Akun layanan

Akun layanan memungkinkan Anda menjalankan dan menskalakan alur kerja Codex tanpa antarmuka di seluruh organisasi tanpa bergantung pada akun karyawan. Setiap runner integrasi berkelanjutan (CI), pekerjaan terjadwal, atau integrasi bersama memperoleh identitas ruang kerja ChatGPT sendiri, dengan grup, peran, kontrol akses, dan kemampuan audit yang sama seperti yang Anda harapkan untuk pengguna manusia.

Hanya pemilik dan admin ruang kerja yang dapat membuat akun layanan. Mereka dapat mengizinkan orang atau grup lain mengelola akun, mengonfigurasi plugin, atau membuat token akses.

Akun layanan mewakili identitas ruang kerja nonmanusia. Token akses pribadi mewakili anggota ruang kerja yang membuatnya. Akun layanan proyek dan API key API Platform menggunakan akses proyek dan penagihan yang terpisah.

Buat dan siapkan akun layanan

Panduan interaktif ini menggunakan GitHub sebagai contoh: buat akun, konfigurasikan plugin, buat token, lalu tetapkan grup dan peran.

1. Buka Akun layanan di pengaturan ruang kerja Anda.
2. Pilih tombol plus (+) dan masukkan nama yang deskriptif, seperti release-automation.
3. Pilih Create.

Hubungkan plugin

Konfigurasikan plugin untuk akun layanan itu sendiri. Akun tersebut tidak mewarisi plugin atau aplikasi terhubung milik pembuatnya.

1. Buka bagian Plugins akun, lalu pilih Add plugin.
2. Pilih plugin dan pastikan statusnya menunjukkan telah dikonfigurasi atau diaktifkan.

Peran Configure dan Manager dapat menyiapkan plugin. Peran User tidak dapat melakukannya.

Buat token akses

Buat token dari halaman detail akun layanan. Token tersebut mewakili akun layanan, bukan orang yang membuatnya.

1. Buka akun, lalu pilih Create token di bagian Access tokens.
2. Beri nama token, konfirmasikan cakupan Codex, lalu pilih masa berlaku.
3. Pilih Create, lalu simpan token di pengelola rahasia Anda.

Token lengkap hanya ditampilkan satu kali. Kebijakan ruang kerja mengontrol pilihan masa berlaku yang tersedia.

Tetapkan peran dan grup

Akun layanan dapat menerima peran ruang kerja dan bergabung dengan grup seperti anggota ruang kerja manusia. Tetapkan aksesnya secara langsung; akun tersebut tidak mewarisi izin pembuatnya.

Untuk mengizinkan orang atau grup mengelola akun, pilih Share, lalu Add people or groups, dan tetapkan peran:

Peran ini berlaku bagi orang yang mengelola akun. Peran tersebut terpisah dari peran ruang kerja dan grup yang ditetapkan kepada akun layanan.

Configure dan Manager dapat mengaktifkan atau menonaktifkan akun. Hanya pemilik dan admin ruang kerja yang dapat membuat, menghapus, atau membagikan akun. Operator mengelola akun bersama saat masuk dengan akun ChatGPT mereka sendiri.

Untuk informasi selengkapnya tentang izin ruang kerja, lihat Peran dan izin ruang kerja.

Jalankan Codex tanpa masuk

Token akses akun layanan memerlukan Codex CLI versi 0.142.0 atau yang lebih baru. Tetapkan CODEX_ACCESS_TOKEN dan jalankan Codex tanpa membuka browser:

export CODEX_ACCESS_TOKEN="<service-account-access-token>"
codex exec --json "Inspect this repository and summarize its current state."

Di CI, berikan token melalui pengelola rahasia atau rahasia runner.

Untuk menyimpan kredensial masuk di mesin tepercaya, teruskan token melalui input standar:

printf '%s' "$CODEX_ACCESS_TOKEN" | codex login --with-access-token
codex exec "Summarize the changes in the current branch."

Tindakan ini menyimpan kredensial secara lokal. Pada runner bersama atau sementara, gunakan CODEX_ACCESS_TOKEN tanpa menyimpan kredensial masuk.

Provisikan akun layanan dengan SCIM

Jika ruang kerja Anda mendukung provisi akun layanan melalui protokol System for Cross-domain Identity Management (SCIM), tetapkan userType menjadi ServiceAccount di penyedia identitas Anda:

{
  "schemas": ["urn:ietf:params:scim:schemas:core:2.0:User"],
  "userName": "svc-codex-release@company.example",
  "displayName": "Codex release automation",
  "active": true,
  "userType": "ServiceAccount"
}

Tetapkan identitas tersebut ke ruang kerja dan grup yang diperlukan, lalu sinkronkan. Penyedia identitas mengelola nama akun, keanggotaan grup, dan siklus hidupnya. Akun yang dikelola SCIM tidak dapat diganti namanya atau dihapus di ChatGPT. Lihat Grup dan provisi.

Kelola akun layanan dengan Admin API

Jika ruang kerja Anda memiliki akses, gunakan ChatGPT Admin API key untuk mengelola akun, token, dan pembagian akses. Operasi baca memerlukan chatgpt.enterprise.service_account.read; perubahan memerlukan chatgpt.enterprise.service_account.write. Token akun layanan tidak dapat mengautentikasi permintaan Admin API.

Periksa referensi Admin API untuk mengetahui operasi yang tersedia dan path permintaan saat ini.

Akun

Buat akun dengan POST /v1/manage/workspaces/{workspace_id}/service-accounts. Pembaruan akun hanya mengubah enabled.

Token

Sebagai contoh, buat token Codex yang kedaluwarsa setelah 30 hari:

{
  "name": "production-release-runner",
  "ttl": 2592000,
  "scopes": ["chatgpt.workspace.feature.allow-codex-local-access.access"]
}

ttl adalah masa berlaku token dalam detik. Masa berlaku terbatas harus kurang dari satu tahun dan mematuhi kebijakan kedaluwarsa ruang kerja Anda. access_token lengkap hanya dikembalikan saat token dibuat.

Admin API juga dapat mencantumkan, menambahkan, memperbarui, dan menghapus akses akun bersama. Nilai perannya adalah manager, configurer, dan user; configurer ditampilkan sebagai Configure di ChatGPT.

Amankan dan kelola akun layanan

• Berikan hanya peran, grup, plugin, dan koneksi yang diperlukan alur kerja.
• Simpan token di pengelola rahasia dan gunakan runner tepercaya.
• Jangan sertakan kredensial dalam log, pesan percakapan, dan kontrol sumber.
• Tetapkan masa berlaku terbatas dan tinjau akses serta aktivitas akun secara berkala.
• Rotasi token dengan membuat pengganti, memperbarui alur kerja, memverifikasi akses, lalu mencabut token lama di ruang kerja atau Admin API.
• Segera cabut token yang terekspos dan selidiki aktivitas terbaru akun tersebut.
• Nonaktifkan atau hapus akun yang tidak digunakan di ruang kerja atau Admin API. Kedua tindakan tersebut mencabut semua token aktif. Akun yang dinonaktifkan dapat diaktifkan kembali dengan token baru; penghapusan tidak dapat dibatalkan.

Eksekusi diatribusikan kepada akun layanan. Analitik ruang kerja dan catatan audit yang tersedia juga dapat mengidentifikasi siapa yang membuat token atau mengubah pengaturan akun. Konfirmasikan cakupan peristiwa dalam referensi Admin API.

Dokumentasi terkait

• Autentikasi
• Token akses pribadi
• Peran dan izin ruang kerja
• Grup dan provisi
• Tata kelola
• Compliance API dan peristiwa audit
• Mode noninteraktif