高等教育機関における ChatGPT Edu ワークスペース設定のベストプラクティス

学内のアクセス権限は、推奨する 5 つのカスタムロール Core、Plus、Advanced、Power、TEST で設定します。以下のマトリクスで各ロールの権限を選び、モデルへのアクセスと使用量の上限は別途設定してください。

権限のラベルとセクションの順序は、2026 年 10 月 19 日と 21 日に確認した Edu Admin Console の画面に基づいています。値は推奨設定であり、そのワークスペースの設定をそのまま掲載したものではありません。利用できる機能は、ワークスペースやロールアウトの状況によって異なる場合があります。

推奨ロールを選ぶ

これらは、各機関で作成できるカスタムロールの名前の例です。ここでの Plus は ChatGPT Plus サブスクリプションではなく、いずれの名前も Edu プランや組み込みの管理ロールを指していません。その人に必要な業務に基づいてロールを選んでください。教員、学生、職員のいずれも、適切なレベルのロールを利用できます。

大半のユーザーは、組み込みの メンバー ロールのままにします。組み込みの管理権限は別途割り当てます。

カスタムロールの作成と割り当ては、ワークスペースのオーナーが行います。カスタムロールによってオーナー権限や管理者権限が付与されることはありません。ワークスペースのロールを参照してください。

マトリクスを適用する

Admin Consoleを開き、対象の Edu ワークスペースを選択して、ポリシーとセキュリティ → 権限 に移動します。学内の基本設定にはワークスペースのデフォルト を使い、上書き設定にはロール を使います。

ワークスペースのデフォルト は Core 列に合わせ、「要検討」の項目は判断が済むまでオフにします。各カスタムロールでは、ワークスペースの値をそのまま適用したい場合に限ってデフォルト を使い、それ以外はオンまたはオフを明示的に設定します。オンとオフのみを選べる設定もあります。

通常のロールでは、付与された権限が合算されます。あるロールでオフにしても、別のロールのオンは取り消されません。直接の割り当てとグループ経由のロールを両方確認してください。別途 Lockdown Mode の制限が適用される場合もあります。親の権限を無効にすると、その配下の設定が非表示になることがあります。承認済みの親権限を有効にしてから、配下の設定を行ってください。RBAC の仕組み。

ロール別の権限

ロールを選択すると、すべての権限表とモデル表にそのロールの推奨設定が表示されます。マトリクス全体を比較するには、すべてのロール を選択してください。セクションは、権限 → ワークスペースのデフォルト の順序に沿っています。2 つのローカルコンピューターへのアクセスを許可 の行は、親セクションによって区別されます。

Chat

日常的な学習、研究、共同作業は、すべてのロールで利用できるようにします。録音、画面共有、保存ファイル、ネットワークに接続するコードには、機関の規則を適用してください。要検討 の項目は、承認済みの授業、チーム、ワークフロー、共有対象を明確にしてから、その権限を有効にします。

エージェントの作成権限は、承認済みのワークフローを保守する人に付与します。ワークスペース全体への公開権限は、指定された公開担当者に限定します。エージェント所有の接続では、共有アカウント、ソースデータ、許可される操作、共有先を別途審査する必要があります。対応している場合は、ユーザー自身の接続を優先してください。詳しくは、ワークスペースエージェントの管理を参照してください。

新たに再利用可能なワークフローを作る場合は、プラグインを使います。GPT の作成はオフのままにし、引き続きサポートされている場合に限り、移行用のアクセスを一時的に付与します。カスタム GPT は 2026 年 12 月 11 日に提供終了予定です。所有元のワークスペースの通知に従ってください。移行ではカスタムアクションや共有設定は引き継がれません。詳しくは、GPT の移行ガイダンスを参照してください。

Work

これは、対象メンバーに Work への幅広いアクセスを提供する推奨設定に沿ったものです。ローカルでの作業、クラウドでの作業、クラウドタスクによる接続済みコンピューターへのアクセスは、それぞれ別に判断します。ローカルコンピューターへのアクセスを許可 は、適切なエージェントのセキュリティ設定を適用したうえで、承認済みのファイル、アプリケーション、デバイスに対してのみ有効にしてください。

イベントをトリガーとするタスクでは、トリガー、接続アプリ、許可される操作、担当者、監視方法を承認します。メンバーには Work とアプリへのアクセスも必要です。スケジュールされたタスクの共有は、Chat で別途管理します。Work と Codex の利用可否 · スケジュールされたタスクの設定。

Codex

プログラミング科目を履修する学生を含め、対象ロールにコーディング機能へのアクセスを提供します。リポジトリへのアクセス、ローカルランタイムのポリシー、クラウド環境は別途確認してください。デバイスコードによるサインインは、この設定に記載されている 4 製品すべてに影響します。

Computer History へのアクセスを付与する前に、Computer History の記録内容とユーザーのオプトインを確認します。ワークスペース環境を管理、Codex を管理、Codex Security を管理 は、後述する特定の責任に対応したロールを通じて付与します。Power や TEST の割り当てによって、サービスの管理権限を自動的に付与しないでください。詳しくは、Codex の権限の境界を参照してください。

ワークスペースの機能—エージェントによるクラウドコンピューターの使用を許可

設定を有効にする前に、Work Cloud、dots、チームの自動化への影響を確認します。ブラウザーアクセス、ネットワークアクセス、コンピューター操作は別々の設定です。ワークフローごとに、必要なネットワーク接続先とアプリケーションを承認してください。

ワークスペースの機能—dots

確認したコンソールでは、dots にベータ と表示されています。有効にする前に、継続的な担当業務、メッセージの送信先、ルールを承認します。ここにあるローカルコンピューターへのアクセスを許可 の行は dots の権限であり、同名の Work の設定とは別です。dots のガイダンスを読む。

ワークスペースの機能—プラグインとスキル

プラグイン → プラグイン とプラグイン → スキル で、個々の項目とその利用対象を承認します。MCP を使用するプラグインには、連携の責任者、審査済みの認証、承認済みのデータアクセスと操作が必要です。ワークスペースへの項目の公開と、他のユーザーへのインストールの責任は、後述の追加ロールで割り当てます。

プラグインへのアクセスによって、含まれるアプリの利用が承認されたり、接続先サービスの権限が拡張されたりすることはありません。必要なアプリとアカウントの認可は別途確認してください。詳しくは、プラグインとアプリの設定を参照してください。

ワークスペースの機能—Sites

これらの権限を有効にする前に、サイトの所有者、許可されるコンテンツ、画面に表示される Sites の規約を確認します。サイトをインターネット上に一般公開する権限は、機関の公開手続きに従って付与します。2 つのプライベートトンネル設定は、承認済みの技術連携に対する個別の権限付与として扱い、学内の一般的なロールではオフのままにします。デモ用ワークスペースにこれらの設定があるからといって、すべての Edu ワークスペースで利用できるとは限りません。

Sites を有効にする前に、ワークスペースとリージョンでサポートされる Sites の範囲を確認してください。米国または EU のデータレジデンシーが設定されたワークスペースで新たに作成する Sites は、対応するストレージとホスティングにそのリージョンを使用します。既存の Sites は自動的には移行されません。Sites のホスティングと推論レジデンシーは別です。Sites の管理を参照してください。

ワークスペースの機能—チーム、メモリ、認証情報

各チームとチームタスクに、責任を負う担当者を割り当てます。機関のどの情報をメモリに保持してよいか、また対象ユーザーにディレクトリを表示すべきかを定めます。機関のポリシーでいずれかの機能をオフにする必要がある場合は、影響するすべてのロールで対応する行を変更してください。

パスワードマネージャーの使用は IT 部門と検討します。個人アクセストークンは、担当者、必要最小限のスコープ、有効期限または失効の手続きがある承認済み連携にのみ許可します。トークンの権限によって、ワークスペースの Admin キーが付与されることはありません。

データのエクスポート

学生、教員、職員が機関を離れる際に、持ち出しが許可された成果物をどのように持ち出すかを決めます。この権限の対象は、メンバー自身のデータです。データレジデンシーが設定された Edu ワークスペースでは、メンバーによるエクスポートは利用できません。詳しくは、Edu のエクスポート要件を参照してください。

10 代向けの利用体験

18 歳未満の学生を含め、実際の利用者に基づいて設定を選びます。ロール名、クレジットの利用枠、フィルター設定によって、ChatGPT の利用資格が決まるわけではありません。

Space の共有

承認済みの共有先との共同作業を許可します。ワークスペースリンクが、教材、研究、部門のファイルの共有対象に適しているかを確認してください。共有権限は、共有の作成とアクセス権の変更を制御します。オフにしても、すでにメンバーと共有されているコンテンツへのアクセスは解除されません。

公開と管理の責任を割り当てる

Power や TEST の全員にこれらの機能を付与するのではなく、範囲を絞ったロールを適切な人に割り当てます。各追加ロールでは、無関係な権限をオフにし、ワークスペースの広範な権限付与を継承しないようにしてください。

たとえば、教員には Plus とワークスペース公開担当者を付与し、プログラミング科目を履修する学生には Codex へのアクセスを備えた Core を付与できます。研究者のクレジット利用枠を増やすために、公開権限や管理権限を付与する必要はありません。

ロール別のモデルアクセス

ポリシーとセキュリティ → モデル を開きます。ワークスペースのデフォルト を設定してから、ロール でロールごとの設定を行います。この表では、確認したコンソールに表示されていたモデル名と設定ラベルを使用しています。ワークスペースで利用できるモデルのみを有効にしてください。

モデルの推奨設定: 通常の Chat には 5.6 Sol、日常的な Work と Codex には 6 Luna を利用できるようにします。必要な場合に備え、5.6 Luna を代替として残します。Power のワークフローでは 6.1 Sol と 6 Sol を有効にし、Advanced ユーザーについては利用を検討します。想定する業務と予算に基づいて、Astra/Pro へのアクセスと高速なモードを承認します。Daybreak Blue は学内の一般的なロールの対象外とし、利用資格がある場合に限り、別途承認するセキュリティ用ロールを検討してください。

デモでモデルが表示されていたり有効になっていたりしても、すべての Edu ワークスペースやすべての製品で利用できるとは限りません。特に、6.1 Sol と 6 Luna は Work と Codex の選択肢であり、通常の Chat のデフォルトではありません。モデル → テスト で、対象メンバーのモデルへのアクセスを確認してください。現在利用できるモデルを参照してください。

製品別のデフォルト

開始時のデフォルト設定によって、モデルへのアクセスが付与されることはありません。推論の強度「中・高・最高」を許可 とPro モデルを許可 は Chat に、高速モードを許可 と超高速モードを許可 は Work & Codex に適用されます。メンバーは、許可されたほかの選択肢も選べます。製品ごとにロールの上書き設定を確認してください。

使用量の上限を個別に設定する

請求 → 使用量の上限 で、ワークスペースのデフォルト、グループのデフォルト、ユーザーごとの上書き設定を通じて、メンバーの上限を設定します。共有クレジットプールとワークスペースの超過利用上限は、請求 で別途確認します。以下の数値は、クレジットベースの上限の例です。機関の契約、購入済みクレジット、想定される利用状況、画面に表示される上限の対象期間に基づいて承認してください。

グループの使用量上限を設定しても、権限ロールが作成されたり、機能が付与されたりすることはありません。メンバー構成が一致する場合は対応するグループを使い、アクセスと予算の要件が異なる場合は別のグループを使います。未割り当てユーザーのフォールバックは、意図する学内の基本設定に合わせてください。

クレジットベースの契約では、追加支出が承認されていない限り、ワークスペースの超過利用上限を 0 に保ちます。ユーザーごとの上書き設定はグループの上限より優先されます。それ以外の場合は、適用対象のグループのうち最も高い上限が、ワークスペースのデフォルトより優先されます。アラートは受信者に通知しますが、利用を停止しません。実行中の作業は、上限に達した後に精算される場合があります。使用量の上限と超過利用を参照してください。

含まれる利用枠と課金対象の使用量については、現在の料金表を確認してください。

Admin プラグインで変更を準備・確認する

Admin プラグインは、ロールと権限を確認し、確認を得た後で既存のロールを既存のグループに割り当てることができます。ロールの作成や権限の編集はできません。まず Admin Console でロールと権限を設定してください。Admin プラグインの対応範囲を参照してください。

機関で承認されたマトリクスを添付し、すべての「要検討」項目の判断を済ませてから、以下のプレースホルダーを置き換えます。

ワークスペースとマトリクスを比較する

プロンプト:

Use the Admin plugin to compare workspace {workspace_id} with the attached Core, Plus, Advanced, Power, and TEST matrix. Show role IDs and a table of current versus recommended permissions. Flag missing roles, unresolved decisions, and anything you cannot inspect. Prepare a manual Admin Console change checklist. Do not make changes.

設定済みのロールをグループに割り当てる

プロンプト:

In workspace {workspace_id}, prepare to assign existing role {role_id} to existing group {group_id}. Show current assignments, the access this adds, and the recorded approver. Wait for my explicit approval. Then make only that assignment and re-read the group to verify it.

割り当てと重複を検証する

プロンプト:

Review user {user_id} in workspace {workspace_id} against the attached approved matrix. Show direct and group-based roles, overlapping grants, and unexpected access. Mark unsupported checks as unknown. Do not claim that role access verifies a specific connected app. Do not make changes.

設定して検証する

1. ID とアクセス → グループとロール → ロール で、ロールを追加 を選択します。ロール名と説明を入力し、ロールを作成 を選択します。機関で必要なロールのみを作成してください。
2. ポリシーとセキュリティ → 権限 → ワークスペースのデフォルト で、Core の基本設定を適用します。ロール で各ロールを開き、承認済みのマトリクスの値を適用します。変更を保存 を選択します。
3. グループとロール → ロール で、対象のロールを開きます。ロールのグループ → グループを追加 で、対象グループを割り当てます。SCIM で同期されるメンバー構成は、ID プロバイダーで管理します。
4. モデル → ワークスペースのデフォルト とモデル → ロール を設定し、使用量の上限を設定します。個々のプラグイン、アプリ、スキル、ソースシステムへのアクセスは別途承認します。
5. 権限 → ロール別の権限 で割り当てを比較し、テスト で実効アクセス権を確認します。権限の更新には最大 5 分かかる場合があります。モデル → テスト でモデルへのアクセスを確認します。
6. ロールが重複しているメンバーを含む代表的なメンバーで、実際のワークフローを検証します。TEST カスタムロールで、許可された操作を実行し、意図的にブロックした操作も試してから、一時的な権限付与を解除します。

比較画面には、編集可能な権限ページと異なる古いラベルが残っている場合があります。共有クラウドコンピューターへのアクセスは、ワークスペースの機能 → エージェントによるクラウドコンピューターの使用を許可 にあるブラウザーを使用、ネットワークアクセスを許可、コンピューター操作を許可 で設定してください。

学期ごと、および新しい権限が追加されるたびに、ロールを見直します。管理者プレビュー が提供される場合は、プレビュー時のアクセスと正式提供時のアクセスを別々に判断してください。ワークスペース全般の設定、ID ポリシー、エージェントのセキュリティ、アプリのアクション、保持設定は、これらのロール別マトリクスとは別に管理します。