ロールとワークスペース権限

設定ごとに、組織の ChatGPT エクスペリエンスの異なる領域が対象になります。ある領域でアクセス権を付与しても、 別の領域へのアクセス権が自動的に付与されるわけではありません。このページでは、6 つの制御境界がどのように連携するかを確認し、その後、リンク先のガイダンスに従って現在のセットアップ手順を進めてください。

ワークスペース設定では、Codex and Work Local により、ローカルでの Codex と Work へのアクセスが Allow members to use Codex and Work Locally に統合されています。他のワークスペースでは、 Codex Local と Work Local が独立したセクションに分かれています。この構成では、Allow members to use Codex locally によりローカルでの Codex アクセスが許可され、 Use Work locally によりローカルでの Work アクセスが許可されます。一方を有効にしても、 もう一方へのアクセスは許可されません。これらのラベルはワークスペース権限を示すものであり、個別の製品やクライアントを示すものではありません。トークン権限と認証情報の有効期間の上限は、 ワークスペースに応じて Access tokens セクションまたはローカルアクセスのセクションに表示されます。マネージド構成は別のレイヤーであり、対象クライアントにおいて、該当する機能でサポートされるランタイム動作を制限します。機能と実際の要件は、 クライアントやバージョンによって異なる場合があります。

制御境界を理解する

リクエストは、適用されるすべての境界を通過する必要があります。たとえば、ワークスペースへのアクセスによってプラグインを利用可能にできますが、サインイン中のアカウントがどのデータを読み取れるかは、引き続き接続先サービスが決定します。ローカル権限プロファイルは、サポート対象のローカルクライアントでの実行を制限できますが、ワークスペースの機能やモデルを付与することはできません。

ワークスペースへのアクセスを割り当てる

ChatGPT ワークスペースの管理では、製品へのアクセスと管理権限が分けられています。

シート、管理者ロール、カスタムロールの違いを理解する

シートによって、メンバーがアクセスできる製品サーフェスが決まります。ワークスペースプランによっては、 利用可能なシートタイプに ChatGPT シートと Codex シートが含まれる場合があります。

組み込みのワークスペースロールによって管理権限が決まります。Owner ロールはワークスペース全体の設定を管理し、Admin ロールは対応する操作とグループを管理します。Member ロールには管理権限がなく、 Analytics Viewer ロールはワークスペース分析にアクセスできます。

カスタムロールでは、メンバーが使用できる対応機能を定義します。シートやプランの利用資格に代わるものでも、接続済みシステム内の権限を付与するものでも、 ローカルランタイム要件を変更するものでもありません。

ワークスペースのデフォルトを設定し、対象を限定したカスタムロールを作成する

ロールベースのアクセス制御（RBAC）を構成し、カスタムロールを作成できるのは、ワークスペースのオーナーだけです。ワークスペース設定では、対象となる権限の基準を定めます。 ワークスペースのオーナーは、サポートされている場合、グループを通じて、または個々のメンバーに直接カスタムロールを割り当てることができます。グループは手動で管理することも SCIM と同期することもでき、1 人のメンバーに複数のカスタムロールを付与できます。

対象となる権限では、デフォルト はワークスペース設定を継承し、オン はそのロールを通じてアクセスを許可します。オフ は、そのロールを通じたアクセスを許可しません。通常のロール権限は加算的に組み合わされるため、別の割り当て済みロールからアクセスが許可される場合があります。直接の割り当てと、グループ経由で付与されたロールを確認してください。 Lockdown Mode と製品の利用資格は別途適用されます。選択できる権限の状態は、機能によって異なる場合があります。

Work Local と Work Cloud の権限を確認する

管理コンソール > 権限とロール > ワークスペース機能 > クラウドコンピューター機能 で、クラウドブラウザの使用 と クラウドネットワークアクセス を設定します。これらの共有機能は Work Cloud と dots で利用でき、Work Cloud へのアクセスとは独立して設定できます。Work のタスクには、引き続き Work へのアクセスと、必要な各機能を使用する権限が必要です。ブラウザのアクセスと、コードまたはシェルからのネットワークアクセスは個別に確認してください。一方を無効にしても、もう一方が自動的に無効になることはありません。

ワークスペースで Work Local と Work Cloud が提供されている場合は、 ワークスペースのデフォルトと、該当する各カスタムロールの両方を確認してください。Work は対象のワークスペースでのみ利用でき、 利用可能な制御はプラン、ワークスペース構成、ロールアウトによって異なる場合があります。ロールによって、メンバーのシートで許可されるアクセス範囲を拡大することはできません。

Work Cloud は、クラウドでサポートされる ChatGPT Work タスクを制御します。各制御が独立している場合、Work Cloud なしで Work Local のみを有効にすると、ChatGPT デスクトップアプリでローカル作業はできますが、メンバーはクラウドタスクを開始できません。ローカルでの Codex アクセスには、 Codex Local の Allow members to use Codex locally を使用します。 Use Work locally を変更しても、ローカルでの Codex アクセスは変更されず、 ローカルランタイムの要件が置き換えられることもありません。

一部のワークスペースでは、代わりに Codex and Work Local という統合セクションが表示されます。この構成では、Allow members to use Codex and Work Locally が両方の製品を制御します。

現在の利用資格と設定については、 ChatGPT Work and Codex をご覧ください。

利用可能なシート、ロール、権限は製品やプランの更新に伴って変更されるため、 最新の権限一覧と設定手順については、ヘルプセンターを参照してください。

• メンバー、シートの種類、ロール、アクセスを管理する
• ロールベースアクセス制御を構成する
• グループを管理する

Codex Cloud へのアクセスと環境管理を確認する

次の権限を個別に確認してください。

ワークスペース環境を管理 は クラウドで Codex を使用 の配下にあり、 Cloud へのアクセスが必要で、デフォルトではオフになっています。導入前に付与状況を確認してください。 Cloud へのアクセス権を持つメンバーは、管理権限がなくても自分の個人用環境を作成・編集できます。共有環境にアクセスできるだけでは、 その設定を変更する権限は付与されません。

環境を利用するメンバーと、その環境の管理担当者を代表するアカウントを使い、 両方のワークフローを検証してください。どちらにも、接続先のリポジトリやサービスで適切なアクセス権が必要です。設定と共有については、 クラウド環境を参照してください。 クラウドポリシーの計画については、管理者向け導入ガイド を参照してください。

Work Cloud でのローカルコンピューターへのアクセス

ワークスペースのオーナーは、対象となるユーザーに対して ローカルコンピューターへのアクセスを許可 を有効にできます。対象ユーザーに対して Work Cloud を有効にしてください。ローカルコンピューターへのアクセスを許可 は Work Cloud の配下にあります。ChatGPT デスクトップアプリで Codex をローカルに使用 を有効にする必要はありません。メンバーは ChatGPT を使用して対象のワークスペースにサインインする必要があります。いずれかのクラウドポリシーで enforce_residency が有効になっている場合、Work と dots の両方で ローカルコンピューターへのアクセスを許可 が無効になります。この保護措置はワークスペースのデータレジデンシーを設定するものではなく、それ自体で Work Cloud や dots を無効にするものでもありません。

同期を有効にする前に、ローカル実行に関する Agent Security の要件を確認してください。現在、MDM のみでポリシーを配信している場合は、Agent Security を設定する前に、適用されるローカルポリシーの優先順位を確認してください。ローカル実行では、MDM と従来の管理対象デバイス要件が Agent Security より優先され、システム要件ファイルの優先順位は Agent Security より低くなります。管理対象ポリシーが有効な場合、対応する Global ポリシーがクラウドのオーケストレーションを制御し、ローカル実行の要件が接続先のコンピューターを制御します。Work のクラウドコンテナには、既存の Work Cloud ポリシーが引き続き適用されます。

Global 設定の管理にはポリシー API を使用してください。Local または Codex Cloud の設定を管理するには、Agent Security UI を使用してください。既存の Global API ワークフローは移行後も利用できます。スクリプトと Terraform 連携をテストし、ポリシーの割り当てと優先順位が変わっていないことを確認してください。

アクセスを設定し、検証します。

• ワークスペースのデフォルト設定は、組織全体に適したものにしてください。

• アクセスが必要なユーザーやグループに、サポートされているカスタムロールを割り当ててください。

• 適用されるすべてのロールを確認してください。ある通常のロールで権限をオフにしても、別のロールで付与されたアクセス権は削除されません。

• 意図した権限を持つメンバーでアクセスをテストしてください。

Work Cloud によるローカルコンピューターへのアクセスを使用するタスクは、クラウドで処理を調整しながら、接続されたコンピューターを通じてローカルのステップも実行できます。企業向けには、提供開始時点でアプリ内の Local/Cloud 切り替えとそのデフォルト設定は変更されません。同期権限では、シート、接続済みアプリへのアクセス権、オペレーティングシステムの権限、デバイスへの無制限のアクセス権は付与されません。ローカルの Codex の権限と動作は引き続き別に扱われます。ポリシーの適用範囲については管理対象設定、互換性の要件については Work 管理者向け FAQ を参照してください。

Work Cloud によるローカルコンピューターへのアクセスをオフにすると、実行中のターンが中断されます。ユーザーは既存のクラウドの会話で新しいターンを開始できます。そのターンでは自動的に Work Cloud が使用され、ローカルファイルにはアクセスしません。同期をオフにするだけでは、メンバーのワークスペースへのアクセス権は削除されません。

Computer History へのアクセスを制御する

Computer History は、Business および Enterprise ワークスペースではデフォルトで無効になっています。ワークスペースのオーナーが明示的にアクセスを許可するまで、メンバーは有効にできません。Enterprise ワークスペースのオーナーは、ロールごとにアクセスを許可できます。

1. ワークスペース設定 > 権限とロールを開きます。
2. Computer History を探し、アクセスを許可するワークスペースロールを選択します。
3. そのロールの Computer History を有効にする をオンにします。

この権限は、割り当てられたメンバーが Computer History をオンにできるようにするだけであり、機能自体を自動的にオンにするものではありません。各メンバーは macOS の ChatGPT デスクトップアプリから明示的に有効化し、情報を提供するアプリやウェブサイトを選択できます。必要なワークスペース権限がないメンバーは、ローカル設定からこの機能を有効にできません。

ローカルランタイムポリシーを適用する

ローカルランタイムポリシーは、ChatGPT デスクトップアプリ、Codex CLI、IDE 拡張機能における対象機能の動作を制約します。クラウド管理の要件は、サポートされる ChatGPT サインインとプランの利用資格にも依存します。権限プロファイルとマネージド要件では、コマンド、ファイルシステムへのアクセス、ネットワークアクセス、承認、その他のローカルランタイム動作を制約できます。ユーザーのシート、ワークスペースロール、モデルの利用資格、外部システムでの権限は変更しません。

ローカルポリシーで許可されている場合、ユーザーは組み込みまたはカスタムの権限プロファイルを選択できます。管理者は、サポートされるマネージド構成チャネルを通じて、デフォルト値と要件を配布できます。プロファイルの動作については権限を、要件、配布、優先順位についてはマネージド構成を参照してください。

関連ドキュメント

• 管理者向けロールアウトガイド
• グループとプロビジョニング
• ユーザーライフサイクル管理
• ワークスペースで利用可能なモデル
• アクセストークン
• マネージド構成
• 認証