Gestion du cycle de vie des utilisateurs

Ce guide vous explique comment accorder aux employés les accès nécessaires à l’espace de travail ChatGPT à leur arrivée, les adapter lorsque leurs responsabilités changent et les retirer à leur départ. Il couvre également les licences de l’espace de travail, les rôles attribués par groupe, les jetons d’accès Codex et les systèmes connectés qui disposent de leurs propres contrôles d’accès.

L’authentification unique (SSO) vérifie l’identité de l’employé. Le provisionnement l’ajoute à un espace de travail. Aucune de ces opérations ne détermine à elle seule la licence de l’employé, ses autorisations d’utilisation des fonctionnalités, la politique d’exécution locale qui s’applique à lui ou son accès à un système externe.

Gérez les accès des employés à trois étapes de leur parcours :

• Arrivée : accordez l’accès à l’espace de travail, ajoutez l’employé aux groupes appropriés et attribuez-lui les rôles et la licence prévus.
• Changement d’équipe : mettez à jour les groupes de l’employé et retirez uniquement les rôles directs devenus inutiles.
• Départ : retirez l’accès à l’espace de travail, révoquez les jetons et vérifiez les accès aux systèmes connectés.

Vérifiez les prérequis et désignez les responsables

Avant d’intégrer des employés, déterminez qui gère chaque aspect de leur parcours :

Confirmez l’espace de travail cible, vérifiez le domaine de messagerie de l’organisation si nécessaire et identifiez un propriétaire de l’espace de travail qui peut activer la synchronisation de l’annuaire. Vérifiez ensuite les contrôles disponibles avec le forfait de l’espace de travail :

SCIM signifie System for Cross-domain Identity Management. Un espace de travail Business peut prendre en charge les jetons d’accès Codex sans prendre en charge SCIM. À l’inverse, un espace de travail Edu peut prendre en charge SCIM sans proposer de jetons d’accès Codex ni de licences Codex uniquement. Appliquez uniquement les contrôles disponibles dans votre espace de travail.

Un espace de travail Business peut conserver et ajouter des licences Codex uniquement à condition qu’il ait déjà disposé d’une licence Codex avant le 24 juin 2026 ou qu’une invitation éligible pour une licence Codex ait été en attente à cette date. Les nouveaux espaces de travail Business et ceux qui ne disposent ni d’une licence ni d’une invitation répondant à ces conditions ne peuvent pas ajouter de première licence Codex uniquement. Consultez le guide Gérer le cycle de vie et la migration des espaces de travail dans ChatGPT Business.

Si l’espace de travail propose plusieurs types de licences, vérifiez le type par défaut dans Paramètres de l’espace de travail > Identité et accès avant d’activer le provisionnement automatique. Les utilisateurs ajoutés via SCIM reçoivent la licence par défaut, qui détermine les interfaces produit auxquelles ils ont accès. Un rôle personnalisé ne peut pas accorder un accès que la licence ne prévoit pas.

Dans Autorisations et rôles, vérifiez les paramètres d’accès local, de jetons d’accès, de durée de validité des identifiants et d’accès aux appareils distants. Certains espaces de travail regroupent les paramètres d’accès local dans Codex et Work en local, avec l’option Autoriser les membres à utiliser Codex et Work en local. D’autres distinguent Codex en local, avec l’option Autoriser les membres à utiliser Codex en local, et Work en local, avec l’option Utiliser Work en local. Lorsque ces paramètres sont distincts, autoriser Codex ne donne pas accès à Work, et inversement. Les paramètres des jetons figurent soit dans la section consacrée à l’accès local, soit dans une section Jetons d’accès distincte. Ces paramètres sont indépendants de l’appartenance aux groupes et du type de licence attribué.

L’exemple suivant présente les paramètres regroupés dans Codex et Work en local et une section Jetons d’accès distincte :

Pour connaître les prérequis actuels et les configurations de gestion des identités prises en charge, consultez Identité et provisionnement et Gérer les membres, les types de licences, les rôles et les accès.

Choisissez comment les employés rejoignent l’espace de travail

Choisissez une méthode de provisionnement principale pour chaque catégorie d’utilisateurs :

Utilisez les invitations manuelles pour les utilisateurs dont l’accès n’est pas géré par la synchronisation de l’annuaire. Utilisez SCIM si l’appartenance à l’espace de travail doit refléter les affectations chez le fournisseur d’identité à l’arrivée des employés, lors d’un changement d’équipe ou à leur départ.

N’activez pas simultanément la création automatique de compte et SCIM. Les utilisateurs ajoutés par création automatique de compte ne sont pas nécessairement gérés par SCIM. Les retirer d’un groupe chez le fournisseur d’identité peut donc ne pas suffire à leur retirer l’accès à l’espace de travail. Consultez la FAQ sur l’intégration SCIM pour connaître les recommandations actuelles.

Selon la configuration approuvée pour la gestion des identités, SCIM peut se connecter à un seul espace de travail ChatGPT ou au tenant de l’organisation. Précisez chaque affectation à un espace de travail ou à un produit. Une connexion partagée à l’annuaire n’accorde ni ne retire automatiquement l’accès à tous les espaces de travail ou à toutes les organisations de la Plateforme API.

Connectez un groupe de provisionnement au bon espace de travail

Configurez la connexion avant de provisionner les accès des employés. Le propriétaire de l’espace de travail et l’administrateur des identités ont des responsabilités distinctes :

1. Demandez au propriétaire de sélectionner l’espace de travail ChatGPT prévu et de consulter Paramètres de l’espace de travail > Groupes. Consignez les noms des groupes existants, leurs membres, les rôles personnalisés qui leur sont attribués et les partages de projets ou de GPT concernés.
2. Demandez à l’administrateur des identités d’identifier précisément le groupe à synchroniser chez le fournisseur d’identité. Comparez son nom et la liste de ses membres avec ceux de chaque groupe existant dans l’espace de travail.
3. Si un groupe à synchroniser porte le même nom qu’un groupe existant dans l’espace de travail, harmonisez les deux groupes ou renommez celui qui pose problème avant d’activer la synchronisation. Faites approuver par le propriétaire de l’espace de travail la liste des membres, les rôles hérités et les partages qui en résultent. Si les noms correspondent, le groupe existant passe sous gestion SCIM et le fournisseur d’identité prend le contrôle de sa liste de membres.
4. Sélectionnez les groupes à provisionner et consignez l’espace de travail cible, les membres attendus et les rôles attribués à chaque groupe.
5. Demandez au propriétaire d’ouvrir Paramètres de l’espace de travail > Identité et accès et de sélectionner Activer la synchronisation de l’annuaire. Si un choix lui est proposé, demandez-lui de sélectionner Utiliser SCIM uniquement pour cet espace de travail pour un provisionnement limité à cet espace, ou Conserver la possibilité d’étendre SCIM à d’autres produits si le provisionnement au niveau du tenant a été approuvé. Si SCIM est déjà actif au niveau du tenant, gérez la connexion existante au lieu de créer une deuxième connexion pour l’espace de travail.
6. Demandez à l’administrateur des identités de terminer la configuration de la connexion au fournisseur d’identité, de sélectionner l’application ChatGPT et d’y affecter le groupe approuvé pour ajouter ses membres à l’espace de travail prévu.
7. Dans Paramètres de l’espace de travail > Groupes, vérifiez que le badge SCIM s’affiche pour le groupe sélectionné. Vérifiez le nom du groupe, les membres synchronisés et l’espace de travail cible avant d’utiliser ce groupe pour accorder des accès.
8. Demandez au propriétaire de l’espace de travail d’ouvrir Autorisations et rôles > Rôles personnalisés, de créer ou de sélectionner le rôle approuvé, puis de l’attribuer au groupe synchronisé. La configuration des rôles s’effectue sur le Web et nécessite les droits de propriétaire de l’espace de travail.
9. Vérifiez les autorisations effectives du groupe et le type de licence par défaut de l’espace de travail avant de provisionner les accès des employés.

L’administrateur du fournisseur d’identité gère les affectations aux applications et l’appartenance aux groupes. Le propriétaire de l’espace de travail gère la synchronisation de l’annuaire et l’attribution des rôles dans cet espace. Pour connaître les étapes à suivre et les options actuellement disponibles pour votre fournisseur, consultez la FAQ sur l’intégration SCIM et le guide Configurer le contrôle d’accès basé sur les rôles.

Accordez les accès à un nouvel employé

Pour un employé géré via SCIM :

1. Confirmez l’espace de travail prévu, l’adresse e-mail vérifiée, le type de licence par défaut et le groupe chez le fournisseur d’identité.
2. Chez le fournisseur d’identité, affectez l’employé à l’application ChatGPT ou au groupe qui accorde l’accès.
3. Attendez la fin de la synchronisation de l’annuaire. Si l’employé n’apparaît pas, vérifiez l’état de la synchronisation chez le fournisseur d’identité.
4. Dans Paramètres de l’espace de travail > Membres, vérifiez l’adresse e-mail de l’employé, son statut de membre ou son invitation en attente, son type de licence et son badge SCIM.
5. Dans Paramètres de l’espace de travail > Groupes, vérifiez que l’employé appartient au groupe synchronisé prévu. Demandez au propriétaire de l’espace de travail de vérifier le rôle personnalisé attribué à ce groupe.
6. Demandez à un employé représentatif de se connecter au bon espace de travail et de vérifier qu’il a accès aux interfaces produit, aux fonctionnalités et aux systèmes connectés dont il a besoin.
7. Consignez le nom du responsable des accès et le résultat positif de la vérification selon la procédure approuvée par votre organisation.

Si vous ajoutez un employé manuellement, envoyez l’invitation depuis la gestion des membres de l’espace de travail, puis effectuez les mêmes vérifications concernant la licence, le groupe, le rôle et la connexion.

Un groupe permet de regrouper des membres, mais ne leur donne pas à lui seul accès à toutes les fonctionnalités. Pour connaître la procédure actuelle d’attribution des rôles, consultez Rôles et autorisations de l’espace de travail et Configurer le contrôle d’accès basé sur les rôles.

Mettez à jour les accès lors d’un changement d’équipe

Un employé qui change d’équipe peut conserver des accès accordés par ses anciens groupes ou rôles. Mettez à jour son appartenance aux groupes dans le système qui la gère avant de vérifier son nouveau niveau d’accès :

1. Identifiez la nouvelle équipe de l’employé, l’espace de travail et la licence dont il a besoin, les autorisations approuvées pour les fonctionnalités et le groupe de destination.
2. Si l’employé doit conserver son accès à l’espace de travail pendant toute la transition, ajoutez-le au groupe de destination approuvé avant de le retirer de son ancien groupe. Pour les groupes gérés via SCIM, modifiez l’appartenance chez le fournisseur d’identité. Pour les groupes gérés manuellement, utilisez l’administration de l’espace de travail.
3. Vérifiez que le rôle approuvé est déjà attribué au groupe de destination. Conservez les rôles attribués aux groupes partagés pour que les autres membres gardent leurs accès approuvés.
4. Demandez au propriétaire de l’espace de travail de ne modifier le rôle attribué à un groupe qu’après avoir approuvé séparément ce changement de politique pour l’ensemble du groupe et examiné ses conséquences pour chaque membre.
5. Demandez au propriétaire de l’espace de travail d’ouvrir le profil de l’employé, de vérifier ses Rôles directs et de retirer ceux qui ne sont plus justifiés.
6. Avant d’approuver le changement d’équipe, vérifiez les autorisations effectives de l’employé en tenant compte de tous les rôles attribués directement ou par l’intermédiaire de groupes.
7. Si l’espace de travail propose plusieurs types de licences, demandez à un propriétaire d’ouvrir Paramètres de l’espace de travail > Membres > Modifier le type de licence et de vérifier les produits auxquels l’employé doit avoir accès.
8. Avant de convertir une licence ChatGPT en licence Codex uniquement, confirmez que l’employé doit perdre l’accès aux discussions, aux mémoires, aux projets et aux autres fonctionnalités de ChatGPT. Les données correspondantes sont conservées et redeviennent accessibles si l’employé retrouve une licence ChatGPT.
9. Une fois la synchronisation et la mise à jour des autorisations terminées, vérifiez les actions désormais autorisées ainsi que celles qui ne doivent plus être accessibles.

Si l’employé est responsable d’un workflow d’automatisation, déterminez s’il faut transférer le jeton Codex du workflow, son entrée dans le gestionnaire de secrets ou son autorisation auprès du service connecté à un autre responsable approuvé. Retirer à l’employé l’autorisation d’utiliser Codex en local suspend ses jetons Codex sans les révoquer. Rétablir cette autorisation réactive les jetons. Révoquez donc les identifiants qui doivent perdre définitivement leur accès.

Retirez l’accès d’un employé à son départ

Commencez par le système qui gère l’appartenance de l’employé à l’espace de travail :

1. Déterminez si l’employé est géré via SCIM ou si un administrateur l’a ajouté manuellement.
2. Pour un employé géré via SCIM, supprimez son affectation à l’application ChatGPT et retirez-le de tous les groupes de provisionnement qui lui accordent l’accès chez le fournisseur d’identité. Ne supprimez pas les groupes partagés eux-mêmes.
3. Pour un employé qui n’est pas géré via SCIM, demandez à un propriétaire ou à un administrateur de l’espace de travail de le retirer depuis Paramètres de l’espace de travail > Membres.
4. Confirmez que l’employé ne figure plus parmi les membres de l’espace de travail concerné. Pour un accès géré via SCIM, vérifiez que la synchronisation est terminée et qu’aucune autre affectation chez le fournisseur d’identité ne peut rétablir son appartenance à l’espace de travail.
5. Consignez le retrait de l’accès et désignez un responsable chargé de vérifier les jetons, les systèmes connectés et les données conservées.

Ne vous contentez pas de retirer l’employé de l’espace de travail si le fournisseur d’identité le maintient dans un groupe géré via SCIM. Une synchronisation ultérieure peut le réintégrer à l’espace de travail.

Révoquez les jetons d’accès Codex et transférez les automatisations

Lorsque vous retirez une personne de l’espace de travail, vérifiez également les identifiants utilisés par les automatisations de confiance. Appliquez cette procédure uniquement si l’espace de travail prend en charge les jetons d’accès Codex et que cette fonctionnalité est activée.

Le retrait de l’autorisation d’utiliser Codex en local suspend les jetons existants sans les révoquer. Ces jetons peuvent fonctionner à nouveau si un propriétaire de l’espace de travail rétablit l’autorisation. Révoquez explicitement les identifiants qui doivent perdre définitivement leur accès.

La page Jetons d’accès indique qui a créé chaque jeton et quel est son statut. Utilisez Révoquer pour retirer l’accès accordé par les jetons actifs :

1. Demandez à un propriétaire ou à un administrateur de l’espace de travail d’ouvrir la page Jetons d’accès.
2. Identifiez les jetons créés par l’employé qui part et les workflows qui les utilisent.
3. Choisissez l’identité de remplacement. Pour un workflow pérenne exécuté sans intervention humaine avec un forfait éligible facturé à l’usage, utilisez un compte de service dédié et approuvé. Dans les autres cas, désignez un responsable de workflow actif et approuvé. Demandez à un propriétaire de l’espace de travail d’autoriser cette personne à créer des jetons d’accès si nécessaire et de vérifier qu’elle est autorisée à utiliser Codex en local.
4. Créez le jeton de remplacement. Un opérateur habilité peut créer un jeton depuis la page de détails du compte de service. Si le jeton de remplacement est personnel, demandez au nouveau responsable du workflow de créer un jeton associé à sa propre identité dans l’espace de travail ChatGPT. Si la boîte de dialogue affiche Portées, sélectionnez Codex. Ne sélectionnez d’autres portées que si le workflow en a besoin. Si la boîte de dialogue n’affiche pas Portées, le jeton créé donne accès uniquement à Codex. Un administrateur ne peut pas créer de jeton personnel pour le compte d’un autre utilisateur.
5. Mettez à jour le secret stocké pour le workflow, puis vérifiez que celui-ci s’exécute correctement avec le jeton de remplacement.
6. Demandez au propriétaire ou à l’administrateur de l’espace de travail de révoquer les jetons de l’employé qui part ainsi que tous les identifiants remplacés.
7. Vérifiez que les jetons révoqués ne permettent plus de lancer de nouvelles exécutions authentifiées.

Lorsque le nouveau responsable approuvé crée un jeton, demandez-lui de lui donner un nom qui décrit le workflow et de choisir la durée de validité la plus courte autorisée par la politique de votre organisation. Si Portées s’affiche, demandez-lui de sélectionner Codex et d’éviter les autorisations dont le workflow n’a pas besoin. L’exemple suivant présente l’interface de sélection des portées :

Les propriétaires et administrateurs peuvent révoquer tous les jetons de leur espace de travail. Un membre autorisé à utiliser les jetons d’accès ne peut révoquer que ceux qu’il a créés. Pour connaître les autorisations actuelles et la procédure de rotation des jetons, consultez Jetons d’accès.

Vérifiez les systèmes connectés et les données conservées

Si le membre utilisait l’accès à l’ordinateur local avec Work Cloud, vérifiez l’autorisation Autoriser l’accès à l’ordinateur local et les ordinateurs connectés lors de son départ. Vérifiez ses affectations aux espaces de travail et aux rôles, ainsi que ses accès dans chaque système connecté.

La désactivation de l’accès à l’ordinateur local interrompt les tours de conversation en cours dans le mode Work. Vérifiez séparément l’appartenance du membre à l’espace de travail, les identifiants utilisés pour les systèmes connectés et les données stockées.

Après la révocation, vérifiez séparément les trois points suivants :

• Tâches actives. Vérifiez ce qu’il advient des tâches déjà en cours d’exécution. Pour toute tâche susceptible d’être encore active, suivez les procédures validées de gestion des incidents et de révocation des accès du mode Work.

• Appareils connectés. Vérifiez si les appareils précédemment connectés peuvent encore accéder au mode Work.

• Données stockées. Vérifiez séparément la conservation et la suppression des conversations. Le retrait d’un accès ne garantit pas à lui seul la suppression des données stockées.

Le provisionnement de l’espace de travail ne gère pas toutes les autorisations. Demandez au responsable de chaque service concerné de vérifier les accès aux éléments suivants :

• Dépôts de code source et comptes GitHub connectés.
• Google Drive, Slack et autres applications connectées.
• Plugins installés, skills incluses et fonctionnalités fournies par des connecteurs.
• Environnements Codex hébergés, automatisations partagées et secrets stockés.
• Appareils gérés, identifiants stockés localement et sessions à distance prises en charge.
• Organisations distinctes de la Plateforme API, projets et clés API.

Utilisez les contrôles propres à chaque système. Ne supposez pas qu’une modification dans un groupe de l’espace de travail ou dans SCIM met à jour les autorisations partout. Consultez Rôles et autorisations de l’espace de travail pour connaître le périmètre de chaque contrôle, et Contrôles des plugins pour vérifier la disponibilité des plugins, les skills incluses et les autorisations des applications connectées.

Le retrait de l’accès à l’espace de travail est distinct de la suppression du contenu. Lorsqu’un membre quitte l’espace de travail, celui-ci transfère automatiquement la propriété de ses projets et de ses GPT personnalisés à un propriétaire de l’espace de travail. Ces éléments ne sont pas marqués pour suppression. Si le membre réintègre l’espace de travail, il en redevient propriétaire.

Dans les espaces de travail Enterprise et Edu, les discussions, les fichiers et les documents du canvas sont soumis à la politique de conservation configurée pour l’espace de travail. Les espaces de travail Business conservent ces éléments indéfiniment. Les espaces de travail Healthcare proposent également des paramètres de conservation des données. Vérifiez la configuration de l’espace de travail concerné et consultez les recommandations pour ChatGPT for Healthcare.

Réattribuer un projet ou un GPT ne transfère pas les conversations ni les fichiers privés de l’ancien membre. Ce changement de propriétaire ne permet pas au propriétaire de l’espace de travail de consulter ces contenus privés. Consultez Retrait d’un membre de l’espace de travail et conservation des données pour connaître les règles actuellement applicables à chaque forfait.

Si vous devez justifier la modification pour des raisons de sécurité ou de conformité, consignez dans le système approuvé l’espace de travail et l’employé concernés, l’affectation chez le fournisseur d’identité, l’heure de fin de l’opération, le nom du responsable de l’approbation et le résultat de la vérification de la révocation des jetons. Connectez-vous à la documentation de référence de l’API d’administration pour vérifier les enregistrements disponibles, les autorisations des administrateurs et les règles de conservation. Certaines portées sensibles liées à la conformité peuvent nécessiter les droits d’un propriétaire de l’espace de travail. Pour une présentation du produit, consultez API de conformité et événements d’audit. Ne déduisez pas de ce guide les événements couverts, les champs disponibles ou les durées de conservation.

Résolvez les problèmes d’accès manquants ou inattendus

La plupart des fournisseurs d’identité effectuent une synchronisation toutes les 30 à 40 minutes, mais certains appliquent les modifications immédiatement. Les modifications de rôles personnalisés peuvent mettre environ cinq minutes à apparaître. Vous ne pouvez pas forcer une synchronisation SCIM. Ne retirez donc pas un membre de l’espace de travail pour le recréer dans le but de contourner un retard de mise à jour.

Si un retrait d’accès ou une mise à jour de groupe n’a toujours pas pris effet après le délai prévu par le fournisseur, demandez à l’administrateur des identités de recueillir les informations suivantes :

• L’espace de travail concerné et l’adresse e-mail de l’employé.
• Le fournisseur d’identité, l’affectation à l’application et le groupe de provisionnement.
• La modification tentée, son horodatage et le dernier état de synchronisation connu.
• Les rôles directs, les rôles attribués par groupe ou les jetons qui restent à vérifier.

Communiquez ces informations à l’assistance OpenAI via le centre d’aide. Si un employé conserve des accès après son départ, traitez ce cas comme une exception de sécurité et suivez la procédure de remontée des incidents de votre organisation.

Pour connaître les étapes de configuration et le fonctionnement de la synchronisation propres à votre fournisseur, consultez la FAQ sur l’intégration SCIM à jour. Pour les erreurs de connexion ou d’identité, consultez Résoudre les problèmes d’authentification.

Vérifiez le parcours complet d’un employé

Avant d’étendre le déploiement, vérifiez les trois transitions avec un compte de test représentatif d’un employé :

Consignez qui a approuvé chaque modification, ce que vous avez vérifié et qui doit résoudre les exceptions d’accès restantes. Planifiez des vérifications régulières des accès conformément aux politiques de gestion des identités et de sécurité de votre organisation.

Documentation associée

• Guide de déploiement pour les administrateurs
• Groupes et provisionnement
• Rôles et autorisations de l’espace de travail
• Contrôles des plugins
• Jetons d’accès
• Comptes de service
• Authentification
• Configuration gérée
• API de conformité et événements d’audit