Hướng dẫn triển khai dành cho quản trị viên

Sử dụng hướng dẫn này để lập kế hoạch triển khai ChatGPT Enterprise trên các ranh giới quản trị sau:

Quyền truy cập workspace.
Chính sách runtime cục bộ cho các năng lực thuộc phạm vi áp dụng trong ứng dụng ChatGPT dành cho máy tính, Codex CLI và tiện ích mở rộng IDE.
Codex cloud.
Quyền truy cập Platform API.
Quyền truy cập plugin và connector.
Các quyền trong hệ thống được kết nối.

Hãy hoàn thành các bước theo thứ tự đối với một đợt triển khai mới hoặc sử dụng các trang được liên kết để thay đổi một ranh giới.

Nếu bạn quản lý cổng mô hình cho các ứng dụng khách Codex cục bộ, hãy dùng Triển khai Codex qua cổng mô hình để đánh giá khả năng đáp ứng của cổng mô hình, phân phối thông tin xác thực và bàn giao ứng dụng khách. Cấu hình riêng quyền truy cập không gian làm việc nếu quá trình triển khai của bạn sử dụng các tính năng của không gian làm việc.

Trong phần cài đặt không gian làm việc, Codex và Work cục bộ kết hợp quyền truy cập Codex và Work cục bộ trong mục Cho phép thành viên sử dụng Codex và Work cục bộ. Một số không gian làm việc thay vào đó cung cấp các mục Codex cục bộ và Work cục bộ độc lập. Trong bố cục đó, Cho phép thành viên sử dụng Codex cục bộ kiểm soát Codex, còn Sử dụng Work cục bộ kiểm soát Work. Việc bật một trong hai không tự động bật mục còn lại. Các nhãn này biểu thị quyền trong không gian làm việc, không phải sản phẩm hay ứng dụng khách riêng biệt. Quyền đối với token và giới hạn thời hạn thông tin xác thực xuất hiện trong mục Token truy cập hoặc mục quyền truy cập cục bộ, tùy thuộc vào không gian làm việc. Cấu hình được quản lý là một lớp chính sách riêng, có thể giới hạn hành vi môi trường chạy được hỗ trợ đối với các chức năng thuộc phạm vi điều chỉnh trong những ứng dụng khách đó. Hướng dẫn này nêu rõ từng giao diện cụ thể khi hành vi hoặc tính khả dụng có khác biệt.

Để xem tổng quan về các biện pháp kiểm soát truy cập, hãy xem Vai trò và quyền trong không gian làm việc. Sử dụng hướng dẫn trong Trung tâm trợ giúp để biết các quy trình hiện hành cho không gian làm việc ChatGPT và các tài liệu dành cho nhà phát triển được liên kết để tìm hiểu hành vi của môi trường thực thi cục bộ và trên hạ tầng được lưu trữ.

Để tìm hiểu về bảo mật, quyền riêng tư và các biện pháp bảo vệ runtime dành cho doanh nghiệp, hãy xem Phê duyệt và bảo mật cho tác nhân và Sách trắng về bảo mật Codex.

Bước 1: Chỉ định người phụ trách và chọn phương án triển khai

Chỉ định người phụ trách cho từng phần của quá trình triển khai:

Quyền truy cập workspace: Thành viên, suất sử dụng, vai trò và các tính năng workspace được hỗ trợ.
Chính sách runtime cục bộ: Phê duyệt, hồ sơ quyền, quyền truy cập hệ thống tệp và mạng, cùng các yêu cầu khác dành cho ứng dụng khách cục bộ được hỗ trợ.
Codex cloud: Môi trường được lưu trữ, kết nối kho lưu trữ và chính sách runtime trên cloud.
Hệ thống được kết nối: Cài đặt ứng dụng phía nhà cung cấp, tài khoản và quyền.
Báo cáo và tuân thủ: Quyền truy cập dữ liệu phân tích, bản xuất kiểm toán và quá trình xử lý dữ liệu hạ nguồn.

Xác định xem từng nhóm đối tượng có cần các năng lực cục bộ thuộc phạm vi áp dụng trong ứng dụng ChatGPT dành cho máy tính, Codex CLI, tiện ích mở rộng IDE, Codex cloud hay kết hợp nhiều giao diện hay không. Hãy coi quyền truy cập Platform API là một ranh giới riêng ở cấp tổ chức và dự án khi quy trình làm việc sử dụng xác thực bằng API key.

Bước 2: Cấu hình quyền truy cập và danh tính trong workspace

Sử dụng tư cách thành viên, suất sử dụng, nhóm và các quyền RBAC được hỗ trợ của workspace ChatGPT để cấp những tính năng workspace được hỗ trợ cho đúng nhóm đối tượng. Xác minh quyền truy cập ứng dụng khách cục bộ và Codex cloud theo hướng dẫn workspace hiện hành thay vì giả định rằng cùng một vai trò kiểm soát mọi giao diện. Chỉ cấp các vai trò quản trị tích hợp sẵn cho những người thực sự quản trị workspace.

Các biện pháp kiểm soát và nhãn của workspace thay đổi theo thời gian. Hãy sử dụng các nguồn sau để xem quy trình hiện hành:

Kiểm tra khả năng đăng nhập và truy cập tính năng bằng tài khoản của một thành viên có các quyền dự kiến. Quyền truy cập không gian làm việc không cấp quyền truy cập kho lưu trữ, tệp hoặc hành động trong dịch vụ đã kết nối.

Thiết lập quyền truy cập máy tính cục bộ với Work Cloud

Nếu đợt triển khai của bạn bao gồm quyền truy cập máy tính cục bộ cho Work hoặc dots, hãy xem xét các chính sách trong Agent Security trước khi triển khai. Việc di chuyển chính sách và quyền truy cập tính năng là những thay đổi riêng biệt; quy trình xác nhận không yêu cầu tạo chính sách để bật quyền truy cập. Chính sách Global được hỗ trợ chi phối việc điều phối trên đám mây khi chính sách được quản lý được bật. Các yêu cầu thực thi cục bộ và biện pháp kiểm soát thiết bị chi phối máy tính đã kết nối. Các container đám mây của Work và máy tính đám mây của dots sử dụng cấu hình và yêu cầu thực thi riêng. Làm theo Quyền truy cập máy tính cục bộ cho Work Cloud và dots để biết các yêu cầu riêng về thiết lập và điều kiện sử dụng.

Sử dụng API chính sách để quản lý các thiết lập Global. Để quản lý các thiết lập Local hoặc Codex Cloud, hãy sử dụng giao diện Agent Security. Các quy trình API Global hiện có vẫn khả dụng sau khi di chuyển. Kiểm thử các tập lệnh và tích hợp Terraform của bạn, đồng thời xác nhận rằng việc gán chính sách và thứ tự chính sách không thay đổi.

Kiểm tra tính tương thích trước khi bật đồng bộ:

Chính sách mạng. Khi có thể ghi đè thiết lập theo môi trường, hãy kiểm thử các ngoại lệ experimental_network được nêu trong Cấu hình được quản lý. Một hạn chế toàn cục có thể vẫn có hiệu lực ngay cả khi môi trường cho phép.

Hook dành cho doanh nghiệp. Khi được bật cho không gian làm việc của bạn, tính năng truy cập máy tính cục bộ bằng Work Cloud hỗ trợ các hook MCP do quản trị viên định nghĩa, chạy trên bộ điều phối đám mây (orchestrator) cho các sự kiện vòng đời và công cụ được hỗ trợ. Các hook lệnh và hook từ cấu hình cục bộ hoặc plugin không được hỗ trợ khi điều phối trên đám mây, ngay cả khi công cụ được thực thi cục bộ.
Các hook không được hỗ trợ. Các hook lệnh và hook từ cấu hình cục bộ hoặc plugin không được hỗ trợ khi điều phối trên đám mây, ngay cả khi công cụ được thực thi cục bộ. Khi cả việc điều phối lẫn thực thi đều diễn ra cục bộ, các hook hiện có được hỗ trợ vẫn tiếp tục hoạt động trong các luồng Work và Codex chỉ chạy cục bộ. Quản trị viên vẫn có thể cấu hình các hook được quản lý có hỗ trợ trong Agent Security cho những quy trình này.
Kiểm toán. Trước khi dựa vào các hook này, hãy kiểm thử kết nối callback, xác nhận các sự kiện mà kết nối nhận được và kiểm tra mức độ ảnh hưởng của lỗi đến tác vụ. Các hook MCP không cung cấp dấu vết kiểm toán đầy đủ qua Compliance API.
Yêu cầu về dữ liệu. Tính năng truy cập máy tính cục bộ bằng Work Cloud không đáp ứng yêu cầu nghiêm ngặt về việc không lưu giữ dữ liệu. Các cam kết về nơi lưu trú dữ liệu và nơi thực hiện suy luận chỉ áp dụng cho nội dung đủ điều kiện cùng các khối lượng công việc, khu vực và cấu hình được hỗ trợ. Enterprise Key Management (EKM) áp dụng cho nội dung được lưu trữ có hỗ trợ trong các không gian làm việc đủ điều kiện. Work không hỗ trợ việc thực hiện suy luận tại UAE. Nếu enforce_residency được bật trong bất kỳ chính sách đám mây nào, Cho phép truy cập máy tính cục bộ sẽ bị tắt cho cả Work và dots. Biện pháp bảo vệ này không cấu hình nơi lưu trú dữ liệu của không gian làm việc và cũng không tự tắt Work Cloud hoặc dots. Nếu tổ chức của bạn yêu cầu ZDR, đừng bật tính năng này.

Với vai trò chủ sở hữu không gian làm việc, hãy rà soát các quyền Work của những người dùng hoặc nhóm dự kiến được cấp quyền. Bật Work Cloud, sau đó bật Cho phép truy cập máy tính cục bộ. Sử dụng các cách gán vai trò được hỗ trợ để cấp quyền truy cập. Xem Vai trò và quyền trong không gian làm việc.

Bước 3: Cấu hình các yêu cầu runtime cục bộ

Các yêu cầu cục bộ giới hạn hành vi runtime khi người dùng bắt đầu một lượt chạy cục bộ được hỗ trợ trong ứng dụng ChatGPT dành cho máy tính, Codex CLI hoặc tiện ích mở rộng IDE. Phân phối requirements.toml thông qua một kênh cloud, thiết bị hoặc hệ thống được hỗ trợ. Duy trì chính sách này tách biệt với các vai trò và nhóm của workspace ChatGPT.

Sử dụng hồ sơ quyền cho các ứng dụng khách cục bộ được hỗ trợ thay vì xây dựng phương án triển khai mới dựa trên các giới hạn cũ của môi trường cô lập. Ví dụ:

default_permissions = ":workspace"

[allowed_permission_profiles]
":read-only" = true
":workspace" = true

Để tắt Computer Use trên các giao diện tính năng trình duyệt và máy tính được hỗ trợ, hãy giới hạn từng khóa tính năng công khai tham gia vào trải nghiệm:

[features]
browser_use = false
browser_use_full_cdp_access = false
browser_use_external = false
in_app_browser = false
computer_use = false

Để xem danh sách khóa chính thức, hành vi phân phối, thứ tự ưu tiên và các ví dụ khác, hãy xem Cấu hình được quản lý và tài liệu tham khảo về requirements.toml.

Bước 4: Chuẩn hóa cấu hình kho lưu trữ

Sử dụng cấu hình ở phạm vi kho lưu trữ để chia sẻ các giá trị mặc định, quy tắc và skill của dự án mà không phải sao chép quy trình thiết lập cho từng người dùng. Đưa cấu hình vào .codex hoặc .agents theo vị trí được ghi trong tài liệu của tính năng:

Loại	Nguồn	Mục đích sử dụng
Cấu hình	Kiến thức cơ bản về cấu hình	Thiết lập giá trị mặc định của kho lưu trữ cho các ứng dụng khách cục bộ được hỗ trợ
Quy tắc	Quy tắc	Kiểm soát các lệnh cần được phê duyệt bên ngoài môi trường cô lập
Skill	Xây dựng Skill	Cung cấp quy trình làm việc của kho lưu trữ cho các ứng dụng khách được hỗ trợ

Cấu hình kho lưu trữ có thể cung cấp các giá trị mặc định và quy trình làm việc có thể tái sử dụng. Cấu hình này không thể cấp quyền truy cập workspace, mô hình, Platform API hoặc hệ thống được kết nối.

Bước 5: Cấu hình Codex cloud

Codex cloud sử dụng các môi trường được lưu trữ trên đám mây và các kho mã nguồn được kết nối.

Codex Cloud mặc định bị tắt trong các không gian làm việc Enterprise. Các thiết lập Sử dụng Codex trên đám mây hiện có được kế thừa từ Codex Cloud (Legacy): các không gian làm việc đã bật Cloud vẫn giữ quyền truy cập, còn những không gian làm việc đã tắt Cloud vẫn giữ trạng thái tắt cho đến khi quản trị viên bật lại. Quyền truy cập vẫn phụ thuộc vào quá trình triển khai và các hạn chế của không gian làm việc.

Lập kế hoạch cho từng ranh giới:

Cấp quyền Sử dụng Codex trên đám mây cho các đối tượng dự kiến. Cấp riêng quyền Quản lý môi trường của không gian làm việc cho những người tạo và chỉnh sửa các môi trường dùng chung trong không gian làm việc. Xem hướng dẫn về vai trò trong không gian làm việc.
Cài đặt và cấu hình tích hợp được hỗ trợ với hệ thống quản lý mã nguồn.
Giới hạn quyền truy cập kho mã trong hệ thống quản lý mã nguồn ở những kho mã mà từng nhóm đối tượng cần dùng.
Cấu hình môi trường đám mây, thông tin bí mật, quyền truy cập internet và các yêu cầu được hỗ trợ do đám mây quản lý cho những kho mã đó.
Cấu hình các quy trình tùy chọn chạy trên đám mây, chẳng hạn như đánh giá mã.
Kiểm thử quyền truy cập tác vụ với một thành viên đại diện và việc quản lý môi trường với quản trị viên được chỉ định. Xác minh quyền của từng người đối với không gian làm việc, môi trường và kho mã.

Môi trường đám mây không kế thừa chính sách thiết bị cục bộ, thiết lập MDM hay quyền truy cập mạng cục bộ. Rà soát các yêu cầu được hỗ trợ do đám mây quản lý tách biệt với các yêu cầu được cài đặt trên máy tính của người dùng. Xem Kết nối với các dịch vụ để tìm hiểu về quyền truy cập đích đến và Agent Security để biết các yêu cầu của không gian làm việc giới hạn môi trường đám mây như thế nào.

Codex cloud tuân thủ các quyền và biện pháp bảo vệ kho mã mà hệ thống quản lý mã nguồn được kết nối cung cấp. Quyền truy cập không gian làm việc không bỏ qua các biện pháp kiểm soát đó. Xem Môi trường đám mây để biết hướng dẫn thiết lập và thực thi.

Bước 6: Cấu hình plugin và các năng lực được kết nối

Hãy xem việc cài đặt plugin, các skills đi kèm, năng lực dựa trên connector, thao tác của connector và việc cấp quyền trong hệ thống nguồn là những quyết định riêng biệt. Việc tắt một năng lực dựa trên connector không nhất thiết gỡ cài đặt plugin hoặc các skills đi kèm.

Trước khi đưa plugin hoặc Skill vào quá trình triển khai:

Xác nhận nguồn, người chịu trách nhiệm, nhóm đối tượng dự kiến và ngày xem xét của plugin hoặc Skill.
Xem lại các skills, connector, MCP servers, hook đi kèm, cùng dữ liệu và thao tác mà mỗi năng lực yêu cầu.
Kiểm thử bằng dữ liệu không nhạy cảm và mức truy cập tối thiểu cần thiết.
Ghi lại người phụ trách việc xem xét lại và ngừng sử dụng.

Plugin hoạt động trong Chat và Work trên ChatGPT dành cho web, máy tính và thiết bị di động, trong Codex thuộc ứng dụng ChatGPT dành cho máy tính và thông qua trình duyệt plugin của Codex CLI. Plugin không khả dụng trong tiện ích mở rộng IDE. ChatGPT và Codex dùng chung một thư mục plugin công khai toàn cầu; các biện pháp kiểm soát của workspace xác định những plugin nào thành viên có thể truy cập.

Hãy xem Biện pháp kiểm soát plugin và Biện pháp kiểm soát Skill để biết mô hình đầy đủ.

Bước 7: Thiết lập quản trị và khả năng quan sát

Chọn giao diện báo cáo phù hợp với câu hỏi:

Sử dụng Phân tích workspace để xem dữ liệu phân tích tương tác của workspace ChatGPT và dữ liệu phân tích Codex.
Sử dụng Analytics API cho báo cáo tổng hợp, theo chương trình thông qua Codex Analytics API.
Sử dụng Compliance API cho các bản ghi kiểm toán và điều tra.
Sử dụng Giới hạn sử dụng và biện pháp kiểm soát chi tiêu ChatGPT khi hoạt động Codex phụ thuộc vào gói sử dụng các khoản tín dụng workspace ChatGPT đủ điều kiện.

Khi xây dựng tích hợp, hãy sử dụng tài liệu tham chiếu API yêu cầu xác thực để tra cứu các yêu cầu truy cập, lược đồ, trường dữ liệu, chính sách lưu giữ và hành vi xử lý yêu cầu hiện hành.

Bảo vệ ranh giới tích hợp:

Lưu trữ API key và các thông tin xác thực tích hợp khác trong hệ thống quản lý bí mật của tổ chức.
Giới hạn quyền truy cập vào hệ thống hạ nguồn và dữ liệu được lưu giữ cho nhóm đối tượng đã được phê duyệt.
Bảo vệ các bản ghi Compliance API đã xuất theo mức độ nhạy cảm và chính sách lưu giữ của tổ chức, đồng thời kiểm thử quy trình thu thập và xóa theo hợp đồng hiện hành.

Bước 8: Xác minh và duy trì quá trình triển khai

Sau khi bật tính năng truy cập máy tính cục bộ bằng Work Cloud, hãy tạo một tác vụ mới và tiếp tục cuộc trò chuyện từ một thiết bị khác được hỗ trợ. Các tác vụ hiện có không được di chuyển và vẫn giữ nguyên cách hoạt động ban đầu: chỉ cục bộ hoặc chỉ trên đám mây. Giữ máy tính trực tuyến để thực hiện các bước cần đến tệp hoặc công cụ trên máy. Kiểm thử một hành động mà chính sách phải cho phép và một hành động mà chính sách phải chặn, đồng thời kiểm tra riêng các yêu cầu phê duyệt và hạn chế về hệ thống tệp cũng như mạng áp dụng cho việc thực thi cục bộ và trên đám mây. Đồng thời, kiểm thử việc bắt đầu một lượt mới khi máy tính cục bộ không khả dụng. Tác vụ đủ điều kiện có thể tiếp tục trong một container đám mây mà không có quyền truy cập các tệp hoặc công cụ cục bộ của máy tính đó. Tác vụ không thể chuyển từ thực thi cục bộ sang đám mây trong một lượt.

Ghi lại các thiết lập đang có hiệu lực và kết quả của từng lần kiểm thử. Nếu một hạn chế không hoạt động như mong đợi, hãy giải quyết vấn đề trước khi người dùng dựa vào hạn chế đó. Tuân theo hành vi đã được mô tả trong tài liệu khi tắt đồng bộ. Xem việc thu hồi quyền truy cập, gián đoạn tác vụ và lưu giữ dữ liệu là các hành động riêng biệt.

Xác minh mọi ranh giới áp dụng bằng các danh tính đại diện:

Tư cách thành viên, suất sử dụng và các quyền vai trò được hỗ trợ trong workspace ChatGPT.
Các năng lực cục bộ thuộc phạm vi áp dụng trong ứng dụng ChatGPT dành cho máy tính, Codex CLI và tiện ích mở rộng IDE, bao gồm đăng nhập và các yêu cầu runtime thực tế.
Quyền truy cập Codex cloud, cấu hình môi trường và quyền kho lưu trữ.
Quyền truy cập tổ chức và dự án Platform API cho các quy trình sử dụng API key.
Cài đặt plugin, các skills đi kèm, quyền truy cập connector và các thao tác được hỗ trợ.
Quyền trong hệ thống được kết nối và quyền truy cập dữ liệu.
Quyền truy cập dữ liệu phân tích và tuân thủ cho các quản trị viên chịu trách nhiệm.

Ghi lại người phụ trách và nguồn quy trình hiện hành cho từng biện pháp kiểm soát. Bản ghi này cho phép quản trị viên cập nhật quy trình khi giao diện người dùng hoặc chính sách thay đổi mà không thay đổi mô hình quản trị.

Sau lần triển khai ban đầu, hãy xem lại quyền truy cập, các năng lực được kết nối, mức sử dụng tín dụng, phản hồi hỗ trợ và những quy trình làm việc mà các nhóm thực sự sử dụng. Điều chỉnh phạm vi triển khai và hướng dẫn dành cho quản trị viên khi các tín hiệu đó thay đổi.

Nếu bạn cần tắt tính năng truy cập máy tính cục bộ bằng Work Cloud

Việc tắt tính năng truy cập máy tính cục bộ bằng Work Cloud sẽ làm gián đoạn các lượt đang chạy. Người dùng có thể bắt đầu một lượt mới trong cuộc trò chuyện hiện có trên đám mây. Lượt đó tự động sử dụng Work Cloud mà không có quyền truy cập các tệp cục bộ. Hãy hướng dẫn người dùng bắt đầu một lượt mới sau khi bị gián đoạn và giải thích rằng luồng trò chuyện trên đám mây sẽ không còn truy cập được các tệp cục bộ.

Tìm kiếm gần đây

Tìm kiếm đề xuất

Điều hướng tài liệu