Vui lòng xem trang “Tổng quan về SSO” của chúng tôi để làm quen với các khái niệm chính được thảo luận trong tài liệu này.
Trước khi xác minh miền, bạn nên cân nhắc một vài câu hỏi khác nhau:
Bạn muốn cấp phát lời mời cho người dùng mới như thế nào?
Bạn muốn xử lý người dùng tiêu dùng hiện có (cá nhân/Plus/Pro) như thế nào?
Bạn muốn luồng đăng nhập của người dùng trông như thế nào?
Chúng ta sẽ xem xét từng câu hỏi này chi tiết hơn để đảm bảo bạn chọn phương án phù hợp nhất với nhu cầu của mình.
Mời người dùng mới
Hiện tại, chúng tôi cung cấp bốn phương thức khác nhau để cấp phát lời mời cho người dùng:
Cần lưu ý rằng chúng tôi phân biệt giữa trường hợp email mời được chủ động gửi đi và trường hợp lời mời được âm thầm liên kết với email của người dùng trong backend của chúng tôi.
Email mời được chủ động gửi khi:
Một người dùng mới lần đầu được mời thông qua SCIM.
Một người dùng được mời trực tiếp từ ChatGPT hoặc API Platform.
Lời mời được âm thầm liên kết khi:
Một người dùng SCIM bị xóa khỏi nhóm IdP của bạn rồi được thêm lại.
Tính năng Tạo tài khoản tự động được áp dụng.
Trong trường hợp sau, người dùng sẽ không thấy lời mời trong hộp thư đến, nhưng họ vẫn sẽ được chuyển đúng đến không gian làm việc/tổ chức tương ứng khi cố gắng đăng nhập.
SCIM
SCIM có trong cả ChatGPT và API Platform. SCIM cho phép nhà cung cấp danh tính (ví dụ: Okta, Entra ID, v.v.) trao đổi dữ liệu danh tính người dùng với OpenAI, tự động hóa việc cấp phát lời mời (và hủy cấp phát tài khoản người dùng) dựa trên các thay đổi trong tổ chức.
Mặc dù SCIM cũng được định cấu hình thông qua IdP, bạn có thể thiết lập SCIM độc lập với SSO. Vì vậy, việc xác minh miền và SSO không phải là yêu cầu bắt buộc đối với SCIM.
Nếu quyết định sử dụng cả SCIM và SSO, bạn cần lưu ý điểm khác biệt quan trọng sau:
SCIM chỉ cấp lời mời
SSO xử lý việc xác thực và tạo người dùng
Chúng tôi xem SCIM là giải pháp mạnh mẽ và có khả năng mở rộng nhất cho việc quản lý người dùng tổng thể. Tùy theo cách triển khai lý tưởng của bạn, chúng tôi thường khuyến nghị kiến trúc sau đây như phương pháp hay nhất nếu bạn triển khai trên cả ChatGPT và API Platform:
Với thiết lập này, bạn có thể dễ dàng quản lý riêng cả lời mời và quyền truy cập (vào ChatGPT và API Platform). Thiết lập này còn có lợi ích là mọi thay đổi cần thiết đều có thể được đội ngũ quản trị của bạn thực hiện tập trung trực tiếp trong IdP.
Nếu bạn triển khai SCIM trên nhiều ứng dụng (ví dụ: ChatGPT, API Platform hoặc các tài khoản khác), các Ứng dụng SCIM của bạn phải là duy nhất. Ngay cả khi nhóm người dùng mục tiêu giống hệt nhau, bạn vẫn nên để mỗi triển khai SCIM tham chiếu đến một ứng dụng riêng trong IdP của mình.
Nếu không đáp ứng yêu cầu này, bạn có thể gặp vấn đề không nhất quán, cuối cùng dẫn đến tư cách thành viên không hợp lệ.
Lời mời trực tiếp từ ChatGPT hoặc Nền tảng API
Quản trị viên có thể trực tiếp mời người dùng qua email từ trang “Thành viên” tương ứng trên ChatGPT và Nền tảng. Trong ChatGPT, phương thức này cũng hỗ trợ gửi hàng loạt lời mời bằng cách tải tệp CSV lên:
Mặc dù thường khó mở rộng quy mô, chúng tôi vẫn hay khuyên bạn sử dụng lời mời trực tiếp khi mới bắt đầu thiết lập một không gian làm việc hoặc tổ chức mới. Không giống SCIM, lời mời không có nguy cơ bị chậm trễ khi gửi đến hộp thư của người dùng. Vì vậy, đây là lựa chọn hiệu quả nhất để nhanh chóng cấp quyền truy cập, sửa đổi quyền và thực hiện các thử nghiệm chung.
Ngoài ra, bạn luôn có thể bật SCIM sau này và nhóm những người dùng hiện có vào ứng dụng SCIM. Do đó, trừ khi bạn muốn như vậy, người dùng được mời trực tiếp vẫn sẽ được đưa vào quy trình tự động hóa trong tương lai.
Tạo tài khoản tự động (AAC)
Khác với các lựa chọn khác, AAC chỉ có trên trang Danh tính của ChatGPT và yêu cầu SSO phải được bật trước:
Như minh họa ở trên, AAC đảm bảo rằng người dùng đăng ký hoặc đăng nhập bằng miền email đã xác minh sẽ tự động được thêm vào không gian làm việc Enterprise của bạn. Người dùng sẽ không nhận email mời, và toàn bộ quy trình đều được tự động hóa. Điều này có cả ưu điểm và nhược điểm.
Nếu chính sách của bạn là cho phép mọi người dùng có miền đã xác minh được truy cập tự do, AAC là lựa chọn tuyệt vời giúp tránh phần việc phát sinh khi cấu hình và quản lý một ứng dụng SCIM.
Tuy nhiên, AAC không phải lựa chọn lý tưởng nếu bạn cần cách tiếp cận chặt chẽ hơn, dựa trên phê duyệt, đối với quyền truy cập của người dùng.
⚠️ CẢNH BÁO ⚠️
Điều quan trọng cần lưu ý là việc bật AAC thực tế sẽ buộc hợp nhất tất cả người dùng tiêu dùng (cá nhân/Plus/Pro) thuộc miền của bạn vào không gian làm việc Enterprise của bạn. Bạn có thể tìm hiểu thêm bên dưới trong phần “Xử lý người dùng hiện có”.
Lưu ý rằng trong trường hợp này, ngay cả khi người dùng không phải là thành viên của nhóm truy cập IdP của bạn và không thể truy cập thành công không gian làm việc khi SSO được bắt buộc, họ vẫn chiếm một ghế trong tài khoản Enterprise của bạn.
Vì lý do này, trong hầu hết trường hợp, chúng tôi thường khuyên dùng SCIM hoặc lời mời trực tiếp thay vì AAC. Để tránh những tình huống có thể gây nhầm lẫn, chúng tôi khuyên bạn nên tắt AAC nếu dự định sử dụng SCIM.
Thành viên đã bị xóa hoặc vô hiệu hóa trước đây
Người dùng đã bị xóa trước đây có thể thấy thông báo “Không tìm thấy tài khoản ChatGPT đủ điều kiện” nếu cố đăng nhập khi chưa được mời lại.
Tính năng Tự động tạo tài khoản sẽ cấp tư cách thành viên không gian làm việc cho những người dùng đủ điều kiện chưa có tư cách này. Tính năng này không kích hoạt lại tư cách thành viên đã bị xóa hoặc vô hiệu hóa trước đó, ngay cả khi người dùng đăng nhập thành công qua SSO và email của họ thuộc một miền đã xác minh.
Để khôi phục quyền truy cập cho người dùng đã bị xóa trước đây, chủ sở hữu hoặc quản trị viên không gian làm việc trước tiên phải xác nhận rằng người đó được phép truy cập, sau đó mời lại họ qua Cài đặt không gian làm việc → Thành viên → Mời thành viên.
Endpoint mời quản trị viên trên API Platform
API Platform của chúng tôi hỗ trợ Endpoint mời, cho phép bạn mời người dùng vào tổ chức API của mình theo cách lập trình.
So với SCIM, lợi ích chính của endpoint là cho phép bạn chỉ định (các) dự án mà người dùng được mời sẽ thuộc về:
Điều này cung cấp thêm một lớp chi tiết và kiểm soát mà không cần thao tác thủ công để gửi từng lời mời trực tiếp.
Xử lý người dùng tiêu dùng hiện có
Chúng tôi định nghĩa người dùng tiêu dùng là những người dùng gói đăng ký cá nhân, Plus hoặc Pro. Thông thường sẽ có những người dùng tiêu dùng hiện có với miền đã xác minh của bạn, những người đã có tài khoản trước khi bạn ký hợp đồng Enterprise. Vì việc xác minh miền và bật SSO có thể tác động tiếp theo đến những người dùng tiêu dùng này, bạn cần xác định trước kết quả mong muốn.
Tác động đến người dùng tiêu dùng trên ChatGPT
Về phía ChatGPT, tác động đến người dùng tiêu dùng chủ yếu do hai yếu tố quyết định:
Họ có được mời vào không gian làm việc Enterprise không?
Bạn có bắt buộc dùng SSO không?
Bạn có thể xem hành vi tương ứng bên dưới:
| Có lời mời đang chờ? | Bắt buộc dùng SSO? | Kết quả |
|---|---|---|
| Có | Có | Tài khoản người dùng tiêu dùng sẽ bị buộc hợp nhất vào Enterprise và chỉ có thể đăng nhập bằng SSO. |
| Có | Không | Tài khoản người dùng tiêu dùng sẽ bị buộc hợp nhất vào Enterprise, và người dùng có thể xác thực bằng SSO hoặc đăng nhập mạng xã hội. |
| Không | Có | Không ảnh hưởng: Người dùng tiêu dùng vẫn truy cập được không gian làm việc cá nhân bằng mật khẩu hoặc xác thực mạng xã hội. |
| Không | Không | Không ảnh hưởng: Người dùng tiêu dùng vẫn truy cập được không gian làm việc cá nhân bằng mật khẩu hoặc xác thực mạng xã hội. |
Nếu mục tiêu cuối cùng của bạn là ngăn mọi tài khoản tiêu dùng, vui lòng liên hệ với Giám đốc tài khoản của bạn để thảo luận về các lựa chọn khả thi.
Hợp nhất tài khoản
Các điều kiện tiên quyết để tự động hợp nhất tài khoản cá nhân vào tài khoản Enterprise như sau:
Miền của người dùng đã được xác minh.
Người dùng đã nhận được lời mời tham gia không gian làm việc Enterprise nơi miền của họ được xác minh.
Lưu ý: Nếu đã bật AAC, điều kiện này sẽ luôn được đáp ứng đối với mọi người dùng có email thuộc miền đã xác minh của bạn.
Khi các điều kiện này được đáp ứng, người dùng sẽ thấy hộp thoại sau vào lần tiếp theo họ đăng nhập hoặc làm mới ChatGPT:
Như hình minh họa, chúng tôi sẽ tự động hoàn tiền cho mọi gói đăng ký Plus hoặc Pro hiện có trước khi hợp nhất. Người dùng có thể chuyển lịch sử trò chuyện và các GPT hiện có, hoặc xuất lịch sử trò chuyện qua email rồi bắt đầu sử dụng không gian làm việc Enterprise hoàn toàn mới.
Lưu ý: Nếu không gian làm việc Enterprise hoặc Edu đích đã bật tính năng nơi lưu trú dữ liệu, dữ liệu trong không gian làm việc Cá nhân sẽ không thể được chuyển. Người dùng chỉ có thể xuất các cuộc trò chuyện và xóa không gian làm việc Cá nhân. Hãy xem Lời mời qua email và di chuyển tài khoản để biết chi tiết.
Sau khi tài khoản cá nhân được hợp nhất, bạn sẽ không thể khôi phục tài khoản đó. Nếu người dùng chọn tùy chọn “Chuyển lịch sử trò chuyện và các GPT hiện có” nhưng không thấy nội dung này xuất hiện trong không gian làm việc Enterprise, vui lòng liên hệ với bộ phận Hỗ trợ.
Tác động đến người dùng tiêu dùng trên API Platform
Vì SSO trên Platform vẫn dựa trên miền (khác với ChatGPT, nơi SSO áp dụng riêng cho không gian làm việc đã bật tính năng này), người dùng tiêu dùng của bạn sẽ bị ảnh hưởng ngay khi bạn xác minh miền và bật SSO trên bất kỳ tổ chức nào.
Người dùng tiêu dùng sẽ mất khả năng xác thực bằng mật khẩu, vì chúng tôi nhận diện miền khớp và chuyển họ đến IdP của bạn. Nếu họ là thành viên trong IdP của bạn, họ có thể xác thực thành công. Ngoài ra, họ có thể đăng nhập bằng một tùy chọn OAuth mạng xã hội nếu có. Nếu không, bạn đã thực sự khóa họ khỏi tài khoản tiêu dùng của họ.
Xem phần Luồng đăng nhập của người dùng để biết hướng dẫn chuyên sâu hơn về quy trình này.
Các mô hình danh tính và cấp phát được khuyến nghị
Giờ đây khi đã trình bày các hành vi cơ bản liên quan đến xác thực danh tính và cấp phát lời mời, bạn có thể xem lại một số mô hình triển khai phổ biến hơn dành cho người dùng Enterprise:
Quy trình đăng nhập của người dùng
Chúng ta đã thảo luận về tác động của các lời mời đang chờ xử lý và việc bắt buộc sử dụng SSO. Vì vậy, phần này minh họa quy trình dự kiến và các bước kiểm tra được thực hiện khi người dùng nhập địa chỉ email để đăng nhập.
Luồng đăng nhập ChatGPT
Lưu ý: Sơ đồ này không bao gồm các lần đăng nhập bằng phương thức mạng xã hội hoặc qua URL Tile.
Luồng đăng nhập API Platform
Lưu ý: Sơ đồ này không bao gồm các lần đăng nhập bằng phương thức mạng xã hội hoặc qua URL Tile.
Các bước tiếp theo
Khi đã có hình dung về cách triển khai lý tưởng, bạn có thể làm theo tài liệu tương ứng để bật SCIM hoặc SSO: