Bonnes pratiques de configuration d’un espace de travail ChatGPT Edu dans l’enseignement supérieur

Configurez les accès de votre établissement avec cinq rôles personnalisés recommandés : Core, Plus, Advanced, Power et TEST. Utilisez les matrices ci-dessous pour choisir les autorisations de chaque rôle, puis définissez séparément l’accès aux modèles et les limites d’utilisation.

Les libellés des autorisations et l’ordre des sections suivent les vues de l’Admin Console Edu examinées les 19 et 21 octobre 2026. Les valeurs sont des paramètres recommandés, et non une copie de la configuration de cet espace de travail. La disponibilité des fonctionnalités peut varier selon l’espace de travail et leur déploiement.

Choisir les rôles recommandés

Il s’agit de noms suggérés pour les rôles personnalisés que votre établissement peut créer. Plus ne désigne pas ici l’abonnement ChatGPT Plus, et aucun de ces noms ne correspond à une offre Edu ni à un rôle d’administration intégré. Choisissez un rôle selon le travail que la personne doit effectuer ; un enseignant, un étudiant ou un membre du personnel peut relever de tout niveau approprié.

Conservez le rôle intégré Membre pour la plupart des personnes. Attribuez séparément les droits d’administration intégrés :

Demandez à un propriétaire de l’espace de travail de créer et d’attribuer les rôles personnalisés. Un rôle personnalisé ne confère pas les droits de propriétaire ou d’administrateur. Consultez les rôles de l’espace de travail.

Appliquer la matrice

Ouvrez l’Admin Console, sélectionnez l’espace de travail Edu concerné, puis accédez à Politique et sécurité → Autorisations. Utilisez Valeurs par défaut de l’espace de travail pour le socle commun de l’établissement et Rôles pour les dérogations.

Configurez les Valeurs par défaut de l’espace de travail conformément à la colonne Core, en laissant les éléments À examiner désactivés jusqu’à décision. Pour chaque rôle personnalisé, utilisez Par défaut uniquement lorsque la valeur de l’espace de travail est celle souhaitée ; sinon, définissez explicitement Activé ou Désactivé. Certains paramètres proposent uniquement Activé et Désactivé.

Les rôles ordinaires cumulent les autorisations : une valeur Désactivé dans un rôle n’annule pas une valeur Activé dans un autre. Vérifiez les attributions directes et les rôles des groupes. Une restriction distincte du mode de verrouillage peut toujours s’appliquer. Les autorisations parentes peuvent masquer leurs paramètres enfants lorsqu’elles sont désactivées ; activez une autorisation parente approuvée avant de configurer ses enfants. Fonctionnement du RBAC.

Autorisations par rôle

Choisissez un rôle pour afficher ses recommandations dans tous les tableaux d’autorisations et de modèles. Sélectionnez Tous les rôles pour comparer l’ensemble de la matrice. Les sections suivent l’ordre de Autorisations → Valeurs par défaut de l’espace de travail. Les deux lignes Autoriser l’accès à l’ordinateur local se distinguent par leur section parente.

Chat

Maintenez l’accès à l’apprentissage, à la recherche et à la collaboration au quotidien pour tous les rôles. Appliquez les règles de l’établissement concernant les enregistrements, le partage d’écran, les fichiers stockés et le code connecté au réseau. Pour les éléments À examiner, identifiez le cours, l’équipe, le workflow et les destinataires du partage approuvés avant d’activer ces autorisations.

Accordez l’accès à la création d’agents aux personnes qui assurent la maintenance d’un workflow approuvé. Réservez la publication à l’échelle de l’espace de travail aux personnes désignées. Une connexion propre à un agent nécessite un examen distinct du compte partagé, des données sources, des actions autorisées et des destinataires ; privilégiez les connexions personnelles des utilisateurs lorsque cela est pris en charge. Pour en savoir plus, consultez l’administration des agents d’espace de travail.

Utilisez des plugins pour les nouveaux workflows réutilisables. Laissez la création de GPT désactivée ; accordez un accès temporaire à la migration uniquement là où il est encore pris en charge. Le retrait des GPT personnalisés est prévu pour le 11 décembre 2026 ; suivez l’avis de l’espace de travail auquel ils appartiennent. La migration ne transfère ni les actions personnalisées ni les paramètres de partage. Pour en savoir plus, consultez les consignes de migration des GPT.

Work

Cela reprend l’accès étendu à Work prévu pour les membres éligibles dans la configuration recommandée. Le travail local, le travail dans le cloud et l’accès d’une tâche cloud à un ordinateur connecté restent des décisions distinctes. Activez Autoriser l’accès à l’ordinateur local uniquement pour les fichiers, applications et appareils approuvés, avec la configuration Agent Security applicable.

Pour les tâches déclenchées par un événement, approuvez le déclencheur, l’application connectée, les actions autorisées, le responsable et la surveillance. Les membres doivent également disposer d’un accès à Work et à l’application. Le partage des tâches planifiées est contrôlé séparément dans Chat. Disponibilité de Work et Codex · Paramètres des tâches planifiées.

Codex

Donnez accès aux outils de programmation à tous les rôles éligibles, y compris aux étudiants suivant des cours de programmation. Examinez séparément l’accès aux dépôts, la politique d’exécution locale et les environnements cloud. La connexion par code d’appareil concerne les quatre produits nommés dans le paramètre.

Examinez la capture de Computer History et le consentement explicite des utilisateurs avant d’accorder l’accès à Computer History. Accordez Gérer les environnements de l’espace de travail, Administrer Codex et Administrer Codex Security au moyen des rôles de responsabilité spécifiques ci-dessous. L’attribution de Power ou TEST ne doit pas conférer automatiquement l’administration du service. Pour en savoir plus, consultez les limites des autorisations Codex.

Fonctionnalités de l’espace de travail — Autoriser les agents à utiliser des ordinateurs cloud

Avant d’activer un paramètre, examinez ses effets sur Work Cloud, dots et les automatisations d’équipe. L’accès au navigateur, l’accès au réseau et l’utilisation de l’ordinateur sont des paramètres distincts. Approuvez les destinations réseau et les applications nécessaires à chaque workflow.

Fonctionnalités de l’espace de travail — dots

Dots porte la mention Bêta dans la console examinée. Approuvez les responsabilités continues, les destinations de messagerie et les règles avant de l’activer. La ligne Autoriser l’accès à l’ordinateur local correspond ici à l’autorisation dots ; elle est distincte du paramètre Work portant le même nom. Consultez les consignes relatives à dots.

Fonctionnalités de l’espace de travail — plugins et skills

Utilisez Plugins → Plugins et Plugins → Skills pour approuver chaque élément et ses destinataires. Les plugins reposant sur MCP nécessitent un responsable d’intégration, une authentification examinée et des accès aux données et des actions approuvés. Utilisez les rôles supplémentaires ci-dessous pour attribuer la responsabilité de publier des éléments dans l’espace de travail et de les installer pour d’autres personnes.

L’accès à un plugin n’autorise pas les applications qu’il inclut et n’étend pas les autorisations dans le service connecté. Examinez séparément les applications requises et l’autorisation des comptes. Pour en savoir plus, consultez les paramètres des plugins et des applications.

Fonctionnalités de l’espace de travail — Sites

Examinez la responsabilité du site, le contenu autorisé et les conditions Sites affichées avant d’activer ces autorisations. Accordez l’autorisation de publier des sites sur l’Internet public dans le cadre du processus de publication de l’établissement. Traitez les deux paramètres de tunnels privés comme des autorisations distinctes pour des intégrations techniques approuvées ; laissez-les désactivés dans les rôles généraux de l’établissement. Leur présence dans un espace de travail de démonstration ne garantit pas leur disponibilité dans tous les espaces de travail Edu.

Vérifiez le périmètre Sites pris en charge pour votre espace de travail et votre région avant d’activer Sites. Les nouveaux Sites créés dans des espaces de travail avec résidence des données aux États-Unis ou dans l’UE utilisent cette région pour le stockage et l’hébergement pris en charge ; les Sites existants ne sont pas migrés automatiquement. L’hébergement Sites est distinct de la résidence de l’inférence. Consultez l’administration de Sites.

Fonctionnalités de l’espace de travail — équipes, mémoire et identifiants

Désignez un responsable pour chaque équipe et chaque tâche d’équipe. Définissez quelles informations de l’établissement peuvent être conservées en mémoire et si l’annuaire doit être visible par la population concernée. Si la politique de l’établissement exige de désactiver l’une de ces fonctionnalités, modifiez la ligne correspondante pour chaque rôle concerné.

Examinez l’utilisation du gestionnaire de mots de passe avec le service informatique. Autorisez les jetons d’accès personnels uniquement pour des intégrations approuvées ayant un responsable, le périmètre minimal nécessaire et une procédure d’expiration ou de révocation. Une autorisation de jeton ne donne pas accès aux clés d’administration de l’espace de travail.

Exportation des données

Déterminez comment les étudiants, enseignants et membres du personnel peuvent emporter les travaux autorisés à leur départ. Cette autorisation couvre les données de chaque membre. Les espaces de travail Edu configurés avec une résidence des données ne sont pas éligibles à l’exportation par les membres. Pour en savoir plus, consultez les conditions d’exportation Edu.

Expériences pour les adolescents

Choisissez le paramètre selon la population réelle, y compris les étudiants de moins de 18 ans. Un nom de rôle, une allocation de crédits ou un paramètre de filtrage ne détermine pas l’éligibilité à l’utilisation de ChatGPT.

Partage dans Space

Autorisez la collaboration avec les destinataires approuvés. Examinez si les liens de l’espace de travail conviennent au public des supports de cours, des recherches et des fichiers des services. L’autorisation de partage contrôle la création de partages et la modification des accès ; sa désactivation ne supprime pas l’accès au contenu déjà partagé avec un membre.

Attribuer les responsabilités de publication et d’administration

Attribuez des rôles au périmètre restreint aux personnes concernées plutôt que d’accorder ces fonctionnalités à tous les titulaires de Power ou TEST. Laissez les autorisations sans rapport désactivées dans chaque rôle supplémentaire afin qu’il n’hérite pas d’autorisations plus larges de l’espace de travail.

Par exemple, un enseignant peut recevoir Plus et Responsable de publication de l’espace de travail, tandis qu’un étudiant suivant un cours de programmation reçoit Core avec un accès à Codex. Augmenter l’allocation de crédits d’un chercheur ne nécessite pas de lui accorder des autorisations de publication ou d’administration.

Accès aux modèles par rôle

Ouvrez Politique et sécurité → Modèles. Configurez les Valeurs par défaut de l’espace de travail, puis utilisez Rôles pour les paramètres propres à chaque rôle. Le tableau reprend les noms de modèles et les libellés de préférences affichés dans la console examinée. Activez uniquement les modèles disponibles pour votre espace de travail.

Recommandations sur les modèles : laissez 5.6 Sol disponible pour l’usage courant de Chat et 6 Luna pour les tâches habituelles dans Work et Codex. Conservez 5.6 Luna comme solution de repli si nécessaire. Activez 6.1 Sol et 6 Sol pour les workflows Power, et examinez leur activation pour les utilisateurs Advanced. Approuvez l’accès à Astra/Pro et aux modes plus rapides selon le travail prévu et le budget. Excluez Daybreak Blue des rôles généraux de l’établissement ; envisagez un rôle de sécurité approuvé séparément uniquement si l’éligibilité le permet.

La présence ou l’activation d’un modèle dans la démonstration ne garantit pas son accès dans tous les espaces de travail Edu ni dans tous les produits. En particulier, 6.1 Sol et 6 Luna sont des options pour Work et Codex, pas des modèles par défaut pour Chat ordinaire. Utilisez Modèles → Test pour vérifier l’accès aux modèles du membre concerné. Consultez la disponibilité actuelle des modèles.

Valeurs par défaut par produit

Une valeur par défaut initiale ne donne pas accès au modèle. Autoriser un effort moyen/élevé/très élevé et Autoriser les modèles Pro s’appliquent à Chat ; Autoriser le mode rapide et Autoriser le mode Ultra Fast s’appliquent à Work & Codex. Les membres peuvent sélectionner d’autres options autorisées. Examinez séparément les dérogations des rôles pour chaque produit.

Définir les limites d’utilisation indépendamment

Utilisez Facturation → Limites d’utilisation pour configurer les limites des membres au moyen des valeurs par défaut de l’espace de travail, des valeurs par défaut des groupes et des dérogations individuelles. Examinez séparément le solde de crédits partagé et la limite de dépassement de l’espace de travail dans Facturation. Les montants ci-dessous illustrent des limites fondées sur les crédits ; approuvez-les selon l’accord de votre établissement, les crédits achetés, l’activité prévue et la période de limite affichée.

La limite d’utilisation d’un groupe ne crée pas de rôle d’autorisation et ne donne accès à aucune fonctionnalité. Utilisez des groupes correspondants lorsque les membres sont les mêmes, et des groupes distincts lorsque les besoins d’accès et de budget diffèrent. Définissez la valeur de repli des utilisateurs non affectés selon le socle commun prévu pour l’établissement.

Pour les accords fondés sur les crédits, maintenez les dépassements de l’espace de travail à 0, sauf si des dépenses supplémentaires sont approuvées. Les dérogations individuelles priment sur les limites des groupes ; à défaut, la limite de groupe applicable la plus élevée prime sur la valeur par défaut de l’espace de travail. Les alertes avertissent les destinataires sans interrompre l’utilisation. La consommation des travaux en cours peut être comptabilisée après qu’une limite est atteinte. Consultez les limites d’utilisation et les dépassements.

Utilisez la grille tarifaire actuelle pour connaître les quotas inclus et l’utilisation facturable.

Utiliser le plugin Admin pour préparer et vérifier les modifications

Le plugin Admin peut examiner les rôles et les autorisations et, après confirmation, attribuer un rôle existant à un groupe existant. Il ne peut ni créer de rôles ni modifier leurs autorisations. Configurez d’abord les rôles et les autorisations dans l’Admin Console. Consultez le périmètre du plugin Admin.

Joignez la matrice approuvée par votre établissement, tranchez chaque élément À examiner et remplacez les espaces réservés ci-dessous.

Comparer l’espace de travail à la matrice

Prompt :

Use the Admin plugin to compare workspace {workspace_id} with the attached Core, Plus, Advanced, Power, and TEST matrix. Show role IDs and a table of current versus recommended permissions. Flag missing roles, unresolved decisions, and anything you cannot inspect. Prepare a manual Admin Console change checklist. Do not make changes.

Attribuer un rôle configuré à un groupe

Prompt :

In workspace {workspace_id}, prepare to assign existing role {role_id} to existing group {group_id}. Show current assignments, the access this adds, and the recorded approver. Wait for my explicit approval. Then make only that assignment and re-read the group to verify it.

Vérifier les attributions et les chevauchements

Prompt :

Review user {user_id} in workspace {workspace_id} against the attached approved matrix. Show direct and group-based roles, overlapping grants, and unexpected access. Mark unsupported checks as unknown. Do not claim that role access verifies a specific connected app. Do not make changes.

Configurer et vérifier

1. Dans Identité et accès → Groupes et rôles → Rôles, sélectionnez Ajouter un rôle. Saisissez un nom et une description, puis sélectionnez Créer un rôle. Créez uniquement les rôles dont votre établissement a besoin.
2. Dans Politique et sécurité → Autorisations → Valeurs par défaut de l’espace de travail, appliquez le socle Core. Dans Rôles, ouvrez chaque rôle et appliquez les valeurs approuvées de la matrice. Sélectionnez Enregistrer les modifications.
3. Dans Groupes et rôles → Rôles, ouvrez le rôle. Utilisez Groupes du rôle → Ajouter un groupe pour attribuer les groupes concernés. Gérez les adhésions synchronisées par SCIM dans le fournisseur d’identité.
4. Configurez Modèles → Valeurs par défaut de l’espace de travail et Modèles → Rôles, puis définissez les limites d’utilisation. Approuvez séparément chaque plugin, application, skill et accès aux systèmes sources.
5. Utilisez Autorisations → Autorisations par rôle pour comparer les attributions et Test pour examiner l’accès effectif. Prévoyez jusqu’à cinq minutes pour la mise à jour des autorisations. Utilisez Modèles → Test pour vérifier l’accès aux modèles.
6. Vérifiez les workflows réels avec des membres représentatifs, dont une personne ayant plusieurs rôles qui se chevauchent. Utilisez le rôle personnalisé TEST pour exécuter les actions autorisées et tenter des actions volontairement bloquées, puis retirez les autorisations temporaires.

La vue de comparaison peut conserver d’anciens libellés qui diffèrent de ceux de la page de modification des autorisations. Configurez l’accès partagé aux ordinateurs cloud dans Fonctionnalités de l’espace de travail → Autoriser les agents à utiliser des ordinateurs cloud, à l’aide de Utiliser un navigateur, Autoriser l’accès au réseau et Autoriser l’utilisation de l’ordinateur.

Réexaminez les rôles à chaque période universitaire et à chaque apparition d’une nouvelle autorisation. Lorsque Aperçu administrateur est proposé, décidez séparément de l’accès en aperçu et de l’accès au lancement. Les paramètres généraux de l’espace de travail, les politiques d’identité, Agent Security, les actions des applications et la conservation des données restent distincts de ces matrices de rôles.