Gestión del ciclo de vida de los usuarios

Use esta guía para proporcionar a los empleados el acceso adecuado al espacio de trabajo de ChatGPT cuando se incorporen, actualizar ese acceso cuando cambien sus responsabilidades y eliminarlo cuando dejen la organización. El proceso también abarca los puestos del espacio de trabajo, los roles basados en grupos, los tokens de acceso de Codex y los sistemas conectados que tienen sus propios controles de acceso.

El inicio de sesión único (SSO) verifica la identidad de un empleado. El aprovisionamiento añade al empleado a un espacio de trabajo. Ninguna de estas acciones determina por sí sola el puesto del empleado, los permisos de funciones, la política del entorno de ejecución local ni el acceso a un sistema externo.

Gestione el acceso de los empleados en tres hitos del ciclo de vida:

• Incorporación: Aprovisione el acceso al espacio de trabajo, los grupos, los roles y el puesto correcto.
• Cambio: Actualice los grupos del empleado y elimine únicamente los roles directos obsoletos.
• Salida: Elimine el acceso al espacio de trabajo, revoque los tokens y revise los sistemas conectados.

Verificar los requisitos previos y asignar responsables

Antes de incorporar empleados, identifique quién controla cada parte del ciclo de vida:

Confirme el espacio de trabajo de destino, verifique el dominio de correo electrónico de la organización cuando sea necesario e identifique a un propietario del espacio de trabajo que pueda habilitar la sincronización de directorios. Después, compruebe qué controles admite el plan del espacio de trabajo:

SCIM significa System for Cross-domain Identity Management. Un espacio de trabajo Business puede admitir tokens de acceso de Codex sin SCIM, mientras que un espacio de trabajo Edu puede admitir SCIM sin tokens de acceso de Codex ni puestos exclusivos de Codex. Aplique únicamente los controles disponibles en su espacio de trabajo.

Un espacio de trabajo Business solo puede conservar y añadir puestos exclusivos de Codex si tenía un puesto de Codex antes del 24 de junio de 2026 o una invitación pendiente válida para un puesto de Codex en esa fecha. Los espacios de trabajo Business nuevos y los espacios de trabajo sin un puesto o una invitación válidos no pueden añadir su primer puesto exclusivo de Codex. Consulte Gestionar el ciclo de vida y la migración del espacio de trabajo en ChatGPT Business.

Cuando el espacio de trabajo admita más de un tipo de puesto, revise el valor predeterminado en Configuración del espacio de trabajo > Identidad y acceso antes de habilitar el aprovisionamiento automatizado. Los usuarios aprovisionados mediante SCIM heredan ese valor predeterminado, y un puesto controla qué superficies del producto están disponibles. Un rol personalizado no puede conceder acceso que el puesto no incluya.

Use Permisos y roles para inspeccionar los controles de acceso local, tokens de acceso, duración de credenciales y dispositivos remotos. Algunos espacios de trabajo combinan el acceso local en Codex y Work Local, con el control Permitir que los miembros usen Codex y Work localmente. Otros separan Codex Local, con Permitir que los miembros usen Codex localmente, de Work Local, con Usar Work localmente. Los controles separados de Codex y Work no conceden acceso entre sí. Los controles de tokens aparecen en la sección de acceso local o en una sección independiente Tokens de acceso. Estas opciones son independientes de la pertenencia a grupos y de los tipos de puesto asignados.

El siguiente ejemplo muestra controles combinados de Codex y Work Local y una sección independiente Tokens de acceso:

Para consultar los requisitos previos actuales y los patrones de identidad compatibles, consulte Identidad y aprovisionamiento y Gestionar miembros, tipos de puesto, roles y acceso.

Elegir cómo se incorporan los empleados al espacio de trabajo

Elija un método de aprovisionamiento principal para cada público:

Use invitaciones manuales para un piloto pequeño o un grupo que no se gestione mediante sincronización de directorios. Use SCIM cuando la pertenencia al espacio de trabajo deba seguir al proveedor de identidad a medida que los empleados se incorporen, cambien de equipo o se marchen.

No habilite conjuntamente la creación automática de cuentas y SCIM. Los usuarios añadidos mediante la creación automática de cuentas podrían no estar gestionados por SCIM, por lo que eliminarlos de un grupo del proveedor de identidad podría no retirarles el acceso al espacio de trabajo. Consulte las Preguntas frecuentes sobre la integración con SCIM para obtener las directrices actuales.

SCIM puede conectar un único espacio de trabajo de ChatGPT o el tenant de una organización, según la configuración de identidad aprobada. Mantenga explícita cada asignación de espacio de trabajo y producto. Una conexión de directorio compartida no concede ni elimina automáticamente el acceso en todos los espacios de trabajo ni en todas las organizaciones de Platform API.

Conectar un grupo de aprovisionamiento al espacio de trabajo correcto

Configure la conexión antes de añadir al primer empleado piloto. El propietario de un espacio de trabajo y el administrador de identidades tienen responsabilidades distintas:

1. Pida al propietario del espacio de trabajo que seleccione el espacio de trabajo de ChatGPT previsto y examine Configuración del espacio de trabajo > Grupos. Registre los nombres de los grupos existentes, sus miembros, las asignaciones de roles personalizados y el uso compartido pertinente de proyectos o GPT.
2. Pida al administrador de identidades que identifique el grupo exacto del proveedor de identidad destinado a la sincronización. Compare su nombre y sus miembros con todos los grupos existentes del espacio de trabajo.
3. Si un grupo sincronizado tiene el mismo nombre que un grupo existente del espacio de trabajo, concilie o cambie el nombre del grupo en conflicto antes de habilitar la sincronización. Pida al propietario del espacio de trabajo que apruebe los miembros resultantes, los roles heredados y el uso compartido. Un grupo existente con el mismo nombre pasa a estar gestionado por SCIM y su pertenencia queda bajo el control del proveedor de identidad.
4. Seleccione un grupo piloto de alcance limitado y registre el espacio de trabajo aprobado, los empleados previstos y las asignaciones de roles del grupo.
5. Pida al propietario del espacio de trabajo que abra Configuración del espacio de trabajo > Identidad y acceso y seleccione Activar sincronización de directorios. Si se le solicita, elija Usar SCIM solo para este espacio de trabajo para el aprovisionamiento en el ámbito del espacio de trabajo, o Conservar la opción de ampliar a otros productos para el aprovisionamiento aprobado en el ámbito del tenant. Si SCIM ya está activo en el ámbito del tenant, gestione esa conexión existente en lugar de crear una segunda conexión para el espacio de trabajo.
6. Pida al administrador de identidades que complete la conexión con el proveedor de identidad, seleccione la aplicación de ChatGPT y asigne el grupo aprobado para aprovisionar miembros en el espacio de trabajo previsto.
7. En Configuración del espacio de trabajo > Grupos, confirme que el grupo seleccionado muestra su insignia SCIM. Verifique el nombre del grupo, los miembros sincronizados y el espacio de trabajo de destino antes de usarlo para conceder acceso.
8. Pida al propietario del espacio de trabajo que abra Permisos y roles > Roles personalizados, cree o seleccione el rol aprobado y lo asigne al grupo sincronizado. La configuración de roles está disponible en la web y requiere acceso como propietario del espacio de trabajo.
9. Revise los permisos efectivos del grupo y el tipo de puesto predeterminado del espacio de trabajo antes de añadir a un empleado piloto representativo.

El administrador del proveedor de identidad controla la aplicación y la pertenencia a grupos; el propietario del espacio de trabajo controla la sincronización de directorios y la asignación de roles del espacio de trabajo. Consulte las Preguntas frecuentes sobre la integración con SCIM y Configurar el control de acceso basado en roles para conocer los pasos actuales específicos del proveedor y su disponibilidad.

Aprovisionar a un empleado nuevo

Para un empleado gestionado mediante SCIM:

1. Confirme el espacio de trabajo previsto, la dirección de correo electrónico verificada, el tipo de puesto predeterminado y el grupo del proveedor de identidad.
2. Asigne al empleado a la aplicación ChatGPT o al grupo que concede acceso en el proveedor de identidad.
3. Espere a que finalice la sincronización de directorios. Compruebe el estado actual del proveedor de identidad si el empleado no aparece.
4. En Configuración del espacio de trabajo > Miembros, verifique el correo electrónico del empleado, su pertenencia o invitación pendiente, el tipo de puesto y la insignia SCIM.
5. En Configuración del espacio de trabajo > Grupos, confirme que el empleado pertenece al grupo sincronizado previsto. Pida al propietario del espacio de trabajo que verifique el rol personalizado asignado a ese grupo.
6. Pida a un empleado representativo que inicie sesión en el espacio de trabajo correcto y verifique las superficies del producto, las funciones y los sistemas conectados específicos que necesite.
7. Registre al responsable del acceso y la verificación satisfactoria mediante el proceso aprobado de su organización.

Si añade a un empleado manualmente, envíe la invitación desde la administración de miembros del espacio de trabajo y realice después las mismas comprobaciones de puesto, grupo, rol e inicio de sesión.

Un grupo organiza a los miembros, pero no concede por sí solo acceso a todas las funciones. Para consultar el procedimiento actual de asignación de roles, consulte Roles y permisos del espacio de trabajo y Configurar el control de acceso basado en roles.

Actualizar el acceso cuando un empleado cambia de equipo

Un empleado que cambia de equipo puede conservar el acceso procedente de asignaciones anteriores de grupos o roles. Actualice la fuente propietaria de la pertenencia antes de verificar el nuevo nivel de acceso:

1. Identifique el nuevo equipo del empleado, el espacio de trabajo y el puesto requeridos, los permisos de funciones aprobados y el grupo de destino.
2. Añada al empleado al grupo de destino aprobado antes de eliminarlo de su grupo anterior si debe permanecer en el espacio de trabajo durante todo el cambio. Actualice en el proveedor de identidad la pertenencia gestionada por SCIM; actualice la pertenencia gestionada manualmente mediante la administración del espacio de trabajo.
3. Confirme que el rol aprobado ya esté asignado al grupo de destino. Conserve las asignaciones de roles existentes en los grupos compartidos para que los demás miembros mantengan su acceso aprobado.
4. Pida a un propietario del espacio de trabajo que cambie una asignación de grupo a rol solo después de aprobar un cambio independiente de la política para todo el grupo y revisar su efecto en todos los miembros.
5. Pida a un propietario del espacio de trabajo que abra el perfil del empleado, revise Roles directos y elimine los roles obsoletos asignados directamente a esa persona. Los roles personalizados usan Predeterminado, Activado y Desactivado. Un valor Desactivado explícito en cualquier rol asignado prevalece sobre Activado en otro rol.
6. Revise los permisos efectivos del empleado en todos los roles directos y asignados mediante grupos antes de aprobar el cambio de equipo.
7. Si el espacio de trabajo admite más de un tipo de puesto, pida a un propietario que abra Configuración del espacio de trabajo > Miembros > Cambiar tipo de puesto y revise el acceso previsto del empleado al producto.
8. Antes de convertir un puesto de ChatGPT en un puesto exclusivo de Codex, confirme que el empleado deba perder el acceso a chats, recuerdos, proyectos y otras funciones de ChatGPT. Los datos subyacentes no se eliminan y vuelven a estar disponibles si el empleado regresa a un puesto de ChatGPT.
9. Una vez completadas las actualizaciones de sincronización y permisos, verifique tanto las acciones recién permitidas como aquellas que ya no deberían estar disponibles.

Si el empleado es propietario de un flujo de trabajo de automatización, revise si su token de Codex, la entrada del gestor de secretos o la autorización del servicio conectado deben transferirse a otro propietario aprobado. Eliminar el permiso local de Codex del empleado suspende sus tokens de Codex, pero no los revoca. Restaurar el permiso reactiva esos tokens, por lo que debe revocar las credenciales que deban perder el acceso de forma permanente.

Eliminar a un empleado que deja la organización

Comience por el sistema propietario de la pertenencia del empleado al espacio de trabajo:

1. Determine si SCIM gestiona al empleado o si un administrador lo añadió manualmente.
2. Para un empleado gestionado mediante SCIM, elimine la asignación de la aplicación ChatGPT del empleado y elimínelo de todos los grupos de aprovisionamiento que concedan acceso en el proveedor de identidad. No elimine los propios grupos compartidos.
3. Para un empleado que no esté gestionado mediante SCIM, pida a un propietario o administrador del espacio de trabajo que elimine al miembro de Configuración del espacio de trabajo > Miembros.
4. Confirme que el miembro ya no esté presente en el espacio de trabajo previsto. Para el acceso gestionado mediante SCIM, verifique que la sincronización haya finalizado y que ninguna otra asignación del proveedor de identidad pueda restaurar la pertenencia.
5. Registre la eliminación completada y asigne a un responsable para revisar los tokens, los sistemas conectados y los datos conservados.

No dependa de una eliminación realizada desde el espacio de trabajo cuando el proveedor de identidad siga asignando al empleado a un grupo gestionado mediante SCIM. Una sincronización posterior puede volver a añadir al empleado al espacio de trabajo.

Revocar los tokens de acceso de Codex y transferir la automatización

Eliminar a una persona del espacio de trabajo no sustituye una revisión explícita de las credenciales usadas por automatizaciones de confianza. Aplique este procedimiento solo cuando el espacio de trabajo admita y habilite tokens de acceso de Codex.

Eliminar el permiso local de Codex suspende los tokens existentes, pero no los revoca. Esos tokens pueden volver a funcionar si un propietario del espacio de trabajo restaura el permiso, por lo que debe revocar explícitamente las credenciales que deban perder el acceso de forma permanente.

La página Tokens de acceso identifica al creador y el estado de cada token. Use Revocar para eliminar el acceso de los tokens activos:

1. Pida a un propietario o administrador del espacio de trabajo que abra Tokens de acceso.
2. Identifique los tokens creados por el empleado que se marcha y los flujos de trabajo que usan esos tokens.
3. Elija la identidad de sustitución. Para un flujo de trabajo no humano duradero en un plan de pago por uso elegible, use una cuenta de servicio dedicada y aprobada. De lo contrario, identifique a un propietario activo aprobado para el flujo de trabajo. Pida a un propietario del espacio de trabajo que conceda a esa persona permiso para crear tokens de acceso, si es necesario, y confirme que la persona tenga permiso local de Codex.
4. Cree el token de sustitución. Un operador autorizado de la cuenta de servicio puede crear un token desde la página de detalles de la cuenta de servicio. Para una sustitución personal, pida al nuevo propietario del flujo de trabajo que cree un token para su propia identidad del espacio de trabajo de ChatGPT. Si el cuadro de diálogo muestra Ámbitos, seleccione Codex. Seleccione otros ámbitos solo cuando el flujo de trabajo los requiera. Un cuadro de diálogo sin Ámbitos crea un token exclusivo de Codex. Un administrador no puede crear un token personal en nombre de otro usuario.
5. Actualice el secreto almacenado del flujo de trabajo y verifique después que se ejecute correctamente con el token de sustitución.
6. Pida al propietario o administrador del espacio de trabajo que revoque los tokens del empleado que se marcha y cualquier credencial sustituida.
7. Confirme que los tokens revocados ya no puedan iniciar nuevas ejecuciones autenticadas.

Cuando un propietario de sustitución aprobado cree un token, use un nombre descriptivo para el flujo de trabajo y elija la duración de credencial más corta que permita la política de su organización. Si aparece Ámbitos, seleccione Codex y evite los permisos que el flujo de trabajo no necesite. El siguiente ejemplo muestra la interfaz con ámbitos:

Los propietarios y administradores del espacio de trabajo pueden revocar cualquier token de su espacio de trabajo. Un miembro con permiso para tokens de acceso solo puede revocar los tokens que haya creado. Para consultar los permisos de tokens y los pasos de rotación actuales, consulte Tokens de acceso.

Revisar los sistemas conectados y los datos conservados

El aprovisionamiento del espacio de trabajo no gestiona todos los límites de autorización. Pida al responsable del servicio correspondiente que revise el acceso a:

• Repositorios de código fuente y cuentas de GitHub conectadas.
• Google Drive, Slack y otras aplicaciones conectadas.
• Plugins instalados, habilidades incluidas y capacidades respaldadas por conectores.
• Entornos de Codex alojados, automatización compartida y secretos almacenados.
• Dispositivos gestionados, credenciales almacenadas localmente y sesiones remotas compatibles.
• Organizaciones, proyectos y API keys independientes de Platform API.

Aplique los controles propios de cada sistema en lugar de suponer que un cambio de grupo del espacio de trabajo o de SCIM actualiza los permisos en todas partes. Consulte Roles y permisos del espacio de trabajo para conocer el modelo completo de límites y Controles de plugins para obtener información sobre la disponibilidad de plugins, las habilidades incluidas y los permisos de aplicaciones conectadas.

Eliminar el acceso al espacio de trabajo no equivale a eliminar contenido. Cuando un miembro se marcha, el espacio de trabajo reasigna automáticamente sus proyectos y la propiedad de sus GPT personalizados a un propietario del espacio de trabajo. Esos elementos no se marcan para su eliminación. Si el miembro vuelve a incorporarse, recupera su propiedad.

En los espacios de trabajo Enterprise y Edu, los chats, archivos y documentos de canvas siguen la política de conservación configurada en el espacio de trabajo. Los espacios de trabajo Business conservan los chats, archivos y documentos de canvas de forma indefinida. Los espacios de trabajo Healthcare también proporcionan controles de conservación de datos; revise la configuración aplicable del espacio de trabajo y la Guía de ChatGPT para Healthcare.

Reasignar un proyecto o GPT no transfiere las conversaciones ni los archivos privados del antiguo miembro, y el propietario del espacio de trabajo no puede ver ese contenido privado mediante el cambio de propiedad. Consulte Eliminación de miembros del espacio de trabajo y conservación de datos para conocer el comportamiento actual específico de cada plan.

Si por motivos de seguridad o cumplimiento se requieren pruebas del cambio, registre el espacio de trabajo afectado, el empleado, la asignación del proveedor de identidad, la hora de finalización, el responsable de la aprobación y la verificación de la revocación de tokens en el sistema aprobado. Confirme los registros disponibles, los permisos de administrador y la conservación en la Referencia de Admin API autenticada. Los ámbitos de cumplimiento confidenciales pueden requerir un propietario del espacio de trabajo. Para consultar la descripción general del producto, consulte Compliance API y eventos de auditoría. No deduzca de esta guía la cobertura de eventos, los campos ni los periodos de conservación.

Solucionar problemas de acceso ausente o inesperado

La mayoría de los proveedores de identidad se sincronizan cada 30 o 40 minutos, aunque algunos aplican las actualizaciones de inmediato. Los cambios en roles personalizados pueden tardar unos cinco minutos en aparecer. No se puede forzar una sincronización de SCIM, por lo que no elimine y vuelva a crear a un miembro del espacio de trabajo para eludir una actualización retrasada.

Si una eliminación de acceso o una actualización de grupo sigue sin completarse después del intervalo específico previsto del proveedor, pida al administrador de identidades que recopile:

• El espacio de trabajo afectado y la dirección de correo electrónico del empleado.
• El proveedor de identidad, la asignación de la aplicación y el grupo de aprovisionamiento.
• El cambio intentado, su marca de tiempo y el estado más reciente de la sincronización.
• Los roles directos, los roles de grupo o los tokens que aún deban revisarse.

Contacte con el Soporte de OpenAI y proporcione esos datos mediante el Centro de ayuda. Trate como una excepción de seguridad el caso de un empleado que se haya marchado y conserve el acceso, y siga el proceso de escalación de incidentes de su organización.

Para conocer la configuración y el comportamiento de sincronización específicos del proveedor, use las Preguntas frecuentes sobre la integración con SCIM actuales. Para los errores de inicio de sesión e identidad, consulte Solución de problemas de autenticación.

Verificar el ciclo de vida completo del empleado

Use un empleado de prueba representativo para verificar las tres transiciones antes de una implementación más amplia:

Registre quién aprobó cada cambio, qué verificó y qué responsable debe resolver cualquier excepción de acceso restante. Programe revisiones periódicas del acceso conforme a las políticas de identidad y seguridad de su organización.

Documentación relacionada

• Guía de implementación para administradores
• Grupos y aprovisionamiento
• Roles y permisos del espacio de trabajo
• Controles de plugins
• Tokens de acceso
• Cuentas de servicio
• Autenticación
• Configuración administrada
• Compliance API y eventos de auditoría