Rollen und Arbeitsbereichsberechtigungen

Unterschiedliche Einstellungen decken unterschiedliche Bereiche der ChatGPT-Nutzung in Ihrer Organisation ab. Wenn Sie einer Person in einem Bereich Zugriff gewähren, erhält sie dadurch nicht automatisch Zugriff auf einen anderen. Auf dieser Seite erfahren Sie, wie die sechs Kontrollgrenzen zusammenwirken. Folgen Sie anschließend den verlinkten Anleitungen für die aktuellen Einrichtungsschritte.

In den Workspace-Einstellungen fasst Codex and Work Local den lokalen Zugriff auf Codex und Work unter Allow members to use Codex and Work Locally zusammen. In anderen Workspaces sind Codex Local und Work Local in separate Abschnitte unterteilt. In diesem Aufbau gewährt Allow members to use Codex locally lokalen Codex-Zugriff und Use Work locally lokalen Work-Zugriff. Die Aktivierung der einen Option gewährt keinen Zugriff auf die jeweils andere. Diese Bezeichnungen kennzeichnen Workspace-Berechtigungen und keine separaten Produkte oder Clients. Token-Berechtigungen und Begrenzungen der Anmeldedaten-Gültigkeitsdauer werden je nach Workspace entweder in einem Abschnitt Access tokens oder im Abschnitt für den lokalen Zugriff angezeigt. Die verwaltete Konfiguration ist eine separate Ebene, die das unterstützte Laufzeitverhalten für die abgedeckten Funktionen in diesen Clients einschränkt. Funktionen und geltende Anforderungen können je nach Client und Version variieren.

Kontrollgrenzen verstehen

Eine Anfrage muss jede für sie geltende Grenze passieren. Beispielsweise kann der Arbeitsbereichszugriff ein Plugin verfügbar machen, doch der verbundene Dienst entscheidet weiterhin, welche Daten das angemeldete Konto lesen kann. Ein lokales Berechtigungsprofil kann einen Lauf in einem unterstützten lokalen Client einschränken, aber keine Arbeitsbereichsfunktion und kein Modell freigeben.

Arbeitsbereichszugriff zuweisen

Die ChatGPT-Workspace-Verwaltung trennt den Produktzugriff von administrativen Befugnissen.

Unterschied zwischen Lizenzplatz, Administratorrolle und benutzerdefinierter Rolle verstehen

Ein Lizenzplatz bestimmt, auf welche Produktoberflächen ein Mitglied zugreifen kann. Abhängig vom Workspace-Tarif können ChatGPT- und Codex-Sitzplätze als Lizenzplatztypen verfügbar sein.

Integrierte Workspace-Rollen bestimmen die administrativen Befugnisse. Die Rolle Owner verwaltet Workspace-weite Einstellungen, die Rolle Admin verwaltet unterstützte Vorgänge und Gruppen, die Rolle Member besitzt keine administrativen Rechte und die Rolle Analytics Viewer kann auf Workspace-Analysen zugreifen.

Benutzerdefinierte Rollen legen fest, welche unterstützten Funktionen ein Mitglied verwenden kann. Sie ersetzen weder die Berechtigung durch Lizenzplatz oder Tarif noch gewähren sie Berechtigungen in einem verbundenen System oder ändern lokale Laufzeitanforderungen.

Workspace-Standard festlegen und anschließend gezielte benutzerdefinierte Rollen erstellen

Nur Workspace-Inhaber können die rollenbasierte Zugriffskontrolle (RBAC) konfigurieren und benutzerdefinierte Rollen erstellen. Workspace-Einstellungen legen die Grundlage für die verfügbaren Berechtigungen fest. Workspace-Inhaber können benutzerdefinierte Rollen über Gruppen oder, sofern unterstützt, direkt einzelnen Mitgliedern zuweisen. Gruppen können manuell verwaltet oder über SCIM synchronisiert werden, und ein Mitglied kann mehr als eine benutzerdefinierte Rolle erhalten.

Bei den dafür vorgesehenen Berechtigungen übernimmt Default die Workspace-Einstellung, On gewährt Zugriff über diese Rolle, und Off gewährt keinen Zugriff über diese Rolle. Reguläre Rollenberechtigungen werden additiv kombiniert: Eine andere zugewiesene Rolle kann weiterhin Zugriff gewähren. Prüfen Sie direkte Zuweisungen und über Gruppen erhaltene Rollen. Lockdown Mode und die Berechtigung zur Produktnutzung gelten unabhängig davon. Die verfügbaren Berechtigungszustände können je nach Funktion variieren.

Berechtigungen für Work Local und Work Cloud prüfen

Konfigurieren Sie Cloud browser use und Cloud network access unter Admin Console > Permissions & roles > Workspace capabilities > Cloud computer capabilities. Diese gemeinsam genutzten Funktionen stehen Work Cloud und dots zur Verfügung und können unabhängig vom Work-Cloud-Zugriff konfiguriert werden. Eine Work-Aufgabe benötigt weiterhin Work-Zugriff und die Berechtigung zur Nutzung jeder erforderlichen Funktion. Prüfen Sie den Browserzugriff und den Netzwerkzugriff über Code oder Shell separat. Wenn Sie einen davon deaktivieren, wird der andere nicht automatisch deaktiviert.

Wenn Ihr Workspace Work Local und Work Cloud anbietet, prüfen Sie sowohl den Workspace-Standard als auch jede zutreffende benutzerdefinierte Rolle. Work ist nur für berechtigte Workspaces verfügbar und die verfügbaren Steuerelemente können je nach Tarif, Workspace-Konfiguration und Einführungsphase variieren. Eine Rolle kann den durch den Lizenzplatz eines Mitglieds zulässigen Zugriff nicht erweitern.

Work Cloud steuert unterstützte ChatGPT Work-Aufgaben in der Cloud. Wenn die Steuerelemente unabhängig voneinander sind, erlaubt Work Local ohne Work Cloud lokale Arbeit in der ChatGPT-Desktop-App, Mitglieder können jedoch keine Cloud-Aufgaben starten. Für den lokalen Codex-Zugriff wird Allow members to use Codex locally unter Codex Local verwendet. Eine Änderung von Use Work locally wirkt sich weder auf den lokalen Codex-Zugriff aus noch ersetzt sie lokale Laufzeitanforderungen.

Einige Workspaces zeigen stattdessen den kombinierten Abschnitt Codex and Work Local an. In diesem Aufbau steuert Allow members to use Codex and Work Locally beide Produkte.

Informationen zu den aktuellen Voraussetzungen und Einstellungen finden Sie unter ChatGPT Work und Codex.

Da sich die verfügbaren Lizenztypen, Rollen und Berechtigungen mit Produkt- und Tarifaktualisierungen ändern, finden Sie die aktuelle Liste der Berechtigungen und die Anleitung zur Einrichtung im Help Center:

• Mitglieder, Lizenztypen, Rollen und Zugriff verwalten
• Rollenbasierte Zugriffssteuerung konfigurieren
• Gruppen verwalten

Codex-Cloud-Zugriff und Umgebungsverwaltung prüfen

Prüfen Sie diese Berechtigungen separat:

Manage workspace environments ist Use Codex in the cloud untergeordnet, setzt Cloud-Zugriff voraus und ist standardmäßig deaktiviert. Prüfen Sie vor der Einführung, wem diese Berechtigung erteilt wurde. Mitglieder mit Cloud-Zugriff können ihre eigenen persönlichen Umgebungen erstellen und bearbeiten, ohne die Verwaltungsberechtigung zu benötigen. Der Zugriff auf eine geteilte Umgebung verleiht für sich allein keine Befugnis, deren Konfiguration zu ändern.

Überprüfen Sie beide Workflows mit repräsentativen Identitäten: einem Mitglied, das eine Umgebung nutzt, und der Person, die für deren Verwaltung verantwortlich ist. Beide benötigen weiterhin die entsprechenden Zugriffsrechte in verbundenen Repositorys und Diensten. Informationen zur Einrichtung und Freigabe finden Sie unter Cloud-Umgebungen, Informationen zur Planung von Cloud-Richtlinien im Einführungsleitfaden für Administratoren im entsprechenden Abschnitt.

Zugriff auf lokale Computer mit Work Cloud

Ein Workspace-Inhaber kann Allow local computer access für berechtigte Benutzer aktivieren. Aktivieren Sie Work Cloud für die vorgesehenen Benutzer. Allow local computer access ist unter Work Cloud eingeordnet. Sie müssen Use Codex locally on the ChatGPT desktop app nicht aktivieren. Mitglieder müssen sich mit ChatGPT beim vorgesehenen Workspace anmelden. Wenn enforce_residency in einer beliebigen Cloud-Richtlinie aktiviert ist, wird Allow local computer access sowohl für Work als auch für dots deaktiviert. Diese Schutzmaßnahme konfiguriert weder die Datenresidenz des Workspace noch deaktiviert sie für sich allein Work Cloud oder dots.

Prüfen Sie vor dem Aktivieren der Synchronisierung die Vorgaben von Agent Security für die lokale Ausführung. Wenn Sie Richtlinien derzeit ausschließlich über MDM bereitstellen, prüfen Sie die geltende Rangfolge lokaler Richtlinien, bevor Sie Agent Security konfigurieren. Bei der lokalen Ausführung haben MDM-Vorgaben und bisherige Vorgaben für verwaltete Geräte Vorrang vor Agent Security, während die systemweite Vorgabendatei nachrangig ist. Die unterstützte Global-Richtlinie steuert die Cloud-Orchestrierung, wenn die verwaltete Richtlinie aktiviert ist; die Vorgaben für die lokale Ausführung steuern den verbundenen Computer. Für Work-Cloud-Container gelten weiterhin die bestehenden Work-Cloud-Richtlinien.

Verwenden Sie die Richtlinien-API, um Global-Einstellungen zu verwalten. Verwenden Sie die Agent-Security-Oberfläche, um Local- oder Codex-Cloud-Einstellungen zu verwalten. Bestehende Global-API-Workflows bleiben nach der Migration verfügbar. Testen Sie Ihre Skripte und Terraform-Integrationen und bestätigen Sie, dass Richtlinienzuweisungen und Rangfolge unverändert sind.

Zugriff festlegen und überprüfen:

• Achten Sie darauf, dass die Standardeinstellung des Workspace für die gesamte Organisation geeignet ist.

• Weisen Sie den Benutzern oder Gruppen, die Zugriff benötigen, unterstützte benutzerdefinierte Rollen zu.

• Prüfen Sie jede zutreffende Rolle. Wenn Sie eine Berechtigung in einer gewöhnlichen Rolle deaktivieren, wird dadurch kein Zugriff entzogen, den eine andere Rolle gewährt.

• Testen Sie den Zugriff mit einem Mitglied, das über die vorgesehenen Berechtigungen verfügt.

Aufgaben, die den lokalen Computerzugriff mit Work Cloud nutzen, werden über die Cloud koordiniert und können weiterhin lokale Schritte auf einem verbundenen Computer ausführen. Für Unternehmen bleiben der Local/Cloud-Schalter in der App und seine Standardeinstellung bei der Einführung unverändert. Die Synchronisierungsberechtigung gewährt weder eine Lizenz noch Zugriff auf verbundene Apps, Betriebssystemberechtigungen oder uneingeschränkten Gerätezugriff. Lokale Codex-Berechtigungen und das lokale Verhalten bleiben davon getrennt. Informationen zum Geltungsbereich von Richtlinien finden Sie unter Verwaltete Konfiguration, Kompatibilitätsanforderungen in den FAQ für Work-Administratoren.

Wenn Sie den lokalen Computerzugriff mit Work Cloud deaktivieren, werden laufende Gesprächsschritte unterbrochen. Benutzer können in einer bestehenden Cloud-Unterhaltung einen neuen Gesprächsschritt starten. Dieser nutzt automatisch Work Cloud ohne Zugriff auf lokale Dateien. Durch das Deaktivieren der Synchronisierung allein verliert das Mitglied nicht seinen Workspace-Zugriff.

Zugriff auf Computer History steuern

Computer History ist für Business- und Enterprise-Workspaces standardmäßig deaktiviert. Mitglieder können die Funktion erst aktivieren, nachdem ein Workspace-Inhaber den Zugriff ausdrücklich gewährt hat. Inhaber von Enterprise-Workspaces können den Zugriff rollenbasiert gewähren:

1. Öffnen Sie Workspace Settings > Permissions & roles.
2. Suchen Sie nach Computer History und wählen Sie die Arbeitsbereichsrolle aus, die Zugriff erhalten soll.
3. Aktivieren Sie für diese Rolle Enable Computer History.

Diese Berechtigung erlaubt den zugewiesenen Mitgliedern lediglich, Computer History zu aktivieren; sie aktiviert die Funktion nicht für sie. Jedes Mitglied muss sie in der ChatGPT-Desktop-App unter macOS selbst aktivieren und kann auswählen, welche Apps und Websites Daten beitragen. Mitglieder ohne die erforderliche Arbeitsbereichsberechtigung können die Funktion nicht über lokale Einstellungen aktivieren.

Lokale Laufzeitrichtlinie anwenden

Die lokale Laufzeitrichtlinie schränkt abgedeckte Funktionen in der ChatGPT-Desktop-App, in Codex CLI und in der IDE-Erweiterung ein. In der Cloud verwaltete Anforderungen hängen zusätzlich von einer unterstützten ChatGPT-Anmeldung und der Tarifberechtigung ab. Berechtigungsprofile und verwaltete Anforderungen können Befehle, Dateisystemzugriff, Netzwerkzugriff, Genehmigungen und anderes lokales Laufzeitverhalten einschränken. Sie ändern weder die Lizenz, die Arbeitsbereichsrolle oder die Modellberechtigung des Benutzers noch seine Berechtigungen in einem externen System.

Benutzer können ein integriertes oder benutzerdefiniertes Berechtigungsprofil auswählen, sofern die lokale Richtlinie dies zulässt. Administratoren können Standardwerte und Anforderungen über die unterstützten Kanäle für verwaltete Konfiguration verteilen. Unter Berechtigungen erfahren Sie mehr über das Profilverhalten und unter Verwaltete Konfiguration mehr über Anforderungen, Bereitstellung und Priorität.

Verwandte Dokumentation

• Leitfaden für die Einführung durch Administratoren
• Gruppen und Bereitstellung
• Verwaltung des Benutzerlebenszyklus
• Modellverfügbarkeit im Workspace
• Zugriffstokens
• Verwaltete Konfiguration
• Authentifizierung