Mục đích

Hướng dẫn này nhằm cung cấp cho Quản trị viên và Nhóm CNTT những thông tin cần cân nhắc trước khi cấu hình SSO trong tài khoản ChatGPT hoặc Nền tảng của bạn. SSO khả dụng cho khách hàng Business, Enterprise và Edu.

Kiến trúc nền tảng và thuật ngữ

SSO hiện được hỗ trợ thông qua xác thực SAML cho cả ChatGPT và Nền tảng API.

• Không gian làm việc chỉ một phiên bản ChatGPT

• Tổ chức chỉ một phiên bản Nền tảng API

• Nhà cung cấp danh tính (IdP) chỉ dịch vụ bạn dùng để quản lý danh tính kỹ thuật số. Chúng tôi hỗ trợ kết nối thông qua tất cả IdP hỗ trợ SAML. Một số IdP phổ biến nhất mà chúng tôi đã kết nối bao gồm:

• Okta

• Azure Active Directory/Entra ID

• Google Workspace

• Duo

Để xem danh sách đầy đủ các IdP được hỗ trợ, vui lòng tham khảo Trang tích hợp của WorkOS. Chúng tôi hỗ trợ tất cả các tích hợp bên thứ ba trên trang này có thể được kết nối thông qua SAML hoặc OIDC.

Hiện tại, mỗi không gian làm việc ChatGPT đều có một tổ chức Nền tảng tương ứng được liên kết với nó. Điều này có nghĩa là ID tổ chức (org-id) bạn thấy trên trang “Chung” của Nền tảng Enterprise chính là ID tổ chức (org-id) được liên kết với không gian làm việc ChatGPT Enterprise của bạn. Do đó, không gian làm việc và tổ chức của bạn dùng chung cùng một lớp xác thực:

Có một vài điểm chính cần lưu ý do kiến trúc này:

1. Một ID tổ chức (org-id) duy nhất chỉ có thể hỗ trợ một cấu hình IdP duy nhất.

2. Các xác minh miền và cài đặt SAML SSO được chia sẻ giữa ChatGPT và Nền tảng API.

3. SSO phải được bật riêng trên ChatGPT và trên Nền tảng API. Tuy nhiên, sau khi bạn đã cấu hình SSO trên một bên, phần “thiết lập” của bên còn lại về cơ bản chỉ là bật công tắc và thêm ứng dụng dấu trang trong IdP nếu muốn.

Bắt đầu với SSO

Trước khi cấu hình SSO trong tài khoản của bạn, điều quan trọng là trước tiên phải hiểu một số khái niệm chính về chức năng SSO của OpenAI.

Thuật ngữ chung về danh tính

Cấp phát Khi OpenAI nói đến cấp phát trong ngữ cảnh người dùng, chúng tôi đang nói cụ thể đến việc cấp phát lời mời. Chúng tôi không hỗ trợ trực tiếp việc cấp phát để tạo tài khoản người dùng. Có thể cấp phát lời mời thông qua:

1. SCIM (được hỗ trợ trong cả Tích hợp SCIM cho ChatGPT và Tích hợp SCIM cho Nền tảng API)

2. Trang “Thành viên” của ChatGPT hoặc Nền tảng API

3. Tạo tài khoản tự động

4. API lời mời

Cấp phát lời mời là một bước độc lập với hoạt động xác thực do SSO thực hiện.


Xác thực – “Bạn có đúng là người mà bạn nói không?”

Ví dụ: một IdP xác thực người dùng với dịch vụ của chúng tôi để chúng tôi biết họ đúng là người mà họ nói khi đăng nhập.


Ủy quyền – “Bạn được phép làm hoặc xem những gì?”

Ví dụ: Sau khi IdP xác thực bạn, chúng tôi xác định bạn là thành viên của những không gian làm việc ChatGPT nào.

Tìm hiểu phần Cài đặt SSO của OpenAI

Xác minh miền Đây là điều kiện tiên quyết để bật SSO và Tạo tài khoản tự động. Về cơ bản là: “Bạn có sở hữu miền này không?”

1. Khi đăng nhập qua chatgpt.com hoặc platform.openai.com, miền đã xác minh sẽ xác định việc chuyển người dùng đến trang mật khẩu của chúng tôi hay đến IdP của họ nếu SSO cũng đã được thiết lập

2. Sau khi một miền được xác minh trong Không gian làm việc của bạn, bất kỳ người dùng nào được mời vào không gian làm việc bằng email thuộc miền đó sẽ được nhắc hợp nhất tài khoản cá nhân vào lần đăng nhập tiếp theo.

3. Xác thực ChatGPT dựa trên cả miền VÀ không gian làm việc - khi một miền được xác minh và SSO được bật trên không gian làm việc, chỉ những người dùng trong không gian làm việc đó có cùng miền mới được định tuyến đến SSO. Người dùng có cùng miền nhưng KHÔNG thuộc Không gian làm việc (tức là người dùng tài khoản Free, Plus, Pro hoặc Team từ miền của bạn) sẽ tiếp tục đăng nhập bằng email/mật khẩu hoặc qua tài khoản mạng xã hội.

4. Xác thực Nền tảng dựa trên miền -- khi một miền được xác minh và SSO được bật, tất cả người dùng Nền tảng thuộc miền đó sẽ mất khả năng đăng nhập bằng mật khẩu. Xem phần “Xác minh miền trên ChatGPT so với Nền tảng API” bên dưới để biết thêm chi tiết.

5. Miền phụ phải được xác minh riêng với miền cấp cao nhất

Để chúng tôi xử lý thành công việc xác minh miền của bạn, bản ghi TXT của bạn phải có thể đọc được thông qua tra cứu DNS.


(Chỉ ChatGPT) Tạo tài khoản tự động (AAC) Khi được bật trên một không gian làm việc ChatGPT, người dùng mới có email khớp với (các) miền đã xác minh sẽ tự động nhận được lời mời vào không gian làm việc Enterprise khi họ đăng ký. Chúng tôi không khuyến nghị bật AAC nếu bạn đang sử dụng SCIM.


(Chỉ ChatGPT) Cho phép mời miền bên ngoài Cài đặt này kiểm soát việc có cho phép mời người dùng có miền chưa được xác minh vào không gian làm việc hay không. Người dùng từ miền bên ngoài sẽ không bắt buộc phải đăng nhập qua SSO, vì cài đặt SSO chỉ áp dụng cho người dùng thuộc miền đã xác minh.


Bật SSO Cài đặt này xác định việc các cài đặt SSO bạn đã cấu hình có áp dụng cho không gian làm việc và/hoặc tổ chức hay không.


Bắt buộc dùng SSO

Khi bị tắt, cài đặt này cho phép người dùng có miền đã xác minh chọn đăng nhập qua SSO hoặc qua đăng nhập mạng xã hội.

Quản trị viên toàn cục có thể đặt Bắt buộc dùng SSO thành Bắt buộc cho cả ChatGPT và Nền tảng API trực tiếp từ trang Quản lý SSO trong Bảng điều khiển quản trị. Khi được bật, cài đặt này khiến người dùng có miền đã xác minh chỉ có thể đăng nhập vào không gian làm việc hoặc tổ chức đã bật SSO thông qua SSO. Xác thực bằng mật khẩu và qua tài khoản mạng xã hội không còn hợp lệ cho không gian làm việc/tổ chức đó, nhưng vẫn có thể dùng trong các không gian làm việc/tổ chức khác nơi miền của họ chưa được xác minh.

Xác minh miền trên ChatGPT so với Nền tảng API

Như đã thảo luận trước đó, việc xác minh miền được áp dụng trên các phiên bản ChatGPT và Nền tảng dùng chung. Tuy nhiên, có một khác biệt quan trọng trong cách xác minh miền ảnh hưởng đến đăng nhập vào ChatGPT so với Nền tảng nếu SSO được bật:

Trải nghiệm đăng nhập cho người dùng của bạn

OpenAI hỗ trợ ba phương thức xác thực khác nhau:

1. Tên người dùng + Mật khẩu

2. Xác thực qua Microsoft/Google/Apple

3. SSO

Hãy lưu ý rằng hành vi sẽ khác nhau tùy vào việc người dùng đang đăng nhập vào ChatGPT hay Nền tảng API, miền của họ đã được xác minh hay chưa, và không gian làm việc/tổ chức tương ứng của họ có bắt buộc dùng SSO hay không.

Đăng nhập do SP khởi tạo

Tất cả người dùng có thể truy cập trực tiếp chatgpt.com hoặc platform.openai.com để đăng nhập. Khi dùng tùy chọn này, các phương thức xác thực khác nhau có thể được kích hoạt như minh họa bên dưới:

Nếu người dùng thuộc nhiều không gian làm việc, trong đó có một không gian làm việc đã bật SSO cho miền của họ, họ sẽ được nhắc chọn không gian làm việc để đăng nhập.

Đăng nhập do SP khởi tạo trên ChatGPT

Nếu chúng tôi xác định rằng email đã nhập thuộc về một không gian làm việc có miền đã được xác minh, chúng tôi sẽ chuyển người dùng đến IdP của họ để xác thực. Nếu không, người dùng sẽ được chuyển đến đăng nhập bằng cách nhập mật khẩu.

Nếu người dùng thuộc nhiều không gian làm việc, trong đó có ít nhất một không gian làm việc đã bật SSO cho miền của họ, họ sẽ được nhắc chọn phương thức dùng để đăng nhập:

Đăng nhập do SP khởi tạo trên Nền tảng

Như đã đề cập trước đó, khi người dùng có miền đã xác minh nhập email của họ trên trang đăng nhập Nền tảng, họ sẽ luôn được chuyển đến IdP để xác thực.

Đó là lý do vì sao bạn cần hiểu rõ trước khi bật SSO cho Nền tảng. Nếu không, bạn rất dễ vô tình khóa người dùng Nền tảng trên các tài khoản cá nhân.

Đăng nhập do IdP khởi tạo

Khi cấu hình SSO từ các trang danh tính tương ứng, bạn sẽ thấy một URL ô xếp duy nhất được cung cấp cho cả ChatGPT và Nền tảng API:

• ChatGPT: https://chatgpt.com/auth/login?sso=true&connection=conn_012abcdef

• Nền tảng: https://platform.openai.com/enterprise/conn_012abc/login

Các URL ô xếp này có thể được cấu hình trong IdP của bạn để cho phép người dùng tự động đăng nhập/xác thực chỉ bằng một cú nhấp.

Các bước tiếp theo

Giờ đây khi bạn đã có nền tảng tốt về kiến trúc của chúng tôi, vui lòng tiếp tục đến trang “Hiểu về thiết lập quản lý người dùng lý tưởng của bạn” để xác định cách triển khai phù hợp nhất cho trường hợp sử dụng của bạn. Sau đó, chúng tôi sẽ hướng dẫn bạn cách cấu hình SSO và SCIM trong tài khoản của bạn.