管理員部署指南

使用本指南規劃 ChatGPT Enterprise 在以下管理 邊界內的部署：

• 工作區存取權限。
• ChatGPT 桌面應用程式、Codex CLI 和 IDE 擴充功能中 所涵蓋功能的本機執行時策略。
• Codex 雲端。
• Platform API 存取權限。
• 外掛和連接器存取權限。
• 已連線系統中的權限。

首次部署時，請按順序完成這些步驟；也可以使用連結中的頁面來調整 某一個邊界。

如果你管理本機 Codex 客戶端使用的模型閘道器，請參閱 透過閘道器部署 Codex，瞭解閘道器 資格驗證、憑證分發和客戶端交接。如果部署使用工作區功能， 請單獨設定工作區存取權限。

在工作區設定中，Codex 和 Work 本機存取 將本機 Codex 和 Work 存取權限合併到允許成員在本機使用 Codex 和 Work 下。部分工作區 則提供獨立的 Codex 本機存取 和 Work 本機存取 部分。在 這種佈局中，允許成員在本機使用 Codex 控制 Codex，而在本機使用 Work 控制 Work。啟用其中一項不會啟用另一項。 這些標籤識別的是工作區權限，並非獨立的產品或客戶端。 令牌權限和憑證有效期限制會顯示在存取 令牌 部分或本機存取部分，具體取決於工作區。 受管設定是獨立的策略層，可約束這些客戶端中所涵蓋功能 支援的執行時行為。本指南會在行為或可用性存在差異時 指明具體的使用端。

有關存取控制的概述，請參閱 角色和工作區權限。 有關當前 ChatGPT 工作區操作流程，請使用幫助中心指南；有關本機和託管 執行時行為，請使用連結中的開發者文件。

有關企業安全、隱私和執行時保護，請參閱 智能體核准與安全和 Codex 安全白皮書。

第 1 步：指定負責人並選擇部署方式

為部署的每個部分指定負責人：

• 工作區存取權限： 成員資格、席位、角色以及受支援的工作區 功能。
• 本機執行時策略： 核准、權限設定檔、檔案系統和 網路存取，以及受支援本機客戶端的其他要求。
• Codex 雲端： 託管環境、儲存庫連線和雲端 執行時策略。
• 已連線系統： 供應商側的應用安裝、帳戶和 權限。
• 報告與合規： 分析存取權限、稽核匯出以及下游 資料處理。

確定各類使用者是否需要 ChatGPT 桌面應用程式、Codex CLI、IDE 擴充功能中所涵蓋的 本機功能、Codex 雲端，或其中的組合。如果 工作流程使用 API key 身分驗證，請將 Platform API 存取權限視為獨立的組織和專案邊界。

第 2 步：設定工作區存取權限和身分

使用 ChatGPT 工作區成員資格、席位、群組和受支援的 RBAC 權限， 向目標使用者授予受支援的工作區功能。請依據當前工作區指南驗證本機 客戶端和 Codex 雲端存取權限， 不要假定同一個角色控制所有使用端。僅向負責管理工作區的人員 授予內建管理角色。

工作區控制項和標籤會隨時間變化。請使用以下來源瞭解當前 操作流程：

• 管理成員、席位類型、角色和存取權限
• 設定基於角色的存取控制
• 管理工作區設定
• 群組與預配
• 使用者生命週期管理
• 身分驗證

使用具有預期權限的成員帳戶測試登入和功能存取。工作區存取權限不會授予已連線服務中的儲存庫、檔案或操作存取 權限。

設定 Work Cloud 的本機電腦存取權限

如果部署包含 Work 或 dots 的本機電腦存取，請在部署前檢查 Agent Security 中的策略。策略遷移和功能存取是兩項獨立的變更；確認流程不要求先建立策略才能啟用存取。啟用受管策略時，受支援的 Global 策略負責管控雲端編排。本機執行要求和裝置控制負責管控已連線的電腦。Work 雲端容器和 dots 雲端電腦使用各自的執行設定和要求。請按照 Work Cloud 和 dots 的本機電腦存取瞭解各自的設定和資格要求。

使用策略 API 管理 Global 設定。要管理 Local 或 Codex Cloud 設定，請使用 Agent Security UI。現有 Global API 工作流程在遷移後仍然可用。請測試指令碼和 Terraform 整合，並確認策略分配和排序保持不變。

啟用同步前，請檢查相容性：

網路策略。在支援環境覆蓋的情況下，請測試受管設定中記錄的 experimental_network 例外。即使環境允許存取，全域限制仍可能有效。

• 企業鉤子。 如果工作區已啟用此功能，Work Cloud 的本機電腦存取支援管理員定義的 MCP 鉤子，這些鉤子在雲端協調器（編排器）上針對受支援的生命週期事件和工具事件執行。雲端編排不支援命令鉤子，也不支援來自本機設定或外掛的鉤子，即使工具在本機執行也是如此。

• 不受支援的鉤子。 雲端編排不支援命令鉤子，也不支援來自本機設定或外掛的鉤子，即使工具在本機執行也是如此。當編排和執行均在本機進行時，現有受支援的鉤子仍可在僅限本機的 Work 和 Codex 聊天中使用。管理員仍可在 Agent Security 中為這些工作流程設定受支援的受管鉤子。

• 稽核。 在依賴這些鉤子之前，請測試回呼連線，確認它接收的事件，並檢查失敗對任務的影響。MCP 鉤子不提供完整的 Compliance API 稽核記錄。

• 資料要求。Work Cloud 的本機電腦存取不提供嚴格的零資料保留。資料駐留和推理駐留僅涵蓋符合條件的內容，以及受支援的工作負載、區域和設定。Enterprise Key Management (EKM) 涵蓋符合條件的工作區中受支援的已儲存內容。Work 不支援 阿聯酋推理駐留。如果任何雲端策略中啟用了 enforce_residency，Work 和 dots 的允許本機電腦存取 都會被停用。這項保護措施不會設定工作區駐留，也不會單獨停用 Work Cloud 或 dots。如果組織要求 ZDR，請勿啟用此功能。

作為工作區所有者，請檢查目標使用者或群組的 Work 權限。啟用 Work Cloud，然後開啟允許本機電腦存取。使用受支援的角色分配授予存取權限。請參閱角色和工作區權限。

第 3 步：設定本機執行時要求

當使用者在 ChatGPT 桌面應用程式、Codex CLI 或 IDE 擴充功能中啟動受支援的 本機執行，本機要求會約束執行時行為。透過受支援的雲端、裝置或系統管道 分發 requirements.toml。請將 此策略與 ChatGPT 工作區角色和群組分開管理。

對於受支援的本機客戶端，請使用權限設定檔，避免圍繞舊版 沙盒模式限制建置新部署。例如：

default_permissions = ":workspace"

[allowed_permission_profiles]
":read-only" = true
":workspace" = true

要在受支援的瀏覽器和桌面功能端全面停用 Computer Use， 請約束參與該體驗的每個公開功能鍵：

[features]
browser_use = false
browser_use_full_cdp_access = false
browser_use_external = false
in_app_browser = false
computer_use = false

有關權威鍵列表、分發行為、優先順序以及更多 範例，請參閱 受管設定和 requirements.toml 參考。

第 4 步：統一儲存庫設定

使用儲存庫級設定共享專案預設設定、規則和 技能，無需為每位使用者重複設定。根據功能文件中指定的位置，將設定提交到 .codex 或 .agents：

儲存庫設定可以提供預設設定和可重複使用的工作流程，但不能 授予工作區、模型、Platform API 或已連線系統的存取權限。

第 5 步：設定 Codex 雲端

Codex 雲端使用託管環境和已連線的原始碼儲存庫。

Enterprise 工作區預設關閉 Codex Cloud。現有的在雲端使用 Codex 設定會從 Codex Cloud (Legacy) 沿用：已經 啟用 Cloud 的工作區保留存取權限，已停用 Cloud 的工作區則保持關閉， 直到管理員將其啟用。存取權限仍受部署和工作區 限制約束。

規劃每個邊界：

1. 向目標使用者授予在雲端使用 Codex 權限。另行向 建立和編輯工作區共享環境的人員授予管理工作區環境 權限。請參閱 工作區角色指南。
2. 安裝並設定受支援的源系統整合。
3. 在源系統中，將儲存庫存取權限限制為各類 使用者所需的儲存庫。
4. 為這些儲存庫設定雲端環境、敏感資訊、網際網路存取權限以及受支援的 雲端受管要求。
5. 設定程式碼審查等可選託管工作流程。
6. 使用具有代表性的成員測試任務存取，並由 指定管理員測試環境管理。驗證每個人的工作區、環境 和儲存庫權限。

雲端環境不會繼承本機裝置策略、MDM 設定或本機 網路存取權限。請將受支援的雲端受管要求與 安裝在使用者電腦上的要求分開審查。請參閱 連線到服務 瞭解目標位置存取權限，並參閱 Agent Security 瞭解工作區要求如何約束雲端環境。

Codex 雲端遵循已連線源系統提供的儲存庫權限和 保護措施。工作區存取權限不會繞過這些控制。有關設定和 執行時指南，請參閱雲端環境。

第 6 步：設定外掛和已連線功能

請將外掛安裝、捆綁技能、由連接器支援的功能、 連接器操作和源系統授權作為獨立決策進行審查。 停用由連接器支援的功能不一定會解除安裝 外掛或其捆綁技能。

在將外掛或技能納入部署之前：

1. 確認其來源、責任人、目標使用者和審查日期。
2. 審查捆綁的技能、連接器、MCP server、鉤子，以及每項功能所需的資料和 操作。
3. 使用非敏感資料和所需的最低存取權限進行測試。
4. 記錄負責複核和停用的人員。

外掛可用於 ChatGPT 網頁端、桌面端和行動端的 Chat 和 Work， 也可用於 ChatGPT 桌面應用程式中的 Codex，以及 Codex CLI 外掛瀏覽器。 IDE 擴充功能不支援外掛。 ChatGPT 和 Codex 共享一個通用的公開外掛目錄；工作區 控制決定成員可以存取其中哪些外掛。

有關完整模型，請參閱外掛控制和 技能控制。

第 7 步：建立治理和可觀測性

選擇與問題相匹配的報告管道：

• 使用工作區分析進行 互動式 ChatGPT 工作區分析和 Codex 分析。
• 使用 Analytics API，透過 Codex Analytics API 以程式化方式生成彙總報告。
• 使用 Compliance API取得稽核和 調查記錄。
• 當方案相關的 Codex 活動消耗符合條件的 ChatGPT 工作區 點數時，使用 ChatGPT 使用量限制和支出控制 進行管理。

建置整合時，請使用需要身分驗證的 API 參考文件，瞭解當前存取要求、資料結構、 欄位、保留期限和請求行為。

保護整合邊界：

• 將 API key 和其他整合憑證儲存在組織的 敏感資訊管理系統中。
• 將下游系統和保留資料的存取權限限制為已獲核准的 使用者。
• 根據匯出的 Compliance API 記錄的敏感程度和 組織的保留策略保護這些記錄，並依據當前介面約定測試收集和刪除 工作流程。

第 8 步：驗證並維護部署

啟用 Work Cloud 的本機電腦存取後，建立新任務，並從另一臺受支援的裝置繼續對話。現有任務不會遷移，會保留原有的僅限本機或僅限雲端行為。對於需要電腦檔案或工具的步驟，請保持電腦線上。測試一項策略應允許的操作和一項應阻止的操作，分別檢查本機和雲端執行所適用的核准、檔案系統和網路限制。還應測試本機電腦不可用時啟動新一輪互動的情況。符合條件的任務可以在雲端容器中繼續執行，但無法存取該電腦的本機檔案或工具。任務無法在一輪互動期間從本機執行切換到雲端。

記錄實際生效的設定和每項測試的結果。如果限制未按預期生效，請在使用者依賴該限制之前解決問題。按照文件說明的行為停用同步。將移除存取權限、中斷任務和資料保留視為獨立操作。

使用具有代表性的身分驗證每個適用邊界：

• ChatGPT 工作區成員資格、席位和受支援的角色權限。
• ChatGPT 桌面應用程式、Codex CLI 和 IDE 擴充功能中所涵蓋的本機功能，包括登入和實際生效的執行時要求。
• Codex 雲端存取權限、環境設定和儲存庫權限。
• API key 工作流程的 Platform API 組織和專案存取權限。
• 外掛安裝、捆綁技能、連接器存取權限和受支援的操作。
• 已連線系統的授權和資料存取權限。
• 負責管理員的分析和合規存取權限。

記錄每項控制的負責人和當前操作流程來源。這份記錄 可讓管理員在 UI 或策略變化時更新操作流程，而無需 改變管理模型。

首次部署後，審查存取權限、已連線功能、點數使用量、 支援回饋以及團隊實際使用的工作流程。當這些訊號發生變化時，調整部署 範圍和管理員指南。

如果需要關閉 Work Cloud 的本機電腦存取

關閉 Work Cloud 的本機電腦存取會中斷當前正在執行的互動輪次。使用者可以在現有雲端對話中啟動新一輪互動。該輪互動會自動使用 Work Cloud，且無法存取本機檔案。請告知使用者在中斷後啟動新一輪互動，並說明雲端聊天將無法再存取本機檔案。