高等教育机构 ChatGPT Edu 工作区配置最佳实践

使用五个推荐的自定义角色配置校园访问权限：Core、Plus、Advanced、Power 和 TEST。使用下方矩阵选择各角色的权限，然后单独设置模型访问权限和使用限额。

权限标签和章节顺序以 2026 年 10 月 19 日和 21 日查看的 Edu 管理控制台界面为准。表中的值是推荐设置，并非该工作区配置的副本。功能可用性可能因工作区和推出进度而异。

选择推荐角色

这些名称是供机构创建自定义角色时参考的建议名称。此处的 Plus 并非 ChatGPT Plus 订阅，这些名称也均不指代 Edu 套餐或内置管理角色。应根据个人需要开展的工作选择角色；教授、学生或工作人员都可以符合任何适当级别的条件。

让大多数用户保留内置的成员 角色。单独分配内置管理权限：

由工作区所有者创建和分配自定义角色。自定义角色不会赋予所有者或管理员权限。请参阅工作区角色。

应用矩阵

打开管理控制台，选择目标 Edu 工作区，然后转到策略与安全 → 权限。使用工作区默认值 设置全校基准，使用角色 设置覆盖值。

将工作区默认值 设为与 Core 列一致，待评审项在明确决定之前保持关闭。对于每个自定义角色，仅在工作区值就是预期值时使用默认；否则，明确设为开启或关闭。有些控件仅提供开启和关闭选项。

普通角色的授权会合并：一个角色中的关闭不会抵消另一个角色中的开启。请同时检查直接分配的角色和群组角色。单独设置的 Lockdown Mode 限制仍可能生效。父级权限被禁用时，可能会隐藏其子级控件；配置子级控件之前，请先启用已获批准的父级权限。RBAC 的工作原理。

各角色的权限

选择一个角色，即可在所有权限表和模型表中显示其推荐设置。选择所有角色 可比较完整矩阵。各节遵循权限 → 工作区默认值 中的顺序。两行允许访问本地计算机 通过其所属的父级部分区分。

聊天

让所有角色都能开展日常学习、研究和协作。对录制、屏幕共享、存储文件以及联网代码应用机构规则。对于待评审 项，请在启用这些权限之前，明确获批的课程、团队、工作流和共享受众。

向维护获批工作流的人员授予智能体构建权限。仅允许指定发布者向整个工作区发布内容。对于智能体自有连接，需要单独审查共享账户、源数据、允许执行的操作和接收者；在支持的情况下，优先使用用户自己的连接。详情请参阅工作区智能体管理。

使用插件创建新的可复用工作流。保持关闭 GPT 创建权限；仅在仍受支持的情况下授予临时迁移权限。自定义 GPT 计划于 2026 年 12 月 11 日停用；请遵循所属工作区的通知。迁移不会转移自定义操作或共享设置。详情请参阅 GPT 迁移指南。

Work

这遵循推荐配置中向符合条件的成员广泛开放 Work 的做法。本地工作、云端工作，以及云端任务对已连接计算机的访问，仍需分别决定。仅针对获批的文件、应用和设备启用允许访问本地计算机，并应用相应的智能体安全配置。

对于事件触发的任务，请批准其触发条件、连接的应用、允许执行的操作、负责人和监控安排。成员还需要 Work 和应用访问权限。共享定时任务的权限在聊天中单独控制。Work 和 Codex 的可用性 · 定时任务控制。

Codex

向符合条件的各类角色提供编程访问权限，包括编程课程的学生。分别审查代码仓库访问权限、本地运行时策略和云端环境。设备代码登录会影响该控件中列出的全部四款产品。

在授予 Computer History 访问权限之前，审查 Computer History 的采集方式和用户主动选择加入的机制。通过下方的特定职责角色授予管理工作区环境、管理 Codex 和管理 Codex Security 权限。分配 Power 或 TEST 角色不应自动授予服务管理权限。详情请参阅 Codex 权限边界。

工作区功能——让智能体使用云端计算机

在启用控件之前，请审查它对 Work Cloud、dots 和团队自动化的影响。浏览器访问、网络访问和计算机操作是独立的控制项。为每个工作流批准所需的网络目标和应用。

工作区功能——dots

在所查看的控制台中，Dots 标注为 Beta。启用前，请批准其持续承担的职责、消息发送目标和规则。此处的允许访问本地计算机 行是 dots 权限，与 Work 中同名的控件相互独立。阅读 dots 指南。

工作区功能——插件和技能

使用插件 → 插件 和插件 → 技能 批准各个项目及其受众。由 MCP 支持的插件需要有集成负责人、经过审查的身份验证方式，以及获批的数据访问和操作权限。使用下方的附加角色分配向工作区发布项目及为他人安装项目的职责。

插件访问权限不会授权使用其包含的应用，也不会扩大已连接服务中的权限。请单独审查所需应用和账户授权。详情请参阅插件和应用控制。

工作区功能——Sites

在启用这些权限之前，请审查站点所有权、允许发布的内容以及界面显示的 Sites 条款。通过机构的发布流程授予将站点发布到公共互联网的权限。将两个私有隧道控件视为针对获批技术集成的独立授权；在通用校园角色中保持关闭。演示工作区中出现这些控件，并不意味着它们在每个 Edu 工作区中都可用。

启用 Sites 之前，请检查你的工作区和区域支持的 Sites 范围。在美国或欧盟数据驻留工作区中新建的 Sites，其受支持的存储和托管使用相应区域；现有 Sites 不会自动迁移。Sites 托管与推理驻留相互独立。请参阅 Sites 管理。

工作区功能——团队、记忆和凭据

为每个团队和团队任务指定承担责任的负责人。明确哪些机构信息可以保留在记忆中，以及成员目录是否应对目标人群可见。如果机构策略要求关闭其中任一功能，请更改所有受影响角色的对应行。

与 IT 团队一起审查密码管理器的使用。仅允许为获批的集成使用个人访问令牌，并要求有负责人、最小必要权限范围以及到期或撤销流程。令牌权限不会授予工作区管理员密钥。

数据导出

确定学生、教师和工作人员离开时如何带走获准保留的工作成果。此权限涵盖成员自己的数据。配置了数据驻留的 Edu 工作区不支持成员导出。详情请参阅 Edu 导出要求。

青少年体验

根据实际用户群体（包括未满 18 岁的学生）选择设置。角色名称、点数额度或过滤器设置并不能决定用户是否有资格使用 ChatGPT。

Space 共享

允许与获批的接收者协作。审查工作区链接是否适合课程材料、研究和院系文件的受众。共享权限控制创建共享和更改访问权限的能力；关闭它不会移除成员对已共享内容的访问权限。

分配发布和管理职责

向适当人员分配范围明确的角色，而不是将这些能力授予所有 Power 或 TEST 用户。在每个附加角色中，将无关权限保持关闭，以免继承更广泛的工作区授权。

例如，一名教师可以同时获得 Plus 和工作区发布者角色，而编程课程中的学生可以获得带有 Codex 访问权限的 Core 角色。提高研究人员的点数额度，并不需要授予其发布或管理权限。

各角色的模型访问权限

打开策略与安全 → 模型。配置工作区默认值，然后使用角色 进行角色专属设置。表中采用我们所查看的控制台中显示的模型名称和偏好设置标签。仅启用你的工作区可用的模型。

模型建议： 保留 5.6 Sol 用于普通聊天，保留 6 Luna 用于常规 Work 和 Codex 工作。需要时保留 5.6 Luna 作为备用。为 Power 工作流启用 6.1 Sol 和 6 Sol，并审查是否向 Advanced 用户开放。根据预期工作和预算批准 Astra/Pro 访问权限及更快的模式。不向通用校园角色开放 Daybreak Blue；仅在符合条件时考虑使用单独获批的安全角色。

模型在演示中列出或已启用，并不意味着每个 Edu 工作区或每款产品都能访问该模型。尤其要注意，6.1 Sol 和 6 Luna 是 Work 和 Codex 的选项，并非普通聊天的默认模型。使用模型 → 测试 检查目标成员的模型访问权限。请参阅当前模型可用性。

各产品的默认值

初始默认值不会授予模型访问权限。允许中等/高/超高推理强度 和允许使用 Pro 模型 适用于聊天；允许快速模式 和允许超快速模式 适用于 Work 和 Codex。成员可以选择其他获准使用的选项。请分别审查每款产品的角色覆盖设置。

单独设置使用限额

使用账单 → 使用限额，通过工作区默认值、群组默认值和用户覆盖值配置成员限额。在账单 中单独审查共享点数池和工作区超额使用限额。以下数值用于说明按点数计量的限额；请根据机构协议、已购买点数、预期活动和界面显示的限额周期予以批准。

群组的使用限额不会创建权限角色或授予功能。成员范围一致时使用对应群组；访问需求和预算需求不同时使用独立群组。将未分配用户的回退值设为预期的全校基准。

对于按点数计费的协议，除非额外支出已获批准，否则将工作区超额使用限额保持为 0。用户覆盖值优先于群组限额；否则，适用的最高群组限额优先于工作区默认值。提醒会通知接收者，但不会停止使用。正在运行的工作可能在达到限额后才结算。请参阅使用限额和超额使用。

有关内含点数和按量计费的用量，请参阅当前费率表。

使用 Admin 插件准备和检查更改

Admin 插件可以审查角色和权限，并在确认后将现有角色分配给现有群组。它无法创建角色或编辑角色权限。请先在管理控制台中配置角色和权限。请参阅 Admin 插件范围。

附上机构批准的矩阵，明确决定每个待评审项，并替换下方的占位符。

将工作区与矩阵进行比较

提示词：

Use the Admin plugin to compare workspace {workspace_id} with the attached Core, Plus, Advanced, Power, and TEST matrix. Show role IDs and a table of current versus recommended permissions. Flag missing roles, unresolved decisions, and anything you cannot inspect. Prepare a manual Admin Console change checklist. Do not make changes.

将已配置的角色分配给群组

提示词：

In workspace {workspace_id}, prepare to assign existing role {role_id} to existing group {group_id}. Show current assignments, the access this adds, and the recorded approver. Wait for my explicit approval. Then make only that assignment and re-read the group to verify it.

验证分配和重叠情况

提示词：

Review user {user_id} in workspace {workspace_id} against the attached approved matrix. Show direct and group-based roles, overlapping grants, and unexpected access. Mark unsupported checks as unknown. Do not claim that role access verifies a specific connected app. Do not make changes.

配置与验证

1. 在身份与访问 → 群组与角色 → 角色 中，选择添加角色。输入角色名称和说明，然后选择创建角色。仅创建机构需要的角色。
2. 在策略与安全 → 权限 → 工作区默认值 中，应用 Core 基准。在角色 中，打开每个角色并应用获批的矩阵值。选择保存更改。
3. 在群组与角色 → 角色 中，打开角色。使用角色群组 → 添加群组 分配目标群组。在身份提供商中管理通过 SCIM 同步的成员资格。
4. 配置模型 → 工作区默认值 和模型 → 角色，然后设置使用限额。单独批准各个插件、应用、技能和源系统访问权限。
5. 使用权限 → 按角色查看权限 比较分配情况，使用测试 查看实际生效的访问权限。权限更新最长可能需要五分钟。使用模型 → 测试 检查模型访问权限。
6. 与有代表性的成员一起验证实际工作流，其中应包括拥有重叠角色的人员。使用 TEST 自定义角色测试允许的操作，并尝试有意阻止的操作，然后移除临时授权。

比较视图可能保留与可编辑权限页面不同的旧标签。在工作区功能 → 让智能体使用云端计算机 中，使用使用浏览器、允许网络访问 和允许操作计算机 配置共享云端计算机访问权限。

每学期以及出现新权限时审查角色。如果提供管理员预览，请分别决定预览访问权限和正式发布后的访问权限。常规工作区设置、身份策略、智能体安全、应用操作和保留设置仍独立于这些角色矩阵。