Gestão do ciclo de vida dos utilizadores

Utilize este guia para conceder aos colaboradores o acesso adequado ao espaço de trabalho do ChatGPT quando entram na organização, atualizar esse acesso quando as suas responsabilidades mudam e removê-lo quando saem. O processo também abrange licenças do espaço de trabalho, funções baseadas em grupos, tokens de acesso do Codex e sistemas ligados com os seus próprios controlos de acesso.

O início de sessão único (SSO) verifica a identidade de um colaborador. O aprovisionamento adiciona o colaborador a um espaço de trabalho. Nenhuma destas ações determina, por si só, a licença do colaborador, as permissões de funcionalidades, a política de execução local ou o acesso a um sistema externo.

Faça a gestão do acesso dos colaboradores ao longo de três marcos do ciclo de vida:

• Entrada: Aprovisione o acesso ao espaço de trabalho, os grupos, as funções e a licença correta.
• Mudança: Atualize os grupos do colaborador e remova apenas as funções diretas obsoletas.
• Saída: Remova o acesso ao espaço de trabalho, revogue tokens e reveja os sistemas ligados.

Verificar os pré-requisitos e atribuir responsáveis

Antes de integrar colaboradores, identifique quem controla cada parte do ciclo de vida:

Confirme o espaço de trabalho de destino, verifique o domínio de e-mail da organização quando necessário e identifique um proprietário do espaço de trabalho que possa ativar a sincronização de diretórios. Em seguida, verifique que controlos são suportados pelo plano do espaço de trabalho:

SCIM significa System for Cross-domain Identity Management. Um espaço de trabalho Business pode suportar tokens de acesso do Codex sem SCIM, enquanto um espaço de trabalho Edu pode suportar SCIM sem tokens de acesso do Codex nem licenças exclusivas do Codex. Aplique apenas os controlos disponíveis no seu espaço de trabalho.

Um espaço de trabalho Business só pode manter e adicionar licenças exclusivas do Codex se já tivesse uma licença do Codex antes de 24 de junho de 2026 ou um convite pendente elegível para uma licença do Codex nessa data. Os novos espaços de trabalho Business e os espaços de trabalho sem uma licença ou um convite elegível não podem adicionar a sua primeira licença exclusiva do Codex. Consulte Gerir o ciclo de vida e a migração do espaço de trabalho no ChatGPT Business.

Quando o espaço de trabalho suportar mais do que um tipo de licença, reveja a predefinição em Definições do espaço de trabalho > Identidade e acesso antes de ativar o aprovisionamento automático. Os utilizadores aprovisionados por SCIM herdam essa predefinição, e uma licença controla as áreas do produto que estão disponíveis. Uma função personalizada não pode conceder acesso que a licença não inclua.

Utilize Permissões e funções para inspecionar os controlos de acesso local, tokens de acesso, duração das credenciais e dispositivos remotos. Alguns espaços de trabalho combinam o acesso local em Codex e Work Local, com o controlo Permitir que os membros utilizem o Codex e o Work localmente. Outros separam Codex Local, com Permitir que os membros utilizem o Codex localmente, de Work Local, com Utilizar o Work localmente. Os controlos separados do Codex e do Work não concedem acesso entre si. Os controlos de tokens aparecem na secção de acesso local ou numa secção Tokens de acesso separada. Estas definições são independentes da pertença a grupos e dos tipos de licença atribuídos.

O exemplo seguinte mostra controlos combinados de Codex e Work Local e uma secção Tokens de acesso separada:

Para conhecer os pré-requisitos atuais e os padrões de identidade suportados, consulte Identidade e aprovisionamento e Gerir membros, tipos de licença, funções e acesso.

Escolher como os colaboradores entram no espaço de trabalho

Escolha um método de aprovisionamento principal para cada público:

Utilize convites manuais para um pequeno projeto-piloto ou um grupo que não seja gerido através da sincronização de diretórios. Utilize SCIM quando a pertença ao espaço de trabalho tiver de acompanhar o fornecedor de identidade à medida que os colaboradores entram, mudam de equipa ou saem.

Não ative a Criação automática de contas e o SCIM em simultâneo. Os utilizadores adicionados através da Criação automática de contas podem não ser geridos por SCIM, pelo que removê-los de um grupo do fornecedor de identidade poderá não remover o seu acesso ao espaço de trabalho. Consulte as Perguntas frequentes sobre a integração SCIM para obter as orientações atuais.

O SCIM pode ligar um único espaço de trabalho do ChatGPT ou o tenant de uma organização, consoante a configuração de identidade aprovada. Mantenha explícita cada atribuição de espaço de trabalho e produto. Uma ligação de diretório partilhada não concede nem remove automaticamente o acesso em todos os espaços de trabalho ou organizações da Platform API.

Ligar um grupo de aprovisionamento ao espaço de trabalho correto

Configure a ligação antes de adicionar o primeiro colaborador-piloto. Um proprietário do espaço de trabalho e um administrador de identidades têm responsabilidades distintas:

1. Peça ao proprietário do espaço de trabalho que selecione o espaço de trabalho do ChatGPT pretendido e inspecione Definições do espaço de trabalho > Grupos. Registe os nomes dos grupos existentes, os membros, as atribuições de funções personalizadas e qualquer partilha relevante de projetos ou GPT.
2. Peça ao administrador de identidades que identifique o grupo exato do fornecedor de identidade destinado à sincronização. Compare o respetivo nome e os membros com todos os grupos existentes no espaço de trabalho.
3. Se um grupo sincronizado tiver o mesmo nome de um grupo existente no espaço de trabalho, reconcilie ou mude o nome do grupo em conflito antes de ativar a sincronização. Peça ao proprietário do espaço de trabalho que aprove os membros resultantes, as funções herdadas e a partilha. Um grupo existente com um nome correspondente passa a ser gerido por SCIM, e a pertença ao mesmo passa a ser controlada pelo fornecedor de identidade.
4. Selecione um grupo-piloto com um âmbito restrito e registe o espaço de trabalho aprovado, os colaboradores esperados e as atribuições de funções ao grupo.
5. Peça ao proprietário do espaço de trabalho que abra Definições do espaço de trabalho > Identidade e acesso e selecione Ativar a sincronização de diretórios. Se solicitado, escolha Utilizar SCIM apenas para este espaço de trabalho para aprovisionamento ao nível do espaço de trabalho ou Manter a opção de expansão entre produtos para aprovisionamento aprovado ao nível do tenant. Se o SCIM ao nível do tenant já estiver ativo, faça a gestão dessa ligação existente em vez de criar uma segunda ligação ao espaço de trabalho.
6. Peça ao administrador de identidades que conclua a ligação ao fornecedor de identidade, selecione a aplicação ChatGPT e atribua o grupo aprovado para aprovisionar membros no espaço de trabalho pretendido.
7. Em Definições do espaço de trabalho > Grupos, confirme que o grupo selecionado apresenta o respetivo emblema SCIM. Verifique o nome do grupo, os membros sincronizados e o espaço de trabalho de destino antes de o utilizar para acesso.
8. Peça ao proprietário do espaço de trabalho que abra Permissões e funções > Funções personalizadas, crie ou selecione a função aprovada e a atribua ao grupo sincronizado. A configuração de funções está disponível na Web e requer acesso de proprietário do espaço de trabalho.
9. Reveja as permissões efetivas do grupo e o tipo de licença predefinido do espaço de trabalho antes de adicionar um colaborador-piloto representativo.

O administrador do fornecedor de identidade controla a aplicação e a pertença a grupos; o proprietário do espaço de trabalho controla a sincronização de diretórios e a atribuição de funções no espaço de trabalho. Consulte as Perguntas frequentes sobre a integração SCIM e Configurar o controlo de acesso baseado em funções para conhecer os passos e a disponibilidade atuais específicos do fornecedor.

Aprovisionar um novo colaborador

Para um colaborador gerido através de SCIM:

1. Confirme o espaço de trabalho pretendido, o endereço de e-mail verificado, o tipo de licença predefinido e o grupo do fornecedor de identidade.
2. Atribua o colaborador à aplicação ChatGPT ou ao grupo que concede acesso no fornecedor de identidade.
3. Aguarde que a sincronização de diretórios seja concluída. Verifique o estado atual do fornecedor de identidade se o colaborador não aparecer.
4. Em Definições do espaço de trabalho > Membros, verifique o e-mail do colaborador, a pertença ou o convite pendente, o tipo de licença e o emblema SCIM.
5. Em Definições do espaço de trabalho > Grupos, confirme que o colaborador pertence ao grupo sincronizado pretendido. Peça ao proprietário do espaço de trabalho que verifique a função personalizada atribuída a esse grupo.
6. Peça a um colaborador representativo que inicie sessão no espaço de trabalho correto e verifique as áreas específicas do produto, as funcionalidades e os sistemas ligados de que necessita.
7. Registe o responsável pelo acesso e a verificação bem-sucedida através do processo aprovado pela sua organização.

Se adicionar um colaborador manualmente, envie o convite a partir da administração de membros do espaço de trabalho e, em seguida, efetue as mesmas verificações de licença, grupo, função e início de sessão.

Um grupo organiza membros, mas não concede, por si só, acesso a todas as funcionalidades. Para conhecer o procedimento atual de atribuição de funções, consulte Funções e permissões do espaço de trabalho e Configurar o controlo de acesso baseado em funções.

Atualizar o acesso quando um colaborador muda de equipa

Um colaborador que muda de equipa pode manter o acesso resultante de atribuições anteriores de grupos ou funções. Atualize a origem que controla a pertença antes de verificar o novo nível de acesso:

1. Identifique a nova equipa do colaborador, o espaço de trabalho e a licença necessários, as permissões de funcionalidades aprovadas e o grupo de destino.
2. Adicione o colaborador ao grupo de destino aprovado antes de o remover do grupo anterior, caso tenha de permanecer no espaço de trabalho durante toda a mudança. Atualize a pertença gerida por SCIM no fornecedor de identidade; atualize a pertença gerida manualmente através da administração do espaço de trabalho.
3. Confirme que a função aprovada já está atribuída ao grupo de destino. Preserve as atribuições de funções existentes nos grupos partilhados para que os outros membros mantenham o acesso aprovado.
4. Peça a um proprietário do espaço de trabalho que altere uma atribuição de grupo a função apenas depois de aprovar uma alteração separada da política aplicável a todo o grupo e rever o respetivo efeito em todos os membros.
5. Peça a um proprietário do espaço de trabalho que abra o perfil do colaborador, reveja Funções diretas e remova as funções desatualizadas atribuídas diretamente a essa pessoa. As funções personalizadas utilizam Predefinição, Ativado e Desativado. Uma definição explícita de Desativado em qualquer função atribuída prevalece sobre Ativado noutra função.
6. Reveja as permissões efetivas do colaborador em todas as funções diretas e atribuídas por grupo antes de aprovar a mudança de equipa.
7. Se o espaço de trabalho suportar mais do que um tipo de licença, peça a um proprietário do espaço de trabalho que abra Definições do espaço de trabalho > Membros > Alterar tipo de licença e reveja o acesso pretendido do colaborador ao produto.
8. Antes de converter uma licença do ChatGPT numa licença exclusiva do Codex, confirme que o colaborador deve perder o acesso a conversas, memórias, projetos e outras funcionalidades do ChatGPT. Os dados subjacentes não são eliminados e ficam novamente disponíveis se o colaborador regressar a uma licença do ChatGPT.
9. Após a conclusão da sincronização e das atualizações de permissões, verifique tanto as ações agora permitidas como as ações que devem ter deixado de estar disponíveis.

Se o colaborador for proprietário de um fluxo de trabalho de automatização, reveja se o respetivo token do Codex, a entrada no gestor de segredos ou a autorização do serviço ligado deve passar para outro responsável aprovado. Remover a permissão local do Codex do colaborador suspende os tokens do Codex desse colaborador, mas não os revoga. A reposição da permissão reativa esses tokens, pelo que deve revogar as credenciais que tenham de perder o acesso permanentemente.

Remover um colaborador que sai da organização

Comece pelo sistema que controla a pertença do colaborador ao espaço de trabalho:

1. Determine se o SCIM gere o colaborador ou se este foi adicionado manualmente por um administrador.
2. Para um colaborador gerido por SCIM, remova a atribuição da aplicação ChatGPT desse colaborador e remova-o de todos os grupos de aprovisionamento que concedem acesso no fornecedor de identidade. Não remova os próprios grupos partilhados.
3. Para um colaborador que não seja gerido através de SCIM, peça a um proprietário ou administrador do espaço de trabalho que remova o membro em Definições do espaço de trabalho > Membros.
4. Confirme que o membro já não está presente no espaço de trabalho pretendido. Para acesso gerido por SCIM, verifique se a sincronização foi concluída e se nenhuma outra atribuição do fornecedor de identidade pode repor a pertença.
5. Registe a remoção concluída e atribua um responsável pela revisão de tokens, sistemas ligados e dados conservados.

Não confie numa remoção efetuada no espaço de trabalho enquanto o fornecedor de identidade continuar a atribuir o colaborador a um grupo gerido por SCIM. Uma sincronização posterior pode voltar a adicionar o colaborador ao espaço de trabalho.

Revogar tokens de acesso do Codex e transferir automatizações

Remover uma pessoa do espaço de trabalho não substitui uma revisão explícita das credenciais utilizadas por automatizações de confiança. Aplique este procedimento apenas quando o espaço de trabalho suportar e tiver ativados os tokens de acesso do Codex.

A remoção da permissão local do Codex suspende os tokens existentes, mas não os revoga. Esses tokens podem voltar a funcionar se um proprietário do espaço de trabalho repuser a permissão, pelo que deve revogar explicitamente as credenciais que tenham de perder o acesso permanentemente.

A página Tokens de acesso identifica o criador e o estado de cada token. Utilize Revogar para remover o acesso de tokens ativos:

1. Peça a um proprietário ou administrador do espaço de trabalho que abra Tokens de acesso.
2. Identifique os tokens criados pelo colaborador que vai sair e os fluxos de trabalho que utilizam esses tokens.
3. Escolha a identidade substituta. Para um fluxo de trabalho não humano duradouro num plano elegível de pagamento conforme a utilização, utilize uma conta de serviço dedicada e aprovada. Caso contrário, identifique um proprietário ativo e aprovado para o fluxo de trabalho. Peça a um proprietário do espaço de trabalho que conceda a essa pessoa permissão para criar tokens de acesso, se necessário, e confirme que a pessoa tem permissão local do Codex.
4. Crie o token de substituição. Um operador autorizado da conta de serviço pode criar um token na página de detalhes da conta de serviço. Para uma substituição pessoal, peça ao novo proprietário do fluxo de trabalho que crie um token para a sua própria identidade no espaço de trabalho do ChatGPT. Se a caixa de diálogo mostrar Âmbitos, selecione Codex. Selecione outros âmbitos apenas quando forem necessários para o fluxo de trabalho. Uma caixa de diálogo sem Âmbitos cria um token exclusivo do Codex. Um administrador não pode criar um token pessoal em nome de outro utilizador.
5. Atualize o segredo armazenado do fluxo de trabalho e, em seguida, verifique se este é executado com êxito com o token de substituição.
6. Peça ao proprietário ou administrador do espaço de trabalho que revogue os tokens do colaborador que vai sair e quaisquer credenciais substituídas.
7. Confirme que os tokens revogados já não conseguem iniciar novas execuções autenticadas.

Quando um responsável substituto aprovado criar um token, utilize um nome descritivo para o fluxo de trabalho e escolha a duração de credencial mais curta permitida pela política da sua organização. Se Âmbitos aparecer, selecione Codex e evite permissões de que o fluxo de trabalho não necessite. O exemplo seguinte mostra a interface com âmbitos:

Os proprietários e administradores do espaço de trabalho podem revogar qualquer token no respetivo espaço de trabalho. Um membro com permissão para tokens de acesso só pode revogar os tokens que criou. Para conhecer as permissões e os passos de rotação de tokens atuais, consulte Tokens de acesso.

Rever sistemas ligados e dados conservados

O aprovisionamento do espaço de trabalho não gere todos os limites de autorização. Peça ao responsável pelo serviço relevante que reveja o acesso a:

• Repositórios de código-fonte e contas do GitHub ligadas.
• Google Drive, Slack e outras aplicações ligadas.
• Plugins instalados, competências incluídas e capacidades fornecidas por conectores.
• Ambientes alojados do Codex, automatizações partilhadas e segredos armazenados.
• Dispositivos geridos, credenciais armazenadas localmente e sessões remotas suportadas.
• Organizações, projetos e API keys separados da Platform API.

Aplique os controlos geridos por cada sistema, em vez de pressupor que uma alteração a um grupo do espaço de trabalho ou ao SCIM atualiza as permissões em todo o lado. Consulte Funções e permissões do espaço de trabalho para conhecer o modelo de limites completo e Controlos de plugins para obter informações sobre a disponibilidade de plugins, as competências incluídas e as permissões de aplicações ligadas.

Remover o acesso ao espaço de trabalho não equivale a eliminar conteúdo. Quando um membro sai, o espaço de trabalho reatribui automaticamente os respetivos projetos e a propriedade de GPT personalizados a um proprietário do espaço de trabalho. Esses itens não são assinalados para eliminação. Se o membro voltar a entrar, a propriedade é-lhe devolvida.

Nos espaços de trabalho Enterprise e Edu, as conversas, os ficheiros e os documentos de canvas seguem a política de retenção configurada para o espaço de trabalho. Os espaços de trabalho Business conservam as conversas, os ficheiros e os documentos de canvas indefinidamente. Os espaços de trabalho Healthcare também fornecem controlos de retenção de dados; reveja a configuração aplicável do espaço de trabalho e as Orientações do ChatGPT for Healthcare.

A reatribuição de um projeto ou GPT não transfere as conversas ou os ficheiros privados do antigo membro, e o proprietário do espaço de trabalho não pode ver esse conteúdo privado através da alteração de propriedade. Consulte Remoção de membros do espaço de trabalho e retenção de dados para conhecer o comportamento atual específico de cada plano.

Se a segurança ou a conformidade exigirem provas da alteração, registe o espaço de trabalho afetado, o colaborador, a atribuição do fornecedor de identidade, a hora de conclusão, o responsável pela aprovação e a verificação da revogação dos tokens no sistema aprovado. Confirme os registos disponíveis, as permissões de administrador e a retenção na Referência autenticada da Admin API. Os âmbitos de conformidade confidenciais podem exigir um proprietário do espaço de trabalho. Para obter uma visão geral do produto, consulte Compliance API e eventos de auditoria. Não deduza deste guia a cobertura de eventos, os campos ou os períodos de retenção.

Resolver problemas de acesso em falta ou inesperado

A maioria dos fornecedores de identidade efetua a sincronização a cada 30 a 40 minutos, embora alguns apliquem as atualizações imediatamente. As alterações a funções personalizadas podem demorar cerca de cinco minutos a aparecer. Não é possível forçar uma sincronização SCIM, por isso não remova e volte a criar um membro do espaço de trabalho para contornar uma atualização atrasada.

Se uma remoção de acesso ou uma atualização de grupo continuar incompleta após o intervalo esperado específico do fornecedor, peça ao administrador de identidades que recolha:

• O espaço de trabalho afetado e o endereço de e-mail do colaborador.
• O fornecedor de identidade, a atribuição da aplicação e o grupo de aprovisionamento.
• A alteração tentada, o respetivo carimbo de data/hora e o estado mais recente da sincronização.
• As funções diretas, funções de grupo ou tokens que ainda têm de ser revistos.

Contacte o Suporte da OpenAI através do Centro de Ajuda com esses detalhes. Trate um colaborador que saiu e mantém o acesso como uma exceção de segurança e siga o processo de escalamento de incidentes da sua organização.

Para obter informações sobre a configuração e o comportamento de sincronização específicos do fornecedor, utilize as Perguntas frequentes sobre a integração SCIM atuais. Para erros de início de sessão e identidade, consulte Resolução de problemas de autenticação.

Verificar o ciclo de vida completo dos colaboradores

Utilize um colaborador de teste representativo para verificar as três transições antes de uma implementação mais alargada:

Registe quem aprovou cada alteração, o que verificou e qual o responsável pela resolução de quaisquer exceções de acesso restantes. Agende revisões de acesso periódicas de acordo com as políticas de identidade e segurança da sua organização.

Documentação relacionada

• Guia de implementação para administradores
• Grupos e aprovisionamento
• Funções e permissões do espaço de trabalho
• Controlos de plugins
• Tokens de acesso
• Contas de serviço
• Autenticação
• Configuração gerida
• Compliance API e eventos de auditoria