Огляд

Контроль доступу на основі ролей (RBAC) дає власникам робочих просторів змогу налаштовувати доступ до функцій за допомогою користувацьких ролей, які можна використовувати повторно. Учаснику можна призначати ролі безпосередньо або через членство в групах. Один учасник може мати кілька ролей.

Користувацькі ролі визначають дозволи на використання функцій. Вбудовані ролі робочого простору, як-от «Учасник», «Адміністратор» і «Власник», визначають повноваження користувача щодо адміністрування. Докладніше про вбудовані ролі й типи місць див. у статті Керування учасниками, ролями робочого простору й місцями.

Доступність

RBAC доступний у ChatGPT Enterprise, Edu, Healthcare і Teachers у всіх підтримуваних країнах. Налаштуйте RBAC у вебверсії ChatGPT у розділі Налаштування робочого простору > Дозволи й ролі або за допомогою підтримуваних засобів керування ролями й дозволами в Консолі адміністратора.

Перш ніж почати

• Власники робочого простору можуть створювати, видаляти, призначати користувацькі ролі й скасовувати їх призначення, а також керувати дозволами за замовчуванням для всього робочого простору.

• Адміністратори робочого простору можуть мати змогу переглядати або оновлювати наявні ролі через підтримувані інтерфейси адміністрування. Вони не можуть створювати, видаляти, призначати користувацькі ролі або скасовувати їх призначення.

• Учасники й користувачі з роллю «Переглядач аналітики» не можуть керувати налаштуваннями RBAC для всього робочого простору.

• Делегування повноважень керівникам груп доступне в ChatGPT Enterprise. Лише власник робочого простору може ввімкнути або вимкнути для керівників груп параметр Редагування дозволів призначених ролей.

Глобальний адміністратор тенанта не отримує автоматично роль у робочому просторі ChatGPT. Користувацькі ролі не надають доступу до ключів адміністратора. Лише власники й адміністратори робочого простору можуть створювати ключі адміністратора для нього, а для чутливих дозволів, пов’язаних із дотриманням нормативних вимог, потрібна роль власника. Докладніше див. у статті Керування ключами адміністратора в Консолі адміністратора.

Як працюють налаштування робочого простору за замовчуванням і користувацькі ролі

Налаштування робочого простору задають базові значення для дозволів, які підтримують успадкування. У звичайній користувацькій ролі можна використовувати такі стани:

Дозволи звичайних ролей підсумовуються. Якщо будь-яка призначена роль надає доступ — безпосередньо або через успадкування ввімкненого налаштування робочого простору, — учасник зберігає доступ. Це стосується ролей, призначених як безпосередньо, так і через групи.

Якщо в усіх застосовних звичайних ролях установлено значення Вимкнено, звичайний RBAC не надає доступу. Якщо всі застосовні ролі використовують значення За замовчуванням, діє налаштування робочого простору. Деякі дозволи, зокрема певні параметри режиму «Робота» й плагінів, мають лише значення Увімкнено та Вимкнено.

Обмеження, пов’язані з типом місця, планом і правом на використання продукту, залишаються чинними. Режим блокування враховується окремо й може обмежувати функцію, навіть якщо звичайна роль надає до неї доступ.

Налаштування дозволів робочого простору за замовчуванням

1. Відкрийте свій робочий простір ChatGPT.

2. Перейдіть до розділу Налаштування робочого простору > Дозволи й ролі.

3. Відкрийте вкладку Робочий простір.

4. Перегляньте доступні дозволи й налаштуйте базові значення для робочого простору.

Доступні параметри наведено в розділі Дозволи й ролі. Налаштування робочого простору за замовчуванням застосовується до дозволу користувацької ролі, що підтримує успадкування, якщо для нього вибрано значення За замовчуванням.

Ви можете керувати доступом окремо для кожного застосунку. Інтерфейс застосунку не можна вимкнути окремо.

Створення або редагування користувацької ролі

Власники робочого простору можуть створювати користувацькі ролі.

1. Перейдіть до розділу Налаштування робочого простору > Дозволи й ролі.

2. Відкрийте розділ Користувацькі ролі.

3. Виберіть Створити роль.

4. Введіть назву й опис, а потім виберіть Зберегти.

5. На сторінці дозволів ролі виберіть За замовчуванням, Увімкнено або Вимкнено для кожного дозволу, що підтримує ці значення. Для дозволів із двома станами виберіть Увімкнено або Вимкнено.

Щоб відредагувати наявну роль, відкрийте її в розділі Користувацькі ролі й оновіть параметри, які вам дозволено змінювати. Права на адміністрування залежать від вашої ролі в робочому просторі й підтримуваного інтерфейсу, як описано вище.

Зміни користувацької ролі впливають на всі групи, яким її призначено. Використовуйте окремі ролі, якщо групам потрібні незалежні налаштування дозволів.

Призначення користувацької ролі

Власники робочого простору можуть призначати ролі безпосередньо окремим учасникам, якщо ця можливість доступна, або групам, створеним вручну чи синхронізованим через SCIM. Для керування доступом великої кількості користувачів рекомендуємо використовувати групи. Докладніше про налаштування груп див. у статті Керування групами й керівниками груп.

Призначення ролі групам

1. Перейдіть до розділу Налаштування робочого простору > Дозволи й ролі.

2. Відкрийте розділ Користувацькі ролі й виберіть роль.

3. Відкрийте розділ Призначення ролей.

4. Виберіть + Додати.

5. Виберіть одну або кілька груп.

6. Виберіть Готово.

Учасники отримують дозволи від усіх застосовних ролей, призначених безпосередньо та через групи. Зміни можуть набути чинності протягом 5 хвилин.

Призначення ролі безпосередньо учаснику

Якщо пряме призначення доступне, відкрийте профіль учасника, перейдіть до розділу Безпосередньо призначені ролі й виберіть Призначити роль безпосередньо. Виберіть користувацьку роль, яку потрібно призначити. Безпосередньо призначена роль поєднується з ролями, які учасник отримує через групи.

Делегування редагування призначених ролей

У ChatGPT Enterprise власник робочого простору може дозволити керівникам груп редагувати доступні їм параметри користувацьких ролей, призначених їхній групі. Керівники груп не можуть створювати чи видаляти ролі, призначати їх або скасовувати їх призначення. Редагування ролі, спільної для кількох груп, впливає на всі ці групи.

Докладніше про призначення керівників, налаштування делегованих дозволів і скасування призначень див. у статті Керування групами й керівниками груп.

Налаштування доступу до моделей і винятків безпеки

Доступ до моделей

Власники можуть керувати доступом до моделей, доступних для робочого простору, через його налаштування або користувацькі ролі. Роль не може надати доступ до моделі, якщо робочий простір не має права на її використання. Вибір початкової моделі або моделі за замовчуванням не надає до неї доступу.

У робочих просторах Enterprise і Edu, які мають право на використання GPT-6 Astra, ця модель на момент запуску вимкнена за замовчуванням. Налаштуйте доступ до Astra окремо: попередні налаштування раннього доступу до моделей не переносяться. Перегляньте всі призначені ролі, адже роль, що надає доступ, може зберігати його, навіть якщо в іншій ролі встановлено значення Вимкнено.

На момент запуску в режимі «Робота» й Codex моделі GPT-6 Sol і GPT-6 Luna були вимкнені за замовчуванням у робочих просторах Enterprise і Edu. Перш ніж учасники зможуть використовувати модель, яка досі вимкнена, адміністратори мають її ввімкнути. Уже ввімкнені моделі не потрібно вмикати повторно для цього розгортання в режимі «Чат». У меню вибору моделі й на повзунку відображаються лише варіанти, доступні учаснику.

Для GPT-6 у режимі «Чат» плану Enterprise використовуйте наявний дозвіл GPT-6 Sol, щоб керувати доступом до рівнів від Instant до Найвищий. Робочі простори, у яких увімкнено Sol, можуть отримати доступ під час розгортання. Цей випуск у режимі «Чат» не передбачає нового періоду попереднього ознайомлення для адміністраторів.

Доступ залежить від наявних налаштувань адміністратора й усіх призначених ролей. Як описано вище, дозволи звичайних ролей підсумовуються: одна роль може надавати доступ, навіть якщо інша його вимикає. Учасники й надалі мають відповідати вимогам щодо плану, місця й права на використання продукту. Pro використовує окремий дозвіл GPT-6 Astra.

Якщо учасник не може знайти одну з цих моделей у режимі «Робота» або Codex, перевірте, чи має робочий простір право на її використання, і перегляньте фактичний доступ учасника до моделей.

Адміністратори можуть відкрити Консоль адміністратора, вибрати робочий простір ChatGPT, потім відкрити розділ Моделі й вибрати Перевірити, щоб переглянути доступ учасника та налаштування, які на нього впливають. Перевірка не вмикає модель і не змінює дозволи.

Докладніше про доступність моделей, вимоги до клієнтських застосунків і повну процедуру див. у статті Моделі й ліміти ChatGPT Enterprise та Edu.

Режим блокування

У робочих просторах із підтримкою ролей Режиму блокування можна створити користувацьку роль для учасників, яким він потрібен. Режим блокування — це конфігурація безпеки на рівні ролі, а не перемикач окремого дозволу.

Залежно від налаштувань робочого простору роль Режиму блокування може обмежувати функції з доступом до мережі, зокрема вебпошук у реальному часі, поглиблене дослідження, режим агента, мережеві можливості Canvas, а також деякі дії застосунків, MCP або конекторів. Ці обмеження можуть діяти, навіть якщо звичайна роль надає доступ до функції.

Перш ніж призначати роль Режиму блокування, перевірте, які застосунки й дії вона дозволяє. Учасники також мають мати необхідні дозволи в кожній підключеній системі-джерелі; доступ до застосунку в ChatGPT не скасовує дозволів цієї системи.

Докладніше див. у статті Режим блокування.

Керування доступом до плагінів для ролі

У робочих просторах Enterprise і Edu доступ до окремого плагіна можна налаштувати для користувацької ролі або успадкувати з налаштувань робочого простору за замовчуванням. Ці налаштування окремих плагінів не залежать від дозволу Використання плагінів для всього робочого простору й інших дозволів плагінів, які мають лише значення Увімкнено та Вимкнено.

1. Перейдіть до Консолі адміністратора, виберіть потрібний робочий простір ChatGPT і відкрийте розділ Плагіни.

2. Виберіть плагін і перегляньте роль, яку хочете змінити.

3. Виберіть, чи матиме роль власне налаштування доступу до плагіна, чи успадковуватиме налаштування робочого простору за замовчуванням.

4. Перегляньте поточний і запропонований доступ до необхідних застосунків і спільних залежностей. Підтвердьте лише ті зміни плагіна й застосунків, які маєте намір внести.

5. Перегляньте результати й усуньте проблеми зі змінами, які не вдалося застосувати.

Під час перевірки доступу перегляньте всі ролі, призначені учаснику безпосередньо та через групи. Доступ до плагіна не скасовує окремих налаштувань доступу, дій, схвалення або авторизації в постачальника для застосунків, що входять до нього.

Плагін з обмеженим доступом може залишатися видимим у каталозі з позначкою Вимкнено адміністратором. Докладніше про адміністрування плагінів і конфлікти з необхідними застосунками див. у статті Засоби адміністрування, безпека й дотримання нормативних вимог для плагінів і застосунків.

Перевірка фактичного доступу учасника

Перегляньте тип місця учасника, його право на доступ за планом, налаштування робочого простору за замовчуванням і всі ролі, призначені безпосередньо та через групи. Зачекайте до 5 хвилин, доки останні зміни RBAC набудуть чинності.

У наведених нижче прикладах використовуються звичайні ролі, якщо не зазначено інше:

Щоб перевірити доступ до моделей, адміністратори планів Business, Enterprise, Healthcare і Edu можуть скористатися функцією Перевірити в розділі Моделі Консолі адміністратора. Вона показує фактичний доступ до моделей і налаштування, які його визначають. Вона не надає доступу й не змінює дозволи. Процедуру описано в статті Моделі й ліміти ChatGPT Enterprise та Edu.

Поширені запитання

Чи втратить учасник доступ, якщо для дозволу в одній ролі встановити значення «Вимкнено»?

Ні, якщо інша застосовна звичайна роль надає цей дозвіл. Перегляньте як безпосередньо призначені ролі, так і ролі, отримані через групи. Режим блокування й право на використання продукту враховуються окремо.

Чи може RBAC скасувати обмеження типу місця учасника?

Ні. RBAC керує функціями в межах доступу, дозволеного типом місця й планом робочого простору. Місце лише для Codex не отримує доступу до ChatGPT через користувацьку роль.

Що робити, якщо дозвіл має лише значення «Увімкнено» й «Вимкнено»?

Явно встановіть значення Увімкнено або Вимкнено для робочого простору й відповідних ролей. Значення За замовчуванням доступне лише для дозволів, які його підтримують.