使用者生命週期管理

使用本指南，可在員工入職時為其授予適當的 ChatGPT 工作區存取權限， 在其職責發生變化時更新這些權限，並在其離職時移除存取權限。此流程還涵蓋工作區席位、基於群組的角色、 Codex 存取令牌，以及擁有自身存取控制的關聯系統。

單點登入 (SSO) 用於驗證員工身分。預配會將 員工新增到工作區。這兩項操作本身都不能決定員工的席位、 功能權限、本機執行時策略或對外部系統的存取權限。

請圍繞三個生命週期里程碑管理員工存取權限：

• 入職： 預配工作區存取權限、群組、角色及正確的席位。
• 調動： 更新員工所屬的群組，並僅移除已過時的直接角色。
• 離職： 移除工作區存取權限、撤銷令牌並檢查關聯系統。

驗證先決條件並指定負責人

在員工入職前，確定由誰負責生命週期的各個環節：

確認目標工作區，並在需要時驗證組織的電子郵件域， 同時確定一位能夠啟用目錄 同步的工作區所有者。然後檢查工作區方案支援哪些控制項：

SCIM 是 System for Cross-domain Identity Management 的縮寫。Business 工作區可以在不支援 SCIM 的情況下支援 Codex 存取令牌，而 Edu 工作區 可以在不支援 Codex 存取令牌或僅限 Codex 的席位的情況下支援 SCIM。請僅應用 你的工作區可用的控制項。

Business 工作區只有在 2026 年 6 月 24 日之前已有 Codex 席位，或截至該日期存在符合條件的待處理 Codex 席位邀請時，才能保留和新增僅限 Codex 的席位。 新的 Business 工作區，以及沒有符合條件的席位或 邀請的工作區，無法新增首個僅限 Codex 的席位。請參閱 管理 ChatGPT Business 中的工作區生命週期和遷移。

如果工作區支援多種席位類型，請在啟用自動 預配之前，檢查 工作區設定 > 身分與存取（Workspace settings > Identity & access） 中的預設設定。透過 SCIM 預配的使用者會繼承該預設設定，而席位決定 哪些產品介面可用。自訂角色無法授予席位未包含的存取權限。

使用 權限與角色（Permissions & roles） 檢查本機存取、存取令牌、 憑證有效期和遠端裝置控制項。部分工作區將本機 存取合併在 Codex 與 Work 本機存取（Codex and Work Local） 中，並使用 允許成員在本機使用 Codex 和 Work 控制項。其他工作區則將包含 允許成員在本機使用 Codex 的 Codex Local 與包含 在本機使用 Work 的 Work 本機存取（Work Local） 分開。 彼此獨立的 Codex 和 Work 控制項不會相互授予存取權限。令牌 控制項可能顯示在本機存取部分，也可能顯示在單獨的 Access tokens 部分。這些設定與群組成員資格和 已分配的席位類型相互獨立。

以下範例顯示了合併後的 Codex 與 Work 本機存取（Codex and Work Local） 控制項，以及單獨的 存取令牌 部分：

有關當前的先決條件和受支援的身分模式，請參閱 身分與預配 和管理成員、席位類型、角色和存取權限。

選擇員工加入工作區的方式

為每類使用者選擇一種主要預配方式：

對於未透過目錄同步管理的使用者，請使用手動邀請。如果工作區成員資格應在員工入職、轉崗或離職時 隨身分提供方的記錄變化，請使用 SCIM。

請勿同時啟用 Automatic Account Creation 和 SCIM。透過 Automatic Account Creation 新增的使用者可能不受 SCIM 管理，因此，將其從 身分供應商群組中移除後，其工作區存取權限可能不會被移除。有關當前指導，請參閱 SCIM 整合常見問題。

根據獲批的身分設定，SCIM 可以連線單一 ChatGPT 工作區或組織租戶。 請明確指定每個工作區和產品的 分配。共享目錄連線不會自動授予或移除 每個工作區或 Platform API 組織的存取權限。

將預配群組連線到正確的工作區

請在為員工預配帳戶之前設定連線。工作區 所有者和身分管理員各有職責：

1. 讓工作區所有者選擇目標 ChatGPT 工作區，並檢查 工作區設定 > 群組。記錄現有群組名稱、成員、 自訂角色分配，以及相關專案或 GPT 的共享情況。
2. 讓身分管理員確定要同步的具體身分提供方群組， 將其名稱和成員名單與每個 現有工作區群組進行比較。
3. 如果同步群組與現有工作區群組同名， 請在啟用同步前協調處理衝突群組或將其重新命名。 讓工作區所有者核准處理後的成員、繼承的角色和 共享情況。匹配的現有群組會改由 SCIM 管理，其成員資格 將轉由身分提供方控制。
4. 選擇要預配的群組，並記錄目標工作區、預期成員及群組角色分配。
5. 讓工作區所有者開啟工作區設定 > 身分與存取， 然後選擇啟用目錄同步。如果出現提示，為工作區級預配選擇僅對此工作區 使用 SCIM，或為已核准的租戶級預配選擇保留 跨產品擴展的選項。如果 租戶級 SCIM 已啟用，請管理現有連線， 而不是建立第二個工作區連線。
6. 讓身分管理員完成身分提供方連線， 選擇 ChatGPT 應用，並分配已核准的群組，將 成員預配到目標工作區。
7. 在工作區設定 > 群組 中，確認所選群組顯示 SCIM 標記。在將其用於存取控制之前，驗證群組名稱、同步成員和目標 工作區。
8. 讓工作區所有者開啟權限與角色 > 自訂角色， 建立或選擇已核准的角色，並將其分配給同步群組。 角色設定可在網頁端進行，且需要工作區所有者 權限。
9. 在為員工預配帳戶之前，審查群組實際生效的權限和工作區預設席位 類型。

身分供應商管理員控制應用和群組成員資格； 工作區所有者控制目錄同步和工作區角色 分配。有關當前各供應商的具體步驟和可用性，請參閱 SCIM 整合常見問題 和設定基於角色的存取控制。

預配新員工

對於透過 SCIM 管理的員工：

1. 確認目標工作區、已驗證的電子郵件地址、預設席位類型 和身分供應商群組。
2. 在身分供應商中，將員工分配給 ChatGPT 應用或授予存取權限的群組。
3. 等待目錄同步完成。如果員工未顯示，請檢查當前的 身分供應商狀態。
4. 在 工作區設定 > 成員（Workspace settings > Members） 中，驗證員工的電子郵件、 成員資格或待處理邀請、席位類型和 SCIM 標記。
5. 在 工作區設定 > 群組（Workspace settings > Groups） 中，確認員工屬於 目標同步群組。讓工作區所有者驗證分配給該群組的自訂 角色。
6. 讓一名代表性員工登入正確的工作區，並驗證 其所需的具體產品介面、功能和關聯系統。
7. 使用組織核准的流程，記錄存取權限負責人和成功的驗證結果。

如果手動新增員工，請從工作區成員 管理頁面傳送邀請，然後執行相同的席位、群組、角色和登入檢查。

群組用於組織成員，但其本身並不會授予對所有功能的存取權限。 有關當前的角色分配流程，請參閱 角色與工作區權限 和設定基於角色的存取控制。

在員工調動時更新存取權限

員工調動後，可能仍保留來自原有群組或角色 分配的存取權限。請先更新成員資格的權威來源，再驗證 新的存取層級：

1. 確定員工的新團隊、所需工作區、席位、獲批的 功能權限和目標群組。
2. 如果員工在變更期間必須持續留在工作區，請先將其新增到 獲批的目標群組，再將其從原群組移除。在身分供應商中更新由 SCIM 管理的成員資格；透過工作區管理更新 手動管理的成員資格。
3. 確認獲批的角色已分配給目標群組。 保留共享群組中的現有角色分配，以便其他成員 繼續擁有獲批的存取權限。
4. 只有在核准了單獨的群組級策略變更，並審查其對 每位成員的影響後，工作區所有者才能更改群組到角色的分配。
5. 讓工作區所有者開啟員工的個人資料，檢查 直接角色（Direct roles）， 並移除直接分配給該員工的過時角色。自訂角色使用 預設（Default）、 開啟（On） 和 關閉（Off）。任何已分配角色中的顯式 關閉（Off） 都會覆蓋 另一角色中的 開啟（On）。
6. 在核准團隊變更前，檢查員工在所有直接角色和 群組分配角色下的有效權限。
7. 如果工作區支援多種席位類型，讓工作區所有者開啟 工作區設定 > 成員 > 更改席位類型（Workspace settings > Members > Change seat type），並檢查 員工預期的產品存取權限。
8. 在將 ChatGPT 席位轉換為僅限 Codex 的席位前，確認 員工應失去對聊天、記憶、專案和其他 ChatGPT 功能的存取權限。底層資料不會被刪除；如果員工恢復為 ChatGPT 席位， 這些資料將再次可用。
9. 同步和權限更新完成後，同時驗證 新獲准的操作和應不再可用的操作。

如果員工擁有自動化工作流程，請檢查其 Codex 令牌、 金鑰管理器條目或關聯服務授權是否應移交給另一位 獲批的負責人。移除員工的本機 Codex 權限會暫停該 員工的 Codex 令牌，但不會將其撤銷。恢復權限會 重新啟用這些令牌，因此，對於必須永久失去存取權限的憑證，應將其撤銷。

移除離職員工

從管理員工工作區成員資格的權威系統開始：

1. 確定員工是由 SCIM 管理，還是由管理員手動新增。
2. 對於由 SCIM 管理的員工，請移除該員工的 ChatGPT 應用 分配，並在身分供應商中將其從所有授予存取權限的預配 群組中移除。請勿移除共享群組本身。
3. 對於不由 SCIM 管理的員工，讓工作區所有者或 管理員從 工作區設定 > 成員（Workspace settings > Members） 中移除該成員。
4. 確認該成員已不在目標工作區中。 對於由 SCIM 管理的存取權限，請確認同步已完成，且沒有 其他身分供應商分配能夠恢復成員資格。
5. 記錄已完成的移除操作，並指定負責人檢查令牌、 關聯系統和保留的資料。

如果身分供應商仍將員工分配到由 SCIM 管理的群組，請勿依賴工作區端的移除操作。 後續同步可能會將該 員工重新新增到工作區。

撤銷 Codex 存取令牌並移交自動化

將人員從工作區移除，並不能取代對受信任自動化所用 憑證的明確審查。僅當工作區支援並啟用了 Codex 存取令牌時，才應用此流程。

移除本機 Codex 權限會暫停現有令牌，但不會將其撤銷。 如果工作區所有者恢復權限，這些令牌可能會再次生效， 因此，對於必須永久失去存取權限的憑證，應明確將其撤銷。

存取令牌 頁面會標明每個令牌的建立者和狀態。使用 撤銷 移除活動令牌的存取權限：

1. 讓工作區所有者或管理員開啟 存取令牌。
2. 找出離職員工建立的令牌，以及使用這些令牌的工作流程。
3. 選擇替代身分。對於採用符合條件的按量付費方案、需要長期執行的非人類工作流程，請使用獲批的專用服務 帳號。否則，請指定一位 獲批且在職的工作流程負責人。如有需要，讓工作區所有者向該人員授予 建立存取令牌的權限，並確認其擁有 本機 Codex 權限。
4. 建立替代令牌。獲准的服務帳號操作員可以 從服務帳號詳情頁面建立令牌。對於個人 替代令牌，讓新的工作流程負責人為其自己的 ChatGPT 工作區身分建立令牌。如果對話框顯示 作用域，請選擇 Codex。僅當工作流程需要時，才選擇其他作用域。沒有 作用域 的對話框會建立僅限 Codex 的令牌。管理員無法 代表其他使用者建立個人令牌。
5. 更新工作流程中儲存的敏感資訊，然後驗證其能否使用替代令牌成功執行。
6. 讓工作區所有者或管理員撤銷離職員工的令牌 以及所有已替換的憑證。
7. 確認已撤銷的令牌無法再啟動需要身分驗證的新執行。

當獲批的替代負責人建立令牌時，請使用具有描述性的工作流程 名稱，並選擇組織策略允許的最短憑證有效期。 如果顯示 作用域，請選擇 Codex，並避免授予工作流程不需要的 權限。以下範例顯示了帶作用域的介面：

工作區所有者和管理員可以撤銷其工作區中的任何令牌。擁有 存取令牌權限的成員只能撤銷自己建立的令牌。有關當前的 令牌權限和輪換步驟，請參閱 存取令牌。

檢查關聯系統和保留的資料

如果該成員曾在 Work Cloud 中使用本機電腦存取功能，請將允許存取本機電腦 權限和已連線的電腦納入離職審查。檢查工作區和角色分配，以及各個已連線系統中的存取權限。

關閉 Work Cloud 的本機電腦存取功能會中斷正在進行的輪次。仍保有存取權限的使用者可以在現有雲端對話中啟動新一輪互動，此時會使用 Work Cloud，但無法存取本機檔案。這與移除工作區成員資格、撤銷憑證或刪除已儲存的資料是不同的操作。

撤銷存取權限後，分別檢查以下三個方面的結果：

• 活躍任務。確認已在執行的任務會如何處理，並對任何可能仍在執行的任務執行已確認的 Work 事件處理和存取權限撤銷流程。

• 已連線的裝置。確認此前連線的裝置是否仍能存取 Work。

• 已儲存的資料。分別檢查對話保留和刪除情況。移除存取權限本身並不意味著已儲存的資料已被刪除。

工作區預配不會管理所有授權邊界。請讓 相關服務負責人檢查以下各項的存取權限：

• 原始程式碼儲存庫和關聯的 GitHub 帳戶。
• Google Drive、Slack 和其他關聯應用。
• 已安裝的外掛、捆綁技能和由連接器支援的功能。
• 託管的 Codex 環境、共享自動化和儲存的敏感資訊。
• 託管裝置、本機儲存的憑證和受支援的遠端會話。
• 獨立的 Platform API 組織、專案和 API key。

請應用各系統自身管理的控制項，而不要假定工作區 群組或 SCIM 變更會更新所有位置的權限。有關完整的邊界模型，請參閱 角色與工作區權限；有關外掛可用性、捆綁技能和關聯應用權限，請參閱外掛控制。

移除工作區存取權限並不等同於刪除內容。成員 離開後，工作區會自動將其專案和自訂 GPT 的所有權重新分配給工作區所有者。這些專案不會被標記為刪除。 如果該成員重新加入，所有權將返還給該成員。

對於 Enterprise 和 Edu 工作區，聊天、檔案和 畫布文件遵循 已設定的工作區保留策略。Business 工作區會無限期保留聊天、 檔案和 畫布文件。Healthcare 工作區也提供 資料保留控制；請檢查適用的工作區設定和 ChatGPT Healthcare 指南。

重新分配專案或 GPT 不會轉移前成員的私密 對話或檔案，工作區所有者也無法透過所有權變更檢視這些私密內容。 有關當前各方案的具體行為，請參閱 工作區成員移除和資料保留。

如果安全或合規要求提供變更證據，請在獲批的系統中記錄 受影響的工作區、員工、身分供應商分配、完成時間、 核准負責人和令牌撤銷驗證結果。 在需要身分驗證的 Admin API 參考中確認可用記錄、管理員權限和保留期限。 敏感的合規作用域可能需要工作區所有者權限。有關產品 概述，請參閱 Compliance API 和稽核事件。 請勿根據本指南推斷事件覆蓋範圍、欄位或保留期限。

排查存取權限缺失或異常問題

大多數身分供應商每 30 到 40 分鐘同步一次，但有些會 立即應用更新。自訂角色的變更可能需要約五分鐘才會 顯示。你無法強制執行 SCIM 同步，因此，請勿透過移除後重新建立 工作區成員來規避延遲更新。

如果存取權限移除或群組更新在預期的 供應商特定時間視窗過後仍未完成，請讓身分管理員收集：

• 受影響的工作區和員工電子郵件地址。
• 身分供應商、應用分配和預配群組。
• 嘗試執行的變更、時間戳和最新同步狀態。
• 仍需檢查的直接角色、群組角色或令牌。

透過 幫助中心 聯絡 OpenAI Support，並提供這些詳細資訊。 將離職員工仍保有存取權限的情況視為安全 例外，並遵循組織的事件升級流程。

有關各供應商的具體設定和同步行為，請使用當前的 SCIM 整合常見問題。 有關登入和身分錯誤，請參閱 身分驗證故障排除。

驗證完整的員工生命週期

在更大範圍推出之前，使用一名代表性測試員工驗證所有三個 過渡階段：

記錄每項變更的核准人、已驗證的內容，以及由哪位負責人 處理所有剩餘的存取權限例外。按照組織的身分和安全策略，安排定期 存取權限審查。

相關文件

• 管理員上線指南
• 組與預配
• 角色與工作區權限
• 外掛控制
• 存取令牌
• 服務帳號
• 身分驗證
• 受管設定
• Compliance API 和稽核事件