角色与工作区权限
区分 ChatGPT 工作区访问与本地运行时、API、plugin 和来源系统控制
管理横跨六类控制边界。在一个边界授予访问权限，并不会自动授予另一个边界的访问权限。请把本页作为权威边界地图，再按照链接来源查看当前设置和操作流程。
在工作区设置中，Codex Local 是某些本地访问和 access-token 控制的分组标签，并不是单独的产品或客户端。组内各项控制可以拥有不同作用域。当前 Allow members to use Codex Local（允许成员使用 Codex Local） 工作区权限覆盖 ChatGPT 桌面 App、Codex CLI 和 IDE 扩展中的本地使用。托管配置是另一层控制，用于约束这些客户端中受覆盖能力所支持的运行时行为。不同客户端和版本的功能及最终生效要求可能不同。
了解控制边界
| 边界 | 控制内容 | 不控制的内容 | 当前来源 |
|---|---|---|---|
| ChatGPT 工作区 | 成员资格、席位、内置管理角色，以及对受支持工作区功能的基于角色的访问 | 本地智能体权限、Platform API 组织访问，或连接服务中的权限 | ChatGPT 工作区访问和 RBAC |
| 本地客户端 | ChatGPT 桌面 App、Codex CLI 和 IDE 扩展中受覆盖能力的运行时行为，包括审批、文件系统与网络访问、权限配置档案和允许的集成 | ChatGPT 席位、功能或模型授权，以及外部数据访问 | 托管配置和权限 |
| Codex 云端 | 使用托管 Codex 工作流的资格，以及向用户开放的云端环境 | 本地运行时策略，或来源系统授予的仓库权限 | 云端环境 |
| Platform API | API 认证工作所用的组织与项目成员资格、API keys、模型访问、用量和计费 | ChatGPT 工作区成员资格、本地客户端访问或 Codex 云端访问 | OpenAI API Platform |
| 插件与 Apps | 插件可用性与安装、内置 skills、App 访问以及受支持的 App 操作 | 连接服务中的授权，或更广泛的本地与云端运行时权限 | 插件控制 |
| 连接系统 | 已认证账号可以在来源系统中访问哪些仓库、文件、消息和操作 | ChatGPT 工作区、插件、Codex 云端或 Platform API 授权 | 连接服务自身的管理与访问控制 |
一个请求必须通过所有适用的边界。例如，工作区访问可以让某个 App 对用户可用，但已登录账号能够读取哪些数据仍由连接服务决定。本地权限配置档案可以限制受支持本地客户端中的运行，但不能授予工作区功能或模型。
分配工作区访问权限
ChatGPT 工作区管理会把产品访问与管理权限分开。工作区计划和成员席位决定哪些产品入口可用；内置工作区角色决定谁可以管理工作区；基于角色的访问控制（RBAC）决定成员可以使用哪些受支持功能。
管理员可以通过组分配自定义角色，一个成员也可以从多个组获得访问权限。可用席位、角色和权限会随产品与计划更新而变化，因此请通过 Help Center 查看当前权限列表和设置流程：
应用本地运行时策略
本地运行时策略会约束 ChatGPT 桌面 App、Codex CLI 和 IDE 扩展中受覆盖的能力。云端托管要求还依赖受支持的 ChatGPT 登录方式和计划资格。权限配置档案与托管要求可以限制命令、文件系统访问、网络访问、审批及其他本地运行时行为，但不会改变用户的席位、工作区角色、模型授权或外部系统权限。
本地策略允许时，用户可以选择内置或自定义权限配置档案。管理员可以通过受支持的托管配置渠道下发默认值和要求。配置档案行为请参见权限，要求、下发方式和优先级请参见托管配置。