Qëllimi
Ky udhëzues synon t’u ofrojë administratorëve dhe ekipeve të IT-së informacionin e nevojshëm që duhet marrë parasysh para konfigurimit të SSO në llogaritë tuaja të ChatGPT ose Platformës. SSO është i disponueshëm për klientët Business, Enterprise dhe Edu.
Arkitektura bazë dhe terminologjia
SSO aktualisht mbështetet përmes autentifikimit SAML si për ChatGPT, ashtu edhe për Platformën API.
Hapësira e punës i referohet një instance të ChatGPT
Organizata i referohet një instance të Platformës API
Ofruesi i identitetit (IdP) i referohet shërbimit që përdor për të menaxhuar identitetin digjital. Ne mbështesim lidhje përmes të gjithë IdP-ve që mbështesin SAML. Disa nga IdP-të më të zakonshme me të cilat jemi lidhur përfshijnë:
Okta
Azure Active Directory/Entra ID
Google Workspace
Duo
Për listën e plotë të IdP-ve të mbështetur, ju lutemi referojuni faqes së integrimeve të WorkOS. Ne mbështesim të gjitha integrimet e palëve të treta në këtë faqe që mund të lidhen përmes SAML ose OIDC.
Aktualisht, çdo hapësirë pune e ChatGPT ka një organizatë përkatëse të Platformës të lidhur me të. Kjo do të thotë se ID-ja e organizatës (org-id) që gjen në faqen “General” të Platformës Enterprise është e njëjta ID organizate (org-id) e lidhur me hapësirën tënde të punës ChatGPT Enterprise. Si rezultat, hapësira jote e punës dhe organizata jote ndajnë të njëjtën shtresë autentifikimi:
Ka disa gjëra kryesore që duhen vënë re si rezultat i kësaj arkitekture:
Një ID e vetme organizate (org-id) mund të mbështesë vetëm një konfigurim të vetëm IdP.
Verifikimet e domenit dhe cilësimet e SAML SSO ndahen mes ChatGPT dhe Platformës API.
SSO duhet të aktivizohet veçmas në ChatGPT kundrejt Platformës API. Megjithatë, pasi ta kesh konfiguruar në njërën, “konfigurimi” i tjetrës është kryesisht thjesht aktivizimi i çelësit dhe shtimi i një aplikacioni shënues në IdP-në tënde, nëse dëshiron.
Fillimi me SSO
Para se të konfigurosh SSO në llogarinë tënde, është e rëndësishme të kuptosh fillimisht disa koncepte kyçe rreth funksionalitetit SSO të OpenAI.
Terminologjia e përgjithshme e identitetit
Provizionimi Kur OpenAI flet për provizionim në kontekstin e përdoruesve, i referohemi posaçërisht provizionimit të ftesave. Nuk e mbështesim drejtpërdrejt provizionimin e krijimit të llogarive të përdoruesve. Ftesat mund të provizionohen përmes:
SCIM (mbështetur si në Integrimin SCIM të ChatGPT, ashtu edhe në Integrimin SCIM të Platformës API)
Faqja “Members” e ChatGPT ose Platforma API
Krijimi automatik i llogarive
API-ja e ftesave
Provizionimi i ftesave është një hap i pavarur nga autentifikimi që kryhet nga SSO.
Autentifikimi – “A je ai/ajo që thua se je?”
Shembull: një IdP autentifikon një përdorues në shërbimin tonë, në mënyrë që të dimë se është ai/ajo që thotë se është kur hyn.
Autorizimi – “Çfarë të lejohet të bësh ose të shohësh?”
Shembull: Pasi IdP-ja jote të të autentifikojë, ne përcaktojmë se në cilat hapësira pune të ChatGPT je anëtar.
Njohja me cilësimet e SSO të OpenAI
Verifikimi i domenit Ky është një parakusht për aktivizimin e SSO dhe të krijimit automatik të llogarive. Në thelb: “A e zotëron këtë domen?”
Kur hyn përmes chatgpt.com ose platform.openai.com, një domen i verifikuar përcakton nëse përdoruesi do të dërgohet te faqja jonë e fjalëkalimit apo te IdP-ja e tij, kur SSO është gjithashtu i konfiguruar
Pasi një domen të verifikohet në hapësirën tënde të punës, çdo përdorues i ftuar në hapësirën e punës me një email nga ai domen do të nxitet të bashkojë llogarinë e tij personale herën tjetër që hyn.
Autentifikimi i ChatGPT bazohet në domen DHE në hapësirën e punës - kur një domen verifikohet dhe SSO aktivizohet në hapësirën e punës, vetëm përdoruesit në atë hapësirë pune që ndajnë të njëjtin domen do të drejtohen te SSO. Përdoruesit që ndajnë domenin, por NUK janë pjesë e hapësirës së punës (p.sh. përdoruesit e llogarive Free, Plus, Pro ose Team nga domeni yt), do të vazhdojnë të hyjnë përmes emailit/fjalëkalimit ose autentifikimit social.
Autentifikimi i Platformës bazohet në domen -- kur një domen verifikohet dhe SSO aktivizohet, të gjithë përdoruesit e Platformës nën atë domen do ta humbasin mundësinë për t’u identifikuar me fjalëkalim. Shih “Verifikimi i domenit në ChatGPT kundrejt Platformës API” më poshtë për më shumë hollësi.
Nëndomenet duhet të verifikohen veçmas nga domenet e nivelit të lartë
Që ne ta përpunojmë me sukses verifikimin e domenit tënd, rekordi yt TXT duhet të jetë i lexueshëm përmes një kërkimi DNS.
(Vetëm ChatGPT) Krijimi automatik i llogarive (AAC) Kur aktivizohet në një hapësirë pune të ChatGPT, një përdorues i ri, emaili i të cilit përputhet me domenin(et) e verifikuar(a), do të marrë automatikisht një ftesë për hapësirën e punës Enterprise kur të regjistrohet. Nuk rekomandojmë aktivizimin e AAC nëse përdor SCIM.
(Vetëm ChatGPT) Lejo ftesat nga domene të jashtme Ky cilësim kontrollon nëse përdoruesit me domene të paverifikuara mund të ftohen apo jo në hapësirën e punës. Përdoruesve nga domene të jashtme nuk do t’u kërkohet të hyjnë përmes SSO, pasi cilësimet e SSO zbatohen vetëm për përdoruesit që i përkasin domenit të verifikuar.
Aktivizo SSO Ky cilësim përcakton nëse cilësimet e tua të konfiguruara të SSO zbatohen apo jo për hapësirën e punës dhe/ose organizatën.
Detyro SSO
Kur është i çaktivizuar, ky cilësim u lejon përdoruesve me domen të verifikuar të zgjedhin midis hyrjes përmes SSO ose përmes hyrjes sociale.
Administratorët globalë mund ta vendosin Enforce SSO si Required si për ChatGPT, ashtu edhe për Platformën API, drejtpërdrejt nga faqja Manage SSO në Konsolën e administratorit. Kur aktivizohet, ky cilësim bën që përdoruesit me domen të verifikuar të mund të hyjnë në hapësirën e punës ose organizatën ku SSO është aktivizuar vetëm përmes SSO. Autentifikimi me fjalëkalim dhe ai social nuk janë më të vlefshëm për hapësirën e punës/organizatën, por mund të përdoren ende në hapësira pune/organizata të tjera ku domeni i tyre nuk është i verifikuar.
Verifikimi i domenit në ChatGPT kundrejt Platformës API
Siç u diskutua më herët, verifikimi i domenit zbatohet në instancat e përbashkëta të ChatGPT dhe Platformës. Megjithatë, ka një dallim kritik në mënyrën se si verifikimi i domenit ndikon në hyrjet në ChatGPT kundrejt Platformës kur SSO është aktivizuar:
SSO në Platformën API është plotësisht i bazuar në domen. Kjo do të thotë se pasi një domen të jetë verifikuar në çfarëdo organizate dhe të jetë aktivizuar SSO, TË GJITHË përdoruesit me atë domen do ta humbasin mundësinë për t’u identifikuar me fjalëkalime. Nëse nuk kanë një mënyrë autentifikimi social, atëherë do të mbeten të bllokuar jashtë organizatave të tyre përkatëse, përveç nëse bëjnë pjesë në grupin e aksesit të IdP-së.
Në të kundërt, në anën e ChatGPT, do të ndikohen vetëm përdoruesit që bëjnë pjesë në hapësirën e punës ku është verifikuar domeni. Përdoruesit që nuk janë në grupin e aksesit të IdP-së do të mund të vazhdojnë të hyjnë në hapësirat e punës duke përdorur metodat e trajtuara në seksionin vijues.
Përvoja e hyrjes për përdoruesit e tu
OpenAI mbështet tri metoda të ndryshme autentifikimi:
Emër përdoruesi + fjalëkalim
Autentifikim social përmes Microsoft/Google/Apple
SSO
Mbaj parasysh se sjellja do të ndryshojë në varësi të faktit nëse përdoruesi po hyn në ChatGPT apo në Platformën API, nëse domeni i tij është i verifikuar dhe nëse hapësirat e punës/organizatat përkatëse kanë vendosur SSO të detyrueshme.
Hyrje e iniciuar nga SP
Të gjithë përdoruesit mund të shkojnë drejtpërdrejt te chatgpt.com ose platform.openai.com për t’u identifikuar. Kur përdoret ky opsion, metodat e ndryshme të autentifikimit mund të aktivizohen siç tregohet më poshtë:
Nëse përdoruesi bën pjesë në disa hapësira pune, përfshirë një ku SSO është aktivizuar për domenin e tij, do t’i kërkohet të zgjedhë në cilën hapësirë pune të hyjë.
Hyrje në ChatGPT e iniciuar nga SP
Nëse zbulojmë se emaili i futur i përket një hapësire pune ku domeni i saj është verifikuar, do ta përcjellim përdoruesin te IdP-ja e tij për t’u autentifikuar. Përndryshe, përdoruesi do të drejtohet të hyjë duke vendosur fjalëkalimin e tij.
Nëse përdoruesi bën pjesë në disa hapësira pune, përfshirë të paktën një ku SSO është aktivizuar për domenin e tij, do t’i kërkohet të zgjedhë cilën metodë të përdorë për t’u identifikuar:
Shënim: nëse “Enforce SSO” është aktivizuar për një hapësirë pune të caktuar, përdoruesit me domenin(et) e verifikuar(a) mund të hyjnë vetëm përmes SSO. Autentifikimi social dhe me fjalëkalim nuk do të jetë i disponueshëm.
Hyrje në Platformë e iniciuar nga SP
Siç u përmend më parë, kur një përdorues me domen të verifikuar vendos emailin e tij në faqen e hyrjes së Platformës, ai gjithmonë do të drejtohet te IdP-ja e tij për t’u autentifikuar.
Prandaj është kritike të sigurohesh se e kupton mirë këtë para se të aktivizosh SSO për Platformën. Përndryshe, është shumë e lehtë të bllokosh gabimisht përdoruesit e Platformës në llogari personale.
Hyrje e iniciuar nga IdP
Kur konfiguroni SSO nga faqet përkatëse të identitetit, do të gjeni një URL unike të pllakës, të ofruar si për ChatGPT, ashtu edhe për Platformën API:
ChatGPT: https://chatgpt.com/auth/login?sso=true&connection=conn_012abcdef
Platforma: https://platform.openai.com/enterprise/conn_012abc/login
Këto URL të pllakave mund të konfigurohen brenda IdP-së për t’u mundësuar përdoruesve të tu të hyjnë/autentifikohen automatikisht me një klikim të vetëm.
Hapat e radhës
Tani që ke një bazë të mirë mbi arkitekturën tonë, vazhdo te faqja jonë “Të kuptosh konfigurimin ideal të menaxhimit të përdoruesve” për të përcaktuar zbatimin ideal për rastin tënd të përdorimit. Pas kësaj, do të të udhëzojmë se si të konfigurosh SSO dhe SCIM brenda llogarisë sate.