Cada configuración controla un aspecto distinto del uso de ChatGPT en tu organización. Darle acceso a alguien en un ámbito no le da acceso automáticamente en otro. Consulta esta página para entender cómo interactúan los seis ámbitos de control. Luego, sigue los enlaces para ver los pasos de configuración vigentes.
En la configuración del espacio de trabajo, la sección Codex y Work en local agrupa el acceso local a Codex y a Work en un solo permiso: Permitir que los miembros usen Codex y Work localmente. En otros espacios de trabajo, Codex en local y Work en local aparecen en secciones independientes. En ese caso, Permitir que los miembros usen Codex localmente concede acceso local a Codex y Usar Work localmente concede acceso local a Work. Activar uno de los permisos no concede acceso al otro producto. Estas etiquetas identifican permisos del espacio de trabajo, no productos ni clientes distintos. Según el espacio de trabajo, los permisos de los tokens y los límites de vigencia de las credenciales aparecen en la sección Tokens de acceso o en la sección de acceso local. La configuración administrada actúa por separado y limita el comportamiento de esos clientes durante la ejecución de las funciones a las que se aplica. Las funciones y los requisitos que se aplican en la práctica pueden variar según el cliente y la versión.
Cómo funcionan los ámbitos de control
| Ámbito | Qué controla | Qué queda fuera de su alcance | Referencia actual |
|---|---|---|---|
| Espacio de trabajo de ChatGPT | La membresía, las licencias, los roles administrativos predefinidos y el acceso basado en roles a las funciones compatibles del espacio de trabajo | Los permisos de los agentes locales, el acceso a una organización de la Plataforma API o los permisos en un servicio conectado | Acceso al espacio de trabajo de ChatGPT y RBAC |
| Clientes locales | El comportamiento durante la ejecución de las funciones sujetas a estos controles en la aplicación de escritorio de ChatGPT, la CLI de Codex y la extensión para IDE, incluidas las aprobaciones, el acceso al sistema de archivos y a la red, los perfiles de permisos y las integraciones permitidas | La asignación de una licencia de ChatGPT, el derecho a usar una función o un modelo, o el acceso a datos externos | Configuración administrada y Permisos |
| Codex Cloud | Quién puede usar los flujos de trabajo alojados de Codex y qué entornos en la nube están disponibles para cada usuario | La política de ejecución local o los permisos sobre los repositorios que concede un sistema de origen | Entornos en la nube |
| Plataforma API | La membresía en organizaciones y proyectos, las claves de API, el acceso a modelos, el uso y la facturación de las operaciones autenticadas mediante la API | La membresía en el espacio de trabajo de ChatGPT, el acceso a los clientes locales o el acceso a Codex Cloud | Plataforma API de OpenAI |
| Complementos | La disponibilidad e instalación de complementos, las habilidades incluidas, el acceso a los conectores y las acciones que admiten | La autorización en el servicio conectado o los permisos generales de ejecución local y en la nube | Controles de complementos |
| Sistemas conectados | A qué repositorios, archivos y mensajes puede acceder la cuenta autenticada en el sistema de origen y qué acciones puede realizar allí | El derecho a usar el espacio de trabajo de ChatGPT, un complemento, Codex Cloud o la Plataforma API | Los controles de administración y acceso del servicio conectado |
Cada solicitud debe superar los controles de todos los ámbitos que le correspondan. Por ejemplo, el acceso al espacio de trabajo puede poner un complemento a disposición de un miembro, pero el servicio conectado determina qué datos puede leer la cuenta con la que inició sesión. Un perfil de permisos local puede limitar una ejecución en un cliente local compatible, pero no puede conceder acceso a una función ni a un modelo del espacio de trabajo.
Asignar acceso al espacio de trabajo
La administración del espacio de trabajo de ChatGPT distingue entre el acceso a los productos y las facultades administrativas.
Diferencias entre una licencia, un rol administrativo y un rol personalizado
La licencia determina a qué interfaces de los productos puede acceder un miembro. Según el plan del espacio de trabajo, los tipos de licencia disponibles pueden incluir licencias de ChatGPT y de Codex.
Los roles predefinidos del espacio de trabajo determinan las facultades administrativas. El rol Propietario permite administrar la configuración de todo el espacio de trabajo. El rol Administrador permite gestionar los grupos y las operaciones admitidas. El rol Miembro carece de permisos administrativos. El rol Lector de estadísticas permite consultar las estadísticas del espacio de trabajo.
Los roles personalizados definen qué funciones compatibles puede usar un miembro. No sustituyen los requisitos de licencia o plan, no conceden permisos en un sistema conectado ni modifican los requisitos de ejecución local.
Definir la configuración predeterminada del espacio de trabajo y luego crear roles personalizados para necesidades específicas
Los propietarios del espacio de trabajo pueden crear roles personalizados para el control de acceso basado en roles (RBAC) y asignarlos mediante grupos o directamente a los miembros cuando se admite la asignación directa. La configuración del espacio de trabajo establece los valores de base para los permisos a los que se aplica. Los grupos se pueden administrar manualmente o sincronizar mediante SCIM. Un miembro puede tener más de un rol personalizado.
Para los permisos que admiten estos estados, Predeterminado hereda la configuración del espacio de trabajo, Activado concede acceso mediante ese rol y Desactivado indica que el rol no concede acceso. Los estados disponibles pueden variar según la función.
Los permisos de los roles ordinarios se suman. Por ejemplo, si un rol tiene una función en Activado, el miembro puede usarla aunque otro rol la tenga en Desactivado. Revisa tanto los roles asignados directamente como los asignados mediante grupos.
Aunque un rol ordinario conceda acceso, siguen vigentes las restricciones del Modo restringido y los requisitos para usar el producto. Para los complementos, consulta la guía para solucionar problemas de acceso a los complementos.
Revisar los permisos de Work en local y Work en la nube
Configura Navegador en la nube y Acceso a la red en la nube en Consola de administración > Permisos y roles > Funciones del espacio de trabajo > Funciones de la computadora en la nube. Estas funciones compartidas están disponibles para Work en la nube y los dots. Puedes configurarlas independientemente del acceso a Work en la nube. Para ejecutar una tarea de Work, se necesita tanto acceso a Work como permiso para usar cada función que requiera la tarea. Revisa por separado el acceso al navegador y el acceso a la red desde el código o el shell. Desactivar uno no desactiva automáticamente el otro.
Si tu espacio de trabajo ofrece Work en local y Work en la nube, revisa tanto la configuración predeterminada del espacio de trabajo como cada rol personalizado que corresponda. Work solo está disponible en los espacios de trabajo que cumplen los requisitos. Los controles disponibles pueden variar según el plan, la configuración del espacio de trabajo y la etapa de implementación. Ningún rol puede ampliar el acceso que permite la licencia de un miembro.
Work en la nube controla las tareas de ChatGPT Work que se pueden ejecutar en la nube. Cuando los controles son independientes, habilitar Work en local sin habilitar Work en la nube permite a los miembros trabajar localmente en la aplicación de escritorio de ChatGPT, pero no iniciar tareas en la nube. El acceso local a Codex se configura con Permitir que los miembros usen Codex localmente en Codex en local. Cambiar Usar Work localmente no modifica el acceso local a Codex ni sustituye los requisitos de ejecución local.
Algunos espacios de trabajo muestran una sección conjunta, Codex y Work en local. En ese caso, Permitir que los miembros usen Codex y Work localmente controla el acceso a ambos productos.
Para consultar los requisitos de acceso y la configuración vigentes, visita ChatGPT Work y Codex.
Los tipos de licencia, los roles y los permisos disponibles cambian a medida que se actualizan los productos y los planes. Consulta el Centro de ayuda para ver la lista actual de permisos y los pasos de configuración:
- Administrar miembros, tipos de licencia, roles y acceso
- Configurar el control de acceso basado en roles
- Administrar grupos
Revisar el acceso a Codex Cloud y la administración de entornos
Revisa estos permisos por separado:
| Permiso | Qué controla |
|---|---|
| Usar Codex en la nube | El acceso para ejecutar tareas en Codex Cloud |
| Administrar los entornos del espacio de trabajo | La creación y edición de entornos compartidos con el espacio de trabajo |
Administrar los entornos del espacio de trabajo aparece dentro de Usar Codex en la nube, requiere acceso a la nube y está desactivado de forma predeterminada. Antes de la implementación, revisa a quién se le ha concedido. Los miembros con acceso a la nube pueden crear y editar sus propios entornos personales sin el permiso de administración. El acceso a un entorno compartido no otorga por sí solo la facultad de modificar su configuración.
Verifica ambos flujos de trabajo con cuentas representativas: la de un miembro que usa un entorno y la de la persona responsable de administrarlo. Ambos necesitan el acceso correspondiente a los repositorios y servicios conectados. Consulta Entornos en la nube para saber cómo configurar y compartir entornos, y la guía de implementación para administradores para planificar las políticas de la nube.
Acceso a la computadora local con Work en la nube
El propietario de un espacio de trabajo puede activar Permitir el acceso a la computadora local para los usuarios que cumplan los requisitos. Habilita Work en la nube para los usuarios que deban utilizarlo. Permitir el acceso a la computadora local se encuentra dentro de Work en la nube. No es necesario activar Usar Codex localmente en la aplicación de escritorio de ChatGPT. Los miembros deben iniciar sesión con ChatGPT en el espacio de trabajo correspondiente. Si enforce_residency está activado en alguna política de la nube, Permitir el acceso a la computadora local queda desactivado tanto para Work como para los dots. Esta medida de protección no configura la residencia de datos del espacio de trabajo ni desactiva por sí sola Work en la nube o los dots.
Antes de habilitar la sincronización, revisa los requisitos de Agent Security para la ejecución local. Si actualmente distribuyes políticas solo mediante MDM, revisa el orden de prioridad de las políticas locales aplicables antes de configurar Agent Security. Para la ejecución local, los requisitos de MDM y los requisitos heredados de los dispositivos administrados tienen prioridad sobre los de Agent Security. A su vez, los de Agent Security tienen prioridad sobre el archivo de requisitos del sistema. Cuando la política administrada está habilitada, la política global compatible rige la orquestación en la nube. Los requisitos de ejecución local rigen la computadora conectada. Los contenedores de Work en la nube conservan las políticas vigentes de Work en la nube.
Usa la API de políticas para administrar la configuración global. Para administrar la configuración local o la de Codex Cloud, usa la interfaz de Agent Security. Los flujos de trabajo existentes que usan la API para la configuración global siguen disponibles después de la migración. Prueba tus scripts e integraciones de Terraform y confirma que las asignaciones de políticas y su orden se mantienen.
Configura y verifica el acceso:
-
Mantén una configuración predeterminada del espacio de trabajo adecuada para la organización en general.
-
Asigna los roles personalizados compatibles a los usuarios o grupos que necesiten acceso.
-
Revisa cada rol aplicable. Desactivar un permiso en un rol ordinario no revoca el acceso concedido por otro.
-
Prueba el acceso con un miembro que tenga los permisos previstos.
Revisa por separado las licencias, el acceso a las aplicaciones conectadas, los permisos del sistema operativo y el acceso local a Codex. Los miembros pueden conservar el acceso al espacio de trabajo después de que desactives el acceso a la computadora local. Para saber cómo afecta este cambio a las tareas en curso, consulta la guía de implementación. Para conocer el alcance de las políticas y los requisitos de compatibilidad, consulta Configuración administrada y las preguntas frecuentes de Work para administradores.
Controlar el acceso al historial de la computadora
El historial de la computadora está desactivado de forma predeterminada en los espacios de trabajo Business y Enterprise. Los miembros no pueden activarlo hasta que un propietario del espacio de trabajo les conceda acceso de forma explícita. Los propietarios de espacios de trabajo Enterprise pueden conceder acceso por rol:
- Abre Configuración del espacio de trabajo > Permisos y roles.
- Busca Historial de la computadora y elige el rol del espacio de trabajo que deba tener acceso.
- Activa Habilitar el historial de la computadora para ese rol.
Con este permiso, los miembros que tengan asignado ese rol pueden activar el historial de la computadora. La función no se activa automáticamente. Cada miembro debe activarla desde la aplicación de escritorio de ChatGPT en macOS y puede elegir qué aplicaciones y sitios web se incluyen en el historial. Los miembros que no tengan el permiso necesario del espacio de trabajo no pueden activar la función desde la configuración local.
Aplicar la política de ejecución local
La política de ejecución local limita las funciones a las que se aplica en la aplicación de escritorio de ChatGPT, la CLI de Codex y la extensión para IDE. Los requisitos administrados desde la nube también dependen de que se use un método compatible de inicio de sesión con ChatGPT y de que el plan cumpla los requisitos. Los perfiles de permisos y los requisitos administrados pueden limitar los comandos, el acceso al sistema de archivos y a la red, las aprobaciones y otros aspectos de la ejecución local. No modifican la licencia del usuario, su rol en el espacio de trabajo, su derecho a usar un modelo ni sus permisos en un sistema externo.
Los usuarios pueden seleccionar un perfil de permisos predefinido o personalizado cuando la política local lo permite. Los administradores pueden distribuir valores predeterminados y requisitos mediante los canales compatibles de configuración administrada. Consulta Permisos para saber cómo funcionan los perfiles y Configuración administrada para conocer los requisitos, cómo se distribuyen y en qué orden se aplican.