Роли и разрешения рабочего пространства
Разделяйте доступ к рабочему пространству ChatGPT и средства управления локальной средой выполнения, API, плагинами и исходными системами
Разные параметры управляют разными аспектами работы вашей организации с ChatGPT. Предоставление доступа в одной области не обеспечивает автоматически доступ в другой. На этой странице показано, как шесть границ управления работают совместно; актуальные инструкции по настройке доступны по приведенным ссылкам.
В настройках рабочего пространства раздел Codex and Work Local объединяет локальный доступ к Codex и Work в параметре Allow members to use Codex and Work Locally. В других рабочих пространствах разделы Codex Local и Work Local существуют независимо друг от друга. При такой структуре параметр Allow members to use Codex locally предоставляет локальный доступ к Codex, а параметр Use Work locally — локальный доступ к Work. Включение одного параметра не предоставляет доступ к другому сервису. Эти названия обозначают разрешения рабочего пространства, а не отдельные продукты или клиенты. В зависимости от рабочего пространства разрешения для токенов и ограничения срока действия учётных данных отображаются либо в разделе Access tokens, либо в разделе локального доступа. Управляемая конфигурация представляет собой отдельный уровень, который ограничивает поддерживаемое поведение среды выполнения для охватываемых возможностей в этих клиентах. Функции и фактические требования могут различаться в зависимости от клиента и версии.
Границы управления
| Область управления | Что контролирует | Что не контролирует | Актуальный источник |
|---|---|---|---|
| Рабочее пространство ChatGPT | Участие, пользовательские места, встроенные роли администрирования и доступ на основе ролей к поддерживаемым функциям рабочего пространства | Локальные разрешения агента, доступ к организации Platform API или разрешения в подключённом сервисе | Доступ к рабочему пространству ChatGPT и RBAC |
| Локальные клиенты | Поведение при выполнении для регулируемых возможностей в настольном приложении ChatGPT, Codex CLI и расширении IDE, включая подтверждения, доступ к файловой системе и сети, профили разрешений и разрешённые интеграции | Место в ChatGPT, право на использование функции или модели либо доступ к внешним данным | Управляемая конфигурация и Разрешения |
| Облако Codex | Право на использование размещённых в облаке рабочих процессов Codex и облачные среды, доступные пользователю | Локальную политику выполнения или разрешения на доступ к репозиторию, предоставленные исходной системой | Облачные среды |
| Platform API | Участие в организациях и проектах, API key, доступ к моделям, использование ресурсов и оплату работы с аутентификацией через API | Участие в рабочем пространстве ChatGPT, доступ к локальным клиентам или облаку Codex | OpenAI API Platform |
| Плагины | Доступность и установку плагинов, входящие в их состав навыки, доступ к коннекторам и поддерживаемые действия коннекторов | Авторизацию в подключённом сервисе или более широкие разрешения на локальное и облачное выполнение | Управление плагинами |
| Подключённые системы | Репозитории, файлы, сообщения и действия, доступные аутентифицированной учётной записи в исходной системе | Право на использование рабочего пространства ChatGPT, плагинов, облака Codex или Platform API | Средства администрирования и управления доступом подключённого сервиса |
Запрос должен пройти каждую применимую к нему границу. Например, доступ к рабочему пространству может сделать плагин доступным, но именно подключённый сервис по-прежнему определяет, какие данные может читать вошедшая в систему учётная запись. Локальный профиль разрешений может ограничить запуск в поддерживаемом локальном клиенте, но не может предоставить функцию рабочего пространства или модель.
Назначение доступа к рабочему пространству
Администрирование рабочего пространства ChatGPT разделяет доступ к продукту и административные полномочия.
Различия между местом, ролью администратора и пользовательской ролью
Место определяет, к каким интерфейсам продукта может обращаться участник. В зависимости от тарифа рабочего пространства доступные типы мест могут включать места ChatGPT и Codex.
Встроенные роли рабочего пространства определяют административные полномочия. Роль Владелец позволяет управлять параметрами всего рабочего пространства, роль Администратор — поддерживаемыми операциями и группами, роль Участник не предоставляет административных прав, а роль Просмотр аналитики дает доступ к аналитике рабочего пространства.
Пользовательские роли определяют, какие поддерживаемые функции может использовать участник. Они не заменяют право на место или тариф, не предоставляют разрешения в подключенной системе и не изменяют локальные требования среды выполнения.
Настройка значений по умолчанию для рабочего пространства и создание целевых пользовательских ролей
Настраивать управление доступом на основе ролей (RBAC) и создавать пользовательские роли могут только владельцы рабочего пространства. Настройки рабочего пространства задают базовые значения для доступных разрешений. Владельцы рабочего пространства могут назначать пользовательские роли через группы или, если это поддерживается, непосредственно отдельным участникам. Группами можно управлять вручную или синхронизировать их через SCIM, а одному участнику можно назначить несколько пользовательских ролей.
Для разрешений, поддерживающих эти состояния, По умолчанию наследует настройку рабочего пространства, Вкл. предоставляет доступ через эту роль, а Выкл. не предоставляет доступ через эту роль. Обычные разрешения ролей суммируются: другая назначенная роль по-прежнему может предоставить доступ. Проверьте прямые назначения и роли, полученные через группы. Lockdown Mode и условия доступности продукта применяются отдельно. Доступные состояния разрешений могут различаться в зависимости от функции.
Проверка разрешений Work Local и Work Cloud
Настройте Использование облачного браузера и Доступ к облачной сети в разделе Консоль администратора > Разрешения и роли > Возможности рабочего пространства > Возможности облачного компьютера. Эти общие возможности доступны Work Cloud и dots и настраиваются независимо от доступа к Work Cloud. Для задачи Work по-прежнему нужны доступ к Work и разрешение на использование каждой необходимой возможности. Проверяйте доступ к браузеру и доступ к сети из кода или оболочки отдельно. Отключение одного не отключает другое автоматически.
Если в вашем рабочем пространстве доступны Work Local и Work Cloud, проверьте как значение по умолчанию для рабочего пространства, так и каждую применимую пользовательскую роль. Work доступен только подходящим рабочим пространствам, а доступные элементы управления могут различаться в зависимости от тарифа, конфигурации рабочего пространства и этапа развертывания. Роль не может расширить доступ сверх разрешенного местом участника.
Work Cloud управляет поддерживаемыми облачными задачами ChatGPT Work. Если элементы управления независимы, включение Work Local без Work Cloud разрешает локальную работу в приложении ChatGPT для настольных компьютеров, но не позволяет участникам запускать облачные задачи. Для локального доступа к Codex используется параметр Allow members to use Codex locally в разделе Codex Local. Изменение параметра Use Work locally не влияет на локальный доступ к Codex и не заменяет требования к локальной среде выполнения.
В некоторых рабочих пространствах вместо этого отображается объединённый раздел Codex and Work Local. В такой структуре параметр Allow members to use Codex and Work Locally управляет обоими продуктами.
Актуальные требования и настройки см. в разделе ChatGPT Work и Codex.
Поскольку доступные рабочие места, роли и разрешения меняются с обновлениями продукта и тарифного плана, актуальный список разрешений и порядок настройки см. в Справочном центре:
- Управление участниками, типами мест, ролями и доступом
- Настройка управления доступом на основе ролей
- Управление группами
Проверьте доступ к Codex Cloud и администрирование сред
Проверьте эти разрешения отдельно:
| Разрешение | Что контролирует |
|---|---|
| Использование Codex в облаке | Доступ к запуску задач в Codex Cloud |
| Управление средами рабочего пространства | Создание и редактирование сред, общих для рабочего пространства |
Разрешение Управление средами рабочего пространства находится внутри Использование Codex в облаке, требует доступа к облаку и по умолчанию отключено. Проверьте, кому оно предоставлено, перед внедрением. Участники с доступом к облаку могут создавать и редактировать собственные личные среды без разрешения на управление. Сам по себе доступ к общей среде не даёт права изменять её конфигурацию.
Проверьте оба рабочих процесса с типичными учётными записями: участника, использующего среду, и ответственного за её управление. Каждому по-прежнему нужен соответствующий доступ к подключённым репозиториям и сервисам. Инструкции по облачным средам описывают настройку и предоставление общего доступа, а руководство по внедрению для администратора поможет спланировать облачные политики.
Доступ к локальному компьютеру через Work Cloud
Владелец рабочего пространства может включить Разрешить доступ к локальному компьютеру для пользователей, которым доступна эта возможность. Включите Work Cloud для нужных пользователей. Параметр Разрешить доступ к локальному компьютеру находится внутри Work Cloud. Включать Использование Codex локально в настольном приложении ChatGPT не требуется. Участники должны войти с помощью ChatGPT в нужное рабочее пространство. Если enforce_residency включён в любой облачной политике, Разрешить доступ к локальному компьютеру отключается и для Work, и для dots. Эта мера защиты не настраивает регион хранения данных рабочего пространства и сама по себе не отключает Work Cloud или dots.
Перед включением синхронизации проверьте требования Agent Security к локальному выполнению. Если сейчас вы распространяете политики только через MDM, перед настройкой Agent Security проверьте применимый порядок приоритета локальных политик. Для локального выполнения требования MDM и устаревшие требования к управляемым устройствам имеют более высокий приоритет, чем Agent Security, а системный файл требований — более низкий. Поддерживаемая политика Global регулирует облачную оркестрацию, когда включена управляемая политика; требования к локальному выполнению регулируют подключённый компьютер. В облачных контейнерах Work сохраняются существующие политики Work Cloud.
Для управления настройками Global используйте API политик. Для управления настройками Local или Codex Cloud используйте интерфейс Agent Security. Существующие рабочие процессы с API для Global остаются доступны после миграции. Протестируйте свои скрипты и интеграции с Terraform и убедитесь, что назначения политик и порядок их применения не изменились.
Настройте и проверьте доступ:
Поддерживайте настройку рабочего пространства по умолчанию в соответствии с потребностями организации в целом.
Назначьте поддерживаемые пользовательские роли пользователям или группам, которым нужен доступ.
Проверьте все применимые роли. Отключение разрешения в одной обычной роли не отменяет доступ, предоставленный другой.
Проверьте доступ с участием пользователя, которому назначены нужные разрешения.
Задачи, использующие доступ к локальному компьютеру с Work Cloud, координируются в облаке и по-прежнему могут выполнять локальные шаги на подключённом компьютере. Для корпоративных клиентов переключатель Local/Cloud в приложении и его значение по умолчанию на момент запуска остаются без изменений. Разрешение на синхронизацию не предоставляет место в рабочем пространстве, доступ к подключённым приложениям, разрешения операционной системы или неограниченный доступ к устройству. Разрешения и поведение локального Codex регулируются отдельно. Область действия политик описана в разделе Управляемая конфигурация, а требования к совместимости — в разделе Часто задаваемые вопросы для администраторов Work.
Отключение доступа к локальному компьютеру с Work Cloud прерывает выполняемые в данный момент ходы. Пользователи могут начать новый ход в существующем облачном диалоге. Этот ход автоматически использует Work Cloud без доступа к локальным файлам. Само по себе отключение синхронизации не лишает участника доступа к рабочему пространству.
Управление доступом к истории компьютера
Функция Computer History по умолчанию отключена для рабочих пространств Business и Enterprise. Участники не могут включить её, пока владелец рабочего пространства явно не предоставит доступ. Владельцы рабочих пространств Enterprise могут предоставлять доступ по ролям:
- Откройте Настройки рабочего пространства > Разрешения и роли.
- Найдите История компьютера и выберите роль рабочего пространства, которой следует предоставить доступ.
- Включите Включить историю компьютера для этой роли.
Это разрешение лишь позволяет назначенным участникам включать историю компьютера; сама функция для них при этом не включается. Каждый участник должен самостоятельно включить ее в приложении ChatGPT для macOS и может выбрать, какие приложения и веб-сайты будут передавать данные. Участники без необходимого разрешения рабочего пространства не могут включить эту функцию в локальных настройках.
Применение политики локальной среды выполнения
Политика локальной среды выполнения ограничивает охватываемые возможности в приложении ChatGPT для настольных компьютеров, Codex CLI и расширении IDE. Облачные управляемые требования также зависят от поддерживаемого входа через ChatGPT и соответствия условиям тарифа. Профили разрешений и управляемые требования могут ограничивать команды, доступ к файловой системе, доступ к сети, подтверждения и другие аспекты поведения локальной среды выполнения. Они не изменяют тип места пользователя, роль в рабочем пространстве, право на модель или разрешения во внешней системе.
Пользователи могут выбрать встроенный или пользовательский профиль разрешений, если это допускает локальная политика. Администраторы могут распространять значения по умолчанию и требования через поддерживаемые каналы управляемой конфигурации. Сведения о поведении профилей см. в разделе Разрешения, а сведения о требованиях, доставке и приоритетах — в разделе Управляемая конфигурация.