Вопросы и ответы для администраторов ChatGPT Work

ChatGPT Work переносит технологии, лежащие в основе Codex, в ChatGPT для выполнения длительных, многоэтапных задач. Он может собирать контекст из чатов, файлов, ресурсов рабочего пространства и подключённых систем, использовать одобренные инструменты и создавать результаты, готовые к проверке. Доступ, контекст, действия, сетевое поведение и расход кредитов зависят от тарифного плана, настроек рабочего пространства, разрешений источников и интерфейса.

Работа на разных устройствах

Какие возможности даёт доступ к локальному компьютеру через Work Cloud?

Участники, которым доступна эта функция, могут продолжать беседу в Work на компьютере, мобильном устройстве и в браузере. Задачи с доступом к локальному компьютеру через Work Cloud координируются в облаке. Для корпоративных клиентов на момент запуска переключатель Local/Cloud в приложении и его значение по умолчанию остаются прежними. Отдельные шаги по-прежнему могут выполняться в облаке или использовать разрешённые ресурсы подключённого компьютера.

Например, пользователь может начать работу с разрешённой локальной папкой на ноутбуке, а затем отправить дополнительные инструкции с телефона. Для шагов, которым нужен ноутбук, он по-прежнему должен быть в сети и оставаться подключённым.

Как включить эту функцию?

Чтобы включить эту функцию для нужных пользователей:

1. Включите Work Cloud для нужных пользователей. Параметр Разрешить доступ к локальному компьютеру находится в разделе Work Cloud. Включать параметр Использовать Codex локально в настольном приложении ChatGPT не требуется.

2. Проверьте базовые настройки облачных политик в Agent Security.

3. Как владелец рабочего пространства, откройте Настройки рабочего пространства > Разрешения и роли и включите Разрешить доступ к локальному компьютеру. Выполните все шаги проверки политик и предоставления согласия, показанные для вашего рабочего пространства. Миграция политик может произойти до настройки. Проверьте политики перед внедрением; создавать политики при подтверждении доступа не требуется. Отдельные требования к настройке и условия доступности см. в разделе Доступ к локальному компьютеру для Work Cloud и dots.

Если enforce_residency включён в любой облачной политике, параметр Разрешить доступ к локальному компьютеру отключается и для Work, и для dots. Эта защитная мера не настраивает регион хранения данных рабочего пространства и сама по себе не отключает Work Cloud или dots.

Можно ли использовать эту функцию, если наши политики доставляются только через MDM?

Подготовьте политику Agent Security для поддерживаемых корпоративных требований при локальном выполнении. Когда включён доступ к локальному компьютеру через Work Cloud, облачные контейнеры Work не обеспечивают соблюдение этих требований. MDM доставляет требования на устройства.

При локальном выполнении требования MDM и устаревшие требования для управляемых устройств имеют более высокий приоритет, чем Agent Security. Системный файл требований устройства имеет более низкий приоритет, чем Agent Security. Этот порядок локальных политик не распространяет применение корпоративных требований на облачные контейнеры Work. Облачные контейнеры Work продолжают использовать существующие политики Work Cloud.

Что делать, если мы уже используем облачные политики?

Используйте Agent Security в консоли администратора для управления политиками и конфигурацией. Этот раздел заменяет раздел «Политики и конфигурация». Agent Security будет доступен всем независимо от доступа к локальному компьютеру через Work Cloud.

Существующие политики, их назначения и порядок сохраняются. Проверьте существующие политики в Agent Security. Доступ к локальному компьютеру через Work Cloud включается отдельно по желанию. Инструкции по миграции см. в разделе Agent Security.

Используйте API политик для управления настройками Global. Для управления настройками Local или Codex Cloud используйте интерфейс Agent Security. Существующие рабочие процессы с API для Global остаются доступными после миграции. Протестируйте свои скрипты и интеграции Terraform и убедитесь, что назначения и порядок политик не изменились.

Какие хуки поддерживаются при доступе к локальному компьютеру через Work Cloud?

Когда включены управляемая политика и удалённые хуки, Work Cloud с локальным доступом и dots используют удалённые MCP-хуки, управляемые администратором, в облачном оркестраторе. Настройте обработчики mcp_tool в файле requirements.toml области Global. Work Cloud без локального доступа и личные учётные записи не используют эти корпоративные хуки. При облачной оркестрации не поддерживаются обработчики команд/оболочки, запросов и агентов; хуки из локальной конфигурации, плагинов или локальных каталогов; хуки, привязанные к окружению; а также MCP-хуки SessionEnd, даже если инструменты выполняются локально. Когда и оркестрация, и выполнение происходят локально, существующие поддерживаемые хуки продолжают работать в полностью локальных ветках Work и Codex. Администраторы по-прежнему могут настраивать поддерживаемые управляемые хуки в Agent Security для этих рабочих процессов.

Прежде чем полагаться на эти хуки, проверьте доступность обратных вызовов, необходимые события и поведение при сбоях. Явный отказ в поддерживаемом формате может заблокировать действие, но ошибка обратного вызова PreToolUse, тайм-аут или некорректный ответ могут привести к сбою хука без блокировки инструмента. MCP-хуки не обеспечивают полный журнал аудита Compliance API.

Какая политика имеет приоритет?

В пределах одной политики порядок приоритета от высшего к низшему таков: переопределение окружения для конкретной ОС → переопределение окружения для всех ОС → Global. Политика с более высоким приоритетом по-прежнему имеет преимущество перед политикой с более низким приоритетом, даже если последняя более специфична. Для некоторых требований действуют особые правила объединения отдельных полей.

При локальном выполнении требования MDM и устаревшие требования для управляемых устройств имеют более высокий приоритет, чем Agent Security. Системный файл требований устройства имеет более низкий приоритет, чем Agent Security.

При доступе к локальному компьютеру через Work Cloud новая корпоративная конфигурация requirements.toml применяется к локальным исполнителям. Она не заменяет существующие политики Work Cloud. Облачная среда выполнения не поддерживает управляемые порты прослушивания HTTP/SOCKS и прокси, прослушивающие адреса вне loopback; поддержка правил для сокетов зависит от способа выполнения.

Какие требования Agent Security применяются к Work Cloud?

Для Work с локальным доступом и dots поддерживаемая политика Global применяется через общий облачный оркестратор, когда включена управляемая политика. Применимые локальные требования requirements.toml регулируют выполнение на подключённом компьютере. Облачные контейнеры Work и облачные компьютеры dots используют собственные конфигурацию выполнения и требования вместо управляемого пакета окружения, который используют другие типы исполнителей. Ограничения локального выполнения не распространяются автоматически на эти облачные компьютеры. Проверьте разрешения на использование облачных возможностей и протестируйте локальное и облачное выполнение по отдельности.

Храните настройки оркестратора, включая подтверждения и веб-поиск, в Global. Используйте специальные настройки «Разрешённые политики подтверждения» и «Разрешённые режимы веб-поиска», если они доступны, а для остальных поддерживаемых полей — TOML. Список полей и область их применения при выполнении см. в Справочнике по конфигурации.

Что происходит, если локальный компьютер недоступен?

Компьютер должен оставаться в сети и быть подключённым для шагов, которым нужны его локальные файлы или инструменты. Если компьютер недоступен в начале нового хода, существующая задача с доступом к локальному компьютеру через Work Cloud может продолжиться в облачном контейнере, если она соответствует условиям. Облачный контейнер не имеет доступа к файлам и инструментам недоступного компьютера. Он также не обеспечивает соблюдение корпоративных требований, действующих при локальном выполнении. Задача не может переключиться с локального выполнения на облачное в пределах одного хода.

Что происходит, если администратор отключает доступ к локальному компьютеру через Work Cloud?

Отключение синхронизации прерывает текущий ход выполнения. Пользователи могут отправить новое сообщение, чтобы начать новый ход в существующем облачном диалоге. Этот ход автоматически выполняется в Work Cloud без доступа к локальным файлам.

Отключение синхронизации не меняет политики хранения и удаления данных.

Что происходит с существующими чатами и задачами в проектах при включении синхронизации?

Доступ к локальному компьютеру через Work Cloud распространяется только на задачи, созданные после включения синхронизации. Существующие задачи, в том числе задачи в проектах, сохраняют исходный режим: только локально или в облаке без доступа к локальным файлам. Чтобы использовать эту возможность, начните новую задачу.

Меняет ли это работу Codex?

Нет. Доступ к локальному компьютеру через Work Cloud не меняет существующий порядок применения настроек Codex, а диалоги, использующие эту возможность, не отображаются в истории Codex.

Подходит ли синхронизация для развертывания с ZDR?

Нет. Доступ к локальному компьютеру через Work Cloud не обеспечивает строгое нулевое хранение данных. Требования к размещению данных и месту выполнения инференса распространяются только на соответствующий условиям контент и поддерживаемые рабочие нагрузки, регионы и конфигурации. Enterprise Key Management (EKM) распространяется на поддерживаемый хранимый контент в рабочих пространствах, соответствующих условиям. Work не поддерживается при выполнении инференса в ОАЭ. Выполнение шага на подключенном компьютере не превращает рабочий процесс в развертывание с ZDR.

Обзор

ChatGPT Work позволяет пользователям поручать ChatGPT длительные многоэтапные задачи. Он может собирать информацию из подключённых источников, выполнять рассуждения в несколько этапов, создавать документы, презентации или аналитические материалы и возвращать результаты на проверку.

ChatGPT Work доступен в поддерживаемых веб-, мобильных и настольных интерфейсах для подходящих тарифов и рабочих областей. Там, где эта возможность поддерживается, владельцы рабочей области или уполномоченные администраторы могут управлять Work Cloud, Work Local и Codex Local с помощью отдельных разрешений. В подходящих рабочих областях Enterprise и Edu роль рабочей области по умолчанию включает Work, если уполномоченный администратор не отключит его. Настройки браузера и сети дополнительно ограничивают Work Cloud, а доступность зависит от роли, тарифа, рабочей области и региона. См. ChatGPT Work и Codex.

Сведения о модели выполнения в облачной среде и границах безопасности см. в разделе Обзор ChatGPT Work.

Основные средства административного управления

Администраторы управляют ChatGPT Work с помощью следующих уровней средств управления:

• Доступ к корпоративной рабочей области. Средства управления идентификацией и доступом обеспечивают аутентификацию и доступ к рабочей области. В зависимости от тарифа и конфигурации управляемые администратором функции идентификации могут включать SSO, проверку домена, подготовку учётных записей через SCIM, управление жизненным циклом пользователей и синхронизацию групп идентификации. SCIM и синхронизированные группы идентификации не входят в ChatGPT Business. Пользователи могут включить OpenAI MFA на уровне учётной записи. ChatGPT не обеспечивает обязательное применение MFA ко всей рабочей области; организации, которым это требуется, должны обеспечить SSO и MFA через своего поставщика удостоверений. Управляйте SSO и связанными настройками идентификации в Глобальной консоли администратора. См. Многофакторная аутентификация.
• Доступ к ChatGPT Work в рабочей области. Там, где он доступен, Work Cloud управляет размещённым Work в поддерживаемых веб-, мобильных и настольных интерфейсах. Work Local управляет локальным настольным Work, а Codex Local — поддерживаемым локальным доступом к Codex в настольных клиентах, CLI и IDE. Настройки облачного браузера и сети дополнительно ограничивают Work Cloud. Пользовательское управление доступом на основе ролей (RBAC) и доступные разрешения зависят от тарифа и рабочей области.
• Членство в группах. В тарифах с поддержкой SCIM синхронизируйте группы через поставщика удостоверений, чтобы доступ обновлялся, когда сотрудники присоединяются к организации, меняют роли или покидают её. См. Группы и подготовка учётных записей.
• Роли рабочей области и участников. Встроенные роли Enterprise включают Owner, Admin, Member и Analytics Viewer. В поддерживаемых тарифах пользовательские роли и RBAC участников управляют доступом к ChatGPT Work, плагинам и другим возможностям. Если используются типы мест, участнику также требуется место, включающее ChatGPT; место только для Codex не предоставляет доступ к Work. См. Роли и разрешения рабочей области.
• Плагины и приложения. Политика плагинов определяет доступность и установку плагинов. Доступ к приложениям, средства управления действиями и порядок подтверждения настраиваются отдельно. Для Workspace Agents предусмотрены собственные средства управления, если они доступны. См. Средства управления плагинами, Плагины и Технический документ о безопасности приложений.
• Разрешения исходной системы. Пользователь может получать доступ только к содержимому и действиям, разрешённым учётной записью или общим подключением в исходном приложении. См. Административные средства управления, безопасность и соответствие требованиям в приложениях.
• Ограничения подтверждений и действий. Для приложений с поддержкой Action control администраторы могут разрешить все действия, только действия для чтения или пользовательский набор, а также решить, как обрабатывать новые действия. Разрешения приложения отдельно определяют, когда ChatGPT запрашивает подтверждение перед использованием приложения.
• Кредиты. ChatGPT Work и Codex используют общие цены, кредиты и ограничения использования. Администраторы подходящих рабочих областей Enterprise и Edu могут задавать ежемесячные лимиты для каждого пользователя через значение по умолчанию для рабочей области, значения по умолчанию для групп и индивидуальные переопределения. Пользователи могут запрашивать увеличение лимитов, если рабочая область это разрешает. Для Business действует отдельная модель кредитов и управления расходами. См. Ограничения использования ChatGPT и управление расходами.
• Аналитика и отчётность. Глобальная консоль администратора и аналитика рабочей области помогают анализировать внедрение и использование кредитов. Используйте Compliance API и средства отчётности Codex в пределах задокументированных событий и продуктов; изучите актуальные схемы, прежде чем обещать охват конкретных запросов, файлов, подтверждений, действий, ошибок или вызовов инструментов. См. Управление.

Доступ, данные, системы и действия пользователей

Как защищены доступ к данным и системам, а также действия пользователей?

ChatGPT Work регулируется средствами управления идентификацией, доступом и разрешениями, уже настроенными в вашем рабочем пространстве ChatGPT. Администраторы используют управление идентификацией, роли рабочего пространства и, в соответствующих тарифных планах, RBAC, чтобы определять, кто может использовать ChatGPT Work.

Там, где это поддерживается, доступ можно синхронизировать с поставщиком удостоверений через SCIM и синхронизацию групп. Это позволяет централизованно управлять доступом и разрешениями, когда сотрудники присоединяются к организации, меняют роли или покидают её.

Исходные системы обеспечивают соблюдение разрешений учётной записи или утверждённого общего подключения, используемого для операции. Индивидуальное подключение использует права доступа этого пользователя к исходной системе. Подключение, принадлежащее агенту или используемое совместно, может предоставить авторизованным пользователям агента доступ через подключённую учётную запись, в том числе к данным или действиям, недоступным их собственным учётным записям. Ограничьте области доступа подключения, доступные действия и аудиторию агента в соответствии с предполагаемой бизнес-задачей. См. Подключения и разрешения агентов рабочего пространства.

Как ChatGPT Work получает доступ к данным и контексту?

ChatGPT Work может использовать текущий чат, загруженные файлы, ресурсы рабочего пространства и подключённые системы через утверждённые приложения и, когда применимо, плагины. В зависимости от включённых возможностей и разрешений это может охватывать документы, репозитории, заявки, каналы, электронную почту и календари. Ранее добавленные файлы могут быть доступны через текущий чат, поддерживаемые проекты, авторизованный доступ к Library или включённые автоматические ссылки на Library. Сохранённые воспоминания регулируются собственными настройками рабочего пространства и пользователя.

Для каждого источника контекста сохраняются собственные средства управления: пользователи предоставляют контекст чата, администраторы управляют ресурсами рабочего пространства, а подключённые системы обеспечивают аутентификацию и проверку разрешений. ChatGPT Work может получать доступ только к информации, разрешённой для пользователя или одобренного общего подключения.

ChatGPT Work наследует применимые средства защиты рабочего пространства ChatGPT. Резидентность, сроки хранения, ведение журналов и доступность функций зависят от тарифного плана, региона, интерфейса и подключённой системы, поэтому проверяйте охват для своей конфигурации.

Какие действия с серьёзными последствиями ограничены или требуют проверки?

Степень риска зависит от действия. Чтение и подготовка черновиков обычно имеют менее серьёзные последствия, чем изменение данных, предоставление общего доступа к информации или выполнение действий во внешних системах. Сочетайте роли, узкие разрешения и учётные данные, а также поддерживаемые механизмы подтверждения, чтобы разрешать действия с более серьёзными последствиями только в доверенных сценариях с обязательной проверкой.

Распространённые категории действий:

• Чтение: доступ, поиск или обобщение информации из утверждённых источников без изменения исходных данных.
• Подготовка черновиков: подготовка документов, электронных писем, отчётов, кода или другого содержимого, которое пользователь должен проверить перед использованием.
• Запись: создание, обновление или удаление записей в подключённых системах, например документов, заявок, репозиториев или инструментов управления проектами.
• Предоставление общего доступа: отправка, публикация или предоставление информации иным способом большему числу людей, систем или внешних получателей.
• Планирование: запуск задачи в будущем или по повторяющемуся расписанию без необходимости вручную инициировать каждый запуск.
• Выполнение: запуск кода, команд оболочки, автоматизации браузера или других задач с использованием инструментов, которые напрямую взаимодействуют с внешними средами.

Для действий с более серьёзными последствиями используйте проверку человеком, ограниченные учётные данные, узкие области доступа и поддерживаемые механизмы подтверждения. Действия плагинов также подчиняются разрешениям и средствам безопасности каждой интеграции.

Соответствие требованиям

Как ChatGPT Work помогает выполнять корпоративные обязательства по конфиденциальности и данным?

На ChatGPT Work распространяются обязательства по конфиденциальности, безопасности и работе с данными, действующие для рабочего пространства ChatGPT клиента, с учетом тарифного плана, конфигурации, интерфейса, функции и региона. Для ChatGPT Enterprise это включает отказ от обучения на корпоративных данных по умолчанию, шифрование при передаче и хранении, управление доступом на уровне рабочего пространства и поддерживаемые функции ведения журналов аудита.

Для Work с локальным доступом требования к размещению распространяются только на соответствующий условиям контент и поддерживаемые рабочие нагрузки, регионы и конфигурации; EKM распространяется на поддерживаемый хранимый контент в рабочих пространствах, соответствующих условиям. Work не поддерживается при выполнении инференса в ОАЭ. Этот режим не обеспечивает строгое нулевое хранение данных. Для Dots действуют отдельные исключения, связанные с бета-версией; требования к размещению данных и месту выполнения инференса не поддерживаются. См. требования к совместимости и данным. Применимость HIPAA и соглашения с деловым партнером (Business Associate Agreement) зависит от используемых функций и действующего соглашения.

У подключенных сервисов есть собственные требования к хранению данных, ведению журналов, доступу, размещению данных и соблюдению нормативных требований. Когда ChatGPT Work использует плагины, репозитории или сторонние системы, оценивайте средства управления как рабочего пространства ChatGPT, так и подключенной системы.

Для действий Codex корпоративные средства управления могут распространяться на среды разработки, репозитории, настроенные инструменты и связанные действия. Изучите руководство по внедрению для администраторов и раздел Управление вместе со средствами управления рабочим пространством.

Какие данные сохраняются, хранятся или удаляются?

Хранение и удаление данных в ChatGPT Work регулируются тарифным планом рабочего пространства ChatGPT, административными настройками и используемыми возможностями. Сроки хранения могут различаться для разных типов информации, к которой обращается ChatGPT Work. К беседам и соответствующим требованиям файлам Library применяются действующие настройки рабочего пространства. Для файлов проектов, временных загрузок, сохранённых воспоминаний, событий соответствия требованиям, синхронизированных данных приложений и записей сторонних систем могут действовать отдельные правила хранения и удаления. См. Политики хранения чатов и файлов.

ChatGPT Work может создавать содержимое чатов, загруженные или сгенерированные файлы, артефакты и метаданные выполнения. Чаты Codex также могут создавать метаданные репозитория или среды, вывод команд, различия и журналы. Точные классы данных, сроки хранения и способы удаления указаны в актуальной документации продукта и Compliance API.

Проверьте требования к хранению как в рабочем пространстве ChatGPT, так и в подключённых корпоративных системах, чтобы политики вашей организации в отношении управления данными, соответствия требованиям и хранения записей применялись к каждой системе.

Наблюдаемость

Какие данные об использовании доступны администраторам или владельцам?

Администраторы и владельцы могут использовать аналитику продукта и журналы соответствия требованиям для получения разных видов информации. Global Admin Console предоставляет поддерживаемые представления данных о внедрении ChatGPT и Codex и использовании кредитов; доступная детализация по пользователям, продуктам, агентам и моделям зависит от интерфейса аналитики и рабочего пространства. Для соответствующих требованиям рабочих пространств Compliance API предоставляет охватываемые записи бесед ChatGPT, включая поддерживаемую облачную активность Work. Охват зависит от продукта, интерфейса, разрешений, доступной конечной точки и документированной схемы событий. См. Аналитика рабочего пространства и Compliance API.

Регистрируются ли запросы, результаты, файлы, действия или вызовы инструментов?

Для соответствующих требованиям рабочих пространств Enterprise и Edu платформа Compliance Logs Platform предоставляет запросы пользователей Work и ответы агентов. Вызовы подключённых приложений регистрируются отдельно, а соответствующие требованиям рабочие пространства могут получать доступ к активным файлам Library через поддерживаемые специализированные конечные точки Compliance API для Library. Эти записи не образуют полный журнал аудита для каждой операции с размещёнными файлами, команды оболочки, операции в браузере, вызова инструмента или утверждения. Уточняйте актуальный охват событий и продуктов в аутентифицированной документации Compliance API.

Платформа журналов соответствия требованиям хранит данные в течение 30 дней. Если вашей организации требуется более длительное хранение, непрерывно экспортируйте записи в утверждённую систему электронного раскрытия данных, предотвращения утечек данных, SIEM или озеро данных. См. руководство по платформе соответствия требованиям OpenAI.

Включение доступа к локальному компьютеру через Work Cloud меняет набор данных, которые получает ваш существующий коллектор OpenTelemetry (OTel). Локальный исполнитель по-прежнему может экспортировать поддерживаемые события выполнения. События облачной оркестрации не поступают в ваш существующий коллектор OpenTelemetry.

Используйте Compliance API для получения поддерживаемых облачных записей. Изменение конечной точки коллектора не восстанавливает получение событий облачной оркестрации. Записи Compliance API не заменяют все события из прежнего потока OpenTelemetry. См. Проверка охвата OpenTelemetry и аудита.

Можно ли быстро обнаруживать необычное поведение, сбои или резкие скачки использования?

Аналитика рабочего пространства, журналы соответствия требованиям и подключённые инструменты мониторинга помогают администраторам анализировать использование и исследовать поддерживаемую активность ChatGPT, Work и Codex. В зависимости от выбранного интерфейса отчётности сигналы могут включать активных пользователей, поддерживаемые сообщения, активность приложений, использование агентов, события аутентификации или администрирования, а также расход кредитов. Экспортированные журналы можно использовать для электронного раскрытия информации, предотвращения утечек данных, SIEM, аудита и расследований. Качество обнаружения зависит от тарифного плана, охвата событий, атрибуции, актуальности и настроенных правил.

К сигналам, которые могут потребовать проверки, относятся неожиданный рост использования или расхода кредитов, необычная активность пользователей или агентов, повторяющиеся операционные ошибки, а также значимые события аутентификации или администрирования. Сверяйте точный набор сигналов с применимыми схемами аналитики, журналов соответствия требованиям и журналов аудита.

Для активности Codex аналитика Codex и Analytics API предоставляют поддерживаемые метрики внедрения и активности. Организации, использующие локальные клиенты Codex, могут включить экспорт OpenTelemetry для таких событий, как запросы API, ошибки, метаданные запросов, решения об утверждении инструментов и результаты работы инструментов. Содержимое запросов скрывается, если только otel.log_user_prompt = true не включено посредством отдельного явного согласия. См. Мониторинг и телеметрия. Эта локальная телеметрия Codex не предоставляет экспорт OpenTelemetry для ChatGPT Work в веб-интерфейсе.

Управление

Как администраторы могут управлять доступом, разрешениями и политиками?

Управление охватывает три взаимосвязанных, но отдельных уровня:

• Средства управления доступом к ChatGPT Work определяют, кто может использовать Work и доступна ли синхронизация локальных диалогов.

• Средства управления Workspace Agent определяют, кто может создавать, публиковать, настраивать многократно используемых агентов и общие подключения, предоставлять к ним доступ и задавать расписание — там, где эти возможности доступны.

• Agent Security содержит базовую глобальную облачную политику для поддерживаемых средств управления Work и Codex. Для Work с локальным доступом и dots поддерживаемая глобальная политика применяется к облачной оркестрации, если включена управляемая политика. На подключенный компьютер распространяются требования к локальному выполнению; облачные компьютеры используют собственные настройки и требования к выполнению. Существующий порядок применения настроек Codex сохраняется.

Управляемая конфигурация ограничивает поддерживаемое поведение во время выполнения. Она не предоставляет доступ к рабочему пространству, не заменяет RBAC и не отзывает доступ пользователя к рабочему пространству. Эти уровни не образуют единую унифицированную систему политик ChatGPT Work. Аналитика и журналы соответствия требованиям обеспечивают дополнительную видимость в пределах документированного охвата продуктов и событий.

Для поддерживаемых локальных клиентов Codex администраторы организации могут применять управляемую конфигурацию и профили разрешений. Эти средства управления локальными клиентами не предоставляют доступ к размещённому ChatGPT Work и не заменяют разрешения рабочего пространства для него.

Можно ли ограничить доступ по группе, роли, рабочей области или возможности?

Да. В соответствующих тарифных планах Enterprise и Edu, поддерживающих настраиваемый RBAC для участников, область действия возможностей ChatGPT Work можно задавать с помощью ролей рабочего пространства, групп идентификации и разрешений, определённых администратором. В ChatGPT Business используются применимые средства управления на уровне рабочего пространства, но не поддерживаются настраиваемый RBAC для участников и синхронизация групп SCIM. Назначайте поддерживаемые возможности в соответствии с бизнес-задачами и политикой организации. См. Руководство по RBAC и это пошаговое руководство по RBAC.

Там, где доступен настраиваемый RBAC, организации могут с его помощью определять, какие пользователи могут получать доступ к ChatGPT Work, управлять настройками рабочего пространства, настраивать утверждённые плагины или использовать поддерживаемые функции Workspace Agent. Для соответствующих требованиям рабочих пространств Enterprise и Edu месячные лимиты использования могут обеспечить поэтапное внедрение посредством значения по умолчанию для рабочего пространства, значений по умолчанию для групп и переопределений для пользователей.

Доступ к подключённым системам по-прежнему регулируется независимо. Ограничьте плагины, общие учётные данные, репозитории и действия с возможностью записи минимально необходимой аудиторией, используя разрешения рабочего пространства, настройки плагинов и средства управления исходной системы. Для поддерживаемых локальных клиентов Codex управляемая конфигурация может дополнительно ограничивать возможности локальной среды выполнения. Размещённый Work регулируется собственными средствами управления рабочего пространства и конкретного продукта.

Как регулируются границы среды выполнения и сети?

Границы безопасности ChatGPT Work зависят от задачи. Стандартная беседа в Chat, подключённый рабочий процесс, запланированная задача и чат Codex могут выполняться в разных средах с различными разрешениями, инструментами и сетевым доступом.

Управляйте каждой средой выполнения с помощью применимых к ней средств управления. Work Cloud регулирует размещённый Work в поддерживаемых веб-интерфейсах, мобильных и настольных приложениях. Work Local регулирует локальный Work в настольном приложении, а Codex Local управляет поддерживаемым локальным доступом к Codex в настольном приложении, CLI и клиентах IDE. Разрешения браузера и оболочки на доступ к сети дополнительно ограничивают Work Cloud. Поиск, приложения, плагины, доступные Workspace Agents и разрешения исходных систем остаются отдельными средствами управления. Применимая управляемая конфигурация и политики локальной среды выполнения регулируют только поддерживаемые ими локальные сценарии. Эти средства управления не взаимозаменяемы.

При работе с Codex локальные запуски в настольном приложении ChatGPT, CLI и IDE выполняются на компьютере пользователя с применением изоляции операционной системы и политик утверждения. Облачная версия Codex выполняет чаты в изолированных средах под управлением OpenAI. Для поддерживаемых локальных клиентов администраторы организации могут использовать управляемые требования, чтобы ограничивать профили разрешений, утверждения, доступ к файловой системе и сети, MCP servers, перехватчики, правила команд и другие поддерживаемые аспекты поведения среды выполнения.

Использование и расходы

Как использование ChatGPT Work со временем влияет на расходы?

ChatGPT Work и Codex используют общие цены, кредиты и лимиты использования. Для соответствующих требованиям соглашений на основе кредитов сопоставляйте совокупное использование сотрудниками Chat и Work с общим объёмом кредитов рабочего пространства. Расход зависит от модели, применимых настроек глубины рассуждений или скорости, объёма обработанных входных и выходных данных, а также используемых инструментов и функций.

Использование выделенных кредитов не приводит к автоматическому увеличению счёта. Фактическая стоимость зависит от остатка кредитов, договорных тарифов, возможности превышения лимита для учётной записи и настроенного лимита превышения расходов рабочего пространства. Примеры для планирования, фактические пользовательские лимиты, границы отчётности и сведения о выставлении счетов см. в разделе ChatGPT Work: использование и стоимость.

Наибольшая вариативность часто характерна для рабочих процессов, которые запускаются часто, получают или обрабатывают большие объёмы информации, вызывают несколько инструментов или приложений, повторяют попытки после сбоев или создают крупные артефакты. К затратным примерам относятся запланированные или повторяющиеся задачи, большие файлы, широкий поиск по корпоративным источникам, повторные вызовы приложений и чаты Codex, которые обрабатывают репозитории, выполняют команды или используют облачные среды. Триггеры API для Workspace Agent также могут увеличивать использование там, где они доступны.

Используйте средства контроля расходов, аналитику использования и отчётность, чтобы отслеживать эти закономерности с течением времени. Анализируйте использование по измерениям, доступным в текущем интерфейсе аналитики, и корректируйте лимиты или масштаб развёртывания в зависимости от ценности для бизнеса. Не считайте агрегированную аналитику точной атрибуцией затрат по отдельным рабочим процессам.

Аналитика рабочей области, журналы соответствия требованиям и подключённые средства мониторинга могут помочь администраторам анализировать использование и расследовать поддерживаемую активность. Возможность обнаруживать рискованное или необычное поведение зависит от плана, охвата журналов, атрибуции, актуальности данных и правил, настроенных в ваших системах мониторинга.

Какие лимиты использования, оповещения или ограничения доступны?

Соответствующие требованиям рабочие области Enterprise и Edu могут использовать ежемесячные лимиты на пользователя и общие для рабочей области средства контроля расходов для использования на основе кредитов:

• Отслеживание расхода кредитов: просматривайте поддерживаемые отчёты об использовании кредитов в Global Admin Console и настройках рабочей области.
• Установка ежемесячного лимита по умолчанию: задайте для рабочей области лимит кредитов на пользователя по умолчанию.
• Применение отдельных лимитов для групп: назначайте группам ежемесячные значения по умолчанию на пользователя, которые соответствуют их рабочим процессам, обязанностям или этапу развёртывания.
• Создание пользовательских переопределений: назначайте конкретному пользователю другой лимит, не изменяя значение по умолчанию для всей группы.
• Рассмотрение запросов на увеличение: если запросы включены, пользователи могут запросить более высокий ежемесячный лимит. После одобрения создаётся пользовательское переопределение.
• Контроль общей нагрузки на рабочую область: отдельно настраивайте оповещения о кредитах рабочей области и лимит сверх установленного объёма в Global Admin Console. Оповещения уведомляют получателей; лимит сверх установленного объёма регулирует допустимое использование после исчерпания согласованного пула кредитов.
• Экспорт данных об использовании: соответствующие требованиям администраторы Enterprise могут получать доступ к данным об использовании кредитов через единый Cost API для внутренней отчётности или мониторинга.

Пользователи могут просматривать собственное использование и, если эта возможность включена, запрашивать дополнительные кредиты, но они не могут изменять назначенные лимиты. См. Управление лимитами использования и превышением лимитов и пошаговое руководство по контролю расходов.

Средства реагирования на инциденты и отзыва доступа

Как администраторы могут остановить доступ или активность?

При удалении пользователя или рассмотрении инцидента администраторам может потребоваться прекратить доступ, отключить приложения, отозвать общие учётные данные, приостановить запланированные задачи или отозвать учётные данные Codex.

Способы отзыва включают:

• Удалите доступ пользователя к рабочему пространству или группе. Для пользователей под управлением SCIM удалите доступ в поставщике удостоверений; в противном случае последующая синхронизация может снова подготовить учётную запись пользователя.
• Отключите или ограничьте соответствующий плагин или приложение.
• Отзовите общее подключение либо учётную запись бота или службы через интерфейс, которому она принадлежит. Владельцы и администраторы рабочего пространства могут отдельно отозвать токены доступа Codex к рабочему пространству.
• Снимите Workspace Agent с публикации или удалите его через владельца агента либо администратора рабочего пространства.
• Отключите соответствующую запланированную задачу или, если доступно, триггер API для Workspace Agent.
• Для доступа к Codex отдельно отзовите соответствующий токен доступа, подключение к репозиторию и доступ к облачной среде. Управляемая конфигурация не является механизмом отзыва доступа.

Дополнительные ресурсы для ваших команд

Рекомендуемые действия администратора

• Определите, кому нужен ChatGPT Work. Определите пользователей или группы и задачи, которые им нужно выполнять, затем предоставьте доступ через поддерживаемые настройки рабочего пространства и ролей.
• Настройте роли и разрешения. В разделе Разрешения и роли предоставьте доступ к ChatGPT Work нужным пользователям или группам. Проверьте все назначенные роли, чтобы подтвердить их фактические права доступа.
• Проверьте плагины и источники данных. ChatGPT Work наиболее полезен при доступе к одобренному рабочему контексту, например файлам, электронной почте, календарям, Slack или CRM. Проверьте включенные плагины, круг их пользователей и то, по-прежнему ли политики приложений соответствуют тому, как пользователи должны делегировать работу.
• Объясните, для каких задач подходит инструмент. Ориентируйте пользователей на применение ChatGPT Work для многоэтапных, более значимых задач, таких как исследования, обобщение информации, анализ, создание файлов, обновление рабочих процессов и подготовка материалов для повторного использования. Используйте Chat для быстрых вопросов, небольших правок текста или мозгового штурма.
• Настройте ограничения на кредиты и использование. ChatGPT Work может расходовать больше кредитов, чем обычный диалог в Chat, поскольку задачи могут выполняться дольше. Настройте значения по умолчанию для рабочего пространства и групп, а также индивидуальные переопределения для пользователей. Объясните пользователям, как выбирать подходящую модель и уровень усилий для каждой задачи.
• Определите первые рабочие процессы с высокой отдачей. Начните с понятных результатов, которые можно проверить, например справок о клиентах, регулярных отчетов, обобщений результатов исследований, обновлений трекеров или тщательно подготовленных документов и слайдов.
• Подготовьте внутренних экспертов и команды поддержки. Сначала предоставьте внутренним экспертам, ответственным за обучение и командам поддержки материалы по внедрению, чтобы они могли отвечать на вопросы, собирать обратную связь и показывать примеры эффективного делегирования.
• Объясните требования к проверке и одобрению. Попросите пользователей проверять результаты и важные утверждения перед использованием или распространением, а также одобрять действия с существенными последствиями до их выполнения.
• Отслеживайте освоение и вносите изменения. После внедрения анализируйте использование, обратную связь, расход кредитов и делегированную работу. Используйте полученные данные, чтобы корректировать доступ, рекомендации, обучение и дальнейшее расширение использования.