概述

基于角色的访问控制 (RBAC) 允许工作空间所有者通过可重复使用的自定义角色配置功能访问权限。成员可以通过直接分配或所属群组获得角色，也可以拥有多个角色。

自定义角色用于控制功能权限。成员、管理员和所有者等内置工作空间角色决定用户可以管理的内容。有关内置角色和席位类型，请参阅：管理成员、工作空间角色和席位。

可用范围

在所有受支持的国家/地区，ChatGPT Enterprise、Edu、Healthcare 和 Teachers 均可使用 RBAC。在网页版中，你可以通过 ChatGPT 的工作空间设置 > 权限与角色，或管理控制台中受支持的角色和权限控制选项来配置 RBAC。

开始前须知

• 工作空间所有者可以创建、删除、分配和取消分配自定义角色，并管理整个工作空间的默认权限设置。

• 工作空间管理员可能可以通过支持相关操作的管理界面查看或更新现有角色。他们无法创建、删除、分配或取消分配自定义角色。

• 成员和分析查看者无法管理整个工作空间的 RBAC 设置。

• ChatGPT Enterprise 支持向群组管理员委派权限。只有工作空间所有者才能为群组管理员启用或禁用编辑已分配角色的权限。

租户全局管理员不会自动获得 ChatGPT 工作空间中的角色。自定义角色不会授予管理员密钥访问权限。只有工作空间所有者和管理员才能创建工作空间管理员密钥，而敏感合规权限则要求具备所有者身份。有关详情，请参阅：在管理控制台中管理管理员密钥。

了解工作空间默认设置和自定义角色

工作空间设置为支持的权限提供基准。普通自定义角色可以使用以下状态：

普通角色的权限会叠加生效。只要任何已分配的角色授予了访问权限，无论是明确授予，还是继承了工作空间中已开启的设置，成员就会保留访问权限。这适用于直接分配的角色和通过群组分配的角色。

如果所有适用的普通角色都设为关闭，普通 RBAC 就不会授予访问权限。如果所有适用角色都使用默认，则应用工作空间设置。某些权限（包括部分工作模式和插件控制选项）只有开启和关闭两种状态。

席位类型、套餐和产品使用资格的限制仍然适用。锁定模式会单独评估，即使普通角色允许使用某项功能，锁定模式仍可能限制该功能。

设置工作空间的默认权限

1. 打开你的 ChatGPT 工作空间。

2. 前往工作空间设置 > 权限与角色。

3. 打开工作空间选项卡。

4. 查看可用权限，并配置工作空间的基准设置。

可用的控制选项列在权限与角色中。对于支持继承默认设置的自定义角色权限，当该角色选择默认时，将应用工作空间的默认设置。

你可以逐个控制应用的访问权限。无法单独禁用应用的用户界面。

创建或编辑自定义角色

工作空间所有者可以创建自定义角色。

1. 前往工作空间设置 > 权限与角色。

2. 打开自定义角色。

3. 选择创建角色。

4. 输入名称和描述，然后选择保存。

5. 在角色的权限页面上，为支持这些选项的各项权限选择默认、开启或关闭。对于只有两种状态的权限，请选择开启或关闭。

如需编辑现有角色，请在自定义角色中打开该角色，并更新你有权修改的设置。如上所述，管理权限取决于你的工作空间角色以及所用界面支持的操作。

对自定义角色的更改会影响获分配该角色的所有群组。如果群组需要独立的权限设置，请使用不同角色。

分配自定义角色

工作空间所有者可以在支持的情况下，直接向单个成员分配角色，也可以向手动创建或通过 SCIM 同步的群组分配角色。建议使用群组来大规模管理访问权限。有关群组设置，请参阅：管理群组和群组管理员。

向群组分配角色

1. 前往工作空间设置 > 权限与角色。

2. 打开自定义角色，然后选择相应角色。

3. 打开角色分配。

4. 选择 + 添加。

5. 选择一个或多个群组。

6. 选择完成。

成员将获得所有适用角色的权限，包括直接分配的角色和通过群组分配的角色。更改最多可能需要 5 分钟才能生效。

直接向成员分配角色

如果支持直接分配，请打开成员的个人资料，前往直接分配的角色，然后选择直接分配角色。选择要分配的自定义角色。直接分配的角色会与成员通过群组获得的角色叠加生效。

委派已分配角色的编辑权限

在 ChatGPT Enterprise 中，工作空间所有者可以允许群组管理员编辑分配给其群组的自定义角色，但仅限获准修改的设置。群组管理员无法创建或删除角色，也无法分配或取消分配角色。编辑多个群组共用的角色会影响所有这些群组。

有关管理员的指派、委派权限设置和移除，请参阅：管理群组和群组管理员。

配置模型访问权限和安全例外

模型访问权限

所有者可以通过工作空间设置或自定义角色，控制符合使用资格的模型的访问权限。如果工作空间不具备某个模型的使用资格，角色也无法使该模型可用。选择起始模型或默认模型不会授予访问权限。

在符合条件的 Enterprise 和 Edu 工作空间中，GPT-6 Astra 在推出时默认关闭。请单独配置 Astra 的访问权限；此前的模型抢先体验设置不会沿用。请核查所有已分配的角色，因为即使某个角色设为关闭，另一个允许访问的角色仍可使访问权限保持开启。

GPT-6 Sol 和 GPT-6 Luna 在工作模式和 Codex 中推出时，在 Enterprise 和 Edu 工作空间内均默认关闭。对于仍处于禁用状态的模型，管理员必须先将其启用，成员才能使用。已经启用的模型无需为此次聊天模式的上线再次启用。模型选择器和滑块仅显示该成员可用的选项。

对于 Enterprise 聊天模式中的 GPT-6，请使用现有的 GPT-6 Sol 权限来控制从即时到极高各档位的访问权限。已启用 Sol 的工作空间可在逐步上线期间获得访问权限。此次聊天模式发布不会新增管理员预览期。

访问权限取决于现有的管理员设置以及所有已分配的角色。如上所述，普通角色的权限会叠加生效：即使一个角色关闭了访问权限，另一个角色仍可允许访问。成员仍须满足套餐、席位和产品使用资格要求。Pro 使用独立的 GPT-6 Astra 权限。

如果成员在工作模式或 Codex 中找不到其中某个模型，请检查工作空间是否具备该模型的使用资格，并核查该成员实际生效的模型访问权限。

管理员可以打开管理控制台，选择 ChatGPT 工作空间，然后打开模型并选择测试，以查看成员的访问权限及影响这些权限的设置。测试不会启用模型，也不会更改权限。

有关模型可用范围、客户端要求和完整操作步骤，请参阅：ChatGPT Enterprise 和 Edu 的模型及限额。

锁定模式

支持锁定模式角色的工作空间可以为有需要的成员创建自定义角色。锁定模式是角色级别的安全配置，而非单个权限开关。

根据工作空间设置，锁定模式角色可以限制联网功能，包括实时网页搜索、深度研究、智能体模式、画布联网，以及某些应用或 MCP 行为。即使普通角色允许使用某项功能，这些限制仍可能生效。

分配锁定模式角色之前，请核查该角色允许使用哪些应用和操作。成员还必须在每个已连接的源系统中拥有必要权限；ChatGPT 应用访问权限不会覆盖这些源系统权限。

有关详情，请参阅：锁定模式。

管理角色的插件访问权限

在 Enterprise 和 Edu 工作空间中，可以为自定义角色单独配置某个插件的访问权限，也可以让其继承工作空间默认设置。这些针对单个插件的设置，独立于工作空间范围内的使用插件权限，以及其他仅有开启和关闭两种状态的插件权限。

1. 前往管理控制台，选择目标 ChatGPT 工作空间，然后打开插件。

2. 选择相应插件，并查看要更改的角色。

3. 选择为该角色单独设置插件访问权限，还是继承工作空间默认设置。

4. 核查所需应用和共享依赖项的当前访问权限及拟议更改。仅确认你确实打算进行的插件和应用更改。

5. 查看结果，并处理所有未能成功应用的更改。

检查访问权限时，请查看直接分配给成员以及通过群组分配给成员的所有角色。插件访问权限不会覆盖其所包含应用独立的访问、操作、审批或提供方授权设置。

受限插件仍可能显示在目录中，并标注为已被管理员禁用。有关插件管理和所需应用的冲突，请参阅：插件和应用的管理控制、安全与合规。

检查成员实际生效的访问权限

核查成员的席位类型、套餐使用资格、工作空间默认设置，以及所有直接分配和通过群组分配的角色。最近的 RBAC 更改最多可能需要 5 分钟才能生效。

除非另有说明，以下示例均使用普通角色：

对于模型访问权限，Business、Enterprise、Healthcare 和 Edu 的管理员可以使用管理控制台模型部分中的测试功能。该功能会显示实际生效的模型访问权限，以及影响这些权限的设置。它不会授予访问权限，也不会更改权限。有关操作步骤，请参阅：ChatGPT Enterprise 和 Edu 的模型及限额。

常见问题

在某个角色中关闭一项权限，会移除成员的访问权限吗？

如果其他适用的普通角色授予了该权限，就不会。请同时核查直接分配的角色和通过群组获得的角色。锁定模式和产品使用资格会单独评估。

RBAC 能否覆盖成员席位类型的限制？

不能。RBAC 仅在席位类型和工作空间套餐允许的访问范围内控制功能。仅限 Codex 的席位无法通过自定义角色获得 ChatGPT 访问权限。

如果某项权限只有“开启”和“关闭”两个选项，该怎么办？

请为工作空间和相关角色明确设置为开启或关闭。只有支持的权限才提供默认选项。