Огляд

Система міждоменної ідентифікації (SCIM) синхронізує користувачів і групи з постачальника ідентифікаційних даних. SCIM керує підготовкою облікових записів, а єдиний вхід — автентифікацією користувачів. SCIM можна налаштувати незалежно від єдиного входу.

Перевірка доступності й вибір області підготовки

Доступні варіанти залежать від ваших продуктів, плану, наявних підключень каталогів і ролі адміністратора.

Окремий план ChatGPT Business і ChatGPT for Teachers не включають SCIM. Для SCIM на рівні клієнта потрібен принаймні один підтверджений домен і відповідний робочий простір ChatGPT Enterprise, ChatGPT Edu або рекламний обліковий запис. Робочий простір Business можна включити, лише якщо той самий клієнт також має відповідний робочий простір ChatGPT Enterprise, а простір Business доступний у розділі «Доступ до продукту». Автоматичне створення облікових записів не пов’язане зі SCIM, не потребує єдиного входу й не синхронізує користувачів і групи каталогу.

Про налаштування робочого простору ChatGPT Business та обмеження плану див.: Налаштування єдиного входу для ChatGPT Business.

Для працівників, які вже користуються особистим обліковим записом ChatGPT, див.: Підключення працівників із наявними обліковими записами ChatGPT.

Виберіть SCIM на рівні тенанта або продукту

SCIM на рівні тенанта може автоматично надавати доступ до підтримуваних робочих просторів ChatGPT і рекламних облікових записів. Тенанти Enterprise та Edu також можуть автоматично надавати доступ до організацій API через призначення синхронізованих груп. Наявні підключення на рівні продукту й надалі керують одним робочим простором ChatGPT або однією організацією API, що відповідає вимогам.

Якщо у вашому робочому просторі ChatGPT доступний вибір:

• Параметр Використовувати SCIM лише для цього робочого простору створює підключення для окремого робочого простору.

• Параметр Зберегти можливість поширення на інші продукти відкриває налаштування на рівні тенанта в консолі адміністратора.

Для використання консолі адміністратора не потрібно замінювати наявне підключення SCIM на рівні продукту. Підключення SCIM на рівні тенанта й на рівні продукту можуть бути ввімкнені одночасно. Однак ви не можете змінити призначення Доступ до продуктів на рівні тенанта для робочого простору ChatGPT або організації API, доки для цього ресурсу ввімкнено SCIM на рівні продукту. Перш ніж змінювати робоче підключення, узгодьте міграцію з командою OpenAI, яка супроводжує ваш обліковий запис.

Перш ніж змінювати область дії, перевірте наявних користувачів, групи, призначення продуктів і ролі. Узгоджуйте будь-яку міграцію з командою OpenAI, яка супроводжує ваш обліковий запис. Не видаляйте робоче підключення, щоб усунути помилку налаштування.

SCIM на рівні тенанта може синхронізувати основну адресу електронної пошти керованого користувача з його наявним обліковим записом OpenAI, якщо домени поточної та нової адрес підтверджені для тенанта, якому належить каталог.

Підключіть каталог тенанта

Глобальний адміністратор може через консоль адміністратора підключити спільний каталог на рівні тенанта для робочих просторів Enterprise або Edu та рекламних облікових записів, що відповідають вимогам. Тенанти Enterprise та Edu також можуть використовувати цей каталог, щоб призначати синхронізовані групи організаціям API. Перш ніж почати, підтвердьте принаймні один домен для того самого тенанта. Окремі рекламні облікові записи не мають власних каталогів SCIM.

1. Увійдіть у консоль адміністратора як глобальний адміністратор.

2. Виберіть потрібний тенант OpenAI та відкрийте Глобальні налаштування.

3. Виберіть Доступ, а потім відкрийте Каталог.

4. Виберіть Увімкнути синхронізацію каталогу (SCIM).

5. Налаштуйте застосунок постачальника ідентифікаційних даних, використовуючи значення, показані для цього тенанта.

6. Призначте в постачальника ідентифікаційних даних одну-дві тестові групи або користувачів зі зрозумілими назвами.

7. Поверніться до розділу Каталог і переконайтеся, що підключення перейшло в стан Активне.

Початкове налаштування може тривати до 5 хвилин. Якщо налаштування не завершено, виберіть Продовжити налаштування. Вибирайте Скасувати налаштування, лише якщо хочете відхилити незавершене підключення.

Перегляньте стан підключення та останні події каталогу, щоб перевірити підключення або з’ясувати, чому не відображається користувач чи група. Щоб переглянути призначення груп, відкрийте Керування каталогом і виберіть Керування доступом до продуктів.

Залежно від постачальника ідентифікаційних даних, єдиний вхід і SCIM можуть використовувати один спільний застосунок або потребувати окремих застосунків. Дотримуйтесь інструкцій для свого постачальника й не використовуйте значення підключення іншого робочого простору або організації API.

Серед підтримуваних інтеграцій можуть бути Okta, Microsoft Entra ID, Google Workspace, PingFederate, OneLogin і Rippling. Додаткові варіанти з власними реалізаціями SCIM або на основі SFTP залежать від інтеграцій, доступних вашому тенанту.

Підключіть каталог робочого простору ChatGPT

1. Увійдіть як власник відповідного робочого простору Enterprise або Edu.

2. Відкрийте Налаштування робочого простору, а потім виберіть Ідентифікація та доступ.

3. Знайдіть Синхронізація каталогів (SCIM) і виберіть Увімкнути синхронізацію каталогів.

4. Якщо з’явиться вибір, виберіть Використовувати SCIM лише для цього робочого простору.

5. Завершіть налаштування відповідно до вимог постачальника й призначте потрібних користувачів або групи.

6. Переконайтеся, що синхронізовані користувачі або групи з’явилися у вибраному робочому просторі.

Якщо елементи керування каталогом робочого простору доступні лише для читання, виберіть Хмарна консоль ↗, коли ця кнопка з’явиться, і попросіть глобального адміністратора керувати підключенням на рівні клієнта в Консолі адміністратора.

Підключення каталогу організації API на рівні продукту

1. Увійдіть на Платформу API як власник відповідної організації API.

2. Виберіть правильну організацію API й відкрийте налаштування Ідентифікація.

3. Запустіть доступне налаштування синхронізації каталогу.

4. Налаштуйте застосунок постачальника ідентифікаційних даних, використовуючи значення для цієї організації API.

5. Призначте потрібних користувачів або групи в постачальника ідентифікаційних даних.

6. Переконайтеся, що запрошені користувачі приєдналися до правильної організації API.

Ці дії налаштовують підключення API SCIM на рівні продукту на Платформі API. Для SCIM на рівні клієнта призначайте синхронізовані групи організаціям API через розділ Доступ до продукту в Консолі адміністратора. Якщо налаштування ідентифікації API недоступні, попросіть власника організації API або команду OpenAI, яка супроводжує ваш обліковий запис, перевірити відповідність вимогам і налаштування.

Учасниками організації API, проєктами, оплатою та ролями API й надалі керують на Платформі API.

SCIM організації API також може синхронізувати групи з постачальника ідентифікаційних даних. Керуйте цими групами та призначайте підтримувані ролі API на Платформі API.

Призначення синхронізованих груп і доступу до продуктів

1. У Консолі адміністратора відкрийте Глобальні налаштування клієнта, а потім виберіть Користувачі й групи > SCIM Групи.

2. Виберіть синхронізовану групу.

3. У розділі Доступ до продукту виберіть Налаштувати доступ або відкрийте наявне призначення.

4. Виберіть підтримуваний робочий простір ChatGPT, організацію API або рекламний обліковий запис.

5. Перевірте ресурс, наявні призначення й доступну інформацію про ролі.

6. Виберіть Зберегти.

7. Відкрийте вибраний робочий простір або рекламний обліковий запис чи перевірте групу API на Платформі API. Переконайтеся, що група відображається. Якщо нового учасника робочого простору ChatGPT немає, перевірте запрошення в очікуванні.

Призначення синхронізованої групи робочому простору ChatGPT створює відповідну групу робочого простору. Якщо особа ще не є учасником робочого простору, OpenAI створює запрошення з роллю Учасник.

Особа приєднується до групи робочого простору після прийняття запрошення. Залежно від налаштувань робочого простору запрошення може не супроводжуватися електронним листом. Наявні учасники робочого простору зберігають поточну роль і тип місця.

Ту саму синхронізовану групу можна призначити кільком підтримуваним робочим просторам ChatGPT, організаціям API й рекламним обліковим записам. Призначайте кожен ресурс окремо: доступ до одного не надає доступу до іншого.

Редактор Доступ до продукту підтримує робочі простори ChatGPT і рекламні облікові записи, а для клієнтів Enterprise і Edu — також організації API. Він не призначає роль власника або спеціальні ролі робочого простору ChatGPT. Перевіряйте ролі рекламного облікового запису у вибраному обліковому записі, а спеціальні ролі налаштовуйте у вибраному робочому просторі ChatGPT.

Перш ніж розширювати доступ, перевірте наявні дозволи. Синхронізована група вже може мати доступ до робочого простору ChatGPT, організації API або рекламного облікового запису. Використовуйте потрібну роль із найменшими привілеями, а для перевірки неочікуваного доступу зверніться до глобального адміністратора.

Коли синхронізована група отримує доступ до рекламного облікового запису через Доступ до продукту, її початкова роль — Учасник. Перевірте роль для цього облікового запису й використовуйте потрібний доступ із найменшими привілеями.

Про дозволи для Ads див.: Керування ідентифікацією та доступом в Ads Manager.

Керування доступом до організації API

Призначення синхронізованої групи організації API додає її користувачів безпосередньо, не вимагаючи прийняття запрошення. SCIM створює відсутні членства в організації та перебирає керування відповідними наявними членствами. Наявні учасники зберігають свою роль в організації.

OpenAI створює в організації API окрему групу під керуванням SCIM. Наявна створена вручну група API з такою самою назвою залишається окремою. Керуйте складом синхронізованої групи в постачальника ідентифікаційних даних і перевіряйте відповідну групу на Платформі API.

SCIM керує членствами, які створює або перебирає під своє керування. Видалення останнього відповідного призначення групи може скасувати членство в організації, зокрема спочатку додане вручну. Інше відповідне призначення може зберегти доступ. Членства, створені вручну й не перебрані SCIM, і надалі керуються окремо.

Призначення організації API не надає доступу до кожного проєкту API. Окремо перевіряйте членство в проєктах і дозволи на Платформі API. Перш ніж призначати доступ, протестуйте його на невеликій групі та перевірте наявні членства.

Керування записами користувачів, запрошеннями й групами

Синхронізований запис каталогу не надає автоматичного доступу до кожного робочого простору ChatGPT, організації API або рекламного облікового запису. Умови членства в продукті, призначення груп, політики входу та ролі певного продукту залишаються чинними.

Зіставте наявних користувачів

Під час автоматичного надання доступу наявний обліковий запис OpenAI визначається за вказаною в ньому робочою адресою електронної пошти. Переконайтеся, що адреса електронної пошти в постачальника ідентифікаційних даних, адреса запрошення та потрібний обліковий запис OpenAI належать одній особі. Налаштуйте постачальника ідентифікаційних даних так, щоб він передавав рівно одну основну адресу електронної пошти для кожного користувача.

Якщо наявний користувач або група тенанта відповідає синхронізованому запису в каталозі, цей користувач або група може перейти під керування вашого постачальника ідентифікаційних даних. Наявні запрошення та членства в робочому просторі ChatGPT, створені вручну, не переходять під керування SCIM автоматично.

Наявний учасник робочого простору може приєднатися до синхронізованої групи цього простору без зміни свого членства, ролі чи типу місця. Під час припинення співпраці окремо скасовуйте доступ до робочого простору, наданий вручну.

Оновіть керовану адресу електронної пошти

SCIM на рівні тенанта може оновлювати основну адресу електронної пошти в наявному обліковому записі OpenAI користувача. Користувач уже має бути синхронізований через каталог цього тенанта. Домени поточної та нової адрес електронної пошти мають бути підтверджені для тенанта, який керує каталогом. Ви можете змінити адресу в межах одного підтвердженого домену або між двома доменами, підтвердженими для цього тенанта. Додаткова адреса електронної пошти або псевдонім не замінює основну адресу, що використовується для синхронізації.

Перш ніж вносити зміну, переконайтеся, що нова адреса не належить іншому обліковому запису OpenAI. Якщо належить, зупиніться та зверніться до служби підтримки OpenAI.

1. Переконайтеся, що наявний синхронізований користувач відповідає потрібному обліковому запису OpenAI.

2. Попросіть глобального адміністратора перевірити, чи обидва домени електронної пошти підтверджені для тенанта, якому належить каталог.

3. Оновіть основну адресу електронної пошти наявного користувача в постачальника ідентифікаційних даних. Збережіть наявний запис у каталозі й передавайте рівно одну основну адресу електронної пошти.

4. Якщо користувач використовує єдиний вхід, оновіть зіставлення даних для входу, щоб воно використовувало ту саму адресу.

5. Дочекайтеся успішної синхронізації та переконайтеся, що в наявному обліковому записі OpenAI відображається нова адреса електронної пошти.

6. Попросіть користувача ввійти знову з оновленою адресою та способом входу, якого вимагає продукт, а потім перевірте його доступ до продукту.

Зміна адреси електронної пошти оновлює наявний обліковий запис і завершує сеанс користувача. Вона не об’єднує окремі облікові записи OpenAI. На зміну адреси електронної пошти через SCIM на рівні тенанта й надалі поширюються вимоги до облікового запису та обмеження щодо зміни адреси.

Служба підтримки OpenAI не може вручну змінити адресу електронної пошти облікового запису, яким керує SCIM на рівні тенанта.

Підключення SCIM на рівні робочого простору ChatGPT, що відповідає вимогам, може оновити адресу електронної пошти учасника, який прийняв запрошення й перебуває під керуванням SCIM, якщо в цьому робочому просторі дозволено зміну адреси. Домени поточної та нової адрес електронної пошти мають бути підтверджені для того самого робочого простору та його тенанта, нова адреса не має бути пов’язана з іншим обліковим записом OpenAI, а зіставлення даних для єдиного входу має використовувати оновлену адресу. Оновіть наявного користувача SCIM і спершу перевірте зміни на одному обліковому записі.

SCIM для організацій API на рівні продукту наразі не підтримує зміну адреси електронної пошти наявного облікового запису OpenAI.

Якщо синхронізоване запрошення використовує застарілу адресу електронної пошти або оновлення адреси не застосовується до потрібного облікового запису, не видаляйте обліковий запис, не видаляйте й не створюйте заново запис у каталозі, не надсилайте запрошення на нову адресу як заміну й не відключайте каталог. Ці дії можуть створити окремий обліковий запис OpenAI, тоді як наявні проєкти, агенти та історія розмов залишаться пов’язаними з початковим обліковим записом. Попросіть адміністратора перевірити наявний запис у каталозі, основну адресу електронної пошти, підтвердження доменів і результат останньої синхронізації. Зверніться до служби підтримки OpenAI, якщо дані в записах не збігаються, виникає конфлікт облікових записів або оновлення залишається заблокованим.

Як працюють запрошення й автоматичне створення облікових записів

Новому користувачу, якому автоматично надано доступ до ChatGPT або доступ через підключення SCIM для API на рівні продукту, може знадобитися прийняти запрошення, перш ніж приєднатися до продукту. SCIM на рівні тенанта додає користувачів безпосередньо до призначених організацій API без потреби приймати запрошення. Деякі процеси SCIM створюють запрошення, що очікує на прийняття, без надсилання електронного листа. Наявний учасник робочого простору ChatGPT не отримує повторного запрошення до нього, коли відповідний користувач тенанта переходить під керування SCIM.

Попросіть власника робочого простору перевірити запрошення, що очікують на прийняття. Для запрошення, створеного вручну, власник може вибрати Надіслати запрошення повторно, якщо ця дія доступна. Запрошеннями, якими керує SCIM, не можна скористатися для прямого повторного надсилання; API може повернути 409 scim_managed_resource. Якщо доступна дія Запросити учасника, власник може ще раз ввести ту саму адресу електронної пошти, не змінюючи наявну роль або тип місця. Зверніться до служби підтримки OpenAI, якщо запрошення залишається заблокованим.

Автоматичне створення облікових записів може додавати користувачів ChatGPT, які відповідають вимогам, коли вони входять з адресою електронної пошти в підтвердженому домені. Ця функція працює окремо від SCIM і не потребує єдиного входу. Якщо робочий простір вимагає єдиного входу, працівники все одно мають використовувати його для входу.

Перш ніж налаштовувати SCIM, перевірте автоматичне створення облікових записів для кожного робочого простору. Цей параметр може бути вже ввімкнений під час створення робочого простору. Вимкніть його, якщо плануєте керувати доступом через SCIM. Користувачі, додані через автоматичне створення облікових записів, можуть не перебувати під керуванням SCIM, тому їх видалення в постачальника ідентифікаційних даних може не скасувати доступ до продуктів. Перевіряйте використання місць, окремо видаляйте користувачів, які не перебувають під керуванням SCIM, і перевіряйте всі шляхи доступу під час припинення співпраці.

Відомості про стандартні налаштування й засоби керування робочим простором див. у статті Керування тенантом у консолі адміністратора.

Керування власністю, ролями й видимістю груп

Керуйте складом синхронізованої групи в постачальника ідентифікаційних даних. Адміністратори робочого простору можуть підтримувати окремі групи з ручним керуванням.

Під час перенесення робочого простору ChatGPT до SCIM на рівні клієнта наявну групу можна прийняти під керування, якщо її назва точно збігається з назвою синхронізованої групи. Перш ніж призначати доступ, перевірте дублікати назв груп і наявних учасників разом із командою OpenAI, яка супроводжує ваш обліковий запис. Така поведінка ChatGPT не стосується груп API, створених вручну.

Якщо перейменувати синхронізовану групу в постачальника ідентифікаційних даних, відповідну синхронізовану групу робочого простору також буде перейменовано.

SCIM на рівні робочого простору використовує окреме підключення. Залежно від конфігурації синхронізована група з такою самою назвою, як у створеної вручну групи робочого простору, може передати її членство під керування постачальника ідентифікаційних даних.

Якщо підтримується, власник може скористатися розділом Дозволи й ролі у вибраному робочому просторі ChatGPT, щоб призначити відповідні спеціальні ролі. Синхронізовані групи також можуть підтримувати аналітику робочого простору, якщо вона доступна.

Якщо доступно, параметр Доступна для пошуку користувачами робочого простору в налаштуваннях Ідентифікація та доступ визначає, чи відображаються групи під керуванням SCIM, коли користувачі надають спільний доступ до GPT або проєктів. Вимкнення цього параметра може приховати такі групи й видалити наявний спільний доступ для групи під час наступного оновлення GPT або проєкту. Зміна видимості не припиняє синхронізацію й не видаляє групу. Якщо робочий простір використовує SCIM на рівні клієнта, а його налаштування ідентифікації доступні лише для читання, цей елемент керування може бути недоступний. Запитайте команду OpenAI, яка супроводжує ваш обліковий запис, про підтримувані варіанти.

Тестування підключення й деактивації користувачів

1. Додайте одного тестового користувача до потрібного застосунку постачальника ідентифікаційних даних або призначеної групи.

2. Дочекайтеся успішної синхронізації.

3. Переконайтеся, що користувач з’явився в потрібному клієнті або продукті й отримав лише очікувану роль.

4. Видаліть користувача з призначення постачальника або групи підготовки.

5. Дочекайтеся наступної успішної синхронізації та переконайтеся, що доступ, наданий через групу, скасовано.

6. Перевірте прямі запрошення, інші групи й ролі певного продукту, які можуть зберігати окремий доступ.

Видалення користувача лише в ChatGPT може бути тимчасовим, якщо постачальник ідентифікаційних даних досі призначає цю особу. Вимкнення користувача в постачальника не завжди скасовує призначення застосунку. Скасування підготовки учасника робочого простору ChatGPT не видаляє обліковий запис OpenAI або особистий робочий простір цієї особи. Після успішної синхронізації переконайтеся, що особа більше не є активним учасником, і перевірте розподіл місць у робочому просторі. Якщо особа залишається активною, її неможливо видалити або вона не може відновити доступ після повторного додавання, зверніться до служби підтримки OpenAI. Зберігання даних робочого простору ChatGPT регулюється політикою вибраного робочого простору.

Усунення проблем із синхронізацією каталогу

Багато постачальників ідентифікаційних даних синхронізують зміни кожні 30–40 хвилин, тоді як інші надсилають оновлення швидше. В OpenAI немає загального засобу для примусового запуску негайної синхронізації каталогу.

Щодо помилок автентифікації або входу див. статтю Усунення проблем із єдиним входом, доступом до робочого простору та підтвердженням доменів.

Безпечне видалення підключення каталогу

Видалення активного підключення каталогу на рівні клієнта не можна скасувати. Перш ніж відключати його, перевірте призначення продуктів із командою OpenAI, яка супроводжує ваш обліковий запис, і з’ясуйте, як оброблятимуться наявні членства. Не відключайте каталог, щоб скасувати або відновити доступ однієї особи.

1. У Консолі адміністратора відкрийте Глобальні налаштування клієнта.

2. Виберіть Доступ, а потім відкрийте Каталог.

3. Перевірте підключеного постачальника, а також відповідних користувачів, групи й призначення продуктів.

4. Виберіть Видалити підключення.

5. Підтверджуйте зміну, лише якщо маєте намір припинити синхронізацію.

6. Перевірте решту користувачів, груп, доступ до продуктів і ролі адміністраторів.

Видалення може тривати до 5 хвилин. Перш ніж замінювати робоче підключення або переходити між SCIM на рівні продукту й клієнта, зверніться до команди OpenAI, яка супроводжує ваш обліковий запис.