Best Practices für die Konfiguration von ChatGPT Edu-Workspaces an Hochschulen

Konfigurieren Sie den hochschulweiten Zugriff mit fünf empfohlenen benutzerdefinierten Rollen: Core, Plus, Advanced, Power und TEST. Wählen Sie anhand der folgenden Matrizen die Berechtigungen jeder Rolle aus und legen Sie anschließend den Modellzugriff und die Nutzungslimits separat fest.

Die Berechtigungsbezeichnungen und die Reihenfolge der Abschnitte entsprechen den Ansichten der Edu Admin Console, die am 19. und 21. Oktober 2026 überprüft wurden. Die Werte sind empfohlene Einstellungen und keine Kopie der Konfiguration dieses Workspaces. Die Verfügbarkeit von Funktionen kann je nach Workspace und Rollout variieren.

Empfohlene Rollen auswählen

Dies sind vorgeschlagene Namen für benutzerdefinierte Rollen, die Ihre Einrichtung erstellen kann. Plus bezeichnet hier nicht das ChatGPT Plus-Abonnement, und keiner dieser Namen steht für einen Edu-Tarif oder eine integrierte Administratorrolle. Wählen Sie eine Rolle anhand der Aufgaben aus, die eine Person erledigen muss; Professoren, Studierende und Mitarbeitende können für jede passende Stufe infrage kommen.

Belassen Sie die meisten Personen in der integrierten Rolle Mitglied. Vergeben Sie integrierte administrative Befugnisse separat:

Lassen Sie benutzerdefinierte Rollen von einem Workspace-Inhaber erstellen und zuweisen. Eine benutzerdefinierte Rolle verleiht keine Inhaber- oder Administratorbefugnisse. Siehe Workspace-Rollen.

Matrix anwenden

Öffnen Sie die Admin Console, wählen Sie den gewünschten Edu-Workspace aus und wechseln Sie zu Richtlinien und Sicherheit → Berechtigungen. Verwenden Sie Workspace-Standard für den hochschulweiten Standard und Rollen für abweichende Einstellungen.

Legen Sie Workspace-Standard entsprechend der Spalte Core fest und belassen Sie Einträge mit Prüfen auf Aus, bis die Prüfung abgeschlossen ist. Verwenden Sie bei jeder benutzerdefinierten Rolle Standard nur dort, wo der Workspace-Wert dem gewünschten Wert entspricht; legen Sie andernfalls ausdrücklich Ein oder Aus fest. Einige Steuerelemente bieten nur Ein und Aus.

Reguläre Rollen kombinieren erteilte Berechtigungen: Aus in einer Rolle hebt Ein in einer anderen nicht auf. Prüfen Sie sowohl direkte Zuweisungen als auch Gruppenrollen. Eine separate Einschränkung durch den Lockdown Mode kann weiterhin gelten. Übergeordnete Berechtigungen können untergeordnete Steuerelemente ausblenden, wenn sie deaktiviert sind; aktivieren Sie eine genehmigte übergeordnete Berechtigung, bevor Sie die untergeordneten konfigurieren. So funktioniert RBAC.

Berechtigungen nach Rolle

Wählen Sie eine Rolle aus, um deren Empfehlungen in jeder Berechtigungs- und Modelltabelle anzuzeigen. Wählen Sie Alle Rollen, um die vollständige Matrix zu vergleichen. Die Abschnitte folgen der Reihenfolge unter Berechtigungen → Workspace-Standard. Die beiden Zeilen Lokalen Computerzugriff zulassen werden durch ihren übergeordneten Abschnitt unterschieden.

Chat

Halten Sie alltägliches Lernen, Forschen und Zusammenarbeiten für alle Rollen verfügbar. Wenden Sie die Regeln Ihrer Einrichtung für Aufzeichnungen, Bildschirmfreigabe, gespeicherte Dateien und Code mit Netzwerkzugriff an. Legen Sie bei Einträgen mit Prüfen den genehmigten Kurs, das Team, den Workflow und den Empfängerkreis fest, bevor Sie diese Berechtigungen aktivieren.

Gewähren Sie Personen Zugriff auf die Agentenerstellung, die einen genehmigten Workflow pflegen. Behalten Sie die Workspace-weite Veröffentlichung dafür benannten Herausgebern vor. Eine agenteneigene Verbindung erfordert eine separate Prüfung des gemeinsam genutzten Kontos, der Quelldaten, der zulässigen Aktionen und der Empfänger; bevorzugen Sie eigene Verbindungen der Nutzer, sofern dies unterstützt wird. Einzelheiten finden Sie unter Verwaltung von Workspace-Agenten.

Verwenden Sie Plugins für neue wiederverwendbare Workflows. Lassen Sie die GPT-Erstellung deaktiviert; gewähren Sie vorübergehenden Migrationszugriff nur dort, wo er noch unterstützt wird. Benutzerdefinierte GPTs sollen am 11. Dezember 2026 eingestellt werden; beachten Sie die Mitteilung des zuständigen Workspaces. Bei der Migration werden benutzerdefinierte Aktionen und Freigabeeinstellungen nicht übertragen. Einzelheiten finden Sie in den Hinweisen zur GPT-Migration.

Work

Dies entspricht dem breiten Work-Zugriff für berechtigte Mitglieder in der empfohlenen Konfiguration. Lokale Arbeit, Cloud-Arbeit und der Zugriff einer Cloud-Aufgabe auf einen verbundenen Computer bleiben separate Entscheidungen. Aktivieren Sie Lokalen Computerzugriff zulassen nur für genehmigte Dateien, Anwendungen und Geräte mit der jeweils geltenden Konfiguration für die Agent Security.

Genehmigen Sie bei ereignisgesteuerten Aufgaben den Auslöser, die verbundene App, die zulässigen Aktionen, den Verantwortlichen und die Überwachung. Mitglieder benötigen außerdem Zugriff auf Work und die App. Das Teilen geplanter Aufgaben wird separat in Chat gesteuert. Verfügbarkeit von Work und Codex · Steuerelemente für geplante Aufgaben.

Codex

Stellen Sie Programmierzugriff für alle berechtigten Rollen bereit, einschließlich Studierender in Programmierkursen. Prüfen Sie Repository-Zugriff, Richtlinien für lokale Laufzeitumgebungen und Cloud-Umgebungen separat. Die Anmeldung per Gerätecode betrifft alle vier im Steuerelement genannten Produkte.

Prüfen Sie die Erfassung durch Computer History und die Einwilligung der Nutzer, bevor Sie Zugriff auf Computer History gewähren. Vergeben Sie Workspace-Umgebungen verwalten, Codex administrieren und Codex Security administrieren über die unten aufgeführten Rollen für spezifische Zuständigkeiten. Eine Zuweisung von Power oder TEST sollte nicht automatisch die Dienstadministration erlauben. Einzelheiten finden Sie unter Berechtigungsgrenzen von Codex.

Workspace-Funktionen—Agenten die Nutzung von Cloud-Computern erlauben

Prüfen Sie vor dem Aktivieren eines Steuerelements, wie es sich auf Work Cloud, dots und Teamautomatisierungen auswirkt. Browserzugriff, Netzwerkzugriff und Computerbedienung sind separate Steuerelemente. Genehmigen Sie die erforderlichen Netzwerkziele und Anwendungen für jeden Workflow.

Workspace-Funktionen—dots

Dots ist in der überprüften Konsole als Beta gekennzeichnet. Genehmigen Sie die laufenden Zuständigkeiten, Nachrichtenziele und Regeln, bevor Sie es aktivieren. Die Zeile Lokalen Computerzugriff zulassen bezeichnet hier die dots-Berechtigung; sie ist vom gleichnamigen Work-Steuerelement getrennt. Hinweise zu dots lesen.

Workspace-Funktionen—Plugins und Skills

Verwenden Sie Plugins → Plugins und Plugins → Skills, um einzelne Elemente und ihre Zielgruppen zu genehmigen. MCP-basierte Plugins benötigen einen Integrationsverantwortlichen, eine überprüfte Authentifizierung sowie genehmigte Datenzugriffe und Aktionen. Verwenden Sie die unten aufgeführten zusätzlichen Rollen, um die Verantwortung für die Veröffentlichung von Elementen im Workspace und deren Installation für andere Personen zuzuweisen.

Der Zugriff auf ein Plugin autorisiert keine enthaltenen Apps und erweitert keine Berechtigungen im verbundenen Dienst. Prüfen Sie erforderliche Apps und Kontoautorisierungen separat. Einzelheiten finden Sie unter Steuerelemente für Plugins und Apps.

Workspace-Funktionen—Sites

Prüfen Sie die Zuständigkeit für Websites, zulässige Inhalte und die angezeigten Sites-Nutzungsbedingungen, bevor Sie diese Berechtigungen aktivieren. Vergeben Sie die Berechtigung zur Veröffentlichung von Websites im öffentlichen Internet über den Veröffentlichungsprozess Ihrer Einrichtung. Behandeln Sie die beiden Steuerelemente für private Tunnel als separate Berechtigungen für genehmigte technische Integrationen; lassen Sie sie in den allgemeinen Hochschulrollen deaktiviert. Ihre Verfügbarkeit in einem Demo-Workspace belegt keine Verfügbarkeit in jedem Edu-Workspace.

Prüfen Sie vor dem Aktivieren von Sites den unterstützten Funktionsumfang für Ihren Workspace und Ihre Region. Neue Sites in Workspaces mit Datenresidenz in den USA oder der EU verwenden diese Region für unterstützte Speicherung und Hosting; bestehende Sites werden nicht automatisch migriert. Sites-Hosting ist von der Inferenzresidenz getrennt. Siehe Sites-Verwaltung.

Workspace-Funktionen—Teams, Memory und Zugangsdaten

Weisen Sie jedem Team und jeder Teamaufgabe einen zuständigen Verantwortlichen zu. Legen Sie fest, welche Informationen der Einrichtung in Memory gespeichert werden dürfen und ob das Verzeichnis für den vorgesehenen Personenkreis sichtbar sein soll. Wenn die Richtlinien der Einrichtung die Deaktivierung einer dieser Funktionen erfordern, ändern Sie die entsprechende Zeile für jede betroffene Rolle.

Prüfen Sie die Nutzung des Passwortmanagers mit der IT. Erlauben Sie persönliche Zugriffstoken nur für genehmigte Integrationen mit einem Verantwortlichen, dem minimal erforderlichen Berechtigungsumfang und einem Ablauf- oder Widerrufsverfahren. Eine Token-Berechtigung gewährt keine Workspace-Administratorschlüssel.

Datenexport

Legen Sie fest, wie Studierende, Lehrende und Mitarbeitende beim Verlassen der Einrichtung zulässige Arbeitsergebnisse mitnehmen können. Diese Berechtigung betrifft die eigenen Daten der Mitglieder. In Edu-Workspaces mit einer Datenresidenzkonfiguration steht der Mitgliederexport nicht zur Verfügung. Einzelheiten finden Sie unter Anforderungen an den Edu-Export.

Nutzung durch Jugendliche

Wählen Sie die Einstellung anhand des tatsächlichen Nutzerkreises, einschließlich Studierender unter 18 Jahren. Ein Rollenname, ein Guthabenkontingent oder eine Filtereinstellung bestimmt nicht die Berechtigung zur Nutzung von ChatGPT.

Freigaben in Space

Erlauben Sie die Zusammenarbeit mit genehmigten Empfängern. Prüfen Sie, ob Workspace-Links zum Empfängerkreis für Kursmaterialien, Forschungs- und Abteilungsdateien passen. Die Freigabeberechtigung steuert das Erstellen von Freigaben und das Ändern des Zugriffs; ihre Deaktivierung entzieht keinen Zugriff auf Inhalte, die bereits mit einem Mitglied geteilt wurden.

Zuständigkeiten für Veröffentlichung und Administration zuweisen

Weisen Sie den zuständigen Personen eng begrenzte Rollen zu, statt diese Funktionen allen Personen mit Power oder TEST zu gewähren. Lassen Sie nicht zugehörige Berechtigungen in jeder zusätzlichen Rolle auf Aus, damit sie keine umfassenderen Workspace-Berechtigungen übernimmt.

Beispielsweise kann ein Lehrender Plus und Workspace-Herausgeber erhalten, während ein Studierender in einem Programmierkurs Core mit Codex-Zugriff erhält. Eine Erhöhung des Guthabenkontingents eines Forschenden erfordert keine Veröffentlichungs- oder Administrationsberechtigungen.

Modellzugriff nach Rolle

Öffnen Sie Richtlinien und Sicherheit → Modelle. Konfigurieren Sie Workspace-Standard und verwenden Sie anschließend Rollen für rollenspezifische Einstellungen. Die Tabelle verwendet die Modellnamen und Einstellungsbezeichnungen aus der von uns überprüften Konsole. Aktivieren Sie nur Modelle, die Ihrem Workspace zur Verfügung stehen.

Modellempfehlungen: Halten Sie 5.6 Sol für regulären Chat und 6 Luna für Routineaufgaben in Work und Codex verfügbar. Halten Sie 5.6 Luna bei Bedarf als Ausweichoption bereit. Aktivieren Sie 6.1 Sol und 6 Sol für Power-Workflows und prüfen Sie deren Freigabe für Advanced-Nutzer. Genehmigen Sie Astra/Pro-Zugriff und schnellere Modi anhand der erwarteten Aufgaben und des Budgets. Nehmen Sie Daybreak Blue nicht in allgemeine Hochschulrollen auf; erwägen Sie eine separat genehmigte Sicherheitsrolle nur, wenn die Voraussetzungen erfüllt sind.

Dass ein Modell in der Demo aufgeführt oder aktiviert ist, belegt keinen Zugriff für jeden Edu-Workspace oder jedes Produkt. Insbesondere sind 6.1 Sol und 6 Luna Optionen für Work und Codex und keine regulären Chat-Standardeinstellungen. Verwenden Sie Modelle → Test, um den Modellzugriff für das vorgesehene Mitglied zu prüfen. Siehe aktuelle Modellverfügbarkeit.

Standardeinstellungen nach Produkt

Eine Startvorgabe gewährt keinen Modellzugriff. Mittleren/hohen/sehr hohen Aufwand zulassen und Pro-Modelle zulassen gelten für Chat; Schnellen Modus zulassen und Ultra Fast-Modus zulassen gelten für Work & Codex. Mitglieder können andere zulässige Optionen auswählen. Prüfen Sie Rollenüberschreibungen für jedes Produkt separat.

Nutzungslimits unabhängig festlegen

Verwenden Sie Abrechnung → Nutzungslimits, um Mitgliederlimits über Workspace-Standardeinstellungen, Gruppenstandardeinstellungen und nutzerspezifische Überschreibungen zu konfigurieren. Prüfen Sie den gemeinsamen Guthabenpool und das Limit für die Überschreitung des Workspace-Kontingents separat unter Abrechnung. Die folgenden Beträge veranschaulichen guthabenbasierte Limits; genehmigen Sie sie anhand der Vereinbarung Ihrer Einrichtung, des erworbenen Guthabens, der erwarteten Aktivität und des angezeigten Limitzeitraums.

Das Nutzungslimit einer Gruppe erstellt keine Berechtigungsrolle und gewährt keine Funktionen. Verwenden Sie entsprechende Gruppen, wenn die Mitgliedschaft übereinstimmt, und separate Gruppen, wenn sich Zugriffs- und Budgetanforderungen unterscheiden. Legen Sie den Rückfallwert für nicht zugewiesene Nutzer auf den vorgesehenen hochschulweiten Standard fest.

Belassen Sie bei guthabenbasierten Vereinbarungen die Überschreitungen des Workspace-Kontingents auf 0, sofern keine zusätzlichen Ausgaben genehmigt wurden. Nutzerspezifische Überschreibungen haben Vorrang vor Gruppenlimits; andernfalls hat das höchste zutreffende Gruppenlimit Vorrang vor dem Workspace-Standard. Warnmeldungen benachrichtigen Empfänger, stoppen aber die Nutzung nicht. Laufende Aufgaben können nach Erreichen eines Limits abgerechnet werden. Siehe Nutzungslimits und Kontingentüberschreitungen.

Verwenden Sie die aktuelle Preistabelle für enthaltene Kontingente und kostenpflichtige Nutzung.

Änderungen mit dem Admin-Plugin vorbereiten und prüfen

Das Admin-Plugin kann Rollen und Berechtigungen prüfen und nach Bestätigung einer bestehenden Gruppe eine bestehende Rolle zuweisen. Es kann keine Rollen erstellen oder deren Berechtigungen bearbeiten. Konfigurieren Sie die Rollen und Berechtigungen zuerst in der Admin Console. Siehe Funktionsumfang des Admin-Plugins.

Fügen Sie die genehmigte Matrix Ihrer Einrichtung bei, klären Sie jeden Eintrag mit Prüfen und ersetzen Sie die folgenden Platzhalter.

Workspace mit der Matrix vergleichen

Prompt:

Use the Admin plugin to compare workspace {workspace_id} with the attached Core, Plus, Advanced, Power, and TEST matrix. Show role IDs and a table of current versus recommended permissions. Flag missing roles, unresolved decisions, and anything you cannot inspect. Prepare a manual Admin Console change checklist. Do not make changes.

Einer Gruppe eine konfigurierte Rolle zuweisen

Prompt:

In workspace {workspace_id}, prepare to assign existing role {role_id} to existing group {group_id}. Show current assignments, the access this adds, and the recorded approver. Wait for my explicit approval. Then make only that assignment and re-read the group to verify it.

Zuweisungen und Überschneidungen überprüfen

Prompt:

Review user {user_id} in workspace {workspace_id} against the attached approved matrix. Show direct and group-based roles, overlapping grants, and unexpected access. Mark unsupported checks as unknown. Do not claim that role access verifies a specific connected app. Do not make changes.

Konfigurieren und überprüfen

1. Wählen Sie unter Identität und Zugriff → Gruppen und Rollen → Rollen die Option Rolle hinzufügen. Geben Sie einen Rollennamen und eine Beschreibung ein und wählen Sie anschließend Rolle erstellen. Erstellen Sie nur die Rollen, die Ihre Einrichtung benötigt.
2. Wenden Sie unter Richtlinien und Sicherheit → Berechtigungen → Workspace-Standard den Core-Standard an. Öffnen Sie unter Rollen jede Rolle und wenden Sie die genehmigten Matrixwerte an. Wählen Sie Änderungen speichern.
3. Öffnen Sie unter Gruppen und Rollen → Rollen die Rolle. Verwenden Sie Rollengruppen → Gruppe hinzufügen, um die vorgesehenen Gruppen zuzuweisen. Verwalten Sie SCIM-synchronisierte Mitgliedschaften beim Identitätsanbieter.
4. Konfigurieren Sie Modelle → Workspace-Standard und Modelle → Rollen und legen Sie anschließend Nutzungslimits fest. Genehmigen Sie einzelne Plugins, Apps, Skills und Zugriffe auf Quellsysteme separat.
5. Verwenden Sie Berechtigungen → Berechtigungen nach Rollen, um Zuweisungen zu vergleichen, und Test, um den effektiven Zugriff zu prüfen. Planen Sie bis zu fünf Minuten für Berechtigungsaktualisierungen ein. Verwenden Sie Modelle → Test, um den Modellzugriff zu prüfen.
6. Überprüfen Sie tatsächliche Workflows mit repräsentativen Mitgliedern, darunter einer Person mit überlappenden Rollen. Verwenden Sie die benutzerdefinierte Rolle TEST, um zulässige Aktionen auszuführen und absichtlich gesperrte Aktionen zu versuchen, und entfernen Sie anschließend vorübergehend erteilte Berechtigungen.

Die Vergleichsansicht kann ältere Bezeichnungen enthalten, die von der bearbeitbaren Berechtigungsseite abweichen. Konfigurieren Sie den gemeinsamen Zugriff auf Cloud-Computer unter Workspace-Funktionen → Agenten die Nutzung von Cloud-Computern erlauben mit Einen Browser verwenden, Netzwerkzugriff zulassen und Computerbedienung zulassen.

Prüfen Sie Rollen jedes Semester und immer dann, wenn eine neue Berechtigung hinzukommt. Wo Administratorvorschau angeboten wird, entscheiden Sie separat über den Zugriff während der Vorschau und nach der Einführung. Allgemeine Workspace-Einstellungen, Identitätsrichtlinien, Agent Security, App-Aktionen und Aufbewahrung bleiben von diesen Rollenmatrizen getrennt.