Účel
Táto príručka má správcom a IT tímom poskytnúť potrebné informácie, ktoré treba zvážiť pred konfiguráciou SSO vo vašich účtoch ChatGPT alebo platformy. SSO je k dispozícii pre zákazníkov Business, Enterprise a Edu.
Základná architektúra a terminológia
SSO / jediné prihlásenie je v súčasnosti podporované prostredníctvom overovania SAML v ChatGPT aj na Platforme API.
Pracovný priestor označuje inštanciu ChatGPT.
Organizácia označuje inštanciu Platformy API.
Poskytovateľ identity (IdP) označuje službu, ktorú používate na správu digitálnej identity. Podporujeme pripojenia cez všetkých poskytovateľov identity, ktorí podporujú SAML. Medzi najbežnejších poskytovateľov identity, s ktorými sme sa prepojili, patria:
Okta
Azure Active Directory/Entra ID
Google Workspace
Duo
Úplný zoznam podporovaných poskytovateľov identity nájdete na stránke integrácií služby WorkOS. Podporujeme všetky integrácie tretích strán na tejto stránke, ku ktorým sa možno pripojiť cez SAML alebo OIDC.
Každý pracovný priestor ChatGPT má v súčasnosti priradenú zodpovedajúcu organizáciu Platformy. To znamená, že ID organizácie (org-id), ktoré nájdete na stránke Platformy „Všeobecné“ pre Enterprise, je rovnaké ID organizácie (org-id), aké je priradené k vášmu pracovnému priestoru ChatGPT Enterprise. Váš pracovný priestor a organizácia preto používajú rovnakú vrstvu overovania:
Z tejto architektúry vyplýva niekoľko dôležitých skutočností:
Jedno ID organizácie (org-id) môže podporovať iba jednu konfiguráciu IdP.
Overenia domén a nastavenia SAML SSO / jediného prihlásenia sa zdieľajú medzi ChatGPT a Platformou API.
SSO / jediné prihlásenie treba povoliť samostatne pre ChatGPT a pre Platformu API. Po nakonfigurovaní v jednej službe však „nastavenie“ druhej služby väčšinou spočíva iba v zapnutí prepínača a prípadnom pridaní aplikácie so záložkou do vášho IdP.
Začíname so SSO
Pred konfiguráciou SSO vo vašom účte je dôležité najprv porozumieť niekoľkým kľúčovým konceptom funkcie SSO od OpenAI.
Všeobecná terminológia identity
Zriaďovanie Keď OpenAI hovorí o zriaďovaní v kontexte používateľov, máme na mysli konkrétne zriaďovanie pozvánok. Priame zriaďovanie vytvárania používateľských účtov nepodporujeme. Pozvánky možno zriaďovať prostredníctvom:
SCIM (podporované v integrácii ChatGPT SCIM aj v integrácii SCIM pre platformu API)
Stránka „Členovia“ v ChatGPT alebo v platforme API
Automatické vytváranie účtov
API pre pozvánky
Zriaďovanie pozvánok je samostatný krok nezávislý od overenia vykonávaného cez SSO.
Overenie totožnosti – „Ste tým, za koho sa vydávate?“
Príklad: IdP overí používateľa pre našu službu, aby sme pri prihlásení vedeli, že je tým, za koho sa vydáva.
Autorizácia – „Čo smiete robiť alebo vidieť?“
Príklad: Keď vás váš IdP overí, určíme, ktorých pracovných priestorov ChatGPT ste členom.
Zoznámte sa s nastaveniami SSO / jediného prihlásenia OpenAI
Overenie domény Je podmienkou povolenia SSO / jediného prihlásenia a automatického vytvárania účtov. V podstate ide o otázku: „Vlastníte túto doménu?“
Ak je zároveň nastavené SSO / jediné prihlásenie, overená doména pri prihlasovaní cez chatgpt.com alebo platform.openai.com určuje, či bude používateľ presmerovaný na našu stránku na zadanie hesla alebo na svoj IdP.
Po overení domény vo vašom pracovnom priestore sa každému používateľovi pozvanému do tohto priestoru s e-mailom z danej domény pri ďalšom prihlásení zobrazí výzva na zlúčenie osobného účtu.
Overenie v ChatGPT je založené na doméne AJ pracovnom priestore. Keď je doména overená a v pracovnom priestore je povolené SSO / jediné prihlásenie, na SSO / jediné prihlásenie budú presmerovaní iba používatelia daného priestoru s touto doménou. Používatelia s rovnakou doménou, ktorí však NIE SÚ súčasťou pracovného priestoru (t. j. používatelia účtov Free, Plus, ChatGPT Pro alebo Team z vašej domény), sa budú naďalej prihlasovať e-mailom a heslom alebo cez sociálnu sieť.
Overenie na Platforme je založené na doméne. Keď je doména overená a povolí sa SSO / jediné prihlásenie, všetci používatelia Platformy s touto doménou stratia možnosť prihlasovať sa heslom. Ďalšie podrobnosti nájdete nižšie v časti „Overenie domény v ChatGPT a na Platforme API“.
Subdomény sa musia overovať oddelene od domén najvyššej úrovne.
Aby sme mohli úspešne spracovať overenie vašej domény, váš záznam TXT musí byť čitateľný prostredníctvom vyhľadávania DNS.
(Iba ChatGPT) Automatické vytváranie účtov (AAC) Ak je táto funkcia povolená v pracovnom priestore ChatGPT, nový používateľ, ktorého e-mail zodpovedá overenej doméne, dostane pri registrácii automaticky pozvánku do pracovného priestoru Enterprise. Ak používate SCIM, neodporúčame povoliť AAC.
(Iba ChatGPT) Povoliť pozvánky pre externé domény Toto nastavenie určuje, či možno do pracovného priestoru pozvať používateľov s neoverenými doménami. Používatelia z externých domén sa nebudú musieť prihlasovať cez SSO / jediné prihlásenie, pretože jeho nastavenia sa vzťahujú iba na používateľov patriacich k overenej doméne.
Povoliť SSO / jediné prihlásenie Toto nastavenie určuje, či sa nakonfigurované nastavenia SSO / jediného prihlásenia použijú na pracovný priestor a/alebo organizáciu.
Vynútiť SSO / jediné prihlásenie
Keď je toto nastavenie vypnuté, používatelia s overenou doménou si môžu vybrať medzi SSO / jediným prihlásením a prihlásením cez sociálnu sieť.
Globálni správcovia môžu priamo na stránke Správa SSO v konzole správcu nastaviť možnosť Vynútiť SSO na hodnotu Povinné pre ChatGPT aj Platformu API. Keď je toto nastavenie zapnuté, používatelia s overenou doménou sa môžu do pracovného priestoru alebo organizácie s povoleným SSO / jediným prihlásením prihlásiť iba cez SSO / jediné prihlásenie. Prihlásenie heslom ani cez sociálnu sieť už pre daný pracovný priestor alebo organizáciu nie je platné. Naďalej ho však možno používať v iných pracovných priestoroch alebo organizáciách, kde daná doména nie je overená.
Overenie domény v ChatGPT v porovnaní s platformou API
Ako už bolo uvedené, overenie domény sa uplatňuje naprieč zdieľanými inštanciami ChatGPT a platformy. Ak je však povolené SSO, existuje zásadný rozdiel v tom, ako overenie domény ovplyvňuje prihlasovanie do ChatGPT v porovnaní s platformou:
SSO / jediné prihlásenie na Platforme API je založené výlučne na doméne. To znamená, že keď je doména overená v ktorejkoľvek organizácii a je povolené SSO / jediné prihlásenie, VŠETCI používatelia s touto doménou stratia možnosť prihlasovať sa heslom. Ak nemajú možnosť prihlásiť sa cez sociálnu sieť, nebudú mať prístup do svojich organizácií, pokiaľ nepatria do prístupovej skupiny IdP.
Naopak, v službe ChatGPT sa to dotkne iba používateľov, ktorí patria do pracovného priestoru, v ktorom bola doména overená. Používatelia, ktorí nie sú v prístupovej skupine IdP, sa budú môcť naďalej prihlasovať do pracovných priestorov spôsobmi uvedenými v nasledujúcej časti.
Skúsenosť vašich používateľov s prihlásením
OpenAI podporuje tri rôzne metódy overenia:
Používateľské meno + heslo
Sociálne overenie cez Microsoft/Google/Apple
SSO
Majte na pamäti, že správanie sa bude líšiť podľa toho, či sa používateľ prihlasuje do ChatGPT alebo platformy API, či je jeho doména overená a či je v príslušných pracovných priestoroch/organizáciách vynútené SSO.
Prihlásenie iniciované poskytovateľom služby (SP)
Všetci používatelia sa môžu prihlásiť priamo na stránke chatgpt.com alebo platform.openai.com. Pri použití tejto možnosti možno jednotlivé spôsoby overenia spustiť takto:
Ak používateľ patrí do viacerých pracovných priestorov vrátane priestoru, v ktorom je pre jeho doménu povolené SSO / jediné prihlásenie, zobrazí sa mu výzva na výber pracovného priestoru, do ktorého sa chce prihlásiť.
Prihlásenie do ChatGPT iniciované poskytovateľom služby (SP)
Ak zistíme, že zadaný e-mail patrí do pracovného priestoru, v ktorom je jeho doména overená, presmerujeme používateľa na overenie k jeho IdP. V opačnom prípade bude používateľ presmerovaný na prihlásenie pomocou hesla.
Ak používateľ patrí do viacerých pracovných priestorov vrátane aspoň jedného, v ktorom je pre jeho doménu povolené SSO / jediné prihlásenie, zobrazí sa mu výzva na výber spôsobu prihlásenia:
Poznámka: Ak je pre konkrétny pracovný priestor zapnutá možnosť „Vynútiť SSO / jediné prihlásenie“, používatelia s overenými doménami sa môžu prihlasovať iba cez SSO / jediné prihlásenie. Prihlásenie cez sociálnu sieť ani heslom nebude k dispozícii.
Prihlásenie na Platformu iniciované poskytovateľom služby (SP)
Ako už bolo uvedené, keď používateľ s overenou doménou zadá svoj e-mail na prihlasovacej stránke Platformy, bude na účely overenia vždy presmerovaný na svoj IdP.
Preto je veľmi dôležité, aby ste pred povolením SSO / jediného prihlásenia pre Platformu dobre rozumeli jeho fungovaniu. Inak môžete používateľom Platformy s osobnými účtami veľmi ľahko omylom zablokovať prístup.
Prihlásenie iniciované poskytovateľom identity (IdP)
Pri konfigurácii SSO / jediného prihlásenia na príslušných stránkach identity nájdete jedinečnú adresu URL dlaždice pre ChatGPT aj Platformu API:
ChatGPT: https://chatgpt.com/auth/login?sso=true&connection=conn_012abcdef
Platforma: https://platform.openai.com/enterprise/conn_012abc/login
Tieto adresy URL dlaždíc môžete nakonfigurovať vo svojom IdP, aby sa používatelia mohli automaticky prihlásiť alebo overiť jediným kliknutím.
Ďalšie kroky
Teraz, keď máte dobrý základ v našej architektúre, prejdite na stránku „Pochopenie ideálneho nastavenia správy používateľov“, aby ste určili ideálnu implementáciu pre svoj prípad použitia. Následne vás prevedieme konfiguráciou SSO a SCIM vo vašom účte.