Leitfaden zur administrativen Einführung

Nutze diesen Leitfaden, um die Einführung von ChatGPT Enterprise für folgende Verwaltungsbereiche zu planen:

• Workspace-Zugriff.
• Lokale Laufzeitrichtlinie für die betreffenden Funktionen in der ChatGPT Desktop-App, in der Codex CLI und in der IDE-Erweiterung.
• Codex Cloud.
• Zugriff auf die Platform API.
• Zugriff auf Plug-ins und Konnektoren.
• Berechtigungen in verbundenen Systemen.

Führe die Schritte bei einer Neueinführung der Reihe nach aus oder nutze die verlinkten Seiten, um nur einen Bereich zu ändern.

In den Workspace-Einstellungen ist Codex Local eine Sammelbezeichnung für bestimmte Steuerelemente für den lokalen Zugriff und für Zugriffstoken; es ist kein separates Produkt und kein eigener Client. Die aktuelle Einstellung Mitgliedern die Nutzung von Codex Local erlauben gilt für die lokale Nutzung in der ChatGPT Desktop-App, in der Codex CLI und in der IDE-Erweiterung. Verwaltete Konfiguration bildet eine separate Richtlinienebene, mit der sich das unterstützte Laufzeitverhalten der betreffenden Funktionen in diesen Clients einschränken lässt. Dieser Leitfaden nennt die jeweilige Oberfläche, wenn sich Verhalten oder Verfügbarkeit unterscheiden.

Beginne mit der maßgeblichen Übersicht unter Rollen und Workspace-Berechtigungen. Nutze für aktuelle Verfahren im ChatGPT-Workspace die Anleitungen im Hilfecenter und für das lokale sowie gehostete Laufzeitverhalten die verlinkte Entwicklerdokumentation.

Informationen zu Sicherheit, Datenschutz und Laufzeitschutz für Unternehmen findest du unter Genehmigungen und Sicherheit für Agenten sowie im Whitepaper zu Codex Security.

Schritt 1: Verantwortliche und Art der Einführung festlegen

Lege für jeden Teil der Einführung eine verantwortliche Person fest:

• Workspace-Zugriff: Mitgliedschaft, Lizenzen, Rollen und unterstützte Workspace-Funktionen.
• Lokale Laufzeitrichtlinie: Genehmigungen, Berechtigungsprofile, Dateisystem- und Netzwerkzugriff sowie weitere Anforderungen für unterstützte lokale Clients.
• Codex Cloud: Gehostete Umgebungen, Repository-Verbindungen und Laufzeitrichtlinie für die Cloud.
• Verbundene Systeme: Installation von Anwendungen beim Anbieter, Konten und Berechtigungen.
• Berichterstellung und Compliance: Zugriff auf Analysen, Exporte von Audit-Daten und nachgelagerte Datenverarbeitung.

Entscheide, ob die jeweilige Zielgruppe die betreffenden lokalen Funktionen in der ChatGPT Desktop-App, in der Codex CLI, in der IDE-Erweiterung, in Codex Cloud oder in einer Kombination benötigt. Behandle den Zugriff auf die Platform API als separaten Zugriffsbereich auf Organisations- und Projektebene, wenn ein Arbeitsablauf die Authentifizierung per API-Schlüssel nutzt.

Schritt 2: Workspace-Zugriff und Identität konfigurieren

Nutze Mitgliedschaften, Lizenzen und Gruppen im ChatGPT-Workspace sowie unterstützte RBAC-Berechtigungen, um den vorgesehenen Zielgruppen Zugriff auf unterstützte Workspace-Funktionen zu gewähren. Prüfe den Zugriff über lokale Clients und auf Codex Cloud anhand der aktuellen Workspace-Dokumentation, statt davon auszugehen, dass dieselbe Rolle den Zugriff auf jede Oberfläche regelt. Vergib integrierte Administrationsrollen nur an Personen, die den Workspace verwalten.

Die Steuerelemente und Bezeichnungen im Workspace ändern sich mit der Zeit. Aktuelle Verfahren findest du in diesen Quellen:

• Mitglieder, Lizenztypen, Rollen und Zugriff verwalten
• Rollenbasierte Zugriffskontrolle konfigurieren
• Workspace-Einstellungen verwalten
• Gruppen und Bereitstellung
• Authentifizierung

Teste die Anmeldung und den Funktionszugriff mit einem repräsentativen Mitglied, bevor du die Einführung ausweitest. Der Workspace-Zugriff gewährt keinen Zugriff auf Repositories, Dateien oder Aktionen in einem verbundenen Dienst.

Schritt 3: Lokale Laufzeitanforderungen konfigurieren

Lokale Anforderungen schränken das Laufzeitverhalten ein, wenn jemand eine unterstützte lokale Ausführung in der ChatGPT Desktop-App, in der Codex CLI oder in der IDE-Erweiterung startet. Stelle requirements.toml über einen unterstützten Cloud-, Geräte- oder Systemkanal bereit. Halte diese Richtlinie von Rollen und Gruppen im ChatGPT-Workspace getrennt.

Verwende für unterstützte lokale Clients Berechtigungsprofile, statt bei neuen Bereitstellungen auf die bisherigen Einschränkungen des Sandbox-Modus zu setzen. Beispiel:

default_permissions = ":workspace"

[allowed_permission_profiles]
":read-only" = true
":workspace" = true

Um die Computernutzung auf den unterstützten Browser- und Desktop-Oberflächen zu deaktivieren, schränke jeden öffentlichen Funktionsschlüssel ein, der zu dieser Funktion gehört:

[features]
browser_use = false
browser_use_full_cdp_access = false
browser_use_external = false
in_app_browser = false
computer_use = false

Die maßgebliche Schlüsselliste, Angaben zu Bereitstellungsverhalten und Vorrangregeln sowie weitere Beispiele findest du unter Verwaltete Konfiguration und in der Referenz zu requirements.toml.

Schritt 4: Repository-Konfiguration standardisieren

Nutze eine Konfiguration auf Repository-Ebene, um Standardwerte für das Projekt, Regeln und Skills gemeinsam bereitzustellen, ohne das Setup für jede Person zu duplizieren. Checke die Konfiguration je nach dokumentiertem Speicherort der jeweiligen Funktion unter .codex oder .agents ein:

Die Repository-Konfiguration kann Standardwerte und wiederverwendbare Arbeitsabläufe bereitstellen. Sie kann keinen Zugriff auf den Workspace, Modelle, die Platform API oder verbundene Systeme gewähren.

Schritt 5: Codex Cloud konfigurieren

Codex Cloud nutzt gehostete Umgebungen und verbundene Quellcode-Repositories. Plane jeden Bereich separat:

1. Gewähre der vorgesehenen Zielgruppe über unterstützte Workspace-Steuerelemente Zugriff auf Codex Cloud.
2. Installiere und konfiguriere die unterstützte Integration des Quellsystems.
3. Beschränke den Repository-Zugriff im Quellsystem auf die Repositories, die die jeweilige Zielgruppe benötigt.
4. Konfiguriere Cloud-Umgebungen, Secrets und Internetzugang für diese Repositories.
5. Konfiguriere optionale gehostete Arbeitsabläufe wie Code Review.
6. Teste mit einer repräsentativen Person, die über die vorgesehenen Workspace- und Repository-Berechtigungen verfügt.

Codex Cloud hält die Repository-Berechtigungen und Schutzmechanismen ein, die das verbundene Quellsystem vorgibt. Der Workspace-Zugriff setzt diese Kontrollen nicht außer Kraft. Unter Cloud-Umgebungen, GitHub-Integration und Genehmigungen und Sicherheit für Agenten findest du Hinweise zum Setup und zum Laufzeitverhalten von Codex Cloud.

Schritt 6: Plug-ins und verbundene Funktionen konfigurieren

Entscheide separat über die Installation von Plug-ins, mitgelieferte Skills, konnektorgestützte Funktionen, Konnektoraktionen und die Autorisierung im Quellsystem. Das Deaktivieren einer konnektorgestützten Funktion führt nicht zwangsläufig dazu, dass das Plug-in oder die mitgelieferten Skills deinstalliert werden.

Bevor du ein Plug-in oder einen Skill in die Einführung aufnimmst:

1. Prüfe die Quelle, die verantwortliche Person, die vorgesehene Zielgruppe und das Datum der Überprüfung.
2. Prüfe mitgelieferte Skills, Konnektoren, MCP-Server, Hooks sowie die Daten und Aktionen, die für die jeweilige Funktion erforderlich sind.
3. Verwende für den Test nicht sensible Daten und beschränke den Zugriff auf das erforderliche Minimum.
4. Dokumentiere, wer für die erneute Überprüfung und Außerbetriebnahme verantwortlich ist.

Plug-ins funktionieren in Chat und Work in ChatGPT im Web, auf dem Desktop und auf Mobilgeräten, in Codex in der ChatGPT-Desktop-App sowie über den Plug-in-Browser der Codex CLI. In der IDE-Erweiterung sind sie nicht verfügbar. ChatGPT und Codex nutzen ein gemeinsames universelles öffentliches Plug-in-Verzeichnis. Die Zugriffssteuerungen des Workspace legen fest, auf welche dieser Plug-ins Mitglieder zugreifen können.

Das vollständige Modell findest du unter Steuerung von Plug-ins und Steuerung von Skills.

Schritt 7: Governance und Beobachtbarkeit einrichten

Wähle je nach Fragestellung die passende Berichtsoberfläche aus:

• Nutze Workspace-Analysen für interaktive Analysen für den ChatGPT-Workspace und Codex.
• Nutze die Analytics API für programmatisch erstellte, aggregierte Berichte über die Codex Analytics API.
• Nutze die Compliance API für Audit- und Untersuchungsdatensätze.
• Nutze ChatGPT-Nutzungslimits und Ausgabenkontrollen, wenn Codex-Aktivitäten je nach Tarif im ChatGPT-Workspace dafür vorgesehene Credits verbrauchen.

Nutze die authentifizierten API-Referenzen für aktuelle Informationen zu Zugriffsanforderungen, Schemas, Feldern, Aufbewahrungsfristen und dem Verhalten bei Anfragen. Entwickle keine Integration anhand einer in diesem Leitfaden kopierten Schnittstellendefinition.

Sichere die Integrationsgrenze ab:

• Speichere API-Schlüssel und andere Integrationszugangsdaten im organisationsinternen Secret-Management-System.
• Beschränke den Zugriff auf nachgelagerte Systeme und aufbewahrte Daten auf den autorisierten Personenkreis.
• Schütze exportierte Datensätze der Compliance API entsprechend ihrer Sensibilität und der Aufbewahrungsrichtlinie der Organisation. Teste Arbeitsabläufe zur Erfassung und Löschung anhand der aktuellen Schnittstellendefinition.

Schritt 8: Rollout überprüfen und aktuell halten

Überprüfe alle relevanten Bereiche anhand repräsentativer Identitäten:

• Mitgliedschaft im ChatGPT-Workspace, Lizenzplatz und unterstützte Rollenberechtigungen.
• Einbezogene lokale Funktionen in der ChatGPT-Desktop-App, der Codex CLI und der IDE-Erweiterung, einschließlich Anmeldung und tatsächlich geltender Laufzeitanforderungen.
• Zugriff auf Codex Cloud, Konfiguration der Umgebung und Repository-Berechtigungen.
• Organisations- und Projektzugriff in der Platform API für Arbeitsabläufe mit API-Schlüsseln.
• Installation von Plug-ins, mitgelieferte Skills, Zugriff auf Konnektoren und unterstützte Aktionen.
• Autorisierung und Datenzugriff in verbundenen Systemen.
• Zugriff auf Analyse- und Compliance-Funktionen für die zuständigen Administrierenden.

Dokumentiere für jede Kontrollmaßnahme die zuständige Stelle und die maßgebliche Quelle für das jeweils aktuelle Verfahren. Anhand dieser Angaben können Administrierende die Verfahren bei Änderungen an der Benutzeroberfläche oder an Richtlinien aktualisieren, ohne das Administrationsmodell zu ändern.

Überprüfe nach dem ersten Rollout die Zugriffsrechte, die verbundenen Funktionen, die Nutzung von Credits, das Support-Feedback und die von den Teams tatsächlich genutzten Arbeitsabläufe. Passe den Umfang des Rollouts und die Leitlinien für Administrierende an, wenn sich diese Faktoren ändern.