Guía de implementación para administradores

Usa esta guía para planificar una implementación de ChatGPT Enterprise que abarque los siguientes ámbitos de administración:

• Acceso al espacio de trabajo.
• Política de ejecución local para las funciones que abarca en la aplicación de escritorio de ChatGPT, la CLI de Codex y la extensión para el IDE.
• Codex Cloud.
• Acceso a la API de la plataforma.
• Complementos y acceso a conectores.
• Permisos en los sistemas conectados.

Para una nueva implementación, completa los pasos en orden. Si solo necesitas hacer cambios en un ámbito, consulta las páginas enlazadas.

Si administras una puerta de enlace de modelos para clientes locales de Codex, consulta Implementar una puerta de enlace para validar la puerta de enlace, distribuir las credenciales y completar la configuración en los clientes. Si tu implementación usa funciones del espacio de trabajo, configura por separado el acceso al espacio de trabajo.

En la configuración del espacio de trabajo, Codex y Work en local agrupa el acceso local a Codex y al modo Work en la opción Permitir que los miembros usen Codex y Work de forma local. Algunos espacios de trabajo tienen dos secciones independientes: Codex en local y Work en local. En ese caso, Permitir que los miembros usen Codex de forma local controla el acceso a Codex y Usar Work de forma local controla el acceso al modo Work. Activar una opción no activa la otra. Estas etiquetas identifican permisos del espacio de trabajo, no productos ni clientes distintos. Según el espacio de trabajo, los permisos de los tokens y los límites de vigencia de las credenciales aparecen en la sección Tokens de acceso o en la sección de acceso local. La configuración administrada constituye una capa de políticas independiente que puede restringir el comportamiento de las funciones que abarca durante su ejecución en esos clientes. Esta guía especifica de qué cliente o entorno se trata cuando hay diferencias de comportamiento o disponibilidad.

Para obtener una descripción general de los controles de acceso, consulta Roles y permisos del espacio de trabajo. Consulta el Centro de ayuda para conocer los procedimientos vigentes del espacio de trabajo de ChatGPT y la documentación para desarrolladores enlazada para conocer el comportamiento de la ejecución local y en entornos alojados.

Para conocer las medidas empresariales de seguridad, privacidad y protección durante la ejecución, consulta Aprobaciones y seguridad de los agentes y el informe técnico sobre la seguridad de Codex.

Paso 1: asigna responsables y decide el alcance de la implementación

Asigna una persona responsable de cada parte de la implementación:

• Acceso al espacio de trabajo: membresía, licencias, roles y funciones compatibles del espacio de trabajo.
• Política de ejecución local: aprobaciones, perfiles de permisos, acceso al sistema de archivos y a la red, y otros requisitos para los clientes locales compatibles.
• Codex Cloud: entornos alojados, conexiones a repositorios y política de ejecución en la nube.
• Sistemas conectados: instalación de aplicaciones, cuentas y permisos del lado del proveedor.
• Informes y cumplimiento: acceso a los análisis, exportación de registros de auditoría y tratamiento posterior de los datos.

Determina qué necesita cada grupo de usuarios: las funciones locales cubiertas en la aplicación de escritorio de ChatGPT, la CLI de Codex o la extensión para el IDE, el acceso a Codex Cloud o una combinación de estas opciones. Cuando un flujo de trabajo use autenticación con una clave de API, administra el acceso a la API de la plataforma por separado, en el ámbito de la organización y del proyecto.

Paso 2: configura el acceso al espacio de trabajo y la gestión de identidades

Usa la membresía, las licencias, los grupos y los permisos de control de acceso basado en roles (RBAC) disponibles en el espacio de trabajo de ChatGPT para que cada grupo de usuarios tenga acceso a las funciones que le correspondan. Consulta la documentación vigente del espacio de trabajo para verificar el acceso a los clientes locales y a Codex Cloud. Evita dar por hecho que un mismo rol controla el acceso a todos los entornos. Asigna los roles de administración integrados únicamente a quienes administran el espacio de trabajo.

Los controles y las etiquetas del espacio de trabajo cambian con el tiempo. Consulta los procedimientos vigentes en estas fuentes:

• Administrar miembros, tipos de licencia, roles y acceso
• Configurar el control de acceso basado en roles
• Administrar la configuración del espacio de trabajo
• Grupos y aprovisionamiento
• Gestión del ciclo de vida de los usuarios
• Autenticación

Prueba el inicio de sesión y el acceso a las funciones con un miembro que tenga los permisos previstos. El acceso al espacio de trabajo no otorga acceso a repositorios, archivos ni acciones en un servicio conectado.

Configura el acceso a la computadora local con Work Cloud

Si tu implementación incluye acceso a la computadora local para el modo Work o para dots, revisa las políticas en Seguridad de los agentes antes de la implementación. La migración de políticas y la habilitación del acceso a la función son cambios independientes. El proceso de confirmación no exige crear una política para habilitar el acceso. Cuando se habilita la política administrada, la política global compatible rige la orquestación en la nube. Los requisitos de ejecución local y los controles del dispositivo rigen el funcionamiento de la computadora conectada. Los contenedores del modo Work en la nube y las computadoras de dots en la nube usan sus propias configuraciones y requisitos de ejecución. Consulta Acceso a la computadora local para Work Cloud y dots para conocer los requisitos de configuración y elegibilidad de cada uno.

Usa la API de políticas para administrar la configuración global. Para administrar la configuración local o la de Codex Cloud, usa la interfaz de Seguridad de los agentes. Los flujos de trabajo existentes que usan la API para la configuración global siguen disponibles después de la migración. Prueba tus scripts e integraciones de Terraform y confirma que las asignaciones de políticas y su orden no hayan cambiado.

Comprueba la compatibilidad antes de habilitar la sincronización:

• Política de red. Si usas valores de configuración que sobrescriben otros a nivel de entorno, prueba qué política de red tiene prioridad y qué límites se aplican durante la ejecución. Una restricción global puede seguir vigente aunque el entorno permita el acceso.

• Hooks empresariales. Si tu implementación depende de hooks, consulta qué manejadores de eventos se ejecutan con la orquestación en la nube. Antes de habilitar el acceso, prueba cómo responden los hooks a los eventos y a los casos de falla de los que depende tu implementación. Revisa por separado qué queda registrado en la auditoría.

• Requisitos de datos. El acceso a la computadora local con Work Cloud no ofrece retención cero de datos en sentido estricto. La residencia de datos y la residencia de inferencia solo abarcan el contenido elegible y las cargas de trabajo, regiones y configuraciones compatibles. La administración de claves empresariales (EKM) abarca el contenido almacenado compatible en los espacios de trabajo elegibles. El modo Work no admite la residencia de inferencia en los Emiratos Árabes Unidos. Si enforce_residency está habilitado en alguna política de la nube, Permitir el acceso a la computadora local se deshabilita tanto para el modo Work como para dots. Esta medida de protección no configura la residencia de datos del espacio de trabajo ni deshabilita por sí sola Work Cloud o dots. Si tu organización exige retención cero de datos (ZDR), no habilites esta función.

Como propietario del espacio de trabajo, revisa los permisos del modo Work de los usuarios o grupos que necesitan acceso. Habilita Work Cloud y luego activa Permitir el acceso a la computadora local. Otorga el acceso mediante las asignaciones de roles compatibles. Consulta Roles y permisos del espacio de trabajo.

Paso 3: configura los requisitos de ejecución local

Los requisitos locales limitan lo que puede ocurrir cuando un usuario inicia una ejecución local compatible en la aplicación de escritorio de ChatGPT, la CLI de Codex o la extensión para el IDE. Distribuye requirements.toml a través de un canal compatible de la nube, del dispositivo o del sistema. Administra esta política por separado de los roles y grupos del espacio de trabajo de ChatGPT.

Usa perfiles de permisos para los clientes locales compatibles en lugar de basar las nuevas implementaciones en las restricciones heredadas del modo sandbox. Por ejemplo:

default_permissions = ":workspace"

[allowed_permission_profiles]
":read-only" = true
":workspace" = true

Para deshabilitar la función Uso de la computadora tanto en el navegador como en el escritorio, restringe todas las claves públicas de las funciones compatibles que intervienen en esa experiencia:

[features]
browser_use = false
browser_use_full_cdp_access = false
browser_use_external = false
in_app_browser = false
computer_use = false

Consulta la lista oficial de claves, los detalles de distribución, el orden de prioridad y más ejemplos en Configuración administrada y en la referencia de requirements.toml.

Paso 4: estandariza la configuración de los repositorios

Usa la configuración a nivel de repositorio para compartir valores predeterminados del proyecto, reglas y habilidades sin repetir la configuración para cada usuario. Guarda la configuración en el control de versiones, en .codex o .agents, según la ubicación que indique la documentación de cada función:

La configuración del repositorio puede proporcionar valores predeterminados y flujos de trabajo reutilizables. No puede otorgar acceso al espacio de trabajo, a los modelos, a la API de la plataforma ni a los sistemas conectados.

Paso 5: configura Codex Cloud

Codex Cloud usa entornos alojados y repositorios de código fuente conectados.

Codex Cloud está desactivado de forma predeterminada en los espacios de trabajo Enterprise. Se conserva la configuración de Usar Codex en la nube de la versión anterior de Codex Cloud: los espacios de trabajo que ya tenían habilitado el acceso a la nube lo conservan. En los que lo tenían deshabilitado, el acceso sigue deshabilitado hasta que un administrador lo habilite. El acceso sigue sujeto a las restricciones de la implementación y del espacio de trabajo.

Planifica cada ámbito de acceso:

1. Otorga el permiso Usar Codex en la nube a los usuarios que lo necesiten. Otorga por separado el permiso Administrar los entornos del espacio de trabajo a quienes crean y editan entornos compartidos en el espacio de trabajo. Consulta la guía de roles del espacio de trabajo.
2. Instala y configura la integración compatible con el sistema de origen.
3. En el sistema de origen, limita el acceso de cada grupo de usuarios a los repositorios que necesita.
4. Configura los entornos en la nube, los secretos, el acceso a internet y los requisitos compatibles administrados desde la nube para esos repositorios.
5. Configura los flujos de trabajo alojados opcionales, como la revisión de código.
6. Prueba el acceso a las tareas con un miembro representativo del grupo y la administración de entornos con el administrador designado. Verifica los permisos de cada persona en el espacio de trabajo, el entorno y el repositorio.

Los entornos en la nube no heredan la política del dispositivo local, la configuración de administración de dispositivos móviles (MDM) ni el acceso a la red local. Revisa los requisitos compatibles administrados desde la nube por separado de los requisitos instalados en la computadora del usuario. Consulta Conectarse a servicios para conocer los detalles del acceso a los destinos y Seguridad de los agentes para saber cómo los requisitos del espacio de trabajo restringen los entornos en la nube.

Codex Cloud respeta los permisos y las protecciones de los repositorios que ofrece el sistema de origen conectado. El acceso al espacio de trabajo no permite eludir esos controles. Consulta Entornos en la nube para obtener orientación sobre la configuración y la ejecución.

Paso 6: configura los complementos y las funciones conectadas

Evalúa por separado la instalación de complementos, las habilidades que incluyen, las funciones que usan conectores, las acciones de los conectores y la autorización en el sistema de origen. Deshabilitar una función que usa un conector no necesariamente desinstala el complemento ni las habilidades que incluye.

Antes de incluir un complemento o una habilidad en la implementación:

1. Confirma su origen, quién es responsable, a qué usuarios se destina y la fecha de revisión.
2. Revisa las habilidades, los conectores, los servidores MCP y los hooks incluidos, así como los datos y las acciones que requiere cada función.
3. Haz una prueba con datos no sensibles y los permisos mínimos necesarios.
4. Registra quién se encargará de las revisiones posteriores y de retirar el complemento o la habilidad.

Los complementos funcionan en los modos Chat y Work de ChatGPT en la web, en computadoras de escritorio y en dispositivos móviles. También funcionan en Codex dentro de la aplicación de escritorio de ChatGPT y a través del explorador de complementos de la CLI de Codex. No están disponibles en la extensión para el IDE. ChatGPT y Codex comparten un único directorio público de complementos. Los controles del espacio de trabajo determinan a cuáles pueden acceder los miembros.

Para conocer el modelo completo, consulta Controles de complementos y Controles de habilidades.

Paso 7: configura la gobernanza y la observabilidad

Elige la herramienta de informes según la pregunta que necesites responder:

• Usa Análisis del espacio de trabajo para consultar de forma interactiva los análisis del espacio de trabajo de ChatGPT y de Codex.
• Usa la API de análisis para generar informes agregados de forma programática mediante la API de análisis de Codex.
• Usa la API de Cumplimiento para obtener registros de auditoría e investigación.
• Usa los límites de uso y controles de gasto de ChatGPT cuando, según el plan, la actividad de Codex consuma créditos elegibles del espacio de trabajo de ChatGPT.

Al crear una integración, consulta la documentación de referencia de la API que requiere autenticación para conocer los requisitos de acceso, los esquemas, los campos, las condiciones de retención y el comportamiento de las solicitudes vigentes.

Protege los puntos de acceso y los datos de la integración:

• Almacena las claves de API y las demás credenciales de integración en el sistema de gestión de secretos de la organización.
• Limita el acceso a los sistemas que reciben los datos y a los datos retenidos a los usuarios autorizados.
• Protege los registros exportados de la API de Cumplimiento según su sensibilidad y la política de retención de la organización. Comprueba que los flujos de recopilación y eliminación funcionen según el contrato vigente de la API.

Paso 8: verifica y mantén la implementación

Pide a un usuario del grupo piloto que inicie una tarea nueva en el modo Work y la continúe en otro dispositivo. Con la computadora conectada, prueba una acción permitida y una bloqueada para comprobar las aprobaciones, el acceso al sistema de archivos y las restricciones de red. Desconecta la computadora e inicia otro turno. Verifica que el contenedor en la nube no pueda acceder a los archivos locales y que se apliquen los requisitos de ejecución propios del contenedor.

Registra la configuración efectiva y el resultado de cada prueba. Si una restricción no funciona como se espera, resuelve el problema antes de que los usuarios dependan de ella. Para deshabilitar la sincronización, ten en cuenta el comportamiento descrito en la documentación. Trata la revocación del acceso, la interrupción de tareas y la retención de datos como acciones independientes.

Verifica cada ámbito que corresponda con identidades representativas:

• Membresía, licencia y permisos de rol compatibles en el espacio de trabajo de ChatGPT.
• Funciones locales cubiertas en la aplicación de escritorio de ChatGPT, la CLI de Codex y la extensión para el IDE, incluidos el inicio de sesión y los requisitos de ejecución efectivos.
• Acceso a Codex Cloud, configuración de entornos y permisos de los repositorios.
• Acceso a la organización y al proyecto de la API de la plataforma para los flujos de trabajo que usan claves de API.
• Instalación de complementos, habilidades incluidas, acceso a conectores y acciones compatibles.
• Autorización y acceso a los datos en los sistemas conectados.
• Acceso a los análisis y a los registros de cumplimiento para los administradores responsables.

Registra quién es responsable de cada control y dónde se documenta el procedimiento vigente. Así, los administradores podrán actualizar los procedimientos cuando cambien la interfaz o las políticas sin tener que cambiar el modelo de administración.

Después de la implementación inicial, revisa el acceso, las funciones conectadas, el uso de créditos, los comentarios recibidos por el equipo de soporte y los flujos de trabajo que los equipos usan en la práctica. Ajusta el alcance de la implementación y las instrucciones para los administradores cuando observes cambios en estos aspectos.

Si necesitas desactivar el acceso a la computadora local con Work Cloud

Informa a los usuarios afectados que desactivar Permitir el acceso a la computadora local interrumpe los turnos en curso. Los miembros que conserven el acceso al modo Work pueden enviar un mensaje nuevo en una conversación existente en la nube para continuar sin acceso a los archivos locales.