Los tokens de acceso de Codex son credenciales del espacio de trabajo de ChatGPT con permisos limitados a Codex. Permiten autenticar flujos de trabajo locales de confianza y no interactivos con una identidad del espacio de trabajo de ChatGPT. Estos flujos incluyen el uso de Codex CLI y la automatización con App Server. Úsalos cuando un script, una tarea programada o un ejecutor de CI necesite acceso local de forma recurrente.
Actualmente, los espacios de trabajo de ChatGPT Business y ChatGPT Enterprise admiten tokens de acceso de Codex.
Crea tokens de acceso personales en la sección Tokens de acceso de la consola de administración de ChatGPT. Cada token pertenece a la persona que lo creó y a su espacio de trabajo de ChatGPT. Los tokens funcionan como identidades de agente en flujos de trabajo locales programáticos. Para obtener información sobre los tokens que se crean desde la página de detalles de una identidad no humana dedicada del espacio de trabajo, consulta Cuentas de servicio.
Si una clave de API de la plataforma te sirve para la automatización, sigue usando la autenticación con clave de API. Usa tokens de acceso de Codex cuando un flujo de trabajo local de confianza necesite específicamente acceso al espacio de trabajo de ChatGPT, derechos de uso administrados desde el espacio de trabajo o controles empresariales.
¿Necesitas activar desde tu propio sistema un agente publicado en tu espacio de trabajo de ChatGPT? Ese flujo de trabajo requiere acceso a Agentes del espacio de trabajo. Un token exclusivo de Codex no puede autenticar llamadas para activar agentes del espacio de trabajo. Si el cuadro de diálogo del token muestra Ámbitos, selecciona Agentes del espacio de trabajo para activar un agente y Codex para automatizar tareas con Codex. Concede varios ámbitos solo si el flujo de trabajo requiere cada uno de ellos. Consulta Autenticación con tokens de acceso de agentes del espacio de trabajo.
Cómo funcionan los tokens de acceso
Usa un token de acceso cuando Codex CLI o un cliente de App Server deba ejecutarse sin que un usuario tenga que iniciar sesión en el navegador. El token representa al usuario del espacio de trabajo de ChatGPT que lo creó. Así, las ejecuciones pueden usar los permisos de ese usuario y figurar en los datos de gobernanza del espacio de trabajo.
Al iniciar una ejecución, el cliente verifica el token y vincula la ejecución con esa identidad del espacio de trabajo. Trata el token como cualquier otro secreto de automatización. Guárdalo en un gestor de secretos, evita que aparezca en los registros y rótalo según la política de tu organización.
Usa tokens de acceso para los siguientes casos:
- Tareas de
codex execque se ejecutan desde una automatización de confianza. - Scripts locales que necesitan ejecutar Codex CLI de forma repetida y sin interacción del usuario.
- Automatizaciones de confianza basadas en App Server.
- Flujos de trabajo empresariales que asocian el uso con un usuario del espacio de trabajo de ChatGPT en lugar de una clave de API de la organización.
Principales riesgos que debes evitar:
- Filtración de secretos: cualquier persona que tenga el token puede iniciar ejecuciones locales con la identidad de quien lo creó mediante Codex CLI o un cliente de App Server. Guarda los tokens en un gestor de secretos, evita que aparezcan en los registros y rótalos según la política de tu organización.
- Ejecutores no confiables: los entornos de CI públicos, los Pull Requests provenientes de forks y las máquinas compartidas pueden exponer los tokens a personas ajenas a tu espacio de trabajo. Usa tokens de acceso solo en ejecutores de confianza.
- Identidades compartidas: si varios equipos sin relación entre sí reutilizan el token de una persona, es más difícil determinar quién es responsable y rastrear la actividad en los registros de auditoría. Crea los tokens para la persona responsable de cada flujo de trabajo.
- Credenciales obsoletas: los tokens de larga duración pueden seguir activos después de que cambie el flujo de trabajo. Da preferencia a los tokens con vigencia limitada y revoca los que ya no se usen.
- Ámbito o tipo de credencial incorrectos: la automatización con Codex requiere acceso a Codex, la activación de agentes del espacio de trabajo requiere acceso a Agentes del espacio de trabajo y las llamadas generales a la API de OpenAI requieren claves de API de la plataforma. Si aparece Ámbitos, concede solo los permisos que requiera el flujo de trabajo.
Habilitar la creación de tokens de acceso
Usa el permiso de tokens de acceso en la configuración del espacio de trabajo para que los miembros autorizados puedan crear tokens de acceso.
El permiso de tokens de acceso controla la creación de tokens. No concede acceso a la aplicación de escritorio de ChatGPT, a Codex CLI ni a la extensión del IDE. Tampoco cambia el tipo de licencia del miembro, su rol predefinido en el espacio de trabajo ni su perfil de permisos de ejecución local. Los flujos de trabajo de Codex CLI y App Server que se autentican con un token también requieren que el usuario tenga permiso para usar Codex de forma local.
Para conocer la relación entre estos controles, consulta Roles y permisos del espacio de trabajo.
- Pídele a un propietario del espacio de trabajo que abra Configuración del espacio de trabajo > Permisos y roles.
- Si aparece la sección Tokens de acceso, habilita Permitir que los usuarios creen tokens de acceso personales. Si esa sección no está disponible, habilita Permitir que los miembros usen tokens de acceso de Codex en Codex y Work en local o en Codex en local.
- Habilita el permiso de uso local de Codex que corresponda para la persona responsable del flujo de trabajo. Activa Permitir que los miembros usen Codex y Work de forma local en Codex y Work en local, o Permitir que los miembros usen Codex de forma local en Codex en local. Si Work en local tiene su propia sección, la opción Usar Work de forma local controla el uso del modo Work y no es necesaria para los tokens de Codex.
Permite crear tokens de acceso solo a las personas o responsables de servicios que sepan dónde se guarda el token, en qué automatización se usará y cuándo se debe rotar.
Al deshabilitar el permiso de uso local de Codex, los tokens de Codex activos de los miembros afectados quedan suspendidos, pero no se revocan. Si se restablece el acceso local a Codex, esos tokens se reactivan. Revoca los tokens cuando debas poner fin a su acceso de forma permanente.
Establecer un límite de vigencia para los tokens de acceso
Un propietario del espacio de trabajo puede establecer el período máximo de vigencia que los miembros pueden elegir para los nuevos tokens de acceso. Abre Configuración del espacio de trabajo > Permisos y roles. Si aparece la sección Tokens de acceso, configura allí el Límite de vigencia de los tokens de acceso. De lo contrario, busca esa opción en Codex y Work en local o en Codex en local.
El límite se aplica a los nuevos tokens de acceso. Los tokens existentes conservan su período de vigencia actual.
Crear un token de acceso
En la página Tokens de acceso, puedes darle un nombre al token, revisar los ámbitos de producto disponibles y elegir un período de vigencia adecuado.
- Ve a Tokens de acceso.
- Selecciona Crear.
- Ingresa un nombre descriptivo, como
release-cionightly-docs-check.
- Si el cuadro de diálogo muestra Ámbitos, selecciona Codex. Selecciona Agentes del espacio de trabajo solo si el mismo flujo de trabajo también necesita activar un agente del espacio de trabajo. Si el cuadro de diálogo no tiene un selector de ámbitos, se crea un token exclusivo de Codex.
- Elige un período de vigencia limitado, por ejemplo, de 7, 30, 60 o 90 días. Los tokens de acceso personales con ámbitos deben tener una fecha de vencimiento. Una versión anterior del cuadro de diálogo para tokens exclusivos de Codex puede ofrecer la opción Sin vencimiento. Evítala, a menos que tu organización la apruebe y rote el token según un calendario establecido.
- Selecciona Crear.
- Copia de inmediato el token de acceso generado. Una vez que cierres el cuadro de diálogo, ya no podrás volver a verlo.
- Guarda el token en tu gestor de secretos o en el almacén de secretos de CI.
El período de vigencia personalizado más corto es de un día. No puedes usar tokens revocados o vencidos para iniciar nuevas ejecuciones autenticadas.
Usar un token de acceso con Codex CLI
Si el cuadro de diálogo de creación del token indica que se requiere una versión específica de Codex CLI, actualiza la CLI a esa versión o a una posterior antes de usar el token.
Para una automatización efímera, guarda el token en CODEX_ACCESS_TOKEN y ejecuta Codex CLI como de costumbre:
export CODEX_ACCESS_TOKEN="<access-token>"
codex exec --json "review this repository and summarize the top risks"Para mantener la sesión local iniciada, pasa el token por la entrada estándar a codex login --with-access-token:
printf '%s' "$CODEX_ACCESS_TOKEN" | codex login --with-access-token
codex exec "summarize the last release diff"codex login --with-access-token guarda una credencial de identidad de agente en el almacén de autenticación de Codex CLI. Si prefieres evitar que las credenciales queden guardadas en la máquina, usa la variable de entorno CODEX_ACCESS_TOKEN.
codex app-server puede usar la misma credencial para autenticar sus solicitudes a OpenAI, ya sea mediante CODEX_ACCESS_TOKEN o mediante una sesión iniciada con codex login --with-access-token. Esa credencial es independiente de la que autentica el transporte entre el cliente y App Server. Para una conexión WebSocket remota, configura un token de portador o de capacidad independiente, como se describe en App Server. No reutilices el token de acceso de Codex como token de transporte. Consulta Variables de entorno de autenticación y red.
Rotar o revocar un token
Rota los tokens de acceso de la misma forma que los demás secretos de automatización:
- Crea un token de reemplazo.
- Actualiza el secreto en el ejecutor, el programador de tareas o el gestor de secretos.
- Ejecuta una prueba básica de funcionamiento con el nuevo token.
- Revoca el token anterior desde Tokens de acceso.
En la página Tokens de acceso, los propietarios y administradores del espacio de trabajo pueden revocar cualquier token del espacio de trabajo. Los miembros que tienen el permiso de tokens de acceso solo pueden revocar los tokens que crearon.
Modelo de permisos
El permiso de tokens de acceso del espacio de trabajo controla la creación de tokens. Según cómo esté organizada la configuración del espacio de trabajo, el acceso local a Codex se controla mediante Permitir que los miembros usen Codex y Work de forma local en Codex y Work en local, o mediante Permitir que los miembros usen Codex de forma local en Codex en local. Si Work en local tiene su propia sección, la opción Usar Work de forma local controla el uso del modo Work y no concede acceso a Codex. Para usar flujos de trabajo de Codex autenticados con un token, el miembro necesita tanto acceso local a Codex como el permiso de tokens de acceso. Un miembro puede tener acceso local a Codex sin tener permiso para crear tokens de acceso.
| Acción | Propietarios y administradores del espacio de trabajo | Miembro con el permiso de tokens de acceso | Miembro sin el permiso de tokens de acceso |
|---|---|---|---|
| Abrir Tokens de acceso | Sí | Sí | No |
| Crear tokens de acceso | Sí, para su propia identidad del espacio de trabajo de ChatGPT | Sí, para su propia identidad del espacio de trabajo de ChatGPT | No |
| Ver la lista de tokens de acceso | Lista del espacio de trabajo que indica quién creó cada token | Solo los tokens que creó | No |
| Revocar tokens de acceso desde la página Tokens de acceso | Cualquier token del espacio de trabajo | Solo los tokens que creó | Sin acceso a la página |
| Conceder o quitar el permiso de tokens de acceso | Solo los propietarios del espacio de trabajo | No | No |
| Administrar otras opciones de configuración de los clientes locales o de Codex Cloud | Sí, según los permisos de administración del espacio de trabajo | No, a menos que un propietario le conceda acceso | No |
En resumen, los propietarios y administradores gestionan el acceso para todo el espacio de trabajo. Los miembros necesitan el permiso de tokens de acceso para crear y administrar sus propios tokens. Ese permiso no les concede derechos de administración ni acceso a los tokens de otros miembros.
Solución de problemas
La página Tokens de acceso devuelve un error 404 o indica que el acceso está prohibido
Pídele a un propietario del espacio de trabajo que confirme que tu rol incluye Permitir que los usuarios creen tokens de acceso personales o Permitir que los miembros usen tokens de acceso de Codex, según la interfaz disponible. Para un flujo de trabajo de Codex autenticado con un token, confirma también que esté habilitada la opción Permitir que los miembros usen Codex y Work de forma local o Permitir que los miembros usen Codex de forma local.
Falla codex login --with-access-token
Verifica que hayas copiado el token de acceso generado y no un token de sesión del navegador ni una clave de API de la plataforma. Confirma también que el token esté activo, que no haya vencido y que pertenezca a un usuario con el permiso necesario para usar Codex de forma local.