ak sú ovládacie prvky adresára pracovného priestoru iba na čítanie, vyberte zobrazenú možnosť Cloud Console ↗ a požiadajte globálneho správcu, aby spravoval pripojenie pre celý tenant v Admin Console.

Pripojenie adresára organizácie API na úrovni produktu

1. Prihláste sa na Platformu API ako vlastník oprávnenej organizácie API.

2. Vyberte správnu organizáciu API a otvorte nastavenia Identita.

3. Spustite dostupné nastavenie synchronizácie adresára.

4. Nakonfigurujte aplikáciu poskytovateľa identity pomocou hodnôt pre danú organizáciu API.

5. U svojho poskytovateľa identity priraďte zamýšľaných používateľov alebo skupiny.

6. Overte, že pozvaní používatelia sa pripoja k správnej organizácii API.

Týmito krokmi nakonfigurujete pripojenie SCIM pre API na úrovni produktu na Platforme API. V prípade SCIM pre celého nájomníka priraďte synchronizované skupiny k organizáciám API prostredníctvom sekcie Prístup k produktom v konzole správcu. Ak nastavenia identity API nie sú k dispozícii, požiadajte vlastníka organizácie API alebo svoj tím pre zákazníkov OpenAI, aby overili vašu oprávnenosť a nastavenie.

Členovia organizácie API, projekty, fakturácia a roly špecifické pre API sa naďalej spravujú na Platforme API.

SCIM organizácie API môže synchronizovať aj skupiny od vášho poskytovateľa identity. Tieto skupiny spravujte a podporované roly API priraďujte na Platforme API.

Priradenie synchronizovaných skupín a prístupu k produktom

1. V konzole správcu otvorte Globálne nastavenia nájomníka a potom vyberte Používatelia a skupiny > SCIM Skupiny.

2. Vyberte synchronizovanú skupinu.

3. V sekcii Prístup k produktom vyberte Nakonfigurovať prístup alebo otvorte existujúce priradenie.

4. Vyberte podporovaný pracovný priestor ChatGPT, organizáciu API alebo reklamný účet.

5. Skontrolujte prostriedok, existujúce priradenia a dostupné informácie o rolách.

6. Vyberte Uložiť.

7. Otvorte vybraný pracovný priestor alebo reklamný účet, prípadne skontrolujte skupinu API na Platforme API. Overte, že sa skupina zobrazuje. Ak chýba nový člen pracovného priestoru ChatGPT, skontrolujte čakajúce pozvánky.

Priradením synchronizovanej skupiny k pracovnému priestoru ChatGPT sa vytvorí zodpovedajúca skupina pracovného priestoru. Ak osoba ešte nie je členom pracovného priestoru, OpenAI vytvorí pozvánku s rolou Člen.

Po prijatí pozvánky sa osoba pripojí ku skupine pracovného priestoru. V závislosti od nastavení pracovného priestoru nemusí pozvánka vygenerovať e-mail. Existujúcim členom pracovného priestoru zostane ich aktuálna rola a typ miesta.

Tú istú synchronizovanú skupinu môžete priradiť k viacerým podporovaným pracovným priestorom ChatGPT, organizáciám API a reklamným účtom. Každý prostriedok priraďte samostatne; prístup k jednému neudeľuje prístup k inému.

Editor Prístup k produktom podporuje pracovné priestory ChatGPT a reklamné účty, ako aj organizácie API pre nájomníkov Enterprise a Edu. Nepriraďuje rolu vlastníka pracovného priestoru ChatGPT ani vlastné roly pracovného priestoru ChatGPT. Roly reklamného účtu skontrolujte vo vybranom reklamnom účte a vlastné roly nakonfigurujte vo vybranom pracovnom priestore ChatGPT.

Pred rozšírením prístupu skontrolujte existujúce povolenia. Synchronizovaná skupina už môže mať prístup k pracovnému priestoru ChatGPT, organizácii API alebo reklamnému účtu. Použite požadovanú rolu s najnižšími oprávneniami a požiadajte globálneho správcu, aby preveril neočakávaný prístup.

Keď synchronizovanej skupine udelíte prístup k reklamnému účtu cez sekciu Prístup k produktom, jej počiatočná rola v účte bude Člen. Skontrolujte rolu špecifickú pre daný účet a použite požadovaný prístup s najnižšími oprávneniami.

Informácie o povoleniach pre reklamy nájdete v článku: Správa identity a prístupu v Správcovi reklám.

Správa prístupu k organizácii API

Priradením synchronizovanej skupiny k organizácii API sa jej používatelia pridajú priamo bez potreby prijať pozvánku. SCIM vytvorí chýbajúce členstvá v organizácii a prevezme správu oprávnených existujúcich členstiev. Existujúcim členom zostane ich rola v organizácii.

OpenAI vytvorí v organizácii API samostatnú skupinu spravovanú cez SCIM. Existujúca manuálna skupina API s rovnakým názvom zostane oddelená. Členstvo v synchronizovanej skupine spravujte u svojho poskytovateľa identity a príslušnú skupinu kontrolujte na Platforme API.

SCIM spravuje členstvá, ktoré vytvorí alebo ktorých správu prevezme. Odstránením posledného vyhovujúceho priradenia skupiny sa môže odstrániť členstvo v organizácii vrátane členstva pôvodne pridaného manuálne. Prístup môže zachovať iné vyhovujúce priradenie. Manuálne členstvá, ktorých správu SCIM neprevzal, sa naďalej spravujú samostatne.

Priradenie k organizácii API neudeľuje prístup ku každému projektu API. Členstvo v projektoch a povolenia kontrolujte samostatne na Platforme API. Pred priradením prístupu vykonajte test s malou skupinou a skontrolujte existujúce členstvá.

Správa záznamov používateľov, pozvánok a skupín

Synchronizovaný záznam adresára automaticky neudeľuje prístup ku každému pracovnému priestoru ChatGPT, organizácii API ani reklamnému účtu. Naďalej platia členstvo v produkte, priradenie skupiny, zásady prihlasovania a roly špecifické pre produkt.

Spárujte existujúcich používateľov

Pri zriaďovaní sa existujúci účet OpenAI spáruje na základe nastavenej pracovnej e-mailovej adresy. Overte, či e-mailová adresa u poskytovateľa identity, adresa v pozvánke a zamýšľaný účet OpenAI patria tej istej osobe. Nakonfigurujte poskytovateľa identity tak, aby pre každého používateľa odosielal presne jednu primárnu e-mailovú adresu.

Ak existujúci používateľ alebo skupina tenanta zodpovedá synchronizovanému záznamu v adresári, môže prejsť pod správu vášho poskytovateľa identity. Existujúce manuálne vytvorené pozvánky a členstvá v pracovnom priestore ChatGPT neprechádzajú automaticky pod správu SCIM.

Existujúci člen pracovného priestoru sa môže pridať do synchronizovanej skupiny pracovného priestoru bez zmeny svojho existujúceho členstva, roly alebo typu licencie. Pri odoberaní prístupu používateľovi zrušte manuálne udelený prístup k pracovnému priestoru samostatne.

Aktualizujte spravovanú e-mailovú adresu

SCIM na úrovni celého tenanta môže aktualizovať primárnu e-mailovú adresu v existujúcom účte OpenAI používateľa. Používateľ už musí byť synchronizovaný prostredníctvom adresára daného tenanta. Domény aktuálnej aj novej e-mailovej adresy musia byť overené pre tenanta, ktorý spravuje adresár. Adresu môžete zmeniť v rámci jednej overenej domény alebo medzi dvoma doménami overenými pre daného tenanta. Sekundárna e-mailová adresa ani alias nenahrádzajú primárnu e-mailovú adresu používanú na synchronizáciu.

Pred vykonaním zmeny overte, či nová adresa nepatrí inému účtu OpenAI. Ak áno, nepokračujte a kontaktujte podporu OpenAI.

1. Overte, či existujúci synchronizovaný používateľ zodpovedá zamýšľanému účtu OpenAI.

2. Požiadajte globálneho správcu, aby potvrdil, že obe e-mailové domény sú overené pre tenanta, ktorému adresár patrí.

3. U poskytovateľa identity aktualizujte primárnu e-mailovú adresu existujúceho používateľa. Zachovajte existujúci záznam v adresári a odošlite presne jednu primárnu e-mailovú adresu.

4. Ak sa používateľ prihlasuje cez SSO / jediné prihlásenie, aktualizujte mapovanie prihlasovania tak, aby používalo rovnakú adresu.

5. Počkajte na úspešnú synchronizáciu a overte, či sa v existujúcom účte OpenAI zobrazuje nová e-mailová adresa.

6. Požiadajte používateľa, aby sa znova prihlásil s aktualizovanou adresou spôsobom prihlasovania, ktorý produkt vyžaduje, a potom overte jeho prístup k produktu.

Zmena e-mailovej adresy aktualizuje existujúci účet a odhlási používateľa. Samostatné účty OpenAI sa tým nezlúčia. Zmeny e-mailovej adresy cez SCIM na úrovni celého tenanta naďalej podliehajú podmienkam oprávnenosti účtu a limitom na zmenu e-mailovej adresy.

Podpora OpenAI nemôže manuálne zmeniť e-mailovú adresu účtu spravovaného cez SCIM na úrovni celého tenanta.

Pripojenie SCIM na úrovni pracovného priestoru ChatGPT, ktoré spĺňa podmienky, môže aktualizovať e-mailovú adresu člena spravovaného cez SCIM, ktorý prijal pozvánku, ak sú v danom pracovnom priestore povolené zmeny e-mailovej adresy. Domény aktuálnej aj novej e-mailovej adresy musia byť overené pre ten istý pracovný priestor a jeho tenanta, nová adresa nesmie byť prepojená s iným účtom OpenAI a mapovanie pre SSO / jediné prihlásenie musí používať aktualizovanú adresu. Aktualizujte existujúceho používateľa SCIM a najprv otestujte jeden účet.

SCIM na úrovni produktu pre organizáciu API momentálne nepodporuje zmenu e-mailovej adresy existujúceho účtu OpenAI.

Ak synchronizovaná pozvánka používa neaktuálnu e-mailovú adresu alebo sa aktualizácia e-mailovej adresy neprejaví v zamýšľanom účte, neodstraňujte účet, neodstraňujte a znova nevytvárajte záznam v adresári, neposielajte náhradnú pozvánku na novú adresu ani neodpájajte adresár. Tieto kroky môžu vytvoriť samostatný účet OpenAI, pričom existujúce projekty, agenti a história konverzácií zostanú priradené k pôvodnému účtu. Požiadajte správcu, aby overil existujúci záznam v adresári, primárnu e-mailovú adresu, overenie domén a výsledok poslednej synchronizácie. Ak sa záznamy nezhodujú, objaví sa konflikt účtov alebo aktualizácia zostáva zablokovaná, kontaktujte podporu OpenAI.

Ako fungujú pozvánky a automatické vytváranie účtov

Novozriadený používateľ ChatGPT alebo používateľ zriadený prostredníctvom pripojenia SCIM na úrovni produktu API môže pred získaním prístupu k produktu potrebovať prijať pozvánku. SCIM na úrovni celého tenanta pridáva používateľov priamo do priradených organizácií API bez potreby prijať pozvánku. Niektoré postupy SCIM vytvoria čakajúcu pozvánku bez odoslania e-mailu. Existujúci člen pracovného priestoru ChatGPT nedostane ďalšiu pozvánku do pracovného priestoru, keď sa zodpovedajúci používateľ tenanta začne spravovať cez SCIM.

Požiadajte vlastníka pracovného priestoru, aby skontroloval čakajúce pozvánky. Pri manuálnej pozvánke môže vlastník vybrať možnosť Znova odoslať pozvánku, ak je k dispozícii. Pozvánky spravované cez SCIM sa nedajú priamo znova odoslať; API môže vrátiť chybu 409 scim_managed_resource. Ak je k dispozícii možnosť Pozvať člena, vlastník môže znova zadať rovnakú e-mailovú adresu bez zmeny existujúcej roly alebo typu licencie. Ak pozvánka zostáva zablokovaná, kontaktujte podporu OpenAI.

Automatické vytváranie účtov môže pridať používateľov ChatGPT, ktorí spĺňajú podmienky, keď sa prihlásia e-mailovou adresou s overenou doménou. Funguje nezávisle od SCIM a nevyžaduje SSO / jediné prihlásenie. Ak pracovný priestor vyžaduje SSO / jediné prihlásenie, zamestnanci ho naďalej musia používať na prihlasovanie.

Pred nastavením SCIM skontrolujte automatické vytváranie účtov v každom pracovnom priestore. Toto nastavenie už môže byť pri vytvorení pracovného priestoru zapnuté. Ak plánujete spravovať prístup cez SCIM, vypnite ho. Používatelia pridaní automatickým vytvorením účtu nemusia byť spravovaní cez SCIM, takže ich odstránenie u poskytovateľa identity nemusí odobrať ich prístup k produktu. Skontrolujte využitie licencií, nespravovaných používateľov odstráňte samostatne a pri odoberaní prístupu skontrolujte všetky možnosti prístupu.

Informácie o predvolených nastaveniach a ovládacích prvkoch pracovného priestoru nájdete v článku: Správa tenanta v konzole správcu.

Správa vlastníctva, rolí a viditeľnosti skupín

Členstvo v synchronizovanej skupine spravujte u svojho poskytovateľa identity. Správcovia pracovného priestoru môžu udržiavať samostatné manuálne spravované skupiny.

Pri migrácii pracovného priestoru ChatGPT na SCIM pre celého nájomníka možno prevziať existujúcu skupinu pracovného priestoru, ak sa jej názov presne zhoduje so synchronizovanou skupinou. Pred priradením prístupu skontrolujte duplicitné názvy skupín a existujúcich členov so svojím tímom pre zákazníkov OpenAI. Toto správanie ChatGPT sa nevzťahuje na manuálne skupiny API.

Ak synchronizovanú skupinu premenujete u poskytovateľa identity, premenuje sa aj príslušná synchronizovaná skupina pracovného priestoru.

SCIM na úrovni pracovného priestoru používa samostatné pripojenie. V závislosti od konfigurácie môže synchronizovaná skupina s rovnakým názvom ako manuálna skupina pracovného priestoru odovzdať správu členstva tejto skupiny poskytovateľovi identity.

Ak je táto možnosť podporovaná, vlastník pracovného priestoru môže v sekcii Povolenia a roly vybraného pracovného priestoru ChatGPT priradiť oprávnené vlastné roly pracovného priestoru. Synchronizované skupiny môžu podporovať aj analytiku pracovného priestoru, ak je k dispozícii.

Ak je k dispozícii nastavenie Viditeľné pre používateľov pracovného priestoru v sekcii Identita a prístup pracovného priestoru, určuje, či sa skupiny spravované cez SCIM zobrazia pri zdieľaní GPT alebo projektov. Vypnutie tohto nastavenia môže tieto skupiny skryť a pri ďalšej aktualizácii GPT alebo projektu odstrániť existujúce zdieľania so skupinou. Zmena viditeľnosti nezastaví synchronizáciu ani neodstráni skupinu. Ak pracovný priestor používa SCIM pre celého nájomníka a jeho nastavenia identity sú iba na čítanie, tento ovládací prvok nemusí byť k dispozícii. Informácie o podporovaných možnostiach získate od svojho tímu pre zákazníkov OpenAI.

Testovanie udeľovania a odoberania prístupu

1. Pridajte jedného testovacieho používateľa do zamýšľanej aplikácie poskytovateľa identity alebo priradenej skupiny.

2. Počkajte na úspešnú synchronizáciu.

3. Overte, že sa používateľ zobrazuje v zamýšľanom nájomníkovi alebo produkte a dostal iba očakávanú rolu.

4. Odstráňte používateľa z priradenia u poskytovateľa alebo zo zriaďovacej skupiny.

5. Počkajte na ďalšiu úspešnú synchronizáciu a overte, že sa odstránil prístup odvodený od skupiny.

6. Skontrolujte priame pozvánky, ostatné skupiny a roly špecifické pre produkt, ktoré by mohli zachovať samostatný prístup.

Odstránenie osoby iba v ChatGPT môže byť dočasné, ak jej poskytovateľ identity naďalej priraďuje prístup. Zakázaním používateľa u poskytovateľa sa priradenie aplikácie neodstráni vždy. Zrušením zriadenia člena pracovného priestoru ChatGPT sa neodstráni jeho účet OpenAI ani osobný pracovný priestor. Po úspešnej synchronizácii overte, že osoba už nie je aktívnym členom pracovného priestoru, a skontrolujte pridelenie miest v pracovnom priestore. Ak osoba zostáva aktívna, nemožno ju odstrániť alebo po opätovnom pridaní nemôže znova získať prístup, obráťte sa na podporu OpenAI. Uchovávanie údajov pracovného priestoru ChatGPT sa riadi zásadami vybraného pracovného priestoru.

Riešenie problémov so synchronizáciou adresára

Mnohí poskytovatelia identity synchronizujú zmeny každých 30 až 40 minút, zatiaľ čo iní odosielajú aktualizácie skôr. OpenAI neposkytuje všeobecný ovládací prvok na vynútenie okamžitej synchronizácie adresára.

Pri chybách overenia totožnosti alebo prihlasovania si pozrite: Riešenie problémov s funkciou SSO / jediné prihlásenie, prístupom k pracovnému priestoru a overovaním domén.

Bezpečné odstránenie pripojenia adresára

Odstránenie aktívneho pripojenia adresára pre celého nájomníka nemožno vrátiť späť. Pred odpojením skontrolujte priradenia produktov so svojím tímom pre zákazníkov OpenAI a overte, ako sa spracujú existujúce členstvá. Adresár neodpájajte s cieľom odstrániť alebo obnoviť prístup jednej osoby.

1. V konzole správcu otvorte Globálne nastavenia nájomníka.

2. Vyberte Prístup a potom otvorte Adresár.

3. Skontrolujte pripojeného poskytovateľa a dotknutých používateľov, skupiny a priradenia produktov.

4. Vyberte Odstrániť pripojenie.

5. Zmenu potvrďte iba vtedy, ak chcete zastaviť synchronizáciu.

6. Skontrolujte zostávajúcich používateľov, skupiny, prístup k produktom a roly správcov.

Odstránenie môže trvať až 5 minút. Pred nahradením funkčného pripojenia alebo prechodom medzi SCIM na úrovni produktu a pre celého nájomníka sa obráťte na svoj tím pre zákazníkov OpenAI.