角色與工作區權限
區分 ChatGPT 工作區存取與本機執行時、API、外掛 和來源系統控制
不同的設定覆蓋組織 ChatGPT 體驗的不同部分。在一個區域授予某人存取權限，並不會自動授予其 對另一個區域的存取權限。請使用本頁瞭解六個控制邊界如何 協同工作，然後按照連結的指南完成當前設定步驟。
在工作區設定中，Codex 與 Work 本機存取（Codex and Work Local） 透過 允許成員在本機使用 Codex 和 Work（Allow members to use Codex and Work Locally） 統一管理本機 Codex 和 Work 存取權限。其他工作區會將 Codex 本機存取（Codex Local） 和 Work 本機存取（Work Local） 分為獨立部分。在這種 佈局中，允許成員在本機使用 Codex（Allow members to use Codex locally） 授予本機 Codex 存取權限， 在本機使用 Work（Use Work locally） 授予本機 Work 存取權限。啟用其中一項不會授予 另一項的存取權限。這些標籤表示工作區權限，而不是獨立的 產品或客戶端。根據工作區的不同，令牌權限和憑證有效期限制會顯示 在 存取令牌 部分或本機存取權限部分。託管設定是一個獨立層， 用於約束這些客戶端中相關功能所支援的執行時行為。不同客戶端和版本的 功能及實際要求可能有所不同。
瞭解控制邊界
| 邊界 | 控制範圍 | 不控制的範圍 | 當前參考資料 |
|---|---|---|---|
| ChatGPT 工作區 | 成員資格、席位、內建管理角色，以及對受支援的工作區功能的基於角色的存取權限 | 本機智能體權限、Platform API 組織存取權限，或已連線服務中的權限 | ChatGPT 工作區存取權限和基於角色的存取控制（RBAC） |
| 本機客戶端 | ChatGPT 桌面應用程式、Codex CLI 和 IDE 擴充功能中受管控功能的執行時行為，包括核准、檔案系統和網路存取、權限設定檔，以及允許的整合 | ChatGPT 席位、功能或模型使用資格，或外部資料存取權限 | 託管設定和權限 |
| Codex 雲端 | 使用託管 Codex 工作流程的資格，以及向使用者開放的雲端環境 | 本機執行時策略，或源系統授予的儲存庫權限 | 雲端環境 |
| Platform API | 使用 API 身分驗證時的組織和專案成員資格、API key、模型存取權限、用量和計費 | ChatGPT 工作區成員資格、本機客戶端存取權限，或 Codex 雲端存取權限 | OpenAI API Platform |
| 外掛 | 外掛可用性和安裝、隨附技能、連接器存取權限，以及受支援的連接器操作 | 已連線服務中的授權，或更廣泛的本機和雲端執行時權限 | 外掛控制 |
| 已連線系統 | 已通過身分驗證的帳戶在源系統中可以存取的儲存庫、檔案、訊息和操作 | ChatGPT 工作區、外掛、Codex 雲端或 Platform API 的使用資格 | 已連線服務的管理和存取控制 |
一個請求必須通過所有適用的邊界。例如，工作區存取可以讓某個外掛對使用者可用，但已登入帳號能夠讀取哪些資料仍由連線服務決定。本機權限設定檔可以限制受支援本機客戶端中的執行，但不能授予工作區功能或模型。
分配工作區存取權限
ChatGPT 工作區管理將產品存取權限與管理 權限分開。
瞭解席位、管理員角色和自訂角色之間的區別
席位決定成員可以存取哪些產品介面。根據 工作區方案，可用的席位類型可能包括 ChatGPT 和 Codex 席位。
內建工作區角色決定管理權限。所有者（Owner） 角色 管理工作區範圍的設定，管理員（Admin） 角色管理受支援的操作 和組，成員（Member） 角色沒有管理權限，而 分析檢視者（Analytics Viewer） 角色可以存取工作區分析。
自訂角色定義成員可以使用哪些受支援的功能。它們不會 取代席位或方案資格，不會授予所連線系統中的權限，也不會 更改本機執行時要求。
設定工作區預設值，然後建立針對性的自訂角色
只有工作區所有者可以設定基於角色的存取控制 (RBAC) 並建立 自訂角色。工作區設定為適用的權限建立基準。 在支援的情況下，工作區所有者可以透過群組或直接向 單一成員分配自訂角色。群組可以手動管理或透過 SCIM 同步， 一個成員可以獲得多個自訂角色。
對於符合條件的權限，預設 繼承工作區設定，開啟 透過該角色授予存取權限，關閉 則不透過該 角色授予存取權限。普通角色權限以疊加方式合併：其他已分配角色 仍可授予存取權限。請檢查直接分配的角色和透過群組獲得的角色。 鎖定模式和產品使用資格另行適用。可用的權限 狀態可能因功能而異。
檢視 Work Local 和 Work Cloud 權限
在 管理控制台 > 權限與角色 > 工作區功能 > 雲端電腦功能 下設定 雲端瀏覽器使用 和 雲端網路存取。這些共享功能可供 Work Cloud 和 dots 使用，並且可以獨立於 Work Cloud 存取權限進行設定。Work 任務仍需要 Work 存取權限，以及使用其所需各項功能的權限。請分別檢查瀏覽器存取權限以及程式碼或 shell 的網路存取權限。停用其中一項不會自動停用另一項。
當你的工作區提供 Work 本機存取（Work Local） 和 Work Cloud 時，請同時檢查 工作區預設設定和每個適用的自訂角色。Work 僅對 符合條件的工作區可用，且可用的控制項可能因方案、工作區 設定和發布進度而異。角色無法擴大成員席位所允許的 存取範圍。
Work Cloud 控制雲端支援的 ChatGPT Work 任務。當這些 控制項相互獨立時，啟用 Work 本機存取（Work Local） 但未啟用 Work Cloud，成員可以在 ChatGPT 桌面應用程式中進行本機工作，但無法啟動雲端任務。 本機 Codex 存取由 Codex Local 中的 允許成員在本機使用 Codex（Allow members to use Codex locally） 控制。更改 在本機使用 Work（Use Work locally） 不會改變本機 Codex 存取權限，也不會 取代本機執行時要求。
部分工作區會改為顯示合併後的 Codex 與 Work 本機存取（Codex and Work Local） 部分。在 這種佈局中，允許成員在本機使用 Codex 和 Work（Allow members to use Codex and Work Locally） 同時控制這兩項 產品。
有關當前的使用資格和設定，請參閱 ChatGPT Work 和 Codex。
由於可用席位、角色和權限會隨產品及方案 更新而變化，請前往幫助中心檢視當前的權限列表和設定 流程：
檢查 Codex Cloud 存取權限和環境管理權限
請分別檢查以下權限：
| 權限 | 控制範圍 |
|---|---|
| 在雲端使用 Codex | 在 Codex Cloud 中執行任務的存取權限 |
| 管理工作區環境 | 建立和編輯與工作區共享的環境 |
管理工作區環境 位於在雲端使用 Codex 之下， 需要雲端存取權限，且預設關閉。請在推廣使用前檢查此權限的授予情況。 擁有雲端存取權限的成員可以建立和編輯自己的個人環境， 無需管理權限。擁有共享環境的存取權限並不 意味著有權更改其設定。
使用有代表性的身分驗證這兩種工作流程：使用環境的 成員，以及負責管理環境的人員。兩者仍需在 已連線的儲存庫和服務中擁有相應的存取權限。參閱 雲端環境，瞭解設定和共享方式， 並參閱管理員推廣指南 以規劃雲端策略。
透過 Work Cloud 存取本機電腦
工作區所有者可以為符合條件的使用者啟用允許存取本機電腦。請為目標使用者啟用 Work Cloud。允許存取本機電腦 是 Work Cloud 下的子設定。你無需啟用在 ChatGPT 桌面應用程式中本機使用 Codex。成員必須使用 ChatGPT 登入目標工作區。如果任一雲策略啟用了 enforce_residency，Work 和 dots 的允許存取本機電腦 都會被停用。這項保護措施不會設定工作區的資料駐留，也不會單獨停用 Work Cloud 或 dots。
啟用同步前，請檢查 Agent Security 對本機執行的要求。如果你目前僅透過 MDM 下發策略，請在設定 Agent Security 前檢查適用的本機策略優先順序。對於本機執行，MDM 和舊版受管裝置要求的優先順序高於 Agent Security，而系統要求檔案的優先順序低於 Agent Security。啟用受管策略後，受支援的 Global 策略控制雲端編排；本機執行要求控制已連線的電腦。Work 雲容器保留現有的 Work Cloud 策略。
使用策略 API 管理 Global 設定。要管理 Local 或 Codex Cloud 設定，請使用 Agent Security 介面。遷移後，現有的 Global API 工作流程仍然可用。請測試指令碼和 Terraform 整合，並確認策略分配和排序保持不變。
設定並驗證存取權限：
確保工作區預設設定適合整個組織。
為需要存取權限的使用者或群組分配受支援的自訂角色。
檢查所有適用的角色。在一個普通角色中關閉某項權限，不會撤銷另一個角色授予的存取權限。
使用具有預期權限的成員帳號測試存取。
透過 Work Cloud 存取本機電腦的任務由雲端協調，仍可透過已連線的電腦執行本機步驟。對於企業使用者，推出時應用內的 Local/Cloud 切換開關及其預設值保持不變。同步權限不會授予席位、已連線應用的存取權限、作業系統權限或不受限制的裝置存取權限。本機 Codex 的權限和行為仍獨立管理。有關策略範圍，請參閱受管設定；有關相容性要求，請參閱 Work 管理員常見問題。
關閉透過 Work Cloud 存取本機電腦會中斷當前正在執行的輪次。使用者可以在現有雲端對話中開始新一輪互動。該輪次會自動使用 Work Cloud，且無法存取本機檔案。關閉同步本身不會撤銷成員的工作區存取權限。
控制 Computer History 存取權限
對於 Business 和 Enterprise 工作區，Computer History 預設處於關閉狀態。 在工作區所有者明確授予存取權限之前，成員無法將其開啟。Enterprise 工作區所有者可以按角色授予存取 權限：
- 開啟 工作區設定 > 權限和角色。
- 找到 Computer History，然後選擇應獲得 存取權限的工作區角色。
- 為該角色開啟啟用 Computer History。
此權限僅允許獲分配的成員開啟 Computer History； 並不會替他們開啟該功能。每位成員都必須在 macOS 上的 ChatGPT 桌面應用程式中選擇啟用，並可選擇哪些應用和網站提供內容。沒有所需 工作區權限的成員無法透過本機設定啟用此功能。
應用本機執行時策略
本機執行時策略會約束 ChatGPT 桌面 App、Codex CLI 和 IDE 擴充功能中受覆蓋的能力。雲端託管要求還依賴受支援的 ChatGPT 登入方式和方案資格。權限設定檔與託管要求可以限制命令、檔案系統存取、網路存取、核准及其他本機執行時行為，但不會改變使用者的席位、工作區角色、模型授權或外部系統權限。
本機策略允許時，使用者可以選擇內建或自訂權限設定檔。管理員可以透過受支援的託管設定管道下發預設值和要求。設定檔行為請參見權限，要求、下發方式和優先順序請參見託管設定。