Con las cuentas de servicio, puedes ejecutar y escalar flujos de trabajo de Codex sin interfaz gráfica en toda tu organización sin depender de la cuenta de un empleado. Cada runner de integración continua (CI), tarea programada o integración compartida tiene su propia identidad en el Espacio de trabajo de ChatGPT, con los mismos grupos, roles, controles de acceso y opciones de auditoría que tienen las personas.
Solo los propietarios y administradores del Espacio de trabajo pueden crear cuentas de servicio. Pueden dar permiso a otras personas o grupos para administrar una cuenta, configurar complementos o crear tokens de acceso.
Una cuenta de servicio representa una identidad no humana en el Espacio de trabajo. Un token de acceso personal representa al miembro del Espacio de trabajo que lo crea. En la Plataforma API, las cuentas de servicio de los proyectos y las claves de API usan el acceso y la facturación propios de cada proyecto.
Crear y configurar una cuenta de servicio
En esta guía interactiva usarás GitHub como ejemplo para crear una cuenta, configurar un complemento, crear un token y asignar grupos y roles.
Interactive walkthrough
Select the plus button, name your service account, and select Create.
Service accounts
Create workspace-owned accounts for automated workflows that need their own access.
| Name | Status | Created by | Date added | Actions |
|---|---|---|---|---|
| Active | Alex Kim alex@example.com | Jul 23, 2026 | ||
| Active | Jordan Lee jordan@example.com | Jul 18, 2026 | ||
| Active | Sam Patel sam@example.com | Jul 8, 2026 |
- Abre Cuentas de servicio en la configuración de tu Espacio de trabajo.
- Selecciona el botón con el signo más (+) e ingresa un nombre descriptivo, como
release-automation. - Selecciona Crear.
Conectar un complemento
Configura los complementos directamente en la cuenta de servicio. La cuenta no hereda los complementos ni las apps conectadas de quien la creó.
- Abre la sección Complementos de la cuenta y selecciona Agregar complemento.
- Elige un complemento y comprueba que aparezca como configurado o habilitado.
Quienes tienen el rol Configurar o Administrador pueden configurar complementos. Quienes tienen el rol Usuario no pueden hacerlo.
Crear un token de acceso
Crea un token desde la página de detalles de la cuenta de servicio. El token representa a la cuenta de servicio, no a la persona que lo crea.
- Abre la cuenta y selecciona Crear token en Tokens de acceso.
- Asigna un nombre al token, confirma el alcance Codex y elige un plazo de vencimiento.
- Selecciona Crear y guarda el token en tu gestor de secretos.
El token completo se muestra una sola vez. Las políticas del Espacio de trabajo determinan los plazos de vencimiento disponibles.
Asignar roles y grupos
Una cuenta de servicio puede recibir roles del Espacio de trabajo y pertenecer a grupos, al igual que cualquier persona que sea miembro. Asigna los permisos de acceso directamente a la cuenta, ya que no hereda los de quien la creó.
Para que otras personas o grupos puedan administrar la cuenta, selecciona Compartir, luego Agregar personas o grupos y asigna un rol:
| Rol en la cuenta compartida | Configurar la cuenta y sus complementos | Crear tokens de acceso de la cuenta de servicio |
|---|---|---|
| Usuario | No | Sí |
| Configurar | Sí | No |
| Administrador | Sí | Sí |
Estos roles se aplican a las personas que administran la cuenta. Son independientes de los roles y grupos del Espacio de trabajo que se asignan a la cuenta de servicio.
Quienes tienen el rol Configurar o Administrador pueden habilitar o deshabilitar la cuenta. Solo los propietarios y administradores del Espacio de trabajo pueden crear, eliminar o compartir cuentas. Los operadores inician sesión en sus propias cuentas de ChatGPT para administrar las cuentas compartidas.
Para obtener más información sobre los permisos del Espacio de trabajo, consulta Roles y permisos del Espacio de trabajo.
Ejecutar Codex sin iniciar sesión
Los tokens de acceso de las cuentas de servicio requieren la versión 0.142.0 o posterior de Codex CLI. Define CODEX_ACCESS_TOKEN y ejecuta Codex sin abrir un navegador:
export CODEX_ACCESS_TOKEN="<service-account-access-token>"
codex exec --json "Inspect this repository and summarize its current state."En CI, proporciona el token mediante un gestor de secretos o un secreto del runner.
Para guardar las credenciales de inicio de sesión en un equipo de confianza, pasa el token por la entrada estándar:
printf '%s' "$CODEX_ACCESS_TOKEN" | codex login --with-access-token
codex exec "Summarize the changes in the current branch."Así se guarda la credencial localmente. En runners compartidos o temporales, usa CODEX_ACCESS_TOKEN sin guardar las credenciales de inicio de sesión.
Aprovisionar cuentas de servicio con SCIM
Si tu Espacio de trabajo admite el aprovisionamiento de cuentas de servicio mediante el protocolo System for Cross-domain Identity Management (SCIM), establece userType en ServiceAccount en tu proveedor de identidad:
{
"schemas": ["urn:ietf:params:scim:schemas:core:2.0:User"],
"userName": "svc-codex-release@company.example",
"displayName": "Codex release automation",
"active": true,
"userType": "ServiceAccount"
}Asigna la identidad al Espacio de trabajo y a los grupos necesarios. Luego sincronízala. El proveedor de identidad administra el nombre de la cuenta, los grupos a los que pertenece y su ciclo de vida. No puedes cambiar el nombre de las cuentas administradas mediante SCIM ni eliminarlas en ChatGPT. Consulta Grupos y aprovisionamiento.
Administrar cuentas de servicio con la API de administración
Si tu Espacio de trabajo tiene acceso, usa una clave de la API de administración de ChatGPT para administrar cuentas, tokens y permisos de acceso compartido. Las operaciones de lectura requieren chatgpt.enterprise.service_account.read y los cambios requieren chatgpt.enterprise.service_account.write. Un token de cuenta de servicio no permite autenticar solicitudes a la API de administración.
Consulta la referencia de la API de administración para conocer las operaciones disponibles y las rutas vigentes para las solicitudes.
Cuentas
| Operación | Método | Descripción |
|---|---|---|
| Listar cuentas | GET |
Devuelve las cuentas de servicio del Espacio de trabajo |
| Crear una cuenta | POST |
Crea una cuenta de servicio con el nombre indicado |
| Obtener una cuenta | GET |
Devuelve una cuenta de servicio |
| Habilitar o deshabilitar una cuenta | PATCH |
Actualiza el valor de enabled de la cuenta |
| Eliminar una cuenta | DELETE |
Elimina la cuenta y revoca sus tokens |
Crea cuentas con POST /v1/manage/workspaces/{workspace_id}/service-accounts. Al actualizar una cuenta, solo se modifica enabled.
Tokens
| Operación | Método | Descripción |
|---|---|---|
| Listar tokens | GET |
Devuelve los metadatos de los tokens de la cuenta |
| Crear un token | POST |
Crea un token de acceso con un alcance específico |
| Revocar un token | DELETE |
Revoca un token de forma permanente |
Por ejemplo, crea un token de Codex que venza a los 30 días:
{
"name": "production-release-runner",
"ttl": 2592000,
"scopes": ["chatgpt.workspace.feature.allow-codex-local-access.access"]
}ttl indica la vigencia del token en segundos. Si defines un plazo de vigencia, debe ser inferior a un año y cumplir con la política de vencimiento de tu Espacio de trabajo. La API solo devuelve el valor completo de access_token al crear el token.
La API de administración también permite listar, agregar, actualizar y quitar permisos de acceso a cuentas compartidas. Los valores de los roles son manager, configurer y user. En ChatGPT, configurer aparece como Configurar.
Proteger y administrar cuentas de servicio
- Asigna únicamente los roles, grupos, complementos y conexiones que necesita el flujo de trabajo.
- Guarda los tokens en un gestor de secretos y usa runners de confianza.
- Evita incluir credenciales en registros, mensajes de chat o sistemas de control de versiones.
- Define plazos de vencimiento para los tokens y revisa periódicamente los permisos de acceso y la actividad de las cuentas.
- Para rotar un token, crea uno nuevo, actualiza el flujo de trabajo, verifica el acceso y revoca el token anterior desde el Espacio de trabajo o la API de administración.
- Revoca de inmediato los tokens expuestos e investiga la actividad reciente de la cuenta.
- Desde el Espacio de trabajo o la API de administración, deshabilita o elimina las cuentas que ya no se usan. Ambas acciones revocan todos los tokens activos. Puedes volver a habilitar una cuenta deshabilitada con tokens nuevos. La eliminación es irreversible.
Las ejecuciones se atribuyen a la cuenta de servicio. Los datos de análisis y los registros de auditoría disponibles en el Espacio de trabajo también pueden indicar quién creó tokens o cambió la configuración de la cuenta. Consulta qué eventos se registran en la referencia de la API de administración.