ユーザーライフサイクル管理

このガイドでは、従業員の入社時に適切な ChatGPT ワークスペースへのアクセス権を付与し、 担当業務の変更時にアクセス権を更新し、退職時にアクセス権を削除する方法を説明します。 このプロセスには、ワークスペースのシート、グループベースのロール、 Codex アクセストークン、独自のアクセス制御を持つ接続済みシステムも含まれます。

シングルサインオン（SSO）は従業員の本人確認を行います。プロビジョニングは、 従業員をワークスペースに追加します。いずれの操作も、それだけでは従業員のシート、 機能権限、ローカルランタイムポリシー、外部システムへのアクセス権を決定しません。

従業員のアクセス権は、ライフサイクルの次の 3 つの節目に沿って管理します。

• 入社： ワークスペースへのアクセス権、グループ、ロール、適切なシートをプロビジョニングします。
• 異動： 従業員のグループを更新し、不要になった直接ロールのみを削除します。
• 退職： ワークスペースへのアクセス権を削除し、トークンを失効させ、接続済みシステムを確認します。

前提条件を確認して担当者を割り当てる

従業員をオンボーディングする前に、ライフサイクルの各部分を管理する担当者を特定します。

対象のワークスペースを確認し、必要な場合は組織のメールドメインを検証して、 ディレクトリ同期を有効にできるワークスペース所有者を特定します。次に、 ワークスペースプランでサポートされる制御を確認します。

SCIM は System for Cross-domain Identity Management の略です。Business ワークスペースでは SCIM なしで Codex アクセストークンをサポートできますが、Edu ワークスペースでは Codex アクセストークンや Codex 専用シートなしで SCIM をサポートできます。ワークスペースで 利用可能な制御のみを適用してください。

Business ワークスペースで Codex 専用シートを維持および追加できるのは、2026 年 6 月 24 日より前に Codex シートを保有していた場合、または同日時点で条件を満たす保留中の Codex シート招待が 存在した場合のみです。新しい Business ワークスペースや、条件を満たすシートまたは 招待がないワークスペースでは、最初の Codex 専用シートを追加できません。 ChatGPT Business でワークスペースのライフサイクルと移行を管理するを参照してください。

ワークスペースが複数のシートタイプをサポートしている場合は、自動プロビジョニングを 有効にする前に、Workspace settings > Identity & access でデフォルトを確認してください。 SCIM でプロビジョニングされたユーザーはそのデフォルトを継承し、利用できる製品画面は シートによって決まります。カスタムロールでは、シートに含まれないアクセス権を付与できません。

Permissions & roles で、ローカルアクセス、アクセストークン、 認証情報の有効期間、リモートデバイスに関する制御を確認します。一部のワークスペースでは、 ローカルアクセスが Codex and Work Local にまとめられ、Allow members to use Codex and Work Locally で制御されます。ほかのワークスペースでは、Allow members to use Codex locally を使用する Codex Local と、Use Work locally を 使用する Work Local が分かれています。Codex と Work の制御が分かれている場合、 一方の制御で他方へのアクセス権が付与されることはありません。トークンの制御は、 ローカルアクセスのセクションまたは独立した Access tokens セクションに表示されます。 これらの設定は、グループメンバーシップや割り当て済みのシートタイプとは別です。

次の例は、統合された Codex and Work Local の制御と、独立した Access tokens セクションを示しています。

最新の前提条件とサポートされる ID パターンについては、 ID とプロビジョニング およびメンバー、シートタイプ、ロール、アクセス権を管理するを参照してください。

従業員がワークスペースに参加する方法を選択する

対象ごとに、主要なプロビジョニング方法を 1 つ選択します。

小規模なパイロットや、ディレクトリ同期で管理されていないグループには、手動招待を使用します。 従業員の入社、チーム変更、退職に合わせてワークスペースメンバーシップを ID プロバイダーに 連動させる場合は、SCIM を使用します。

Automatic Account Creation と SCIM を同時に有効にしないでください。Automatic Account Creation で追加されたユーザーは SCIM の管理対象にならない場合があるため、ID プロバイダーのグループから 削除しても、ワークスペースへのアクセス権が削除されない可能性があります。最新のガイダンスについては、 SCIM 統合に関する FAQ を参照してください。

承認された ID 構成に応じて、SCIM は単一の ChatGPT ワークスペースまたは組織のテナントに 接続できます。各ワークスペースと製品の割り当てを明示的に管理してください。共有ディレクトリ接続によって、 すべてのワークスペースや Platform API 組織へのアクセス権が自動的に付与または削除されることはありません。

プロビジョニンググループを適切なワークスペースに接続する

最初のパイロット従業員を追加する前に、接続を構成します。ワークスペース所有者と ID 管理者には、それぞれ異なる責任があります。

1. ワークスペース所有者に、対象の ChatGPT ワークスペースを選択して Workspace settings > Groups を確認してもらいます。既存のグループ名、メンバー、 カスタムロールの割り当て、関連するプロジェクトまたは GPT の共有を記録します。
2. ID 管理者に、同期対象となる ID プロバイダーの正確なグループを特定してもらいます。 その名前とメンバーシップを、既存のすべてのワークスペースグループと比較します。
3. 同期対象のグループと既存のワークスペースグループの名前が同じ場合は、同期を有効にする前に、 競合するグループを調整するか名前を変更します。結果として生じるメンバー、継承されるロール、 共有をワークスペース所有者に承認してもらいます。一致する既存のグループは SCIM 管理対象となり、 そのメンバーシップは ID プロバイダーの管理に切り替わります。
4. 範囲を限定したパイロットグループを選択し、承認済みのワークスペース、 想定される従業員、グループとロールの割り当てを記録します。
5. ワークスペース所有者に Workspace settings > Identity & access を開いて Enable Directory Sync を選択してもらいます。確認を求められた場合は、ワークスペース単位の プロビジョニングには Use SCIM only for this workspace を、承認済みのテナント単位の プロビジョニングには Keep the option to expand across products を選択します。 テナント単位の SCIM がすでに有効な場合は、2 つ目のワークスペース接続を作成せず、 既存の接続を管理します。
6. ID 管理者に ID プロバイダーとの接続を完了し、ChatGPT アプリケーションを選択して、 承認済みグループを対象のワークスペースにメンバーをプロビジョニングするよう割り当ててもらいます。
7. Workspace settings > Groups で、選択したグループに SCIM バッジが表示されていることを 確認します。アクセス権に使用する前に、グループ名、同期されたメンバー、対象ワークスペースを確認します。
8. ワークスペース所有者に Permissions & roles > Custom roles を開いてもらい、 承認済みのロールを作成または選択して、同期対象グループに割り当ててもらいます。 ロールは Web で構成でき、ワークスペース所有者のアクセス権が必要です。
9. 代表的なパイロット従業員を追加する前に、グループの実効権限とデフォルトの ワークスペースシートタイプを確認します。

ID プロバイダー管理者はアプリケーションとグループメンバーシップを管理し、 ワークスペース所有者はディレクトリ同期とワークスペースロールの割り当てを管理します。 プロバイダー固有の最新手順と利用可否については、SCIM 統合に関する FAQ およびロールベースのアクセス制御を構成する を参照してください。

新しい従業員をプロビジョニングする

SCIM で管理される従業員の場合は、次の手順を実行します。

1. 対象のワークスペース、検証済みのメールアドレス、デフォルトのシートタイプ、 ID プロバイダーのグループを確認します。
2. ID プロバイダーで、従業員を ChatGPT アプリケーションまたはアクセス権を付与するグループに 割り当てます。
3. ディレクトリ同期が完了するまで待ちます。従業員が表示されない場合は、 ID プロバイダーの現在のステータスを確認します。
4. Workspace settings > Members で、従業員のメールアドレス、 メンバーシップまたは保留中の招待、シートタイプ、SCIM バッジを確認します。
5. Workspace settings > Groups で、従業員が対象の同期済みグループに所属していることを 確認します。ワークスペース所有者に、そのグループに割り当てられたカスタムロールを確認してもらいます。
6. 代表的な従業員に正しいワークスペースへサインインしてもらい、必要な製品画面、 機能、接続済みシステムを確認します。
7. 組織で承認されたプロセスに従って、アクセス権の担当者と検証の成功を記録します。

従業員を手動で追加する場合は、ワークスペースのメンバー管理から招待を送信し、 同じシート、グループ、ロール、サインインの確認を実行します。

グループはメンバーを整理するものですが、それだけですべての機能へのアクセス権が付与されるわけではありません。 最新のロール割り当て手順については、 ロールとワークスペース権限 およびロールベースのアクセス制御を構成するを参照してください。

従業員のチーム変更時にアクセス権を更新する

チームを変更した従業員には、以前のグループまたはロールの割り当てによるアクセス権が 残る場合があります。新しいアクセスレベルを確認する前に、メンバーシップを管理する ソースを更新します。

1. 従業員の新しいチーム、必要なワークスペース、シート、承認済みの 機能権限、移動先グループを特定します。
2. 変更中も従業員がワークスペースを継続して利用する必要がある場合は、以前のグループから 削除する前に、承認済みの移動先グループへ追加します。SCIM 管理対象のメンバーシップは ID プロバイダーで、手動管理のメンバーシップはワークスペース管理で更新します。
3. 承認済みのロールが移動先グループにすでに割り当てられていることを確認します。 ほかのメンバーが承認済みのアクセス権を維持できるように、共有グループの既存の ロール割り当ては保持します。
4. グループ全体に対する別個のポリシー変更を承認し、すべてのメンバーへの影響を 確認した後にのみ、ワークスペース所有者にグループとロールの割り当てを変更してもらいます。
5. ワークスペース所有者に従業員のプロフィールを開いて Direct roles を確認してもらい、 その従業員に直接割り当てられた古いロールを削除します。カスタムロールでは Default、 On、Off を使用します。割り当てられたいずれかのロールで明示的に Off が設定されていると、 別のロールの On より優先されます。
6. チーム変更を承認する前に、直接割り当てられたロールとグループ経由で割り当てられた すべてのロールについて、従業員の実効権限を確認します。
7. ワークスペースが複数のシートタイプをサポートしている場合は、ワークスペース所有者に Workspace settings > Members > Change seat type を開いてもらい、 従業員に必要な製品アクセスを確認します。
8. ChatGPT シートを Codex 専用シートに変更する前に、従業員がチャット、メモリ、プロジェクト、 その他の ChatGPT 機能にアクセスできなくなってもよいことを確認します。基盤となるデータは 削除されず、従業員が ChatGPT シートに戻ると再び利用できるようになります。
9. 同期と権限の更新が完了したら、新たに許可された操作と、使用できなくなるべき操作の 両方を確認します。

従業員が自動化ワークフローを所有している場合は、その Codex トークン、シークレットマネージャーの エントリ、接続済みサービスの認可を、承認済みの別の所有者へ移す必要があるか確認します。 従業員のローカル Codex 権限を削除すると、その従業員の Codex トークンは一時停止されますが、 失効はしません。権限を復元するとトークンが再び有効になるため、アクセス権を恒久的に 失わせる必要がある認証情報は失効させてください。

退職する従業員を削除する

従業員のワークスペースメンバーシップを管理するシステムから始めます。

1. 従業員が SCIM で管理されているか、管理者によって手動で追加されたかを確認します。
2. SCIM 管理対象の従業員については、その従業員の ChatGPT アプリケーション割り当てを解除し、 ID プロバイダー内のアクセス権を付与するすべてのプロビジョニンググループから削除します。 共有グループ自体は削除しないでください。
3. SCIM で管理されていない従業員については、ワークスペース所有者または管理者に Workspace settings > Members からメンバーを削除してもらいます。
4. 対象のワークスペースにメンバーが存在しなくなったことを確認します。SCIM 管理対象のアクセス権では、 同期が完了し、ほかの ID プロバイダーの割り当てによってメンバーシップが復元されないことを確認します。
5. 削除の完了を記録し、トークン、接続済みシステム、保持データを確認する担当者を割り当てます。

ID プロバイダーが従業員を引き続き SCIM 管理対象グループに割り当てている場合は、 ワークスペース側での削除だけに頼らないでください。後の同期によって、従業員が ワークスペースへ再追加される可能性があります。

Codex アクセストークンを失効させて自動化を移管する

ワークスペースからユーザーを削除しても、信頼された自動化で使用される認証情報を 明示的に確認する必要がなくなるわけではありません。この手順は、ワークスペースが Codex アクセストークンをサポートし、有効にしている場合にのみ適用してください。

ローカル Codex 権限を削除すると既存のトークンは一時停止されますが、失効はしません。 ワークスペース所有者が権限を復元すると、それらのトークンは再び使用できるため、 アクセス権を恒久的に失わせる必要がある認証情報は明示的に失効させてください。

Access tokens ページでは、各トークンの作成者とステータスを確認できます。 有効なトークンのアクセス権を削除するには、Revoke を使用します。

1. ワークスペース所有者または管理者に Access tokensを開いてもらいます。
2. 退職する従業員が作成したトークンと、そのトークンを使用するワークフローを特定します。
3. 代替となる ID を選択します。対象となる従量課金制プランで永続的な非人間ワークフローを 実行する場合は、承認済みの専用サービスアカウントを 使用します。それ以外の場合は、承認済みの有効なワークフロー所有者を特定します。 必要に応じて、ワークスペース所有者にそのユーザーへのアクセストークン作成権限の付与を依頼し、 そのユーザーがローカル Codex 権限を持っていることを確認します。
4. 代替トークンを作成します。権限を持つサービスアカウントのオペレーターは、 サービスアカウントの詳細ページからトークンを作成できます。個人用トークンに置き換える場合は、 新しいワークフロー所有者に、自身の ChatGPT ワークスペース ID 用のトークンを作成してもらいます。 ダイアログに Scopes が表示される場合は、Codex を選択します。ワークフローで必要な場合にのみ、 その他のスコープを選択してください。Scopes のないダイアログでは Codex 専用トークンが作成されます。 管理者が別のユーザーに代わって個人用トークンを作成することはできません。
5. ワークフローに保存されているシークレットを更新し、代替トークンで正常に実行されることを確認します。
6. ワークスペース所有者または管理者に、退職する従業員のトークンと、置き換え済みの 認証情報を失効させてもらいます。
7. 失効したトークンでは、新しい認証済みの実行を開始できないことを確認します。

承認済みの代替所有者がトークンを作成する際は、ワークフローの内容がわかる名前を使用し、 組織のポリシーで許可される最短の認証情報有効期間を選択します。Scopes が表示された場合は Codex を選択し、ワークフローに不要な権限は避けてください。次の例は、スコープを 指定できるインターフェースを示しています。

ワークスペース所有者と管理者は、ワークスペース内のどのトークンでも失効させることができます。 アクセストークン権限を持つメンバーが失効させられるのは、自分で作成したトークンのみです。 最新のトークン権限とローテーション手順については、 Access tokensを参照してください。

接続済みシステムと保持データを確認する

ワークスペースのプロビジョニングですべての認可境界が管理されるわけではありません。 該当するサービス所有者に、次の項目へのアクセス権を確認してもらいます。

• ソースリポジトリと接続済みの GitHub アカウント。
• Google Drive、Slack、その他の接続済みアプリケーション。
• インストール済みプラグイン、バンドルされたスキル、コネクターを利用する機能。
• ホストされている Codex 環境、共有自動化、保存済みシークレット。
• 管理対象デバイス、ローカルに保存された認証情報、サポート対象のリモートセッション。
• 独立した Platform API 組織、プロジェクト、API keys。

ワークスペースグループや SCIM の変更によってすべての場所の権限が更新されると想定せず、 各システムが管理する制御を適用してください。完全な境界モデルについては ロールとワークスペース権限を、 プラグインの利用可否、バンドルされたスキル、接続済みアプリの権限については プラグイン制御を参照してください。

ワークスペースへのアクセス権の削除は、コンテンツの削除と同じではありません。メンバーが退職すると、 そのメンバーが所有していたプロジェクトとカスタム GPT は、ワークスペース所有者へ自動的に 再割り当てされます。それらの項目が削除対象としてマークされることはありません。 メンバーが再参加すると、所有権はそのメンバーに戻ります。

Enterprise および Edu ワークスペースでは、チャット、ファイル、canvas ドキュメントに、 構成済みのワークスペース保持ポリシーが適用されます。Business ワークスペースでは、 チャット、ファイル、canvas ドキュメントが無期限に保持されます。Healthcare ワークスペースでも データ保持を制御できます。該当するワークスペース構成と ChatGPT for Healthcare のガイダンスを確認してください。

プロジェクトや GPT を再割り当てしても、以前のメンバーの非公開の会話やファイルは移管されません。 また、この所有権変更を通じてワークスペース所有者がその非公開コンテンツを閲覧することもできません。 プランごとの最新の動作については、 ワークスペースメンバーの削除とデータ保持を参照してください。

セキュリティまたはコンプライアンス上、変更の証跡が必要な場合は、影響を受けるワークスペース、 従業員、ID プロバイダーの割り当て、完了時刻、承認担当者、トークン失効の確認結果を、 承認済みのシステムに記録します。認証済みの Admin API リファレンスで、 利用可能な記録、管理者権限、保持期間を確認してください。機密性の高いコンプライアンススコープには、 ワークスペース所有者が必要な場合があります。製品概要については、 Compliance API と監査イベントを参照してください。 このガイドからイベントの対象範囲、フィールド、保持期間を推測しないでください。

アクセス権が見つからない場合や想定外の場合のトラブルシューティング

ほとんどの ID プロバイダーは 30～40 分ごとに同期しますが、更新が即座に適用される場合もあります。 カスタムロールの変更が反映されるまでに約 5 分かかることがあります。SCIM 同期を強制することは できないため、更新の遅延を回避する目的でワークスペースメンバーを削除して再作成しないでください。

アクセス権の削除またはグループの更新が、プロバイダー固有の想定時間を過ぎても完了しない場合は、 ID 管理者に次の情報を収集してもらいます。

• 影響を受けるワークスペースと従業員のメールアドレス。
• ID プロバイダー、アプリケーションの割り当て、プロビジョニンググループ。
• 試行した変更、そのタイムスタンプ、最新の同期ステータス。
• 引き続き確認が必要な直接ロール、グループロール、トークン。

これらの詳細を添えて、Help Center から OpenAI Support に お問い合わせください。退職後もアクセス権が残っている従業員はセキュリティ例外として扱い、 組織のインシデントエスカレーションプロセスに従ってください。

プロバイダー固有の設定と同期動作については、最新の SCIM 統合に関する FAQを参照してください。 サインインと ID に関するエラーについては、 認証のトラブルシューティングを参照してください。

従業員のライフサイクル全体を検証する

広範なロールアウトを行う前に、代表的なテスト従業員を使用して 3 つの移行すべてを検証します。

各変更を承認した担当者、検証した内容、残っているアクセス権の例外を解決する担当者を記録します。 組織の ID およびセキュリティポリシーに従って、アクセスレビューを定期的に実施してください。

関連ドキュメント

• 管理者向けロールアウトガイド
• グループとプロビジョニング
• ロールとワークスペース権限
• プラグイン制御
• Access tokens
• サービスアカウント
• 認証
• 管理対象の構成
• Compliance API と監査イベント